La Organización de Consumidores y Usuarios (OCU), junto con otras entidades europeas, ha presentado una reclamación ante la Agencia Española de Protección de Datos (AEPD) contra DeepSeek, una empresa china desarrolladora de sistemas de inteligencia artificial. En su escrito, solicitan la adopción de medidas cautelares que garanticen la protección de los datos personales de los usuarios españoles ante las posibles vulneraciones del Reglamento General de Protección de Datos (RGPD).
¿Qué es DeepSeek?
Hangzhou DeepSeek Artificial Intelligence y Beijing DeepSeek Artificial Intelligence son compañías chinas desarrolladoras de sistemas de IA, concretamente, de Grandes Modelos de Lenguaje de Código Abierto. Su último producto, DeepSeek-R1, con una inversión de apenas 6 millones de dólares, compite directamente con propuestas mucho más potentes económicamente hablando, como OpenAI, Google o Meta.
Sin embargo, su sujeción a la normativa china, y que el almacenamiento de los datos que procesa se lleva a cabo en servidores localizados en China, ha suscitado inquietud entre los usuarios.
La reclamación de la OCU
La OCU ha interpuesto una reclamación ante la AEPD en la que solicita la implementación de medidas cautelares adecuadas para salvaguardar la protección de datos de los usuarios españoles, sancionando, en su caso, a las empresas indicadas para impedir que la plataforma de IA china DeepSeek continúe con el tratamiento de datos personales hasta que las carencias percibidas sean subsanadas. Este sistema de IA se encuentra bajo el escrutinio de las autoridades de control tras percibirse graves deficiencias en el manejo de la información personal de sus usuarios.
Hay encima de la mesa varias infracciones del RGPD, y la reclamación se hace extensible a otros países como Bélgica e Italia, donde sus órganos análogos de consumo han interpuesto las correspondientes quejas a las autoridades de control nacionales.
Vulneraciones del RGPD:
- No se ha designado por parte de DeepSeek el representante legal en territorio europeo que establece el artículo 27 del RGPD, en caso de que se realicen actividades de tratamiento relacionados con la oferta de bienes o servicios a personas en la UE.
- Transferencia internacional de datos sin consideración de lo dispuesto en los artículos 44 a 46 RGPD, sobre los requisitos necesarios para establecer las garantías adecuadas sobre los datos que serán objeto de transferencia.
- Omisión en la política de privacidad de información sobre los plazos de conservación de los datos, los medios para que los usuarios puedan ejercer sus derechos ARCO (Acceso, Rectificación, Cancelación y Oposición) o las vías de contacto con la empresa, cuando el artículo 13 del RGPD detalla la obligación del responsable del tratamiento de informar detalladamente al interesado de cuestiones como los datos de contacto recabados, los fines del tratamiento y su base de legitimación o la posibilidad acceder, rectificar y suprimir los datos, por ejemplo.
- Pese a no ser utilizados los datos de los usuarios para el entrenamiento de los modelos, no se informa con claridad acerca de la elaboración de perfiles o la toma de decisiones automatizadas en lo que al artículo 22 del RGPD respecta. Este, además de prohibir la toma de decisiones automatizadas, exige que se informe de manera clara y transparente a los usuarios sobre la elaboración de perfiles con sus datos y sus posibles consecuencias para el interesado.
- Si bien DeepSeek descarta que sus servicios se encuentren destinados a menores de edad, hay una patente ausencia de medidas para verificar la edad de los usuarios. Además, el consentimiento solo será lícito si es otorgado por el representante legal para menores de 14 años en España, y el RGPD, en su artículo 8.2, obliga al responsable del tratamiento a hacer “esfuerzos razonables” para verificar que dicho consentimiento ha sido prestado de manera adecuada.
Consecuencias
Este caso nos sirve para observar los crecientes desafíos que plantea la constante expansión de la IA, especialmente cuando las tecnologías en auge provienen de jurisdicciones con estándares de protección de datos que no se ajustan a los europeos. Estas deficiencias, además de incertidumbre, evidencian también la necesidad de reforzar los mecanismos de control y supervisión de las plataformas de IA que operan en el mercado europeo.
Se refleja también, por tanto, la importancia de exigir a todas las empresas tecnológicas, sin importar su procedencia, el respeto por los derechos fundamentales de los ciudadanos europeos, así como la transparencia y responsabilidad en el tratamiento de sus datos personales.
La resolución que ponga fin a este caso sentará un precedente relevante sobre la aplicación extraterritorial del RGPD y la capacidad (o no) de las autoridades europeas para proteger la privacidad y seguridad de sus ciudadanos frente a la ingente cantidad de tecnologías globales que están apareciendo.
Por el momento, la recomendación por parte de las autoridades de control a los usuarios se es utilizar este tipo de servicios de IA con precaución.
