Prodotti DeepSeek banditi dalle agenzie civili federali, l'ordine FASCSA del Dipartimento della Sicurezza Interna degli Stati Uniti pubblicato nel Federal Register il 20 ottobre

WASHINGTON

Il Dipartimento della Sicurezza Interna degli Stati Uniti (DHS) ha pubblicato il 20 ottobre nel Federal Register (vol. 91, n. 201, pp. 66346–66350) un ordine che dispone l'esclusione dei prodotti DeepSeek dalle procedure di acquisto del ramo esecutivo civile federale e la loro rimozione dai sistemi informatici. Ai sensi del Federal Acquisition Supply Chain Security Act (FASCSA), con questo ordine il DHS ha richiesto alle agenzie civili federali di escludere dagli appalti i prodotti di DeepSeek e delle sue affiliate e di rimuovere dai propri sistemi quelli attualmente in uso. Il titolo dell'avviso è «Avviso di ordini relativi all'esclusione e alla rimozione dei prodotti DeepSeek dai sistemi informatici e dagli appalti del ramo esecutivo civile federale», e il numero dell'ordine è 2026-01. Il Segretario della Sicurezza Interna Markwayne Mullin ha firmato l'ordine, e la data indicata dal DHS nel testo del provvedimento come data di prima pubblicazione è il 24 luglio.

Le agenzie civili federali devono escludere i prodotti DeepSeek dagli appalti e rimuoverli dai sistemi

La prima misura del DHS è l'esclusione. Tutte le agenzie civili federali devono escludere DeepSeek, le sue affiliate e i loro prodotti dagli approvvigionamenti delle agenzie civili. Il DHS ha precisato che questo provvedimento ha effetto immediato dall'emanazione dell'ordine. Sono soggette a esclusione anche le funzioni che facilitano l'approvvigionamento di hardware, software e servizi IT, come gli elenchi di prodotti approvati dalle agenzie, gli elenchi delle apparecchiature dei fornitori di servizi e i mercati elettronici.

La seconda misura è la rimozione. I prodotti forniti da DeepSeek e dalle sue affiliate, nonché i prodotti e i servizi di terze parti creati utilizzando implementazioni di DeepSeek, devono essere rimossi dai sistemi IT delle agenzie civili federali. Anche questa misura deve essere attuata immediatamente dopo l'emanazione, e le agenzie che non sono in grado di conformarsi devono richiedere un'eccezione. In questo ambito, per IT si intende la tecnologia dell'informazione e della comunicazione definita al titolo 41, sezione 1321 dello United States Code.

L'ambito delle affiliate segue la definizione stabilita dalla Federal Acquisition Regulation (48 CFR 2.101). Un'entità è considerata affiliata se una parte controlla o ha il potere di controllare, direttamente o indirettamente, l'altra, oppure se una terza parte controlla o ha il potere di controllare entrambe. È definito inoltre l'ambito delle agenzie soggette a questo ordine.

L'ordine si applica ai dipartimenti e agenzie esecutive civili federali, esclusi i sistemi di sicurezza nazionale e i sistemi di informazioni compartimentate sensibili

Il DHS ha limitato l'applicazione dell'ordine ai dipartimenti e agenzie esecutive civili federali, escludendo dal suo ambito i sistemi di sicurezza nazionale e i sistemi di informazioni compartimentate sensibili di tali enti. In una nota a piè di pagina, il DHS ne ha spiegato la motivazione richiamando le disposizioni di legge federale. L'autorità del Segretario della Sicurezza Interna di emettere ordini di esclusione e rimozione non si estende alle aree di competenza del Segretario della Difesa e del Direttore dell'Intelligence Nazionale (DNI). Il Segretario della Difesa può emanare ordini della stessa natura per i sistemi del Dipartimento della Difesa e per i sistemi di sicurezza nazionale che non siano sistemi di informazioni compartimentate sensibili, mentre il DNI può fare altrettanto per la comunità di intelligence e per i sistemi di informazioni compartimentate sensibili.

La legge di riferimento è il Federal Acquisition Supply Chain Security Act (FASCSA) del 2018. Tale legge è codificata dal titolo 41, sezioni da 1321 a 1328 dello United States Code, e le relative disposizioni attuative si trovano nella parte 201-1 del titolo 41 del Code of Federal Regulations. Ai sensi di questa legge, qualora il Federal Acquisition Security Council (FASC) raccomandi di escludere prodotti o servizi a rischio dagli appalti federali e dai sistemi IT, il Segretario della Sicurezza Interna, il Segretario della Difesa e il DNI possono emanare ordini nell'ambito delle rispettive competenze. La norma finale del FASC, pubblicata nel Federal Register il 26 agosto 2021, è entrata in vigore il 27 settembre dello stesso anno. Il DHS ha dichiarato che il Segretario ha emanato il presente ordine dopo aver esaminato la raccomandazione del FASC e le relative prove. Nella sintesi dei rischi contenuta nell'ordine, il DHS ha riassunto le criticità relative a DeepSeek.

