DeepSeek è sicuro per le aziende? Sicurezza, dati e censura

DeepSeek V4 Pro non è il modello che le persone stavano valutando all'inizio del 2026. La release di aprile è passata a una finestra di contesto da 1 milione di token, supporta le modalità thinking e non-thinking ed è distribuita con licenza MIT sulla model card ufficiale. DeepSeek ha inoltre ritirato i vecchi alias API deepseek-chat e deepseek-reasoner il 24 luglio, quindi anche un'analisi dei rischi tecnicamente solida può oggi risultare operativamente superata, come il changelog delle API rende evidente. La domanda centrale sulla sicurezza, però, non è cambiata. Dove vanno i tuoi dati è un problema contrattuale. Cosa il modello dirà e non dirà è un problema di contenuto. Se puoi fidarti dell'artefatto che stai eseguendo è un problema di supply chain. Separali e scoprirai che a ciascuno si può rispondere.

Punti chiave- «DeepSeek è sicuro?» nasconde tre domande distinte: residenza dei dati, censura e sicurezza della supply chain. Rispondi a ciascuna separatamente.- Tre variabili trasformano quelle domande in una decisione: sensibilità del carico di lavoro, modalità di deployment e maturità della tua governance.- La modalità di deployment è la singola leva più importante. L'hosting in proprio dei pesi V4 con licenza MIT mantiene l'inferenza nel tuo ambiente; l'API ufficiale di DeepSeek è un servizio hosted separato.- La censura su temi sensibili (Taiwan, Tienanmen, Xinjiang) è una questione di qualità del prodotto e di reputazione, rilevante solo per gli output rivolti agli utenti.- Fissa un checkpoint e un endpoint esatti. deepseek-flash è ora il nome canonico di Flash e instrada verso V4.1-Flash; V4 Pro serve lo snapshot V4-Pro-0813; i vecchi alias API non funzionano più.

Nella mia prima settimana in Deloitte ci hanno martellato in testa che la risposta di un consulente a quasi tutto è «dipende», e qui, con mia grande seccatura, dipende davvero. Ciò da cui dipende è il deployment. Non dipende dalle capacità del modello, che sono un capitolo chiuso. Un gradino sopra tutto questo c'è la domanda se la Cina stia vincendo la corsa all'IA, dove la risposta onesta è «è una gara serrata». Ed è proprio perché è serrata che la questione della sicurezza è arrivata su scrivanie vere invece di restare nei commenti.

I tre rischi che le persone accorpano

Il motivo per cui «DeepSeek è sicuro» produce risposte contraddittorie è che le persone stanno chiedendo tre cose senza rapporto tra loro, tutte insieme: dove vanno i dati, cosa dice il modello e cosa c'è dentro il modello. Cause diverse, rimedi diversi, modalità di deployment diverse. Nota cosa non c'è in quell'elenco. «È abbastanza buono» è la domanda a cui la maggior parte delle persone ricorre per prima, e appartiene a una valutazione separata. Il divario di benchmark di marzo 2026 spesso citato in questo dibattito è precedente a V4 e alle altre release estive, quindi è una prova della direzione di marcia, non una classifica aggiornata.

C'è una seconda separazione che vale il mezzo secondo che richiede, perché gran parte del panico sulla «sicurezza di DeepSeek» tratta silenziosamente l'app consumer e il modello come una cosa sola. L'app DeepSeek per smartphone e l'API ufficiale sono un prodotto, con elaborazione in Cina. I pesi aperti sono un artefatto diverso: li scarichi e li esegui senza alcuna connessione in uscita. Giudicare il modello dall'informativa sulla privacy dell'app è come giudicare un motore dai termini di servizio della concessionaria. Oggetti imparentati, non lo stesso oggetto. Separali e buona parte dell'allarme non ha più nulla a cui aggrapparsi.

