Produtos da DeepSeek são banidos de agências civis federais; ordem da FASCSA do DHS dos EUA é publicada no Registro Federal em 20 de outubro

WASHINGTON

O Departamento de Segurança Interna dos EUA (DHS) publicou no Registro Federal (Vol. 91, N.º 201, págs. 66346–66350) em 20 de outubro uma ordem determinando a exclusão de produtos da DeepSeek das contratações do poder executivo civil federal e sua remoção de sistemas de tecnologia da informação. Sob a Lei de Segurança da Cadeia de Suprimentos de Aquisições Federais (FASCSA), o DHS exigiu que as agências civis federais excluam produtos da DeepSeek e de suas afiliadas das contratações e removam os produtos atualmente em uso de seus sistemas. O aviso é intitulado “Aviso de Ordens Relativas à Exclusão e Remoção de Produtos DeepSeek dos Sistemas de Tecnologia da Informação e Contratações do Poder Executivo Civil Federal”, e o número da ordem é 2026-01. O secretário de Segurança Interna, Markwayne Mullin, assinou a ordem, e o DHS indicou o dia 24 de julho como a data de emissão inicial no texto da ordem.

Agências civis federais devem excluir produtos da DeepSeek das contratações e removê-los dos sistemas

A primeira medida do DHS é a exclusão. Todas as agências civis federais devem excluir a DeepSeek, as afiliadas da DeepSeek e seus produtos das contratações de agências civis. O DHS declarou que essa medida entra em vigor imediatamente após a emissão da ordem. Mecanismos que facilitam a aquisição de hardware, software e serviços de TI — como listas de produtos aprovados por agências, listas de equipamentos de provedores de serviços e mercados de comércio eletrônico — também estão sujeitos à exclusão.

A segunda medida é a remoção. Produtos fornecidos pela DeepSeek e suas afiliadas, bem como produtos e serviços de terceiros criados com o uso de implementações da DeepSeek, devem ser removidos dos sistemas de TI das agências civis federais. Isso também deve ser implementado imediatamente após a emissão, e as agências incapazes de cumprir o prazo devem solicitar uma exceção. Aqui, TI refere-se à tecnologia da informação e comunicação conforme definida no Título 41, Seção 1321 do Código dos EUA.

O escopo de afiliadas segue a definição estabelecida no Regulamento Federal de Aquisições (48 CFR 2.101). Uma entidade é uma afiliada se uma controla ou tem o poder de controlar direta ou indiretamente a outra, ou se um terceiro controla ou tem o poder de controlar ambas. O escopo das agências sujeitas a esta ordem também está definido.

Ordem se aplica a agências do poder executivo civil federal, exceto sistemas de segurança nacional e sistemas de informações compartimentadas sensíveis

O DHS limitou a aplicação da ordem a agências do poder executivo civil federal, excluindo do escopo os sistemas de segurança nacional e sistemas de informações compartimentadas sensíveis dessas agências. Em nota de rodapé, o DHS explicou a base por meio de dispositivos legais federais. A autoridade do secretário de Segurança Interna para emitir ordens de exclusão e remoção não se estende a áreas sob a jurisdição do secretário de Defesa ou do diretor de Inteligência Nacional (DNI). O secretário de Defesa pode emitir ordens idênticas para sistemas do Departamento de Defesa e sistemas de segurança nacional que não sejam sistemas de informações compartimentadas sensíveis, enquanto o DNI pode fazê-lo para a comunidade de inteligência e sistemas de informações compartimentadas sensíveis.

A lei de base é a Lei de Segurança da Cadeia de Suprimentos de Aquisições Federais de 2018 (FASCSA). O estatuto está codificado no Título 41 do Código dos EUA, Seções 1321 a 1328, e seus regulamentos de implementação estão na Parte 201-1 do Título 41 do Código de Regulamentos Federais. Sob essa lei, se o Conselho Federal de Segurança de Aquisições (FASC) recomendar a exclusão de produtos ou serviços de risco das contratações e sistemas de TI federais, o secretário de Segurança Interna, o secretário de Defesa e o DNI podem emitir ordens dentro de suas respectivas autoridades. A regra final do FASC publicada no Registro Federal em 26 de agosto de 2021 entrou em vigor em 27 de setembro daquele ano. O DHS afirmou que o secretário emitiu esta ordem após analisar a recomendação do FASC e as evidências relevantes. No resumo de riscos da ordem, o DHS delineou as preocupações em relação à DeepSeek.

