DHS ordena remoção do DeepSeek dos sistemas de TI de agências civis federais dos EUA

O Departamento de Segurança Interna dos EUA ordenou que agências federais civis parem de comprar produtos DeepSeek e os removam de seus sistemas de TI, segundo aviso previsto para o Federal Register em 20 de outubro de 2026 [1]. A ordem assinada anexada ao aviso lista 24 de julho de 2026 como data original de emissão [1][2].

O que a ordem sobre o DeepSeek exige?

O Departamento de Segurança Interna determinou que agências federais civis excluam e removam produtos DeepSeek. A ordem abrange a Hangzhou DeepSeek Artificial Intelligence e suas entidades afiliadas, além de produtos e serviços de terceiros desenvolvidos com implementações DeepSeek [1].

A proibição de compras aplica-se imediatamente após a emissão e se estende a listas de produtos aprovados pelas agências e mercados de e-commerce, conforme a ordem [1]. Sistemas de segurança nacional e sistemas de informação compartimentados seguros estão fora do escopo; sistemas de defesa e inteligência seguem autoridades separadas [1].

A base legal é a Federal Acquisition Supply Chain Security Act de 2018, após análise de recomendação do Federal Acquisition Security Council [1]. O documento intitula-se Exclusion and Removal Order #2026-01 e é emitido pelo secretário de Segurança Interna Markwayne Mullin [1].

Por que o DHS considera o DeepSeek um risco?

A ordem afirma que os servidores do DeepSeek estão localizados na China, cujo sistema jurídico, segundo o documento, concede às funções de inteligência e cibernéticas do governo amplo acesso à infraestrutura de empresas privadas [1]. Também afirma que os modelos hospedados pelo DeepSeek coletam informações pessoalmente identificáveis e podem rastrear e gerar impressões digitais digitais dos usuários [1].

A ordem acrescenta que os próprios modelos podem conter malware ou outras vulnerabilidades de segurança e cita pesquisas externas sobre falhas críticas no aplicativo iOS do DeepSeek [1]. Não descreve nenhum incidente específico em agência federal [1].

Quando a ordem foi realmente emitida?

A ordem do DHS lista 24 de julho de 2026 como data original de emissão, quase três meses antes do aviso público. O aviso foi protocolado para inspeção pública em 19 de outubro às 8h45, horário do leste, e está previsto para publicação em 20 de outubro, 88 dias após a data de emissão listada [1].

O CyberScoop relatou que a carta anexada ordenou a exclusão em 26 de junho [2]. O AI Pin encontrou 24 de julho na capa da ordem e nenhuma data de 26 de junho no documento de seis páginas, portanto usamos 24 de julho [1].

O que acontece a seguir para as agências?

A CISA analisa pedidos de exceção, que as agências devem apresentar por escrito em até 60 dias após a emissão da ordem. Os pedidos precisam de justificativa convincente, como impacto em funções críticas da missão ou considerações de segurança nacional [1].

Contados a partir de 24 de julho, esse prazo teria encerrado em 22 de setembro, antes da publicação do aviso público. O aviso não informa se as agências foram notificadas antes [1].

Até a remoção ser concluída, a ordem recomenda que as agências monitorem o tráfego, adicionem registros e controles contra exfiltração de dados e sinalizem atividades anômalas [1]. O secretário deve revisar a ordem dentro de um ano e anualmente depois disso [1].

O CyberScoop observou que o DeepSeek é o único modelo de IA chinês citado na ordem [2]. O AI Pin cobriu recentemente a atualização V4.1 Flash do DeepSeek e a nova API de busca (theaipin.com/trends/deepseek-updates-v4-1-flash-and-opens-search-api).

Nossa análise

Opinião: Retirar um chatbot hospedado na China das redes governamentais é uma linha de base defensável. O ponto difícil é o alcance da ordem sobre produtos de terceiros construídos com implementações DeepSeek, porque modelos de pesos abertos rodam em servidores de muitos fornecedores e as agências precisarão de orientações claras sobre o que conta.

O que não pudemos verificar

• Por que a ordem foi tornada pública apenas em 20 de outubro, quase três meses após a data de emissão listada; o DHS não explicou a lacuna.
• A data de 26 de junho citada pelo CyberScoop; ela não aparece no PDF analisado, que mostra 24 de julho.
• Se alguma agência solicitou ou recebeu exceção e quantas agências usaram produtos DeepSeek.
• Se o DeepSeek respondeu; não encontramos declaração até 03:00 CEST de 20 de outubro.
• A recomendação do Federal Acquisition Security Council e as evidências que embasam a ordem não são públicas.
• O apêndice da ordem é uma imagem escaneada; nossa citação vem de transcrição própria da página.