USA zakazują DeepSeek w agencjach federalnych. Co obejmuje nakaz DHS

Co dokładnie nakazał DHS

Nakaz ma dwie części. Pierwsza wyklucza produkty i usługi informatyczne firmy Hangzhou DeepSeek Artificial Intelligence oraz podmiotów z nią powiązanych z zamówień cywilnych agencji federalnych. Wykluczenie działa od chwili wydania nakazu i obejmuje także listy zatwierdzonych produktów, katalogi dostawców i platformy zakupowe administracji.

Druga część nakazuje usunięcie z systemów IT agencji wszystkich produktów DeepSeek i jego spółek powiązanych. Za powiązany podmiot uznaje się firmę, która kontroluje DeepSeek, jest przez niego kontrolowana albo podlega wspólnej kontroli z nim. Nakaz obejmuje też produkty i usługi innych firm zbudowane na rozwiązaniach DeepSeek, a w przypisie wprost wymienia zewnętrzne wdrożenia jego modeli używane do świadczenia usług dla agencji.

Dlaczego USA uznały DeepSeek za ryzyko

W uzasadnieniu DHS wskazuje, że serwery DeepSeek znajdują się w Chinach, a chińskie prawo daje tamtejszym służbom szeroki dostęp do infrastruktury prywatnych firm. Usługi DeepSeek działają na zasadzie zapytań i odpowiedzi, więc urzędnik lub wykonawca korzystający z czatu może przekazać do Chin wrażliwe dane. Dokument przypomina też, że przy zakładaniu konta firma zbiera dane osobowe i może tworzyć cyfrowy odcisk urządzenia użytkownika.

DHS dodaje, że same modele mogą zawierać złośliwy kod lub podatności. Jako przykład podaje wyniki firmy NowSecure z lutego 2025 roku, która znalazła kilka poważnych luk w aplikacji DeepSeek na iOS. Nakaz powołuje się również na raport komisji Izby Reprezentantów ds. Komunistycznej Partii Chin z kwietnia 2025 roku. DeepSeek nie odniósł się publicznie do nakazu do chwili publikacji tego tekstu.

Terminy, wyjątki i kogo nakaz nie obejmuje

Nakaz dotyczy cywilnych agencji władzy wykonawczej. Nie obejmuje systemów bezpieczeństwa narodowego ani systemów informacji niejawnych, bo w tym zakresie podobne decyzje podejmują sekretarz obrony i dyrektor wywiadu narodowego. Kongres, sądy i władze stanowe również nie są adresatami tego dokumentu.

Agencja, która nie może od razu wycofać produktu, może poprosić o wyjątek, opóźnienie lub ograniczenie zakresu nakazu. Wniosek trzeba złożyć na piśmie w ciągu 60 dni od wydania nakazu.

• 24 lipca 2026 roku - sekretarz DHS podpisuje nakaz wykluczenia i usunięcia nr 2026-01,
• 19 października 2026 roku - zawiadomienie trafia do publicznego wglądu w Federal Register,
• 20 października 2026 roku - planowana oficjalna publikacja zawiadomienia,
• w ciągu 60 dni od wydania nakazu - termin na pisemne wnioski agencji o wyjątek,
• do roku od wydania i potem co roku - przegląd nakazu przez sekretarza DHS.

Co zmienia się względem wcześniejszych zakazów

Wcześniej DeepSeek blokowały pojedyncze instytucje, m.in. marynarka wojenna USA, NASA i biura Departamentu Handlu, a także część stanów, np. Teksas, Wirginia i Nowy Jork. Były to zakazy dotyczące głównie aplikacji na służbowych urządzeniach. Nakaz DHS jest szerszy, bo obejmuje wszystkie cywilne agencje federalne, zamówienia publiczne i produkty pośrednie.

Najwięcej pytań budzi zapis o usługach firm trzecich. Modele DeepSeek mają otwarte wagi i wiele firm uruchamia je na własnych serwerach w USA lub w Europie. Nakaz nie rozróżnia wprost korzystania z chińskiego API i uruchamiania otwartego modelu u innego dostawcy. W naszej ocenie dostawcy oprogramowania dla administracji USA będą musieli wykazać, że ich produkty nie korzystają z modeli DeepSeek.

Co to oznacza dla firm i urzędów w Polsce

Nakaz nie obowiązuje w Polsce ani w UE. W Polsce nie ma zakazu DeepSeek w administracji. Prezes UODO 6 lutego 2025 roku zalecił daleko idącą ostrożność przy korzystaniu z aplikacji i usług DeepSeek, wskazując, że dane użytkowników mogą być przechowywane w Chinach. W odpowiedzi na interpelację poselską z września 2025 roku Ministerstwo Cyfryzacji odesłało do swoich ogólnych zasad bezpiecznego korzystania z modeli językowych w urzędach. W Europie dalej poszły m.in. Włochy, gdzie urząd ochrony danych zablokował aplikację DeepSeek w styczniu 2025 roku.

Bezpośrednie skutki mogą odczuć polskie firmy programistyczne, które sprzedają usługi instytucjom federalnym USA albo ich wykonawcom. Jeśli produkt korzysta z modeli DeepSeek, także uruchamianych lokalnie, warto przygotować listę użytych modeli i plan ich zamiany. W przypadku zwykłych firm decyzja o używaniu DeepSeek pozostaje oceną ryzyka i zgodności z RODO, opisaną szerzej w naszym tekście o cenie i ryzykach DeepSeek V4.1 Flash.