Una orden de junio, publicada en octubre
El Departamento de Seguridad Nacional de Estados Unidos ha ordenado a todas las agencias civiles federales retirar DeepSeek de sus sistemas informáticos y dejar de comprarlo. El aviso llegó a la oficina de inspección pública del Federal Register a las 8.45 de la mañana, hora del Este, del 19 de octubre, y se publica el 20 de octubre con el número de expediente DHS-2026-0628.
Dos cláusulas lo hacen más amplio que los bloqueos agencia por agencia que lo precedieron. La primera es la exclusión: los productos y servicios desarrollados por Hangzhou DeepSeek Artificial Intelligence Co., Ltd, “incluidas las entidades afiliadas tal como se definen en 48 CFR 2.101”, quedan vetados en las compras civiles federales. La segunda es la retirada, que abarca “todos los productos de DeepSeek y de sus filiales, y los productos y servicios de terceros desarrollados usando implementaciones de DeepSeek”.
Esa última frase es la operativa. Un contratista que venda a una agencia una herramienta de resumen de documentos que llame a un modelo de DeepSeek queda cubierto, aparezca o no el nombre de DeepSeek en el contrato.
Una ley escrita para proveedores de hardware
La base legal es la Ley de Seguridad de la Cadena de Suministro de Adquisiciones Federales de 2018, codificada en 41 U.S.C. 1321-1328 con reglamento de aplicación en 41 CFR 201-1. El departamento afirma que el secretario actuó tras revisar una recomendación del Consejo de Seguridad de Adquisiciones Federales y las pruebas que la respaldan. Esa ley se concibió para sacar de los sistemas federales a proveedores de hardware y ciberseguridad de riesgo; aquí se apunta con ella a un chatbot.
La ejecución recae en CISA. El aviso da un único contacto, el equipo de implementación de órdenes FASCSA de la División de Ciberseguridad de CISA, y la orden firmada se reproduce en un anexo y queda archivada en regulations.gov con el mismo número de expediente. Firma el aviso James H. Percival II, asesor jurídico del departamento.
La prohibición tiene cuatro meses
El documento publicado esta semana es el aviso de una orden, no la orden. CyberScoop, que leyó el anexo, informa de que la carta que contiene, del secretario de Seguridad Nacional Markwayne Mullin, lleva fecha del 26 de junio: la exclusión llevaba funcionando dentro del poder ejecutivo unos cuatro meses antes de que se comunicara formalmente fuera de él.
CyberScoop también recoge el razonamiento declarado del departamento: que los modelos de DeepSeek presentan “múltiples vectores de amenaza”, que los datos se alojan en servidores en China, donde el gobierno puede exigir su entrega a las empresas nacionales, que los modelos alojados por DeepSeek recogen información de identificación personal y pueden rastrear las huellas digitales de los usuarios, y que el propio ciclo de petición y respuesta puede trasladar material sensible a Pekín. Mullin escribió que esos datos podrían producir “inteligencia aprovechable sobre personas estadounidenses y/o programas gubernamentales”.
Qué deben hacer las agencias
Las agencias pueden pedir una excepción, pero en los términos del departamento: 60 días de preaviso y una “justificación convincente”, como no poder cumplir una función crítica para su misión sin el producto. Hasta completar la retirada, el departamento recomienda vigilar el tráfico dirigido a DeepSeek, elevar el nivel de registro, controlar la exfiltración de datos y señalar la actividad anómala: consejo, no mandato.
El alcance de la orden se detiene en el poder ejecutivo civil federal. No obliga a los gobiernos estatales, las empresas privadas ni los gobiernos extranjeros, y no es una inclusión en la Entity List, que restringiría las exportaciones a DeepSeek en lugar de las compras a la empresa. Los sistemas de defensa e inteligencia quedan fuera de la rama civil y se rigen por normas aparte.
DeepSeek es el único desarrollador chino de IA nombrado. Qwen, de Alibaba, y Kimi, de Moonshot AI, han recibido comentarios de seguridad nacional similares en Washington este año, y laboratorios estadounidenses han acusado a varios desarrolladores chinos de destilar sus modelos, pero ninguna de las dos empresas aparece en esta orden.
La prueba práctica ahora es la auditoría. Las agencias saben a qué proveedores compran; no saben con fiabilidad qué modelos invocan esos proveedores por debajo. Averiguar cuánto software federal envía discretamente una petición a un punto final de DeepSeek es la parte de esta orden que aún está sin hacer.
