DHS ordena la eliminación de DeepSeek de los sistemas de TI de las agencias civiles federales de EE.UU.

El Departamento de Seguridad Nacional de EE.UU. ha ordenado a las agencias civiles federales dejar de comprar productos DeepSeek y retirarlos de sus sistemas de TI, según un aviso programado para el Federal Register el 20 de octubre de 2026 [1]. La orden firmada adjunta al aviso indica el 24 de julio de 2026 como fecha original de emisión [1][2].

¿Qué exige la orden sobre DeepSeek?

El Departamento de Seguridad Nacional ordenó a las agencias federales civiles excluir y retirar los productos DeepSeek. La orden abarca a Hangzhou DeepSeek Artificial Intelligence y sus entidades afiliadas, además de productos y servicios de terceros desarrollados con implementaciones de DeepSeek [1].

La prohibición de adquisiciones se aplica de inmediato tras su emisión y se extiende a las listas de productos aprobados por las agencias y a los mercados de comercio electrónico, según la orden [1]. Los sistemas de seguridad nacional y los sistemas de información compartimentada segura quedan fuera de su alcance; los sistemas de defensa e inteligencia se rigen por autoridades separadas [1].

La base legal es la Federal Acquisition Supply Chain Security Act de 2018, tras la revisión de una recomendación del Federal Acquisition Security Council [1]. El documento se titula Exclusion and Removal Order #2026-01 y lo emite el secretario de Seguridad Nacional Markwayne Mullin [1].

¿Por qué el DHS considera DeepSeek un riesgo?

La orden indica que los servidores de DeepSeek se encuentran en China, cuyo sistema legal, según afirma, otorga a las funciones gubernamentales de ciberseguridad e inteligencia un amplio acceso a la infraestructura de empresas privadas [1]. También señala que los modelos alojados en DeepSeek recopilan información personal identificable y pueden rastrear y generar huellas digitales de los usuarios [1].

La orden añade que los modelos pueden contener malware u otras vulnerabilidades de seguridad y cita investigaciones externas sobre fallos críticos en la aplicación iOS de DeepSeek [1]. No describe ningún incidente específico en una agencia federal [1].

¿Cuándo se emitió realmente la orden?

La orden del DHS indica el 24 de julio de 2026 como fecha original de emisión, casi tres meses antes del aviso público. El aviso se presentó para inspección pública el 19 de octubre a las 8:45 a.m., hora del este, y está programado para publicación el 20 de octubre, 88 días después de la fecha de emisión indicada [1].

CyberScoop informó que la carta adjunta ordenó la exclusión el 26 de junio [2]. The AI Pin encontró el 24 de julio en la portada de la orden y ninguna fecha del 26 de junio en el documento de seis páginas, por lo que se utiliza el 24 de julio [1].

¿Qué sucede a continuación para las agencias?

CISA revisa las solicitudes de excepción que las agencias deben presentar por escrito en un plazo de 60 días desde la emisión de la orden. Las solicitudes requieren una justificación convincente, como el impacto en funciones críticas para la misión o consideraciones de seguridad nacional [1].

Contados desde el 24 de julio, ese plazo habría finalizado el 22 de septiembre, antes de que apareciera el aviso público. El aviso no indica si las agencias fueron informadas con anterioridad [1].

Hasta que se complete la retirada, la orden alienta a las agencias a supervisar el tráfico, añadir registros y controles sobre la exfiltración de datos e identificar actividades anómalas [1]. El secretario debe revisar la orden en un plazo de un año y anualmente a partir de entonces [1].

CyberScoop señaló que DeepSeek es el único modelo de IA chino nombrado en la orden [2]. The AI Pin cubrió recientemente la actualización V4.1 Flash de DeepSeek y la nueva API de búsqueda (theaipin.com/trends/deepseek-updates-v4-1-flash-and-opens-search-api).

Nuestra lectura

Opinión: Retirar un chatbot alojado en China de las redes gubernamentales es una medida de referencia defendible. La parte difícil es el alcance de la orden sobre productos de terceros construidos con implementaciones de DeepSeek, porque los modelos de pesos abiertos se ejecutan en servidores de muchos proveedores y las agencias necesitarán orientaciones claras sobre qué se considera.

Lo que no pudimos verificar

• Por qué la orden se hizo pública solo el 20 de octubre, casi tres meses después de su fecha de emisión indicada; el DHS no ha explicado la brecha.
• La fecha del 26 de junio de CyberScoop; no aparece en el PDF revisado, que muestra el 24 de julio.
• Si alguna agencia solicitó o recibió una excepción y cuántas agencias utilizaron productos DeepSeek.
• Si DeepSeek ha respondido; no se encontró ninguna declaración hasta las 03:00 CEST del 20 de octubre.
• La recomendación del Federal Acquisition Security Council y las pruebas que respaldan la orden no son públicas.
• El apéndice de la orden es una imagen escaneada; nuestra cita proviene de nuestra propia transcripción de la página.