La domanda aziendale «DeepSeek è sicuro?» si scompone in tre rischi distinti: residenza dei dati, censura degli output e sicurezza della supply chain, ciascuno con la propria mitigazione. DeepSeek V4 Pro è un modello mixture-of-experts con licenza MIT da 1,6 bilioni di parametri, con 49 miliardi di parametri attivi e una finestra di contesto da 1 milione di token, sulla model card ufficiale. Capacità e sicurezza richiedono comunque valutazioni separate.

Cosa decide: carico di lavoro, deployment, governance

Tre variabili trasformano quei rischi in una decisione, e saltarne anche una sola è il modo in cui i team si scottano. Parti da quanto è sensibile il carico di lavoro, scegli la modalità di deployment che lo mitiga, poi chiediti onestamente se la tua governance riesce a reggere il risultato.

Sensibilità del carico di lavoro riguarda i dati e gli output che il tuo caso d'uso tocca. Uno strumento interno che riassume la documentazione del tuo prodotto sta in fondo alla scala. Un chatbot rivolto ai clienti che tratta nomi, email o dati sanitari sta vicino alla cima. Più alta è la sensibilità, più duramente devono lavorare la modalità di deployment e la governance per compensare. Definisci prima questa, perché fissa il tuo appetito per le altre due.

Modalità di deployment è come esegui il modello, ed è la singola leva più grande che hai. Ospita in proprio i pesi aperti, esegui gli stessi pesi tramite un host occidentale, oppure chiama l'API ufficiale cinese. Le persone le trattano come intercambiabili e non lo sono affatto. Il dettaglio è sotto il Rischio 1.

Maturità della governance è se sei davvero in grado di gestire il rischio che ti stai assumendo. Mappatura dei flussi di dati, monitoraggio degli output, un responsabile nominato sull'approvazione. Un team maturo può gestire in sicurezza carichi di lavoro che un team meno maturo dovrebbe lasciar stare, ed è la variabile su cui i team si raccontano bugie. Prendere in prestito una capacità che non sai governare è il modo in cui una scelta di modello sensata si trasforma in una revisione post-incidente.

Detta in parole povere. Carico di lavoro a bassa sensibilità? Quasi ogni modalità di deployment va bene. Carico di lavoro ad alta sensibilità con dati personali o regolamentati? Il deployment deve tenere quei dati fuori dalla Cina, il che significa hosting in proprio o host occidentale, con una governance all'altezza. Alta sensibilità e nessuna governance degna di questo nome? Non costruirci sopra, per ora. Sistema prima la governance. Concretamente: un assistente di codice interno su pesi ospitati in proprio è verde. Una ricerca interna sulla tua documentazione, su un host occidentale, è tra il verde e il giallo. Un chatbot rivolto ai clienti sull'API ufficiale cinese che tratta dati personali è rosso, punto e basta.

Rischio 1: residenza dei dati e privacy

La residenza dei dati è il più serio dei tre rischi e il più risolvibile, e dipende interamente dalla modalità di deployment. Chiama DeepSeek tramite la sua API ufficiale cinese e i tuoi prompt possono essere elaborati in Cina e instradati attraverso la Cina, sotto giurisdizione cinese. Ospita in proprio i pesi aperti e i dati non lasciano mai la tua infrastruttura. Stesso modello. Percorso dei dati completamente diverso.

Lasciami essere preciso su ciò che si sa davvero, perché è qui che la conversazione di solito scivola nel sentito dire. Il rischio documentato riguarda dove vanno le chiamate API: l'endpoint ufficiale elabora i dati in Cina. Non avanzerò affermazioni su telemetria occulta o esfiltrazione dai pesi aperti, perché non è cosa accertata, e non ti serve per prendere questa decisione. Il dato sull'instradamento regge l'argomento da solo. Il punto in cui viaggiano fisicamente i tuoi dati è la cosa che controlli, ed è la cosa che conta per il GDPR e per la fiducia dei clienti.

