Proibição do DeepSeek pelo DHS atinge fornecedores

Por que o governo agiu contra o DeepSeek

O Conselho de Segurança das Aquisições Federais (Federal Acquisition Security Council) concluiu que os modelos, o código e os serviços do DeepSeek apresentam vulnerabilidades inaceitáveis na cadeia de suprimentos, risco de exfiltração de dados e ameaças à integridade dentro dos ambientes de computação federais. O resumo de riscos da ordem, segundo o escritório de advocacia Haynes Boone, diz que os servidores do DeepSeek ficam na China, cujo sistema jurídico dá às funções de segurança cibernética e de inteligência do governo ampla autoridade para acessar a infraestrutura de empresas privadas.

O resumo lista vários riscos concretos. O cadastro de contas em modelos hospedados pelo DeepSeek coleta informações de identificação pessoal e pode rastrear e criar uma impressão digital dos usuários. Os prompts digitados nos apps mais usados do DeepSeek podem enviar dados sensíveis para a China. Os próprios modelos podem conter malware ou outras vulnerabilidades, e a ordem cita uma pesquisa que encontrou várias falhas críticas no app do DeepSeek para iOS.

O que a ordem da FASCSA exige

A Ordem de Exclusão e Remoção nº 2026-01, assinada pelo secretário de Segurança Interna Markwayne Mullin com base na Lei de Segurança da Cadeia de Suprimentos das Aquisições Federais (FASCSA) de 2018, tem duas partes. Ela veta o DeepSeek e suas afiliadas nas compras das agências civis federais e exige que essas agências removam todos os produtos do DeepSeek de seus sistemas de tecnologia da informação, inclusive produtos e serviços de terceiros desenvolvidos com implementações do DeepSeek.

As duas partes valem imediatamente. O Departamento de Energia, por exemplo, orientou sua equipe de contratações em um comunicado de política de 27 de outubro de 2026 a remover todos os produtos do DeepSeek de suas redes e a não assinar contratos que os incluam. Ordens equivalentes do Departamento de Guerra e do Diretor de Inteligência Nacional cobrem as agências de defesa e a comunidade de inteligência.

Como a ordem chega às empresas que vendem para as agências

A ordem é dirigida às agências, mas os contratados ficam obrigados por uma cláusula contratual, a FAR 52.204-30. Sem uma dispensa, ela proíbe os contratados de fornecer ou usar itens cobertos na execução do contrato. Ela também cria uma rotina: os contratados devem consultar o SAM.gov em busca de novas ordens da FASCSA pelo menos a cada três meses e fazer uma investigação razoável em suas cadeias de suprimentos.

Se o contratado encontrar um item coberto, precisa avisar o responsável pelo contrato em até três dias úteis e, em até 10 dias úteis, enviar um novo relatório com as medidas de mitigação. A cláusula deve ser repassada a todos os subcontratos, inclusive os de produtos e serviços comerciais.

"Propriedade e controle, e não a marca, decidem se os produtos de um fornecedor estão cobertos." Haynes Boone, sobre quais afiliadas do DeepSeek a ordem alcança

O que as datas e o alcance mostram

O calendário importa tanto quanto o texto. A data de emissão declarada da ordem era 24 de julho de 2026; ela foi registrada para consulta pública em 19 de outubro e saiu no Federal Register em 20 de outubro de 2026, quase três meses depois. As agências tinham 60 dias a partir da emissão para pedir uma exceção, então o prazo acabou em 22 de setembro, 28 dias antes de o público poder ler a ordem, observa a Haynes Boone.

O alcance é maior do que o das outras duas ordens. A Crowell & Moring relata que as ordens de defesa e de inteligência cobrem software que implementa um modelo do DeepSeek, onde quer que esteja hospedado. A ordem civil acrescenta produtos desenvolvidos com implementações do DeepSeek, o que, segundo o escritório, sugere que software escrito com o assistente de programação do DeepSeek poderia ser coberto. A ordem não define "implementação do DeepSeek".

O que a proibição do DeepSeek pelo DHS significa para contratados federais

Para qualquer empresa que venda software ou serviços a agências civis, a origem de um modelo agora é um item de due diligence. A Haynes Boone aconselha os fornecedores a mapear onde modelos do DeepSeek, ou versões ajustadas deles, estão em seus produtos, inclusive implantações próprias de modelos de pesos abertos, e a documentar o resultado. Como os modelos do DeepSeek têm pesos abertos, eles podem rodar no hardware do próprio fornecedor sem tocar nos servidores do DeepSeek, e o texto da remoção não separa essas implantações das hospedadas pelo DeepSeek.

As tarefas práticas são um inventário de todos os modelos de IA de um produto, um registro de onde cada um veio e um processo de comunicação capaz de cumprir um prazo de três dias úteis. O secretário vai revisar a ordem em até um ano e, depois, todo ano.

Perguntas e respostas

A ordem cobre modelos do DeepSeek que o fornecedor roda nos próprios servidores?

O texto não diz isso diretamente. A linguagem da remoção não separa implantações hospedadas pelo DeepSeek das próprias nem trata de versões ajustadas, por isso os escritórios de advocacia aconselham os fornecedores a mapear e documentar cada uso desse tipo.

O que um contratado deve fazer se encontrar o DeepSeek em seu produto?

Pela FAR 52.204-30, ele deve avisar o responsável pelo contrato em até três dias úteis depois de identificar um item coberto e atualizar o relatório com as ações de mitigação em até 10 dias úteis.

Quando a ordem do DeepSeek entrou em vigor?

A exclusão valeu imediatamente após a emissão. A data de emissão declarada da ordem era 24 de julho de 2026, e ela foi publicada no Federal Register em 20 de outubro de 2026.