Los productos de DeepSeek quedan vetados de las agencias civiles federales; la orden FASCSA del DHS de EE. UU. se publica en el Registro Federal el 20 de octubre

WASHINGTON

El Departamento de Seguridad Nacional de EE. UU. (DHS) publicó el 20 de octubre en el Registro Federal (vol. 91, n.º 201, págs. 66346-66350) una orden que instruye la exclusión de los productos de DeepSeek de las adquisiciones del poder ejecutivo civil federal y su eliminación de los sistemas de tecnologías de la información (TI). Mediante esta orden, emitida en virtud de la Ley de Seguridad de la Cadena de Suministro de Adquisiciones Federales (FASCSA), el DHS exigió a las agencias civiles federales excluir de sus adquisiciones los productos de DeepSeek y sus filiales, así como retirar de sus sistemas aquellos productos que ya se encuentren en uso. El aviso se titula «Aviso de órdenes relativas a la exclusión y eliminación de productos de DeepSeek de los sistemas de tecnologías de la información y adquisiciones del poder ejecutivo civil federal», y el número de orden es 2026-01. El secretario de Seguridad Nacional, Markwayne Mullin, firmó la orden, y el DHS indicó el 24 de julio como fecha de emisión inicial en el texto de la misma.

Las agencias civiles federales deben excluir los productos de DeepSeek de las adquisiciones y eliminarlos de sus sistemas

La primera medida del DHS es la exclusión. Todas las agencias civiles federales deben excluir a DeepSeek, a las filiales de DeepSeek y a sus productos de las adquisiciones de las agencias civiles. El DHS declaró que esta medida entra en vigor inmediatamente tras la emisión de la orden. Los mecanismos que facilitan la adquisición de hardware, software y servicios de TI —como listas de productos aprobados por las agencias, listas de equipos de proveedores de servicios y plataformas de comercio electrónico— también están sujetos a exclusión.

La segunda medida es la eliminación. Los productos proporcionados por DeepSeek y sus filiales, así como los productos y servicios de terceros desarrollados a partir de implementaciones de DeepSeek, deben ser retirados de los sistemas de TI de las agencias civiles federales. Esto también debe cumplirse de manera inmediata tras la emisión, y las agencias que no puedan acatarlo deberán solicitar una exención. En este contexto, TI se refiere a las tecnologías de la información y las comunicaciones definidas en el artículo 1321 del título 41 del Código de EE. UU. (41 U.S.C. § 1321).

El alcance de las filiales se rige por la definición establecida en la Regulación Federal de Adquisiciones (48 CFR 2.101). Una entidad se considera filial si una controla o tiene el poder de controlar directa o indirectamente a la otra, o si un tercero controla o tiene el poder de controlar a ambas. El alcance de las agencias a las que se aplica esta orden también se encuentra delimitado.

La orden se aplica a las dependencias ejecutivas civiles federales, con exclusión de los sistemas de seguridad nacional y los de información compartimentada sensible

El DHS limitó la aplicación de la orden a las agencias ejecutivas civiles federales, excluyendo de su alcance los sistemas de seguridad nacional y los sistemas de información compartimentada sensible de dichas agencias. En una nota a pie de página, el DHS explicó el fundamento a través de disposiciones legales federales. La potestad del secretario de Seguridad Nacional para emitir órdenes de exclusión y eliminación no abarca aquellos ámbitos bajo la jurisdicción del secretario de Defensa o del director de Inteligencia Nacional (DNI). El secretario de Defensa puede emitir órdenes de la misma naturaleza para los sistemas del Departamento de Defensa y los sistemas de seguridad nacional que no sean de información compartimentada sensible, mientras que el DNI puede hacerlo para la comunidad de inteligencia y los sistemas de información compartimentada sensible.

El marco legal de base es la Ley de Seguridad de la Cadena de Suministro de Adquisiciones Federales de 2018 (FASCSA). Dicha norma está codificada en los artículos 1321 a 1328 del título 41 del Código de EE. UU., y sus disposiciones de aplicación figuran en la parte 201-1 del título 41 del Código de Regulaciones Federales. Conforme a esta ley, si el Consejo de Seguridad de Adquisiciones Federales (FASC) recomienda excluir productos o servicios de riesgo de las adquisiciones federales y de los sistemas de TI, el secretario de Seguridad Nacional, el secretario de Defensa y el DNI pueden dictar órdenes en el ámbito de sus respectivas facultades. La regla final del FASC, publicada en el Registro Federal el 26 de agosto de 2021, entró en vigor el 27 de septiembre del mismo año. El DHS señaló que el secretario dictó esta orden tras revisar la recomendación del FASC y las pruebas pertinentes. En el resumen de riesgos de la orden, el DHS desglosó los problemas identificados con respecto a DeepSeek.

