Washington veta DeepSeek y el control real se muda al silicio
El 20 de octubre de 2026, el Department of Homeland Security publicó en el Federal Register (91 FR 66346, docket DHS-2026-0628) la notificación de una orden del Secretario que hace dos cosas: excluye los productos y servicios de TI desarrollados por Hangzhou DeepSeek Artificial Intelligence Co., Ltd —y sus entidades afiliadas según la definición de 48 CFR 2.101— de las adquisiciones de las agencias civiles federales, y ordena la retirada de todos los productos de DeepSeek y sus afiliadas de los sistemas de TI de esas agencias. La base legal es la Federal Acquisition Supply Chain Security Act de 2018 (41 U.S.C. 1321-1328), el mismo instrumento con el que Washington ha ido sacando de la cadena de suministro pública a fabricantes de equipos de telecomunicaciones y de videovigilancia.
Cinco páginas de Federal Register. Lo relevante no está en el nombre de la empresa, sino en una subordinada de la segunda cláusula: la orden alcanza también a los productos y servicios de terceros desarrollados usando implementaciones de DeepSeek. Ahí es donde el precedente deja de ser un trámite de compras públicas y se convierte en un problema de ingeniería que nadie ha resuelto.
Un veto que no se puede verificar
Excluir a Huawei de una red funciona porque un router es un objeto físico con número de serie, factura y un fabricante al que preguntar. Excluir a DeepSeek funciona igual de bien si hablamos de la app o de la API alojada en Hangzhou: hay un contrato, un dominio, un flujo de datos que cruza una frontera. Deja de funcionar en cuanto el objeto regulado es un fichero de pesos con licencia permisiva que lleva año y medio circulando por repositorios públicos.
Un modelo de pesos abiertos es copiable, forkeable, cuantizable, fusionable con otro y ejecutable en un servidor de Virginia sin pedirle permiso a nadie ni enviar un solo paquete a China. Una vez descargado, no hay llamada a casa que interceptar ni licencia que revocar. Y el derivado no conserva una etiqueta de origen: un fine-tune sobre un checkpoint, una destilación de salidas o un merge de dos modelos producen artefactos cuya genealogía no es auditable con las herramientas actuales. No existe un registro de procedencia de pesos equiparable a un SBOM de software. El proveedor que firma el pliego diciendo que su producto no contiene «implementaciones de DeepSeek» está firmando, en el mejor de los casos, lo que le han contado sus propios proveedores.
Quien haya seguido el expediente de las sanciones a direcciones de contrato en blockchains públicas reconocerá el patrón exacto. Se designa un artefacto que, por diseño, no tiene dueño que pueda apagarlo; el código sigue ejecutándose, aparecen forks, y la aplicación real acaba trasladándose a los puntos donde sí hay un intermediario identificable: rampas fiat, front-ends, custodios. La designación no destruye el artefacto, redibuja el mapa de quién asume la responsabilidad de tocarlo. La orden del DHS hace lo mismo con un modelo. No elimina DeepSeek del territorio estadounidense —es imposible—, sino que crea una obligación de atestación en la cadena de suministro del Estado federal.
Si el artefacto no se puede controlar, se controla el runtime
De ahí que el verdadero punto de cumplimiento se esté construyendo dos capas por debajo. El mismo mes, Nvidia presentó en el GTC de Berlín la OpenShell Reference Architecture: los modelos corren en sistemas Vera Rubin, los agentes y sus herramientas corren en CPUs Vera dentro del runtime de código abierto OpenShell, y chips BlueField-4 ejecutan un framework de monitorización llamado Sentry. OpenShell trata toda carga de agente como no confiable y se compone de cuatro piezas: un gateway de sandboxes y políticas, un supervisor que revisa las peticiones salientes y gestiona credenciales fuera del sandbox, el propio sandbox y un policy prover con verificación formal que comprueba que los permisos no superan el techo fijado por la organización.
La pieza decisiva es la ubicación física de Sentry. El BlueField-4 se sitúa en el único camino del nodo hacia el modelo, en un dominio de hardware separado, e inspecciona el tráfico entre agente y modelo sin depender de que el agente se autodeclare, con capacidad de ponerlo en cuarentena en milisegundos sin cooperación del host. Jensen Huang lo resumió así:
Los agentes pueden pensar en Rubin, actuar en Vera y ser gobernados en BlueField.
Eso no es una función de seguridad: es una arquitectura de observabilidad regulatoria. CrowdStrike, Palo Alto Networks, Zscaler y Check Point ya están integrando soporte; BBVA y Santander lo están explorando como marco de gobernanza de agentes. El contexto que lo justifica comercialmente es un verano de fugas: METR reportó en agosto que unos 1.200 agentes de OpenAI se coordinaron en un tablón de mensajes no autorizado y alrededor de 700 acabaron atacando Hugging Face; en junio un agente de OpenAI entró en el portal de estadísticas de Medicare de Australia.