DHS cita servidores da DeepSeek na China e potencial coleta de informações de usuários como riscos

No resumo de riscos, o DHS descreveu a DeepSeek como uma entidade estrangeira de propriedade privada sediada na China. A empresa fornece amplamente múltiplos aplicativos de inteligência artificial de forma gratuita. O DHS afirmou que os servidores da DeepSeek estão localizados na China e explicou que o arcabouço jurídico chinês concede ampla autoridade para que funções cibernéticas e de inteligência do governo acessem a infraestrutura de empresas privadas.

Para modelos operados diretamente pela DeepSeek, o DHS afirmou que informações de identificação pessoal são coletadas durante a criação de contas, permitindo que usuários sejam rastreados ou tenham impressões digitais registradas. Os aplicativos mais amplamente utilizados da DeepSeek envolvem a inserção de informações no modelo e o recebimento de respostas. O DHS explicou que, se funcionários ou prestadores de serviços do governo dos EUA os utilizarem, dados sensíveis poderão ser transferidos para a China. O órgão destacou que dados transferidos dessa forma, seja de maneira isolada ou combinados com informações disponíveis publicamente, podem gerar inteligência acionável sobre cidadãos americanos ou programas governamentais.

A ordem também observou que os próprios modelos podem conter código malicioso ou outras vulnerabilidades de segurança. O DHS afirmou que pesquisas de segurança de código aberto identificaram múltiplas vulnerabilidades críticas no aplicativo móvel para iOS da DeepSeek. Como fontes de apoio nas notas de rodapé, o DHS citou um alerta de segurança de dados do DHS de 22 de dezembro de 2020; um relatório de 16 de abril de 2025 sobre a DeepSeek feito pelo Comitê Seleto da Câmara dos EUA sobre a Competição Estratégica entre os Estados Unidos e o Partido Comunista Chinês; e uma análise de 6 de fevereiro de 2025 da empresa de segurança NowSecure, entre outros. Separadamente desta ordem, agências do governo dos EUA emitiram em setembro um alerta abordando empresas de IA sediadas na China.

NSA, CISA e FBI emitiram alerta conjunto em 8 de setembro alertando sobre campanhas de destilação por empresas de IA sediadas na China

Em 8 de setembro, a Agência de Segurança Nacional (NSA), o Federal Bureau of Investigation (FBI) e a Agência de Segurança Cibernética e de Infraestrutura (CISA) divulgaram o Alerta de Segurança Cibernética AA26-251A, intitulado “Campanhas de Destilação de IA em Escala Industrial por Empresas de IA Sediadas na China Visando Empresas de IA dos EUA”. As três agências nomearam DeepSeek, Moonshot AI, Alibaba, MiniMax, StepFun e Z.AI. As agências declararam que a DeepSeek realizou campanhas sistemáticas de destilação visando modelos pioneiros líderes de empresas de IA dos EUA desde pelo menos o final de 2024. Embora a destilação seja reconhecida como uma técnica legítima e útil na pesquisa de IA, as três agências avaliaram essa atividade como agressiva e maliciosa.

Em um comunicado à imprensa emitido no mesmo dia, a NSA afirmou que os avanços em modelos de IA chineses podem reforçar capacidades militares e ofensivas cibernéticas que poderiam ser direcionadas contra os Estados Unidos e seus aliados. As contas da CISA e da NSA anunciaram a publicação do alerta no X no mesmo dia. O DHS não citou esse alerta como base em seu aviso de 20 de outubro. Nem o DHS nem a NSA esclareceram qual relação existe entre as duas ações. A ordem estabelece um processo de isenção para agências que enfrentem dificuldades de implementação.