El DHS señala como riesgos que DeepSeek tenga servidores en China y pueda recopilar información de los usuarios

En el resumen de riesgos, el DHS describió a DeepSeek como una empresa extranjera de propiedad privada radicada en China. La firma distribuye ampliamente múltiples aplicaciones de inteligencia artificial de forma gratuita. El DHS afirmó que los servidores de DeepSeek están ubicados en China y explicó que el marco legal chino otorga amplias prerrogativas para que los órganos gubernamentales de ciberseguridad e inteligencia accedan a la infraestructura de las empresas privadas.

Para los modelos operados de manera directa por DeepSeek, el DHS advirtió que se recopila información de identificación personal durante la creación de cuentas, lo que permite rastrear a los usuarios o generar huellas digitales. Las aplicaciones más utilizadas de DeepSeek operan introduciendo datos en el modelo para obtener respuestas. El DHS explicó que, en caso de ser empleadas por empleados o contratistas del gobierno estadounidense, datos sensibles podrían transferirse a China. Señaló además que la información transmitida de esta forma, ya sea de manera aislada o combinada con fuentes públicas, podría convertirse en inteligencia procesable sobre ciudadanos estadounidenses o programas gubernamentales.

La orden recoge asimismo que los propios modelos podrían albergar código malicioso u otras vulnerabilidades de seguridad. El DHS afirmó que investigaciones de seguridad de código abierto identificaron múltiples vulnerabilidades críticas en la aplicación móvil de DeepSeek para iOS. En las notas al pie, el DHS citó como respaldo un aviso de seguridad de datos del DHS del 22 de diciembre de 2020; un informe sobre DeepSeek elaborado por el Comité Selecto de la Cámara de Representantes de EE. UU. sobre la Competencia Estratégica entre Estados Unidos y el Partido Comunista Chino, con fecha 16 de abril de 2025; y un análisis de la firma de seguridad NowSecure del 6 de febrero de 2025, entre otros. Con independencia de esta orden, varias agencias gubernamentales estadounidenses emitieron en septiembre un aviso enfocado en empresas de IA con sede en China.

La NSA, CISA y el FBI emitieron un aviso conjunto el 8 de septiembre alertando sobre actividades de destilación por firmas de IA con sede en China

La Agencia de Seguridad Nacional (NSA), el Buró Federal de Investigaciones (FBI) y la Agencia de Ciberseguridad y Seguridad de las Infraestructuras (CISA) publicaron el 8 de septiembre el aviso de ciberseguridad AA26-251A, titulado «Campañas de destilación de IA a escala industrial de empresas de IA con sede en China dirigidas contra compañías de IA estadounidenses». Las tres entidades señalaron explícitamente a DeepSeek, Moonshot AI, Alibaba, MiniMax, StepFun y Z.AI. Sostuvieron que DeepSeek ha emprendido campañas sistemáticas de destilación dirigidas contra modelos de vanguardia de empresas de IA estadounidenses desde, al menos, finales de 2024. Pese a que la destilación se reconoce como una técnica legítima y útil en la investigación en IA, las tres agencias calificaron estas actividades de agresivas y maliciosas.

En un comunicado de prensa difundido ese mismo día, la NSA advirtió que el avance de los modelos de IA chinos podría potenciar capacidades ofensivas militares y cibernéticas susceptibles de dirigirse contra Estados Unidos y sus aliados. Las cuentas de CISA y de la NSA informaron sobre la publicación del aviso a través de X en esa misma jornada. El DHS no citó este aviso como fundamento en su publicación del 20 de octubre. Ni el DHS ni la NSA precisaron qué relación guardan ambas medidas. La orden contempla un mecanismo de exención para los organismos que presenten dificultades para su acatamiento.