Le mitigazioni si articolano in tre modalità di deployment, ordinate per rischio di residenza dei dati:

1. Hosting in proprio dei pesi aperti (rischio più basso). Scarica i pesi, eseguili sulla tua infrastruttura. Il checkpoint da prendere ora è V4.1-Flash: 552 miliardi di parametri con solo circa 8 miliardi attivi per token, con licenza MIT e visione nativa, sulla model card ufficiale. Nessuna chiamata in uscita, nessuna elaborazione da parte di terzi, nessun trasferimento transfrontaliero. È la modalità che uso io stesso, ed elimina del tutto la questione della residenza dei dati.
2. Host occidentale (via di mezzo). OpenRouter, Azure o Together eseguono gli stessi pesi in data center occidentali con termini occidentali. I tuoi dati vanno a un fornitore occidentale, non in Cina. Conferma la regione effettiva, i subincaricati, i termini di conservazione e il contratto invece di dedurli dal logo del fornitore, ed è un compromesso ragionevole.
3. API ufficiale cinese (rischio di residenza dei dati più alto). La più economica e semplice, ma i dati possono essere elaborati in Cina. Per qualsiasi cosa coinvolga dati personali o regolamentati, evitala.

C'è un dettaglio in quella prima opzione che le persone trovano genuinamente strano quando lo dico ad alta voce. High-Flyer, il fondo che ha costruito DeepSeek, è a poche fermate di metro dal mio appartamento qui a Hangzhou, e non fa alcuna differenza per la mia postura di sicurezza. Una volta che i pesi sono sulla macchina, il modello è un processo che possiedo io. Nessuna chiave API, nessuna connessione in uscita, niente in un termine di servizio che governi i miei prompt. «Invia dati in Cina?» non ha alcuna superficie a cui attaccarsi quando nulla lascia la macchina, e questo vale sia che la macchina sia a Francoforte sia che sia a quattro fermate dal laboratorio che l'ha addestrato. Il compromesso è operativo, non legale: la GPU, le patch e l'uptime sono a carico mio. Per l'angolo specifico della conformità nel Regno Unito, vedi DeepSeek, Qwen e il GDPR.

La residenza dei dati è il rischio aziendale più grande con DeepSeek e il più risolvibile. L'API ufficiale cinese può elaborare i prompt in Cina, mentre l'hosting in proprio dei pesi aperti mantiene i dati interamente nel tuo ambiente. È la modalità di deployment, non il modello, a decidere dove vanno i dati.

Rischio 2: censura e bias degli output

La censura è una proprietà reale dei modelli cinesi. Non è una proprietà di sicurezza dei dati, e morde solo in punti specifici. Questi modelli applicano controlli sui contenuti e allineamento su temi politicamente sensibili (Taiwan, Tienanmen, Xinjiang) che riflettono il contesto normativo in cui sono stati costruiti. Quando NewsGuard ha sottoposto ad audit i cinque principali chatbot cinesi a luglio 2025, DeepSeek incluso, non hanno dato risposte accurate sul 60% dei prompt riguardanti narrazioni promosse da Pechino, e il comportamento era quasi identico in inglese e in mandarino. Vale la pena prenderlo sul serio, non vale la pena catastrofizzarlo, e il test per capire se ti riguarda affatto è semplice: l'output raggiunge gli utenti, e va vicino a quei temi?

Quindi segui l'output. Un assistente di codice interno, o uno strumento che riassume la documentazione del tuo prodotto, molto probabilmente non si avvicinerà mai a un tema politicamente sensibile, e il comportamento di allineamento resta invisibile. Un chatbot rivolto ai clienti, uno strumento di ricerca che copre la geopolitica o qualsiasi cosa generi contenuti pubblici è un'altra faccenda. Lì, un rifiuto o una risposta tendenziosa su un tema sensibile è un difetto di qualità e un difetto reputazionale. Vorresti che l'assistente del tuo brand schivasse visibilmente una domanda su Tienanmen sullo schermo, davanti a un cliente? No, e non dovrebbe servirti molto tempo per deciderlo.

