Els EUA van vetar DeepSeek al juliol i ara ho expliquen

Vigent des del 24 de juliol

L'ordre #2026-01 la signa Markwayne Mullin, secretari de Seguretat Nacional, amb còpia a Russell Vought, director de l'Oficina de Gestió i Pressupost (OMB) de la Casa Blanca. El DHS és el ministeri de seguretat interior, creat el 2002 amb la fusió de 22 departaments i agències federals; en depèn la CISA, la seva agència de ciberseguretat.

Ordena dues coses a les agències civils federals: treure DeepSeek, les seves filials i els seus productes de les compres, inclosos els catàlegs de productes aprovats i els mercats electrònics, i retirar dels seus sistemes els productes de DeepSeek, de les seves filials i de tercers desenvolupats amb DeepSeek.

Les dues mesures són vigents des del 24 de juliol. La novetat és la publicació: l'avís es va registrar el 19 d'octubre i va sortir el 20 al Federal Register (91 FR 66346), signat per James H. Percival II, assessor jurídic general del DHS, amb l'ordre en un annex.

Els motius, segons l'ordre

Segons l'ordre, els servidors de DeepSeek són a la Xina, on l'ordenament jurídic dona àmplies facultats als serveis cibernètics i d'intel·ligència del Govern per accedir a la infraestructura de les empreses privades.

En els models que allotja la mateixa DeepSeek, el registre d'usuari recull informació d'identificació personal i pot rastrejar els usuaris i identificar-los per la seva empremta digital, segons l'ordre. Les consultes d'empleats públics o de proveïdors podrien enviar a la Xina dades sensibles que, soles o combinades amb dades públiques, «podrien produir intel·ligència aprofitable» sobre ciutadans estatunidencs o programes del Govern.

Afegeix que els models «poden contenir malware o altres vulnerabilitats» i cita una investigació de seguretat oberta de febrer del 2025 que va trobar diverses fallades crítiques a l'app de DeepSeek per a iOS. No consta que DeepSeek hagi respost a l'ordre.

Retirada immediata, 60 dies per demanar excepcions

El seu títol oficial és «Exclusion and Removal Order #2026-01». La retirada no té termini: es fa «immediatament» o es demana una excepció. Els 60 dies són per sol·licitar-la per escrit, ja sigui perquè l'ordre no s'apliqui a l'agència o a determinades accions, ja sigui per complir-la més tard, amb una «justificació convincent» i mesures alternatives. La CISA les revisa i respon per escrit.

Mentrestant, l'ordre aconsella vigilar el trànsit, reforçar els registres i controlar l'exfiltració de dades. El secretari l'haurà de revisar en el termini d'un any i, després, cada any.

Afecta les agències civils del poder executiu federal, llevat dels seus sistemes de seguretat nacional i d'informació compartimentada. Defensa i Intel·ligència tenen la seva pròpia autoritat. No és una prohibició general als Estats Units: les destinatàries són les agències.

L'ordre inclou els productes de tercers «desenvolupats amb implementacions de DeepSeek» i, en una nota, les implementacions de DeepSeek de tercers que proporcionin productes o serveis a les agències, com ara una còpia del model allotjada per una altra empresa, cosa que la llicència MIT permet. El que no defineix és què compta com a implementació: per exemple, si hi entra un model derivat o ajustat a partir d'un de DeepSeek.

Un consell proposa, el secretari signa

Segons l'avís, el secretari va dictar l'ordre després de revisar la recomanació del FASC i les seves proves. La llei reparteix qui signa: el secretari de Seguretat Nacional, per a les agències civils; el de Defensa, per al Pentàgon i els sistemes de seguretat nacional, i el director d'Intel·ligència Nacional, per a la comunitat d'intel·ligència.

Signada al juliol, publicada a l'octubre

Entre l'emissió i la publicació van passar gairebé tres mesos, i ni l'ordre ni l'avís expliquen per què. No és la primera vegada. Segons el bufet internacional d'advocats Mayer Brown, la primera ordre d'aquesta llei la va dictar el director d'Intel·ligència Nacional contra Acronis, empresa suïssa de ciberseguretat i protecció de dades: es va publicar el 15 de setembre de 2025 amb data d'activació de l'11 de juliol.

Aquella només obligava la comunitat d'intel·ligència; de les dues que són públiques, la de DeepSeek és la que afecta les agències civils.

Tres dies després del seu últim model

L'avís arriba tres dies després que DeepSeek publiqués a Hugging Face el seu últim model, DeepSeek-V4.1-Flash-1017. I no és el seu primer xoc amb Washington: el 8 de setembre, l'NSA, la CISA i l'FBI van acusar DeepSeek i altres empreses xineses de destil·lar models estatunidencs.