Il Dipartimento della Sicurezza Interna degli Stati Uniti ha ordinato alle agenzie federali civili di smettere di usare i prodotti di DeepSeek e di rimuoverli dai propri sistemi. L’ordine, pubblicato il 20 ottobre nel Federal Register dopo la fase di ispezione pubblica, non è un divieto generale per uso privato o-consumer, ma riguarda le amministrazioni federali civili che ricadono nell’autorità del DHS. L’impatto di fondo è più ampio di quanto sembri: riguarda non solo i prodotti dell’azienda cinese, ma anche quelli delle sue controllate e i servizi di terze parti costruiti con la tecnologia DeepSeek, il che comprende ricarichi, API e servizi basati sui suoi modelli.
Cosa impone l’ordine
Le agenzie devono immediatamente escludere i prodotti coperti dagli acquisti, dalle liste di prodotti approvati e dai marketplace di fornitura, e rimuoverli dai propri sistemi informatici, salvo che venga concessa un’eccezione. Le richieste di eccezione vanno presentate entro 60 giorni dall’emissione dell’ordine, motivando la richiesta e indicando le mitigazioni di rischio proposte: sarà CISA a esaminarle e a emettere approvazioni o dinieghi scritti. Per le agenzie che non riescono a ottemperare per limiti di capacità interna, CISA fornirà assistenza tecnica. L’ordine è quindi un meccanismo graduato e non un divieto immediato, ma con una finestra di 60 giorni che di fatto impone la sostituzione di qualsiasi componente già in uso.
Le motivazioni
Le ragioni addotte riguardano la possibilità che il governo cinese acceda all’infrastruttura di DeepSeek, raccolga informazioni personali e tenga traccia degli utenti, con il rischio di trasferire dati governativi sensibili in Cina. L’ordine richiama inoltre un rapporto di NowSecure del febbraio 2025 che analizzava l’applicazione DeepSeek per iOS e rilevava trasmissioni di dati non cifrate, algoritmi deboli, uno storage locale non sicuro, rischi di fingerprinting dell’utente e condivisione di dati con ByteDance, il gruppo cinese dietro TikTok. Sono rilievi datati, ma il fatto che vengano citati in un documento di polizia vigente dice come la fiducia sia il nodo centrale della questione, più delle vulnerabilità tecniche in sé.
Cosa significa per le imprese
Per le aziende private il provvedimento non vincola direttamente, ma cambia il clima di fiducia: i fornitori AI di origine cinese restano disponibili sul mercato e sono protagonisti di un proprio posizionamento sulla sovranità dei dati, mentre il tema della residenza dei dati e della conformità diventa un criterio di selezione e non un dettaglio accessorio. Vale la pena ricordare che l’ordinanza copre anche i prodotti di terze parti costruiti con tecnologia DeepSeek: non basta evitare il marchio, bisogna conoscere la catena di fornitura dei propri strumenti, soprattutto per le integrazioni che arrivano da Paesi terzi senza dichiarazioni chiare sulla provenienza dei modelli. Chi opera in ambienti regolamentati, dal settore pubblico alla sanità, tiene conto di questo segnale nei prossimi cicli di procurement.
Fonte: BleepingComputer
URL sorgente: https://www.bleepingcomputer.com/news/security/dhs-bans-deepseek-products-across-us-federal-civilian-agencies/