L'inquadramento che userei con un cliente è che questo non è diverso nella sostanza dalle scelte di allineamento di qualsiasi modello. È solo più visibile, perché i temi sono geopolitici anziché, diciamo, medici. Il CIGI inquadra la questione più ampia come una contesa su quali valori vengano incorporati nei modelli di largo uso, che è una domanda genuinamente aperta per il settore e non un motivo di panico. Le mitigazioni sono ordinarie. Tieni questi modelli lontani dalle superfici rivolte agli utenti che toccano temi sensibili. Metti un livello di monitoraggio degli output e di guardrail dove gli output sono pubblici. Testa il modello contro i tuoi prompt su temi sensibili prima del rilascio, cosa che richiede un pomeriggio e ti dice più di quanto farà mai un editoriale. E per alcuni casi d'uso un fine-tuning o un modello diverso è semplicemente la scelta migliore, ed è lecito che sia quella la risposta.

I modelli di IA cinesi, DeepSeek incluso, applicano allineamento e controlli sui contenuti su temi politicamente sensibili come Taiwan, Tienanmen e Xinjiang. L'audit di NewsGuard di luglio 2025 ha misurato un tasso di fallimento del 60% sulle narrazioni filo-Pechino nei cinque principali chatbot cinesi. È un rischio di qualità del prodotto e di reputazione, rilevante soprattutto per gli output rivolti agli utenti.

Rischio 3: sicurezza del modello e della supply chain

È qui che la paura è più fuori luogo, perché i pesi scaricabili possono essere un vantaggio di supply chain. Un'API chiusa è una scatola nera di cui devi fidarti sulla parola di qualcun altro. V4 Pro e V4.1-Flash sono artefatti che puoi scaricare, ispezionare, analizzare ed eseguire nella tua sandbox senza alcuna via d'uscita verso internet. Questo non rende i file affidabili per magia, ma dà al tuo team controlli che l'API di un modello chiuso non può offrire.

La normale igiene della supply chain del machine learning resta valida, e va comunque applicata. Verifica la provenienza: scarica i pesi dal repository ufficiale o da un mirror affidabile e controlla gli hash. Analizza i file del modello alla ricerca di rischi noti di serializzazione e deserializzazione, come faresti con qualsiasi dipendenza di terze parti. Esegui il modello in una sandbox senza traffico di rete in uscita non necessario, soprattutto in fase di valutazione. Fissa le versioni e tieni traccia di ciò che hai distribuito. Niente di tutto questo è specifico di DeepSeek. È l'igiene che applicheresti a qualsiasi componente open source, e gli strumenti esistono già.

Vale la pena enunciare il contrasto in modo chiaro, perché è la decisione vera. Con l'API ufficiale esternalizzi la fiducia e guadagni comodità. Con i pesi aperti ospitati in proprio ti assumi il lavoro operativo e guadagni una reale ispezionabilità. Per un'azienda attenta alla sicurezza, il secondo compromesso è di solito il migliore. La stessa logica sta sotto la più ampia questione tra il fare in casa e il servizio di qualcun altro nella governance degli agenti IA.

Una valutazione indicativa, non una misurazione: come i tre rischi variano in base alla modalità di deployment. L'hosting in proprio dei pesi aperti riduce il rischio sui dati e sulla supply chain; la censura è una proprietà del modello stesso (framework dell'autore, basato su CIGI 2026 e MIT Technology Review 2026).

Una checklist per un deployment sicuro

Un deployment sicuro di DeepSeek è per lo più una breve sequenza di domande di governance a cui rispondi prima dell'approvazione, più che un singolo verdetto sì-o-no calato dall'alto da un team di sicurezza. Scegliere il modello è la parte facile. Ciò che separa i team che distribuiscono in sicurezza da quelli che si scottano è se qualcuno ha davvero mappato il flusso dei dati, fissato il checkpoint e abbinato la modalità di deployment al carico di lavoro. La decisione vive in questa checklist, non in una tabella di benchmark di un fornitore.

