DHS impune eliminarea DeepSeek din sistemele federale civile ale SUA

Agențiile federale civile din SUA trebuie să elimine produsele DeepSeek din infrastructura IT și nu mai au voie să le achiziționeze. Interdicția acoperă și produsele sau serviciile terților „dezvoltate folosind implementări DeepSeek”. Este abia a doua oară când Washingtonul folosește puterea federală de excludere din lanțul de aprovizionare, iar consecințele îi ating direct pe toți furnizorii și contractorii care lucrează cu guvernul federal.

Ce s-a întâmplat

Secretarul pentru Securitate Internă, Markwayne Mullin, a semnat un ordin de eliminare și excludere datat 24 iulie 2026, în baza Federal Acquisition Supply Chain Security Act din 2018 (FASCSA). Ordinul a fost depus spre consultare publică pe 19 octombrie și publicat în Federal Register pe 20 octombrie 2026, la 87 de zile după semnare.

Punctele esențiale ale ordinului:

• Pe cine vizează: Hangzhou DeepSeek Artificial Intelligence Co., Ltd., dezvoltatorul modelelor R1 și V3, împreună cu afiliații săi, așa cum sunt definiți în regulile federale de achiziții.
• Ce interzice: produsele DeepSeek deja folosite trebuie eliminate și nu se mai pot cumpăra produse sau servicii IT DeepSeek noi. Aceeași regulă se aplică ofertelor terților construite pe implementări DeepSeek.
• Ce nu definește: notificarea nu explică ce înseamnă o „implementare DeepSeek”. Furnizorii care integrează sau ajustează modele open-weight vor trebui să interpreteze singuri termenul.
• Pe cine nu vizează: ordinul se aplică doar la ce cumpără și folosesc agențiile civile. Nu impune nicio restricție companiilor private sau publicului.
• Fără motivare publică: notificarea din Federal Register nu prezintă motive. Ordinul semnat (patru pagini scanate) se află pe regulations.gov, în dosarul DHS-2026-0628. Politica de confidențialitate a DeepSeek precizează că datele personale ale utilizatorilor sunt colectate, procesate și stocate în Republica Populară Chineză.

FASCSA a fost folosit prima dată în 2025, când Directorul Serviciilor Naționale de Informații a exclus furnizorul elvețian de protecție a datelor Acronis din achizițiile comunității de informații. Agențiile trebuie să respecte ordinele de excludere. Pot cere o excepție oficialului care a emis ordinul, dar cererea trebuie făcută în scris și susținută de o justificare solidă.

De ce contează: obligațiile contractorilor

Cel mai mare impact practic îl au contractorii federali. Conform clauzei FAR 52.204-30, un contractor nu poate furniza sau folosi, în executarea unui contract federal, niciun produs ori serviciu vizat de un ordin FASCSA, decât dacă oficialul emitent acordă o derogare. Clauza mai cere contractorilor să:

• caute „FASCSA order” pe SAM.gov cel puțin o dată la trei luni;
• verifice în mod rezonabil lanțul de aprovizionare atunci când un ordin nou i-ar putea afecta;
• raporteze ofițerului contractant orice produs sau serviciu vizat pe care l-au furnizat ori folosit, în cel mult 3 zile lucrătoare de la identificare;
• transmită detalii despre măsurile de remediere în cel mult 10 zile lucrătoare;
• includă clauza în contractele cu subcontractorii.

În cazul contractelor existente, un ordin emis după lansarea licitației se aplică abia după ce ofițerul contractant îl introduce printr-un act adițional. Contractorii ar trebui totuși să se pregătească de pe acum.

Contextul mai larg: până în februarie 2025, Congresul, NASA, Marina SUA, Pentagonul și statul Texas interziseseră deja DeepSeek pe dispozitivele guvernamentale. Proiectele de lege care ar interzice aplicația pe dispozitivele federale fuseseră depuse, dar nu trecuseră de comisii până la 21 octombrie. Ministerul chinez de Externe a declarat că Beijingul „se opune constant extinderii excesive a conceptului de securitate națională” și că va apăra interesele companiilor chineze.

Ce trebuie făcut

1. Inventariați utilizarea AI. Identificați toate locurile în care apar modele, API-uri sau SDK-uri DeepSeek: produse, instrumente interne, pipeline-uri CI și integrări SaaS. Includeți laptopurile dezvoltatorilor și extensiile de browser.
2. Verificați ce conțin componentele terților. Formularea „dezvoltate folosind implementări DeepSeek” vizează și utilizarea integrată sau derivată. Întrebați-vă direct furnizorii ce modele stau în spatele funcțiilor lor AI.
3. Corelați cu contractele federale. Dacă vindeți către agenții civile americane, aflați unde se aplică FAR 52.204-30, programați verificarea trimestrială pe SAM.gov și pregătiți un proces de raportare în 3 și 10 zile.
4. Documentați-vă interpretarea. Până când termenul „implementări DeepSeek” va fi definit, notați unde trageți linia (API găzduit, modele open-weight, fine-tuning, modele distilate), ca să o puteți susține în fața ofițerului contractant.
5. Analizați fluxurile de date. Indiferent de obligațiile legale, verificați ce date trimiteți către modele AI găzduite extern și unde ajung acestea.

Găsirea unei dependențe de model ascunse în cod este o problemă de lanț de aprovizionare software. Code review-ul asistat de AI realizat de echipa noastră inventariază bibliotecile terților, SDK-urile și integrările de modele din codul sursă, astfel încât să puteți arăta exact unde este folosită o componentă restricționată și unde nu.

Sursa: The Hacker News — „U.S. Orders DeepSeek Removed From Federal Civilian Systems, Bans New Purchases” (21 octombrie 2026). Rezumat și analiză: echipa 4Tify.