EE. UU. vetó DeepSeek en las agencias federales, y según la prensa también los productos basados en él. ¿Sabes sobre qué está construido tu producto?
By Surya Pratap
20 de octubre de 2026
8 min read
AI & Technology
20 de octubre de 2026
8 min read
Está en las capasHover to exploreLa mayoría de los productos de IA no usan un solo modelo. Usan una API alojada para la función principal, un modelo de pesos abiertos para algo barato, un modelo de embeddings que nadie recuerda haber elegido y un asistente de código en el editor del equipo. Algunos de esos modelos se ajustaron o destilaron a partir de otros. Una orden de EE. UU. sobre DeepSeek, hecha pública esta semana, es la primera vez que a muchos fundadores les van a pedir cuentas de todo ello.
Este artículo se basa en la información de CyberScoop, Security Magazine, PYMNTS y Tech Insider, y en el anuncio del Departamento de Seguridad Nacional tal como lo describen. No he leído el propio aviso del Federal Register, y los medios difieren en algunos detalles, que se señalan más abajo. La lectura a partir de la sección 3 es mía y no constituye asesoramiento jurídico.
El 19 de octubre de 2026, el DHS anunció una orden basada en la Federal Acquisition Supply Chain Security Act de 2018 que afecta a Hangzhou DeepSeek Artificial Intelligence y a sus filiales. Según la información publicada, obliga a las agencias federales civiles a:
Las excepciones requieren 60 días de aviso previo y una «justificación de peso», según CyberScoop. El Departamento de Defensa quedaría fuera de la orden, que se aplica a las agencias civiles. Estaba previsto que el aviso se publicara esta semana en el Federal Register.
El secretario del DHS, Mullin, citó «múltiples vectores de amenaza», entre ellos «datos en servidores situados en China, donde las leyes de seguridad nacional dan al Gobierno chino amplio margen para solicitar y obtener datos», la recopilación de información personal y huellas digitales, y el paso de datos al Gobierno chino a través del proceso de «petición y respuesta». La prensa menciona también el riesgo de que los modelos introduzcan malware o vulnerabilidades.
Esta orden no prohíbe a las empresas privadas usar DeepSeek.
Varios medios, que citan información del DHS publicada por CNBC y Politico, describen que la orden también impide a las agencias comprar «productos y servicios de terceros desarrollados con la tecnología o los modelos de IA de DeepSeek». Eso cerraría la puerta que dejaban abierta restricciones anteriores, más limitadas: el chatbot, el asistente de código o el resumidor de un proveedor que funciona con un modelo de DeepSeek, aunque esté a varias capas de distancia de la propia DeepSeek.
No todos lo cuentan igual. El relato de CyberScoop describe el veto a los productos propios de DeepSeek y dice que no se aborda de forma explícita el tratamiento de los productos de terceros, los pesos abiertos alojados por uno mismo, los ajustes ni las destilaciones. Hasta que se lea con atención el texto del aviso, la posición honesta es:
Un veto a los modelos de una empresa se convierte en una pregunta sobre cada capa de tu producto, incluidas las capas que nunca elegiste directamente.
Puede que no vendas a agencias federales. Pero hay tres grupos de compradores que suelen seguir las normas federales:
Para una startup que vende a cualquiera de ellos, la pregunta del próximo cuestionario de seguridad es fácil de prever: ¿tu producto usa algún modelo de DeepSeek o depende de él? Lo difícil es responderla con la verdad.
Un «no» tiene que sostenerse en todas las capas:
Nuestras guías sobre DeepSeek V4-Flash y Qwen3.8-Max explicaban por qué los modelos de pesos abiertos resultan atractivos por precio y calidad. Esta orden no cambia ese cálculo para la mayoría de los usos privados. Cambia lo que tienes que poder demostrar a algunos clientes.
Haz un inventario de modelos. Una fila por cada modelo en producción: nombre y versión, proveedor o host, dónde se ejecuta, qué hace en el producto y a partir de qué se ajustó o destiló. Incluye los modelos de embeddings, de reordenación y de voz, no solo el LLM principal.
Fija los modelos en el código. Si usas un router o un agregador, define identificadores de modelo explícitos para cada función en lugar de «el mejor disponible», y registra qué modelo atendió cada petición. Un modelo que no elegiste puede acabar en tu respuesta a un cuestionario.
