EE. UU. vetó a DeepSeek en julio y lo cuenta ahora

En vigor desde el 24 de julio

La orden #2026-01 la firma Markwayne Mullin, secretario de Seguridad Nacional, con copia a Russell Vought, director de la Oficina de Gestión y Presupuesto (OMB) de la Casa Blanca. El DHS es el ministerio de seguridad interior, creado en 2002 al fusionar 22 departamentos y agencias federales; de él depende CISA, su agencia de ciberseguridad.

Ordena dos cosas a las agencias civiles federales: sacar a DeepSeek, sus afiliadas y sus productos de las compras, incluidos los catálogos de productos aprobados y los mercados electrónicos, y retirar de sus sistemas los productos de DeepSeek, de sus afiliadas y de terceros desarrollados con DeepSeek.

Las dos medidas rigen desde el 24 de julio. Lo nuevo es la publicación: el aviso se registró el 19 de octubre y salió el 20 en el Federal Register (91 FR 66346), firmado por James H. Percival II, asesor jurídico general del DHS, con la orden en un anexo.

Los motivos, según la orden

Según la orden, los servidores de DeepSeek están en China, cuyo ordenamiento da amplias facultades a los servicios cibernéticos y de inteligencia del Gobierno para acceder a la infraestructura de las empresas privadas.

En los modelos que aloja la propia DeepSeek, el alta recoge información de identificación personal y puede rastrear a los usuarios e identificarlos por su huella digital, según la orden. Las consultas de empleados públicos o proveedores podrían enviar datos sensibles a China que, por sí solos o combinados con datos públicos, «podrían producir inteligencia aprovechable» sobre estadounidenses o programas del Gobierno.

Añade que los modelos «pueden contener malware u otras vulnerabilidades» y cita una investigación de seguridad abierta de febrero de 2025 que halló varios fallos críticos en la app de DeepSeek para iOS. No consta que DeepSeek haya respondido a la orden.

Retirada inmediata, 60 días para pedir excepciones

Su título oficial es «Exclusion and Removal Order #2026-01». La retirada no tiene plazo: se hace «inmediatamente» o se pide una excepción. Los 60 días son para solicitarla por escrito, ya sea para que la orden no se aplique a la agencia, a ciertas acciones o para cumplirla más tarde, con una «justificación convincente» y medidas alternativas. CISA las revisa y responde por escrito.

Mientras tanto, la orden aconseja vigilar el tráfico, reforzar los registros y controlar la exfiltración de datos. El secretario deberá revisarla en el plazo de un año y, después, cada año.

Alcanza a las agencias civiles del poder ejecutivo federal, salvo sus sistemas de seguridad nacional y de información compartimentada. Defensa e Inteligencia tienen su propia autoridad. No es una prohibición general en Estados Unidos: sus destinatarias son las agencias.

La orden incluye los productos de terceros «desarrollados con implementaciones de DeepSeek» y, en una nota, las implementaciones de DeepSeek de terceros que den productos o servicios a las agencias, como una copia del modelo alojada por otra empresa, algo que su licencia MIT permite. Lo que no define es qué cuenta como implementación: por ejemplo, si entra un modelo derivado o ajustado a partir de uno de DeepSeek.

Un consejo propone, el secretario firma

Según el aviso, el secretario dictó la orden tras revisar la recomendación del FASC y sus pruebas. La ley reparte quién firma: el secretario de Seguridad Nacional, para las agencias civiles; el de Defensa, para el Pentágono y los sistemas de seguridad nacional, y el director de Inteligencia Nacional, para la comunidad de inteligencia.

Firmada en julio, publicada en octubre

Entre la emisión y la publicación pasaron casi tres meses, y ni la orden ni el aviso explican por qué. Ya ocurrió antes. Según el bufete internacional de abogados Mayer Brown, la primera orden de esta ley la dictó el director de Inteligencia Nacional contra Acronis, empresa suiza de ciberseguridad y protección de datos: se publicó el 15 de septiembre de 2025 con fecha de activación del 11 de julio.

Aquella solo obligaba a la comunidad de inteligencia; de las dos públicas, la de DeepSeek es la que alcanza a las agencias civiles.

Tres días después de su último modelo

El aviso llega tres días después de que DeepSeek publicara en Hugging Face su último modelo, DeepSeek-V4.1-Flash-1017. Y no es su primer choque con Washington: el 8 de septiembre, la NSA, CISA y el FBI acusaron a DeepSeek y a otras empresas chinas de destilar modelos estadounidenses.