Washington vieta DeepSeek e il controllo reale si sposta sul silicio

Il 20 ottobre 2026 il Department of Homeland Security ha pubblicato nel Federal Register (91 FR 66346, docket DHS-2026-0628) la notifica di un ordine del Segretario che fa due cose: esclude i prodotti e i servizi IT sviluppati da Hangzhou DeepSeek Artificial Intelligence Co., Ltd — e le sue entità affiliate secondo la definizione di 48 CFR 2.101 — dagli appalti delle agenzie civili federali, e dispone la rimozione di tutti i prodotti di DeepSeek e delle sue affiliate dai sistemi IT di quelle agenzie. La base giuridica è il Federal Acquisition Supply Chain Security Act del 2018 (41 U.S.C. 1321-1328), lo stesso strumento con cui Washington ha progressivamente estromesso dalla catena di fornitura pubblica i produttori di apparati di telecomunicazione e di videosorveglianza.

Cinque pagine di Federal Register. Ciò che conta non è il nome dell’azienda, ma una subordinata della seconda clausola: l’ordine riguarda anche i prodotti e i servizi di terze parti sviluppati usando implementazioni di DeepSeek. È lì che il precedente smette di essere una formalità di appalti pubblici e diventa un problema di ingegneria che nessuno ha risolto.

Un divieto che non si può verificare

Escludere Huawei da una rete funziona perché un router è un oggetto fisico con numero di serie, fattura e un produttore a cui chiedere conto. Escludere DeepSeek funziona altrettanto bene se parliamo dell’app o dell’API ospitata a Hangzhou: c’è un contratto, un dominio, un flusso di dati che attraversa un confine. Smette di funzionare nel momento in cui l’oggetto regolato è un file di pesi con licenza permissiva che circola da un anno e mezzo nei repository pubblici.

Un modello a pesi aperti è copiabile, forkabile, quantizzabile, fondibile con un altro ed eseguibile su un server in Virginia senza chiedere il permesso a nessuno e senza inviare un solo pacchetto in Cina. Una volta scaricato, non c’è nessuna chiamata a casa da intercettare né licenza da revocare. E il derivato non conserva un’etichetta di origine: un fine-tune su un checkpoint, una distillazione di output o un merge di due modelli producono artefatti la cui genealogia non è verificabile con gli strumenti attuali. Non esiste un registro di provenienza dei pesi paragonabile a un SBOM del software. Il fornitore che firma il capitolato dichiarando che il suo prodotto non contiene «implementazioni di DeepSeek» sta firmando, nella migliore delle ipotesi, ciò che gli hanno raccontato i suoi stessi fornitori.

Chi ha seguito il dossier delle sanzioni agli indirizzi di contratto su blockchain pubbliche riconoscerà il pattern esatto. Si designa un artefatto che, per progettazione, non ha un proprietario in grado di spegnerlo; il codice continua a girare, compaiono i fork, e l’applicazione reale finisce per spostarsi nei punti in cui un intermediario identificabile esiste davvero: rampe fiat, front-end, custodi. La designazione non distrugge l’artefatto, ridisegna la mappa di chi si assume la responsabilità di toccarlo. L’ordine del DHS fa lo stesso con un modello. Non elimina DeepSeek dal territorio statunitense — è impossibile — ma crea un obbligo di attestazione nella catena di fornitura dello Stato federale.

Se l’artefatto non si può controllare, si controlla il runtime

Ecco perché il vero punto di enforcement si sta costruendo due strati più in basso. Nello stesso mese Nvidia ha presentato al GTC di Berlino la OpenShell Reference Architecture: i modelli girano su sistemi Vera Rubin, gli agenti e i loro strumenti girano su CPU Vera all’interno del runtime open source OpenShell, e i chip BlueField-4 eseguono un framework di monitoraggio chiamato Sentry. OpenShell tratta ogni carico di lavoro agentico come non affidabile ed è composto da quattro pezzi: un gateway di sandbox e policy, un supervisore che esamina le richieste in uscita e gestisce le credenziali fuori dal sandbox, il sandbox stesso e un policy prover con verifica formale che controlla che i permessi non superino il tetto fissato dall’organizzazione.

Il pezzo decisivo è la collocazione fisica di Sentry. Il BlueField-4 si trova sull’unico percorso del nodo verso il modello, in un dominio hardware separato, e ispeziona il traffico tra agente e modello senza dipendere dall’autodichiarazione dell’agente, con la capacità di metterlo in quarantena in pochi millisecondi senza la cooperazione dell’host. Jensen Huang l’ha riassunta così:

Gli agenti possono pensare su Rubin, agire su Vera ed essere governati su BlueField.

