DeepSeek und Datenschutz: Warnung der CNPD und empfohlene Schutzmaßnahmen

Die Nationale Kommission für den Datenschutz (CNPD) Luxemburgs hat eine offizielle Warnung zu den Risiken des KI-Systems DeepSeek R1 ausgesprochen. Obwohl dieses generative KI-Modell frei zugänglich ist, entspricht es nicht den europäischen Datenschutzstandards und birgt erhebliche Risiken für die Nutzer.

Doch welche konkreten Probleme bestehen – und welche Maßnahmen empfiehlt die CNPD, um den Datenschutz zu gewährleisten?

DeepSeek: Ein Modell ohne Datenschutzgarantien

DeepSeek wurde von dem gleichnamigen chinesischen Unternehmen entwickelt und als Open-Source-Modellveröffentlicht. Es ist über Plattformen wie Hugging Face auch innerhalb der Europäischen Union nutzbar. Allerdings gibt es keine klaren Regelungen zum Schutz personenbezogener Daten.

Problematisch sind insbesondere folgende Aspekte:

• Mangelnde Transparenz beim Datenschutz: Nutzereingaben („Prompts“) können von DeepSeek gespeichert, analysiert, übertragen oder weiterverarbeitet werden – ohne dass klar ist, unter welchen Bedingungen dies geschieht.
• Unklarheit über Datenverantwortliche: Es gibt keinen offiziell benannten Verantwortlichen für den Datenschutz innerhalb der EU.
• Fehlender rechtlicher Schutz für Nutzer: Ohne Sitz oder Vertreter in der EU unterliegt DeepSeek nicht direktden Bestimmungen der Datenschutz-Grundverordnung (DSGVO). Dies bedeutet, dass Nutzer kaum Möglichkeiten haben, ihre Rechte auf Datenzugang, Berichtigung oder Löschung durchzusetzen.
• Ungewisse Datenweitergabe: Es besteht das Risiko, dass staatliche Stellen oder Dritte auf Nutzerdaten zugreifen, ohne dass dies transparent gemacht wird.

Welche rechtlichen Folgen hat die fehlende DSGVO-Konformität?

Das Datenschutzrecht in der EU schreibt vor, dass jede Organisation, die personenbezogene Daten von EU-Bürgern verarbeitet, sich an die DSGVO halten muss – unabhängig davon, wo sie ansässig ist. Unternehmen ohne Sitz in der EU müssen einen Vertreter innerhalb der Union benennen, um sicherzustellen, dass europäische Datenschutzvorgaben eingehalten werden.

Da DeepSeek keinen solchen Vertreter hat, entstehen gleich mehrere Probleme:

• Regulierungsbehörden wie die CNPD können schwerer eingreifen.
• Nutzer haben kaum rechtliche Handhabe, um ihre Datenschutzrechte geltend zu machen.
• Im Falle eines Datenschutzverstoßes ist die Rechtsdurchsetzung ungewiss.

Während europäische KI-Anbieter unter dem AI Act und der DSGVO strenge Datenschutzauflagen erfüllen müssen, bleibt DeepSeek in einer rechtlichen Grauzone – mit potenziellen Risiken für die Nutzer.

CNPD-Empfehlungen: Wie können Nutzer sich schützen?

Um Datenschutzrisiken zu minimieren, hat die CNPD mehrere Schutzmaßnahmen empfohlen:

1. Kein lokales Hosting von DeepSeek: Das Modell und seine Konfigurationsdateien sollten nicht auf eigenen Servern oder Unternehmenssystemen installiert werden, um das Risiko von Datenlecks oder unkontrollierter Datennutzung zu vermeiden.
2. Keine sensiblen Daten in Prompts eingeben: Nutzer sollten vermeiden, persönliche oder vertrauliche Informationen in DeepSeek einzugeben, da diese unverschlüsselt gespeichert oder weitergegeben werden könnten.
3. Aufklärung und Sensibilisierung: Unternehmen und Einzelpersonen sollten sich über die Datenschutzrisiken von generativer KI informieren und Mitarbeiter sowie Kollegen aktiv sensibilisieren.
4. Konforme Alternativen nutzen: Es sollten KI-Tools verwendet werden, die den EU-Datenschutzvorschriften entsprechen und transparente Datenschutzrichtlinien bieten. Dazu gehören Lösungen, die den DSGVO- und AI-Act-Standards gerecht werden.

Die CNPD betont, dass sie die Entwicklungen im Bereich der KI genau beobachtet und daran arbeitet, geeignete regulatorische Rahmenbedingungen zu schaffen, um Nutzer in Luxemburg und der EU vor den Risiken nicht konformer KI-Modelle zu schützen.

Fazit: Nutzer tragen Verantwortung für ihren Datenschutz

DeepSeek zeigt einmal mehr, wie herausfordernd der Umgang mit nicht-EU-konformen KI-Systemen ist. Während europäische Anbieter sich an strenge Datenschutzauflagen halten müssen, bestehen bei außerhalb der EU entwickelten Open-Source-KI-Modellen erhebliche rechtliche Unsicherheiten.

Die beste Schutzstrategie für Unternehmen und Privatpersonen besteht darin, sich aktiv über Datenschutzrisiken zu informieren und ausschließlich KI-Tools zu nutzen, die transparente und DSGVO-konforme Datenschutzpraktiken bieten.

Für die europäische Regulierungslandschaft bleibt die Frage offen: Wie lassen sich Datenschutzverstöße durch nicht-europäische KI-Anbieter in Zukunft besser kontrollieren? Die CNPD bleibt wachsam – und ruft Nutzer dazu auf, es ebenso zu tun.