Il DHS evidenzia tra i rischi i server di DeepSeek in Cina e la potenziale raccolta di informazioni sugli utenti

Nella sintesi dei rischi, il DHS ha descritto DeepSeek come un'azienda privata straniera con sede in Cina. La società offre su larga scala e a titolo gratuito molteplici applicazioni di intelligenza artificiale. Il DHS ha precisato che i server di DeepSeek si trovano in Cina e ha spiegato che l'ordinamento giuridico cinese conferisce ampi poteri alle funzioni governative informatiche e di intelligence per accedere alle infrastrutture delle aziende private.

Per quanto riguarda i modelli gestiti direttamente da DeepSeek, il DHS ha riferito che le informazioni di identificazione personale vengono raccolte durante il processo di creazione dell'account, consentendo di tracciare gli utenti o di generare un'impronta digitale. L'applicazione più utilizzata di DeepSeek prevede l'immissione di informazioni nel modello per ricevere risposte. Il DHS ha spiegato che, qualora tali sistemi venissero utilizzati da dipendenti pubblici o appaltatori governativi statunitensi, dati sensibili potrebbero essere trasferiti in Cina. Tali dati trasferiti, da soli o combinati con informazioni di pubblico dominio, potrebbero produrre intelligence utilizzabile contro cittadini statunitensi o programmi governativi.

Viene inoltre segnalato che i modelli stessi potrebbero contenere codice maligno o altre vulnerabilità di sicurezza. Il DHS ha reso noto che ricerche di sicurezza open source hanno identificato diverse vulnerabilità critiche nell'applicazione mobile iOS di DeepSeek. Nelle note a piè di pagina, a supporto di tali affermazioni, il DHS ha citato un avviso sulla sicurezza dei dati del DHS del 22 dicembre 2020, un rapporto su DeepSeek della Commissione speciale della Camera dei rappresentanti sulla competizione strategica tra gli Stati Uniti e il Partito Comunista Cinese del 16 aprile 2025 e un'analisi della società di sicurezza NowSecure del 6 febbraio 2025. Indipendentemente da questo ordine, a settembre alcune agenzie governative statunitensi avevano emesso un avviso riguardante le aziende di IA con sede in Cina.

NSA, CISA e FBI hanno emesso l'8 settembre un avviso separato che mette in guardia contro le attività di distillazione delle aziende di IA con sede in Cina

L'8 settembre la National Security Agency (NSA), il Federal Bureau of Investigation (FBI) e la Cybersecurity and Infrastructure Security Agency (CISA) hanno pubblicato l'avviso di sicurezza informatica AA26-251A, intitolato «Campagne di distillazione dell'IA su scala industriale condotte da aziende di intelligenza artificiale con sede in Cina contro società di IA statunitensi». Le tre agenzie hanno fatto esplicitamente i nomi di DeepSeek, Moonshot AI, Alibaba, MiniMax, StepFun e Z.AI. Hanno dichiarato che DeepSeek ha condotto campagne sistematiche di distillazione prendendo di mira i modelli di frontiera delle aziende statunitensi di IA almeno dalla fine del 2024. Sebbene la distillazione sia considerata una tecnica legittima e utile nella ricerca sull'IA, le tre agenzie hanno giudicato tale attività aggressiva e malevola.

In un comunicato stampa diffuso lo stesso giorno, la NSA ha affermato che i progressi nei modelli cinesi di IA potrebbero potenziare le capacità di attacco militare e cibernetico contro gli Stati Uniti e i loro alleati. Gli account di CISA e NSA hanno annunciato la pubblicazione dell'avviso su X nella stessa data. Nel suo avviso del 20 ottobre, il DHS non ha citato questo documento come base giustificativa. Né il DHS né la NSA hanno chiarito quale rapporto sussista tra i due provvedimenti. L'ordine prevede comunque una procedura di deroga per le agenzie che si trovino in difficoltà nell'attuazione.

