Prohibición de DeepSeek del DHS alcanza a sus proveedores

Por qué el gobierno actuó contra DeepSeek

El Consejo de Seguridad de las Adquisiciones Federales concluyó que los modelos, el código y los servicios de DeepSeek presentan vulnerabilidades inaceptables en la cadena de suministro, riesgos de exfiltración de datos y peligros para la integridad dentro de los entornos informáticos federales. El resumen de riesgos de la orden, según lo describe el despacho de abogados Haynes Boone, indica que los servidores de DeepSeek están en China, cuyo sistema jurídico otorga a las funciones cibernéticas y de inteligencia del gobierno amplias facultades para acceder a la infraestructura de empresas privadas.

El resumen enumera varios riesgos concretos. El registro de cuentas en los modelos alojados por DeepSeek recopila información de identificación personal y puede rastrear y tomar la huella digital de los usuarios. Las instrucciones escritas en las aplicaciones más usadas de DeepSeek pueden enviar datos sensibles a China. Los propios modelos pueden contener malware u otras vulnerabilidades, y la orden cita una investigación que encontró varias fallas críticas en la aplicación de DeepSeek para iOS.

Qué exige la orden FASCSA

La Orden de Exclusión y Retiro n.º 2026-01, firmada por el secretario de Seguridad Nacional Markwayne Mullin con base en la Ley de Seguridad de la Cadena de Suministro de Adquisiciones Federales de 2018 (FASCSA), tiene dos partes. Excluye a DeepSeek y sus filiales de las compras civiles federales, y exige a las agencias civiles retirar todos los productos de DeepSeek de sus sistemas de tecnología de la información, incluidos los productos y servicios de terceros desarrollados con implementaciones de DeepSeek.

Ambas partes rigen de inmediato. El Departamento de Energía, por ejemplo, indicó a su personal de contratación en un aviso de política del 27 de octubre de 2026 que retirara todos los productos de DeepSeek de sus redes y que no firmara contratos que los incluyan. Órdenes equivalentes del Departamento de Guerra y del Director de Inteligencia Nacional cubren a las agencias de defensa y a la comunidad de inteligencia.

Cómo llega la orden a las empresas que venden a las agencias

La orden se dirige a las agencias, pero los contratistas quedan obligados por una cláusula contractual, la FAR 52.204-30. Salvo que exista una exención, les prohíbe proporcionar o usar artículos cubiertos al ejecutar el contrato. También fija una rutina: los contratistas deben revisar SAM.gov en busca de nuevas órdenes FASCSA al menos cada tres meses y hacer una consulta razonable sobre sus cadenas de suministro.

Si un contratista encuentra un artículo cubierto, debe informarlo al oficial de contratación en un plazo de tres días hábiles y dar seguimiento en un plazo de 10 días hábiles con sus medidas de mitigación. La cláusula debe trasladarse a todos los subcontratos, incluidos los de productos y servicios comerciales.

«La propiedad y el control, no la marca, deciden si los productos de un proveedor quedan cubiertos.» Haynes Boone, sobre qué filiales de DeepSeek alcanza la orden

Qué muestran las fechas y el alcance

El calendario importa tanto como el texto. La fecha de publicación indicada en la orden era el 24 de julio de 2026; se presentó para consulta pública el 19 de octubre y apareció en el Registro Federal el 20 de octubre de 2026, casi tres meses después. Las agencias tenían 60 días desde la emisión para solicitar una excepción, así que el plazo cerró el 22 de septiembre, 28 días antes de que el público pudiera leer la orden, señala Haynes Boone.

El alcance es más amplio que el de las otras dos órdenes. Crowell & Moring informa que las órdenes de defensa e inteligencia cubren el software que implementa un modelo de DeepSeek, sin importar dónde esté alojado. La orden civil añade los productos desarrollados con implementaciones de DeepSeek, lo que, según el despacho, sugiere que podría quedar cubierto el software escrito con el asistente de programación de DeepSeek. La orden no define qué es una «implementación de DeepSeek».

Qué significa la prohibición de DeepSeek del DHS para los contratistas federales

Para cualquier empresa que venda software o servicios a agencias civiles, el origen de un modelo ahora es un punto de revisión obligatorio. Haynes Boone aconseja a los proveedores ubicar dónde están los modelos de DeepSeek, o sus versiones ajustadas, dentro de sus productos, incluidas las instalaciones propias de pesos abiertos, y documentar el resultado. Como los modelos de DeepSeek son de pesos abiertos, pueden ejecutarse en el hardware del propio proveedor sin tocar los servidores de DeepSeek, y el texto de retiro no distingue esas instalaciones de las alojadas por DeepSeek.

Las tareas prácticas son un inventario de cada modelo de IA de un producto, un registro de dónde proviene cada uno y un proceso de reporte que cumpla un plazo de tres días hábiles. El secretario revisará la orden dentro de un año y cada año después.

Preguntas y respuestas

¿La orden cubre los modelos de DeepSeek que un proveedor ejecuta en sus propios servidores?

El texto no lo dice de forma directa. El lenguaje de retiro no separa las instalaciones alojadas por DeepSeek de las propias ni menciona las versiones ajustadas, así que los despachos de abogados recomiendan a los proveedores ubicar y documentar cada uso.

¿Qué debe hacer un contratista si encuentra DeepSeek en su producto?

Según la FAR 52.204-30, debe informarlo al oficial de contratación en un plazo de tres días hábiles desde que identifique un artículo cubierto y actualizar el informe con las medidas de mitigación en un plazo de 10 días hábiles.

¿Cuándo entró en vigor la orden sobre DeepSeek?

La exclusión entró en vigor de inmediato al emitirse. La fecha de publicación indicada en la orden era el 24 de julio de 2026, y se publicó en el Registro Federal el 20 de octubre de 2026.