Affronta questi punti prima di impegnarti:

• Mappa il flusso dei dati. Dove vanno fisicamente i tuoi dati in questa modalità di deployment? Hosting proprio, host occidentale o API cinese. Sii specifico.
• Abbina il deployment alla sensibilità. Dati personali o regolamentati? Tienili fuori dalla Cina: ospita i pesi in proprio o su un host occidentale. Verifica la posizione su Regno Unito e GDPR.
• Decidi dove vanno gli output. Rivolti agli utenti o che toccano temi sensibili? Aggiungi monitoraggio degli output e guardrail, e testa contro i tuoi prompt su temi sensibili.
• Applica l'igiene della supply chain del ML. Verifica provenienza e hash, analizza i file del modello, isola in sandbox durante la valutazione, fissa le versioni.
• Conferma di poterlo servire. Il checkpoint esatto è scaricabile, e hai la capacità GPU e le competenze per eseguirlo alla lunghezza di contesto che ti serve?
• Aggiorna l'integrazione. Usa deepseek-v4-pro o deepseek-flash. Il vecchio nome deepseek-v4-flash instrada ancora, ora verso V4.1-Flash, mentre deepseek-chat e deepseek-reasoner sono stati ritirati il 24 luglio 2026, come registra il changelog. V4 Pro serve lo snapshot V4-Pro-0813. Un'asimmetria da conoscere prima di scegliere: V4.1-Flash ha la visione nativa, V4 Pro no.
• Definisci le tue posizioni su conservazione e rollback. Qual è la policy di conservazione e cancellazione dell'host o del fornitore API, e qual è il tuo piano di rollback se il modello si comporta male in produzione?
• Nomina un responsabile. Chi approva, e chi lo monitora in produzione?
• Scegli il modello giusto. Confronta le opzioni in Qwen vs DeepSeek vs Llama prima di vincolarti.

Rispondi in modo pulito a queste domande e sei pronto per il deployment. Se una o due ti fanno storcere il naso, la smorfia è il risultato: quella è la tua lacuna di governance, e colmarla ora costa molto meno che farlo in una revisione post-incidente.

Un deployment aziendale sicuro di DeepSeek mappa il flusso dei dati, fissa un checkpoint V4 esatto, abbina la modalità di deployment alla sensibilità del carico di lavoro, monitora gli output rivolti agli utenti per il comportamento di allineamento e applica la consueta igiene della supply chain del ML. DeepSeek ha ritirato i suoi vecchi alias API a luglio 2026 e ha rinominato l'endpoint Flash in deepseek-flash a settembre 2026, rendendo il controllo delle versioni parte della revisione operativa, come registra il changelog delle API.

FAQ

DeepSeek è sicuro da usare?

Dipende dal deployment e da quale rischio intendi. L'hosting in proprio dei pesi V4 mantiene l'inferenza nel tuo ambiente e rimuove l'API ufficiale dal percorso dei dati. L'API ufficiale di DeepSeek comporta il rischio di residenza dei dati più alto. La censura su temi sensibili conta soprattutto per gli output rivolti agli utenti. Qui la sicurezza è una scelta di governance, non una proprietà conferita da un punteggio di benchmark.

DeepSeek invia dati in Cina?

Tramite la sua API ufficiale cinese, i tuoi prompt possono essere elaborati in Cina e instradati attraverso la Cina, sotto giurisdizione cinese. Tramite i pesi aperti ospitati in proprio, i dati non lasciano mai la tua infrastruttura; tramite un host occidentale come OpenRouter, Azure o Together, restano presso un fornitore occidentale. Il modello è lo stesso. È la modalità di deployment a decidere dove vanno i dati. Eviterei l'API ufficiale per i dati personali.