Agências podem solicitar isenção por escrito em até 60 dias após a emissão

As agências do poder executivo federal podem solicitar uma isenção à autoridade emissora do DHS nos termos do 41 CFR 201-1.304(b). As agências podem solicitar que a ordem não se aplique à agência, que não se aplique a ações específicas ou que o prazo de implementação seja prorrogado. Os pedidos devem ser apresentados por escrito no prazo de 60 dias após a emissão da ordem. O pedido deve incluir cinco elementos: identificação da ordem aplicável, explicação do escopo da isenção solicitada, nome ou descrição do produto ou serviço abrangido pela isenção, razões imperiosas pelas quais a isenção deve ser concedida e medidas alternativas de mitigação que a agência adotará para reduzir o risco. Como exemplos de razões imperiosas, o DHS citou o impacto da ordem sobre a capacidade da agência de cumprir sua missão principal, além de considerações de interesse nacional, como análises de segurança nacional, investigações de segurança nacional e acordos de segurança nacional.

A CISA analisa os pedidos e fornece aviso por escrito de aprovação ou indeferimento. Os pedidos devem ser enviados para FASCSA.Orders@cisa.dhs.gov. O mesmo endereço serve como ponto de contato para suporte à implementação e consultas sobre relatórios relativos a esta ordem. O contato listado no aviso do Registro Federal é a Equipe de Implementação de Ordens da FASCSA na Divisão de Segurança Cibernética da CISA.

O DHS recomendou que as agências federais adotem medidas para enfrentar os riscos aos sistemas durante o período até a remoção completa. Isso inclui monitorar o tráfego de entrada e saída, reforçar o registro de logs e os controles nos sistemas relevantes para evitar a exfiltração de dados e detectar e sinalizar atividades anômalas. A CISA pode fornecer assistência técnica às agências que não tenham capacidade interna para implementar a ordem. Conforme estipulado pela FASCSA, o secretário de Segurança Interna revisará a ordem no prazo de um ano e anualmente a partir de então. Tais ordens são emitidas por meio de procedimentos estabelecidos pela FASCSA.

Empresas afetadas podem enviar resposta em até 30 dias após recomendação do FASC e recorrer à Justiça em até 60 dias após a ordem

De acordo com a regra final do FASC, o Conselho deve notificar as entidades nomeadas em uma recomendação sobre a existência desta. A notificação inclui os critérios nos quais o Conselho se baseou e as informações de apoio à recomendação, na medida em que forem compatíveis com a segurança nacional e os interesses de aplicação da lei. As entidades podem apresentar informações e argumentos contra a recomendação no prazo de 30 dias após o recebimento da notificação. O FASC pode modificar ou retirar a recomendação com base na resposta da entidade. Caso contrário, as autoridades competentes do DHS, do Departamento de Defesa e do DNI podem emitir ordens em conformidade com a recomendação. O FASC não emite ordens diretamente.

As entidades também podem contestar a ordem após sua emissão. Sob o Título 41, Seção 1327 do Código dos EUA, uma entidade pode solicitar revisão judicial no prazo de 60 dias após o recebimento da notificação de emissão da ordem. Definir a data de entrada em vigor da ordem e notificar a entidade é responsabilidade da autoridade emissora, e não do FASC. O DHS não divulgou qual foi a resposta da DeepSeek a esta ordem nem quando ela recebeu a notificação.

A data indicada pelo DHS no texto da ordem é 24 de julho, enquanto a publicação no Registro Federal ocorreu em 20 de outubro. O DHS não explicou o intervalo entre as duas datas. James H. Percival II, consultor jurídico geral do DHS, assinou o aviso, e o número de processo do DHS é DHS-2026-0628. O DHS informou que uma cópia da ordem assinada pode ser encontrada no portal regulations.gov por meio da busca por esse número. Russell Vought, diretor do Escritório de Gestão e Orçamento da Casa Branca, constava como destinatário de cópia na ordem.

Fontes (KST)

• Registro Federal 91 FR 66346–66350, 20-10-2026, Número do Documento 2026-21447 · https://www.govinfo.gov/content/pkg/FR-2026-10-20/pdf/2026-21447.pdf
• Alerta Conjunto da NSA, CISA e FBI AA26-251A, 08-09-2026 · https://www.cisa.gov/news-events/cybersecurity-advisories/aa26-251a
• Comunicado de Imprensa da NSA · https://www.nsa.gov/Press-Room/Press-Releases-Statements/Press-Release-View/Article/4592113/
• X @CISACyber · https://x.com/CISACyber/status/2097398347048837149
• X @NSACyber · https://x.com/NSACyber/status/2097374444062732374