Las agencias pueden solicitar una exención por escrito en un plazo de 60 días tras la emisión

Las agencias del poder ejecutivo federal pueden solicitar una exención ante el funcionario emisor del DHS de conformidad con el artículo 201-1.304(b) del título 41 del Código de Regulaciones Federales. Dichas solicitudes pueden pedir que la orden no se aplique a la agencia en cuestión, que no afecte a determinadas acciones o que se amplíe el plazo límite de cumplimiento. La solicitud debe presentarse por escrito dentro de los 60 días posteriores a la promulgación de la orden. El expediente debe incluir cinco elementos: la identificación de la orden correspondiente, la delimitación del alcance de la exención solicitada, el nombre o la descripción del producto o servicio objeto de dicha dispensa, razones de peso que justifiquen su otorgamiento y las medidas alternativas de mitigación que adoptará la agencia a fin de aminorar el riesgo. Entre los ejemplos de razones justificadas, el DHS mencionó el impacto sobre la capacidad del organismo para desempeñar su misión esencial, así como consideraciones de interés nacional relativas a revisiones, investigaciones o acuerdos de seguridad nacional.

CISA examinará las solicitudes y notificará su aprobación o denegación por escrito. Las solicitudes deben enviarse a FASCSA.Orders@cisa.dhs.gov. Esta misma dirección funciona como punto de contacto para consultas sobre la asistencia en la implementación y la presentación de informes. El contacto registrado en el aviso del Registro Federal corresponde al Equipo de Implementación de Órdenes de FASCSA adscrito a la División de Ciberseguridad de CISA.

El DHS recomendó a las agencias federales adoptar medidas frente a los riesgos del sistema durante el periodo previo a la retirada completa. Estas pautas comprenden supervisar el tráfico que entra y sale de la institución, robustecer los registros de eventos y controles en los sistemas afectados con el fin de impedir la fuga de datos, y detectar y catalogar actividades anómalas. CISA tiene potestad para prestar asistencia técnica a aquellos organismos que carezcan de capacidad interna para su ejecución. Conforme a lo dispuesto por la FASCSA, el secretario de Seguridad Nacional revisará la orden dentro de un año y, de forma subsecuente, con carácter anual. Estas disposiciones se emiten a través de los trámites prescritos por la FASCSA.

Tras la recomendación del FASC, las empresas pueden presentar alegaciones en 30 días e interponer recurso judicial en 60 días tras la orden

De acuerdo con la reglamentación definitiva del FASC, el Consejo debe notificar la recomendación a las empresas comprendidas en ella. Dicha comunicación debe contener los criterios empleados por el Consejo y los antecedentes que motivaron la recomendación, en la medida en que no perjudiquen los intereses de seguridad nacional o de cumplimiento de la ley. La empresa dispone de 30 días contados desde la recepción de la notificación para presentar información y alegatos en contra de la medida. El FASC puede revisar o dejar sin efecto la recomendación a la luz de los descargos remitidos. De lo contrario, los funcionarios competentes del DHS, el Departamento de Defensa y la DNI podrán dictar órdenes con base en dicha propuesta. El FASC no promulga órdenes por sí mismo.

Las empresas también cuentan con vías de impugnación una vez expedida la orden. Según el artículo 1327 del título 41 del Código de EE. UU., la compañía afectada puede interponer una demanda de revisión judicial dentro de los 60 días posteriores a ser notificada de la expedición de la orden. Fijar la fecha de entrada en vigor y notificar a la empresa es responsabilidad del funcionario que dicta la medida, no del FASC. El DHS no hizo público qué respuesta dio DeepSeek con relación a esta orden ni en qué fecha recibió la notificación.

La fecha asentada por el DHS en el instrumento de la orden es el 24 de julio, mientras que su publicación en el Registro Federal se efectuó el 20 de octubre. El DHS no detalló el motivo del lapso transcurrido entre ambas fechas. James H. Percival II, asesor jurídico general del DHS, suscribió el aviso, cuyo número de expediente oficial es DHS-2026-0628. El organismo informó que es posible consultar una copia firmada de la orden en regulations.gov mediante la búsqueda de dicho identificador. En la orden figura en copia Russell Vought, director de la Oficina de Administración y Presupuesto de la Casa Blanca.

Fuentes (KST)

• Registro Federal 91 FR 66346–66350, 2026-10-20, documento número 2026-21447 · https://www.govinfo.gov/content/pkg/FR-2026-10-20/pdf/2026-21447.pdf
• Aviso conjunto de la NSA, CISA y el FBI AA26-251A, 2026-09-08 · https://www.cisa.gov/news-events/cybersecurity-advisories/aa26-251a
• Comunicado de prensa de la NSA · https://www.nsa.gov/Press-Room/Press-Releases-Statements/Press-Release-View/Article/4592113/
• X @CISACyber · https://x.com/CISACyber/status/2097398347048837149
• X @NSACyber · https://x.com/NSACyber/status/2097374444062732374