El Departamento de Seguridad Nacional publicó el 19 de octubre una orden que exige a las agencias civiles federales eliminar la tecnología DeepSeek, incluidos los productos y servicios de terceros desarrollados con sus implementaciones, de sus sistemas informáticos. El aviso oficial también excluye a la empresa china de inteligencia artificial y sus productos asociados de las adquisiciones civiles. Su apéndice indica como fecha de publicación original el 24 de julio de 2026, lo que convierte esta orden en una nueva divulgación pública de una directiva anterior, y no en una prohibición emitida en octubre.
Esta distinción es importante para las agencias y los proveedores a la hora de evaluar el alcance y el plazo del cumplimiento. El aviso se presentó para consulta pública el 19 de octubre y su publicación en el Registro Federal estaba prevista para el 20 de octubre. No incluye un inventario de los sistemas afectados ni demuestra que las agencias hayan completado la eliminación. Sin embargo, su alcance hace que la tecnología de IA subyacente sea relevante incluso cuando el software se comercializa bajo el nombre de otro proveedor.
Una restricción en la cadena de suministro que va más allá de un solo chatbot
La orden opera bajo el marco de la Ley Federal de Seguridad de la Cadena de Suministro para Adquisiciones. Según el reglamento de aplicación, las órdenes de exclusión pueden abarcar productos suministrados por contratistas principales y subcontratistas, mientras que las órdenes de remoción pueden cubrir sistemas operados por la agencia y sistemas operados por contratistas en nombre de la agencia. Esta estructura explica por qué una restricción puede seguir una tecnología a lo largo de la cadena de suministro en lugar de detenerse en la empresa que vende directamente al gobierno.
La autoridad se divide entre funcionarios civiles, de defensa y de inteligencia, en lugar de ejercerse mediante una única orden universal. La normativa asigna las órdenes de las agencias civiles al secretario de seguridad nacional y responsabilidades separadas a las autoridades de defensa e inteligencia. Esta orden del DHS excluye expresamente los sistemas de información compartimentados y de seguridad nacional. Estas limitaciones no deben interpretarse como una aprobación de DeepSeek para los sistemas excluidos; simplemente definen los límites de este instrumento en particular.
Las prácticas de datos sustentan la preocupación del gobierno
Reuters , el Departamento de Seguridad Nacional (DHS) citó posibles transferencias de datos confidenciales del gobierno o de proveedores a China y la posibilidad de que dicha información pudiera utilizarse para la recopilación de inteligencia. El departamento también mencionó posibles riesgos de malware y vulnerabilidades. Estos son los motivos que el gobierno aduce para restringir el uso, no pruebas de que todas las instalaciones hayan filtrado información o contengan código malicioso. Reuters indicó que la Embajada de China en Washington no hizo comentarios de inmediato.
La política de privacidad de DeepSeek , actualizada el 10 de febrero de 2026, indica que recopila información del usuario, como indicaciones, archivos subidos e historiales de chat, además de información sobre el dispositivo y la red. Afirma que los datos personales se recopilan, procesan y almacenan en China. La empresa también declara que mantiene medidas de seguridad técnicas, administrativas y físicas, y advierte a los usuarios que no envíen datos personales sensibles. Estas declaraciones establecen las prácticas de procesamiento declaradas; no establecen de forma independiente el acceso del gobierno a la información de ningún usuario en particular.
Esta política tiene otra limitación importante: no regula el procesamiento de datos de usuarios finales por parte de aplicaciones derivadas desarrolladas por programadores que utilizan los servicios de plataforma abierta de DeepSeek. Dichos programadores son responsables de divulgar sus propias políticas. Por lo tanto, la marca de una aplicación no puede, por sí sola, determinar a dónde van los datos ni quién controla su procesamiento.
Las pruebas de aplicaciones son evidencia, pero no un veredicto universal
El apéndice del DHS cita una investigación de NowSecure sobre la aplicación de DeepSeek para iOS. El proveedor de seguridad móvil afirmó haber probado la aplicación en dispositivos físicos y haber detectado la transmisión sin cifrar de cierta información de registro y del dispositivo, además de vulnerabilidades relacionadas con el cifrado y las claves integradas. Este es un registro técnico concreto que respalda parte de la preocupación del gobierno, y no una inferencia basada únicamente en la nacionalidad del desarrollador.
Sus limitaciones son igualmente importantes. El informe describe la aplicación analizada en 2025, no una nueva evaluación de octubre de 2026 de todos los modelos o implementaciones de DeepSeek. NowSecure distinguió la aplicación móvil de los modelos autohospedados y las versiones alojadas por otros proveedores. También debe reconocerse su interés comercial en las pruebas de seguridad móvil. Los hallazgos justifican el escrutinio de la implementación y el manejo de datos, pero no deben interpretarse como una afirmación infundada de que todas las implementaciones actuales de terceros comparten los defectos de la aplicación analizada.
Las excepciones requieren más que una etiqueta de proveedor diferente
La directiva firmada exige la retirada inmediata tras su emisión o una solicitud de excepción, cuyas solicitudes por escrito deben presentarse dentro de los 60 días posteriores a su emisión. La publicación de octubre no reinicia dicho plazo. Según las normas de cumplimiento, la agencia que solicite una excepción debe identificar el producto afectado, describir la medida solicitada, ofrecer una justificación convincente y especificar medidas alternativas de mitigación de riesgos.
La normativa permite solicitudes que abarquen acciones específicas, ciertos requisitos o un aplazamiento hasta que el cumplimiento sea factible. Reconoce específicamente los efectos sobre funciones críticas para la misión como una posible justificación. Las normas también exigen una revisión al menos anual y permiten su modificación o revocación. Esto crea un proceso de revisión, no una exención automática: la agencia debe explicar por qué la restricción debe modificarse en función de sus circunstancias y cómo se reducirían los riesgos asociados.
La consecuencia pública inmediata es una mayor claridad sobre una restricción que va más allá de la aplicación visible a sus componentes de IA. Lo que no se especifica en la documentación divulgada es el alcance del uso por parte de la agencia, las eliminaciones completadas ni las excepciones aprobadas. Estos resultados de la implementación son independientes de la existencia y el alcance de la orden en sí.