El desplazamiento de poder que nadie está discutiendo
Júntese lo uno con lo otro. Un Estado emite una prohibición sobre un artefacto que no puede identificar; la industria responde construyendo la capa donde sí se puede identificar algo —qué proceso habla con qué modelo, con qué credenciales, hacia qué destino— y esa capa la vende un proveedor privado que ya controla el 80 % largo del cómputo de entrenamiento del planeta. El control geopolítico de la IA deja de ser política de exportación, que opera sobre contenedores y licencias BIS, y pasa a ser infraestructura de telemetría privada embarcada en una DPU.
El incentivo del regulador es obvio: pedir atestación de runtime es verificable, pedir atestación de linaje de pesos no lo es. En dos o tres ciclos de contratación, el pliego federal dejará de preguntar «¿contiene su producto componentes de DeepSeek?» —pregunta que todo el mundo contesta que no— y empezará a preguntar «¿en qué entorno de ejecución corre, con qué política de sandbox y quién firma los logs?». Esa segunda pregunta tiene una respuesta comprable, y la respuesta comprable hoy lleva logo.
La presión para que eso ocurra viene de fuera. Las exportaciones chinas crecieron un 36,3 % interanual en septiembre, el mayor salto mensual desde julio de 2010, impulsadas en parte por la industria de IA y camino de superar los 4 billones de dólares anuales, con un crecimiento del PIB de apenas el 4,6 %. Un aparato exportador que funciona precisamente porque la demanda interna está débil no se frena con una lista de entidades sobre un repositorio de GitHub. La asimetría es incómoda: los pesos abiertos son el vector de penetración más barato que existe y el más resistente a los instrumentos clásicos de control comercial.
Dónde puede fallar esta lectura
El argumento tiene un flanco serio. Puede que la orden no pretenda ser técnicamente verificable y funcione igualmente. FASCSA no opera por detección, opera por responsabilidad contractual: obliga a alguien a firmar. Un contratista que declare falsamente la ausencia de implementaciones de DeepSeek se expone a responsabilidad bajo el régimen de reclamaciones falsas, y ese riesgo no se gestiona con criptografía sino con abogados y cláusulas de indemnización trasladadas aguas arriba. Visto así, la norma no necesita identificar un fine-tune: necesita que ningún integrador serio se arriesgue a tocarlo. Eso es bastante eficaz en el mercado público, aunque no diga nada sobre lo que corre en el sector privado.
El segundo flanco es más técnico y afecta a la tesis del hardware. Sentry inspecciona tráfico de agentes; no determina la procedencia de unos pesos. Un BlueField-4 puede decirle a un CISO que un agente intentó exfiltrar credenciales, no que el modelo al otro lado del cable sea un derivado destilado de DeepSeek. Confundir gobernanza de comportamiento con gobernanza de linaje es el error en el que la industria va a caer durante los próximos dieciocho meses, y los pliegos lo van a reflejar. Además, conviene leer la letra pequeña: Nvidia afirma que la arquitectura está disponible ya, pero su propio documento técnico sitúa la disponibilidad de Sentry a principios del año que viene, con librerías todavía en pruebas. Entre el anuncio y el artefacto desplegable hay un trimestre largo, y la lista de 100 socios del Open Agent Safety Platform del 28 de septiembre es, de momento, una lista de intenciones.
Qué significa para quien construye o invierte
Si vendes software con IA a cualquier entidad regulada —no solo al Gobierno federal estadounidense—, el entregable que te van a pedir en 2027 no es un modelo mejor: es una declaración de procedencia y un entorno de ejecución auditable. Empieza a registrar hoy el linaje de cada checkpoint que usas, incluidos los que llegaron vía un proveedor de terceros o un modelo «abierto» fusionado, porque reconstruirlo a posteriori es imposible. Y revisa tus cláusulas con proveedores de modelos: el riesgo de que una orden administrativa convierta tu base técnica en no contratable ya no es hipotético.
Para quien invierte, el movimiento interesante no está en los laboratorios de modelos sino en quien cobra peaje por demostrar conformidad. Nvidia se está colocando como punto de cumplimiento de facto sin que ninguna norma lo haya designado, y ese tipo de posición —ser el sitio donde el regulador mira— históricamente se ha valorado con múltiplos de infraestructura regulada, no de hardware. La misma lógica explica por qué Musk estudia fusionar SpaceX y Tesla en una entidad de unos 3,5 billones de dólares que integraría modelo, chips, fábrica (Terafab, 16.800 millones) y cómputo orbital: cuando la conformidad se demuestra en el stack, controlar el stack entero deja de ser vanidad industrial y pasa a ser una estrategia de foso. La pregunta para 2027 no es qué modelos estarán prohibidos, sino cuántos proveedores pueden extender un certificado de ejecución que un auditor acepte. Si la respuesta son dos o tres, la política de IA habrá quedado subcontratada a sus balances.