Le agenzie possono richiedere una deroga per iscritto entro 60 giorni dall'emanazione

Le agenzie esecutive federali possono presentare una richiesta di deroga al funzionario emittente del DHS ai sensi del 41 CFR 201-1.304(b). È possibile richiedere che l'ordine non si applichi all'agenzia, che non sia applicato ad attività specifiche o che venga concessa una proroga dei termini di attuazione. La richiesta deve essere inviata per iscritto entro 60 giorni dall'emanazione dell'ordine. L'istanza deve contenere cinque elementi: l'identificazione dell'ordine di riferimento, la descrizione dell'ambito per cui si richiede la deroga, il nome o la descrizione del prodotto o servizio oggetto dell'esenzione, motivi cogenti a sostegno della concessione della deroga e le misure di mitigazione alternative che l'agenzia adotterà per ridurre i rischi. Come esempi di motivi cogenti, il DHS ha citato l'impatto dell'ordine sulla capacità dell'agenzia di assolvere la propria missione istituzionale primaria e considerazioni di interesse nazionale, tra cui revisioni di sicurezza nazionale, indagini di sicurezza nazionale e accordi di sicurezza nazionale.

La CISA esamina le richieste e notifica per iscritto l'approvazione o il rigetto. Le domande devono essere trasmesse all'indirizzo FASCSA.Orders@cisa.dhs.gov. Lo stesso indirizzo funge da canale per le richieste di supporto all'attuazione e di rendicontazione relative al presente ordine. Il punto di contatto indicato nell'avviso del Federal Register è il team di attuazione degli ordini FASCSA della Divisione di sicurezza informatica della CISA.

Il DHS ha raccomandato alle agenzie federali di adottare misure per gestire i rischi dei sistemi nel periodo che precede il completamento della rimozione. Tra queste rientrano il monitoraggio del traffico in entrata e in uscita dall'agenzia, il potenziamento dei log e dei controlli sui sistemi pertinenti per prevenire l'esfiltrazione di dati, nonché il rilevamento e la segnalazione di attività anomale. La CISA può fornire assistenza tecnica alle agenzie prive delle competenze interne necessarie per l'attuazione. Come stabilito dal FASCSA, il Segretario della Sicurezza Interna riesaminerà l'ordine entro un anno e, successivamente, con cadenza annuale. Tali ordini scaturiscono dalle procedure stabilite dal FASCSA.

In caso di raccomandazione del FASC, le aziende interessate possono presentare osservazioni entro 30 giorni e adire le vie legali entro 60 giorni dall'ordine

In base alla norma finale del FASC, il Consiglio deve notificare l'adozione della raccomandazione alle aziende indicate nella stessa. La notifica comprende i criteri adottati dal Consiglio e le informazioni a sostegno della raccomandazione, nella misura compatibile con le esigenze di sicurezza nazionale e delle autorità giudiziarie. Le aziende hanno a disposizione 30 giorni dalla ricezione della notifica per trasmettere informazioni e argomentazioni contrarie alla raccomandazione. Il FASC può modificare o revocare la raccomandazione alla luce della risposta dell'azienda. In caso contrario, i funzionari competenti del DHS, del Dipartimento della Difesa e del DNI possono emanare ordini in conformità alla raccomandazione. Il FASC non emette direttamente tali ordini.

Le aziende possono impugnare l'ordine anche dopo la sua emissione. Ai sensi del titolo 41, sezione 1327 dello United States Code, un'azienda può promuovere ricorso giurisdizionale entro 60 giorni dalla ricezione della notifica di emanazione dell'ordine. La determinazione della data di entrata in vigore dell'ordine e la notifica all'azienda spettano al funzionario che ha emesso l'ordine e non al FASC. Il DHS non ha reso noto quale sia stata la risposta di DeepSeek in merito a questo ordine né quando la società abbia ricevuto la notifica.

La data indicata dal DHS nel testo dell'ordine è il 24 luglio, mentre la pubblicazione nel Federal Register è avvenuta il 20 ottobre. Il DHS non ha motivato l'intervallo di tempo intercorso tra le due date. L'avviso è stato firmato da James H. Percival II, General Counsel del DHS, e il numero di protocollo (docket) del DHS è DHS-2026-0628. Il DHS ha precisato che è possibile reperire una copia dell'ordine firmato su regulations.gov effettuando una ricerca con questo codice. Nell'ordine, Russell Vought, direttore dell'Ufficio per la gestione e il bilancio della Casa Bianca, figura tra i destinatari per conoscenza.

Fonti (KST)

• Federal Register 91 FR 66346–66350, 2026-10-20, numero documento 2026-21447 · https://www.govinfo.gov/content/pkg/FR-2026-10-20/pdf/2026-21447.pdf
• Avviso congiunto NSA, CISA e FBI AA26-251A, 2026-09-08 · https://www.cisa.gov/news-events/cybersecurity-advisories/aa26-251a
• Comunicato stampa della NSA · https://www.nsa.gov/Press-Room/Press-Releases-Statements/Press-Release-View/Article/4592113/
• X @CISACyber · https://x.com/CISACyber/status/2097398347048837149
• X @NSACyber · https://x.com/NSACyber/status/2097374444062732374