DeepSeek è censurato?

Sì, sui temi politicamente sensibili. I modelli cinesi applicano allineamento e controlli sui contenuti su argomenti come Taiwan, Tienanmen e Xinjiang, riflettendo il loro contesto normativo, e l'audit di NewsGuard del 2025 ha misurato direttamente quel comportamento. È una questione di qualità del prodotto e di reputazione, non di fuga di dati. Conta per gli output rivolti agli utenti e per i contenuti che toccano quei temi, e resta in gran parte invisibile per gli strumenti interni che non vi si avvicinano mai.

È sicuro ospitare DeepSeek in proprio?

L'hosting in proprio è la modalità di deployment a rischio più basso. I pesi aperti girano nel tuo ambiente senza alcuna connessione in uscita, il che elimina del tutto la questione della residenza dei dati e ti consente di isolare in sandbox e fare audit del modello. Applica la consueta igiene della supply chain: verifica provenienza e hash, analizza i file del modello, fissa le versioni. Il compromesso è operativo, nel senso che hardware e uptime sono a tuo carico. Per il quadro più ampio, vedi la governance degli agenti IA.

In conclusione

DeepSeek è sicuro per le aziende? Sì, a condizioni, e ora puoi rispondere come si deve invece di parlare oltre chi te l'ha chiesto. Scomponi la parola «sicuro» in tre. La residenza dei dati è la leva più grande, e ospitare in proprio i pesi V4 o usare un host terzo adeguato rimuove il servizio ufficiale di DeepSeek dal percorso. La censura è una questione di prodotto e di reputazione che morde sugli output rivolti agli utenti su temi sensibili. Il rischio di supply chain è gestibile, e i pesi scaricabili ti danno un vantaggio di audit rispetto a un'API chiusa. Poi fai girare le tre variabili: quanto è sensibile il carico di lavoro, quale modalità di deployment lo mitiga e se la tua governance regge il risultato. Fissa il checkpoint, mappa il percorso dei dati, e starai prendendo una decisione invece di fare una discussione.

Due passi successivi. Se la conformità è il tuo scoglio, parti da DeepSeek, Qwen e il GDPR del Regno Unito. E se vuoi un secondo paio d'occhi sul tuo deployment, è esattamente il tipo di decisione su cui aiuto i clienti.

Fonti

• Stanford HAI, "2026 AI Index Report": https://hai.stanford.edu/ai-index/2026-ai-index-report (consultato il 16/06/2026)
• MIT Technology Review, "What's next for Chinese open-source AI": https://www.technologyreview.com/2026/02/12/1132811/whats-next-for-chinese-open-source-ai/ (consultato il 16/06/2026)
• DeepSeek, changelog delle API: https://api-docs.deepseek.com/updates/ (consultato il 04/10/2026)
• DeepSeek, prezzi API ed elenco dei modelli: https://api-docs.deepseek.com/quick_start/pricing (consultato il 04/10/2026)
• DeepSeek, model card di V4 Pro: https://huggingface.co/deepseek-ai/DeepSeek-V4-Pro (consultato l'11/08/2026)
• DeepSeek, model card di V4.1-Flash: https://huggingface.co/deepseek-ai/DeepSeek-V4.1-Flash (consultato il 04/10/2026)
• CIGI, "Chinese AI models and the high-stakes fight for AI neutrality": https://www.cigionline.org/articles/chinese-ai-models-and-the-high-stakes-fight-for-ai-neutrality/ (consultato il 16/06/2026)
• NewsGuard, "Chinese AI Models Register a 60 Percent Fail Rate in NewsGuard Audit of Pro-China Claims": https://www.newsguardtech.com/special-reports/chinese-ai-models-60-percent-fail-rate-pro-china-claims/ (consultato l'11/08/2026)
• Unsplash, immagine di copertina: https://images.unsplash.com/photo-1563013544-824ae1b704d3 (consultato il 16/06/2026)