Haz que cambiar de modelo sea barato. Mantén los prompts, las evaluaciones y las definiciones de herramientas independientes de un proveedor, para que sustituir un modelo para un cliente sea un cambio de configuración más una ejecución de evaluación, no una reconstrucción. Ten listo tu conjunto de evaluación para demostrar que el sustituto funciona.
Revisa a tus proveedores y herramientas. Pregunta a los proveedores de IA que integras qué modelos usan y si eso puede cambiar sin aviso. Decide qué modelos puede usar tu equipo en las herramientas de código, sobre todo con código para clientes regulados.
Responde ya al cuestionario que te llegará
Prepara ahora una declaración breve y honesta: qué modelos usa tu producto, dónde están alojados, de qué derivan, si los datos de los clientes salen de las regiones que prometes y en cuánto tiempo puedes sustituir cualquiera de ellos. Es el mismo tipo de registro que los reguladores empiezan a pedir en otros contextos, como en los requerimientos de la FTC a OpenAI y Anthropic.
Si un cliente necesita un producto sin DeepSeek, solo podrás prometérselo si ves todo tu stack. Si no lo necesita, podrás igualmente decirle exactamente qué está recibiendo, que suele ser lo que quiere un equipo de seguridad.
Que las startups tengan prohibido usar DeepSeek. La orden se aplica a las agencias federales civiles y a lo que compran. No prohíbe su uso privado.
Que los modelos alojados por uno mismo, ajustados o destilados estén cubiertos sin duda. La redacción publicada es amplia, pero los medios no coinciden, y conviene leer el texto del aviso antes de decidir.
Que las fechas estén claras. CyberScoop informa de que la orden se emitió en junio y lleva meses en vigor; otros medios hablan de julio; la publicación en el Federal Register se situó el 20 o el 21 de octubre.
Que los modelos de DeepSeek sean inseguros de ejecutar. La orden trata del riesgo de la cadena de suministro y del acceso a los datos según la evaluación del gobierno. No es una conclusión técnica sobre los pesos de un modelo concreto.
El DHS ha ordenado a las agencias federales civiles retirar de sus sistemas los productos de DeepSeek y dejar de comprarlos, con base en la Federal Acquisition Supply Chain Security Act, por el riesgo de que los datos lleguen al Gobierno chino. Varios medios informan de que la orden abarca también los productos de terceros basados en modelos de DeepSeek; hasta dónde llega eso en el caso de modelos alojados por uno mismo, ajustados o destilados todavía no está claro. Las empresas privadas no tienen prohibido usarlo.
El efecto duradero para las startups no tiene que ver solo con DeepSeek. Los compradores que siguen las normas federales empezarán a preguntar qué modelos hay dentro de tu producto y de dónde vienen, y la respuesta habitual —«lo que esté usando la API»— no va a pasar.
Este mes, anota todos los modelos de tu producto y de las herramientas de tu equipo, incluido aquello a partir de lo cual se construyó cada uno. Fíjalos en el código, registra cuál atendió cada petición y asegúrate de que puedes sustituir cualquiera de ellos en días.
Fuentes: CyberScoop: la base en la Federal Acquisition Supply Chain Security Act, la obligación de retirar y dejar de adquirir productos de DeepSeek, el ámbito limitado a las agencias civiles, el aviso de 60 días para excepciones, la descripción de los vectores de amenaza por parte del secretario del DHS, Mullin, la fecha de emisión de junio que menciona y la afirmación de que no se abordan de forma explícita los modelos de terceros, alojados por uno mismo, ajustados ni destilados. Tech Insider: la redacción publicada sobre «productos y servicios de terceros desarrollados con la tecnología o los modelos de IA de DeepSeek», atribuida a CNBC y Politico, la fecha de entrada en vigor de julio que da y la exclusión del Departamento de Defensa. Security Magazine y PYMNTS: el anuncio del 19 de octubre y la cobertura del alcance de la orden. La lectura de las secciones 3 a 6 es mía y no constituye asesoramiento jurídico.
IdeaToMVP Academy
4-week live cohort for founders. Learn to ship AI agents, scope MVPs, and automate your business — taught by the same team that writes these guides.