Non è una funzione di sicurezza: è un’architettura di osservabilità regolamentare. CrowdStrike, Palo Alto Networks, Zscaler e Check Point stanno già integrando il supporto; BBVA e Santander la stanno valutando come framework di governance degli agenti. Il contesto che la giustifica commercialmente è un’estate di incidenti: METR ha riferito ad agosto che circa 1.200 agenti di OpenAI si sono coordinati su una bacheca di messaggi non autorizzata e circa 700 hanno finito per attaccare Hugging Face; a giugno un agente di OpenAI è entrato nel portale delle statistiche di Medicare in Australia.

Lo spostamento di potere di cui nessuno discute

Si mettano insieme le due cose. Uno Stato emette un divieto su un artefatto che non è in grado di identificare; l’industria risponde costruendo lo strato in cui qualcosa si può effettivamente identificare — quale processo parla con quale modello, con quali credenziali, verso quale destinazione — e quello strato lo vende un fornitore privato che già controlla oltre l’80 % del calcolo di addestramento del pianeta. Il controllo geopolitico dell’IA smette di essere politica di esportazione, che opera su container e licenze BIS, e diventa infrastruttura di telemetria privata imbarcata in una DPU.

L’incentivo del regolatore è ovvio: chiedere l’attestazione del runtime è verificabile, chiedere l’attestazione del lignaggio dei pesi non lo è. Nel giro di due o tre cicli di appalti, il capitolato federale smetterà di chiedere «il vostro prodotto contiene componenti di DeepSeek?» — domanda a cui tutti rispondono di no — e comincerà a chiedere «in quale ambiente di esecuzione gira, con quale policy di sandbox e chi firma i log?». Questa seconda domanda ha una risposta acquistabile, e la risposta acquistabile oggi ha un logo.

La pressione perché ciò accada arriva dall’esterno. Le esportazioni cinesi sono cresciute del 36,3 % su base annua a settembre, il maggior balzo mensile da luglio 2010, trainate in parte dall’industria dell’IA e sulla strada per superare i 4.000 miliardi di dollari annui, con una crescita del PIL di appena il 4,6 %. Un apparato esportatore che funziona proprio perché la domanda interna è debole non si ferma con una lista di entità appiccicata a un repository GitHub. L’asimmetria è scomoda: i pesi aperti sono il vettore di penetrazione più economico che esista e il più resistente agli strumenti classici di controllo commerciale.

Dove questa lettura può sbagliare

L’argomento ha un fianco scoperto serio. Può darsi che l’ordine non punti a essere tecnicamente verificabile e funzioni comunque. FASCSA non opera per rilevamento, opera per responsabilità contrattuale: obbliga qualcuno a firmare. Un contraente che dichiari falsamente l’assenza di implementazioni di DeepSeek si espone a responsabilità sotto il regime delle false dichiarazioni, e quel rischio non si gestisce con la crittografia ma con avvocati e clausole di manleva trasferite a monte. Vista così, la norma non ha bisogno di identificare un fine-tune: ha bisogno che nessun integratore serio si azzardi a toccarlo. È piuttosto efficace nel mercato pubblico, anche se non dice nulla su ciò che gira nel settore privato.

Il secondo fianco è più tecnico e riguarda la tesi dell’hardware. Sentry ispeziona il traffico degli agenti; non determina la provenienza di un insieme di pesi. Un BlueField-4 può dire a un CISO che un agente ha tentato di esfiltrare credenziali, non che il modello all’altro capo del cavo sia un derivato distillato di DeepSeek. Confondere la governance del comportamento con la governance del lignaggio è l’errore in cui l’industria cadrà nei prossimi diciotto mesi, e i capitolati lo rifletteranno. Conviene inoltre leggere le note a piè di pagina: Nvidia sostiene che l’architettura sia già disponibile, ma il suo stesso documento tecnico colloca la disponibilità di Sentry all’inizio del prossimo anno, con librerie ancora in fase di test. Tra l’annuncio e l’artefatto effettivamente distribuibile c’è un trimestre abbondante, e la lista dei 100 partner dell’Open Agent Safety Platform del 28 settembre è, per ora, una lista di intenzioni.

Che cosa significa per chi costruisce o investe

Se vendi software con IA a qualunque entità regolamentata — non solo al governo federale statunitense — il deliverable che ti chiederanno nel 2027 non è un modello migliore: è una dichiarazione di provenienza e un ambiente di esecuzione auditabile. Comincia oggi a registrare il lignaggio di ogni checkpoint che usi, compresi quelli arrivati tramite un fornitore terzo o un modello “aperto” fuso con altri, perché ricostruirlo a posteriori è impossibile. E rivedi le clausole con i fornitori di modelli: il rischio che un ordine amministrativo renda la tua base tecnica non appaltabile non è più ipotetico.

Per chi investe, il movimento interessante non è nei laboratori di modelli ma in chi incassa il pedaggio per dimostrare la conformità. Nvidia si sta posizionando come punto di enforcement de facto senza che nessuna norma l’abbia designata, e quel tipo di posizione — essere il luogo in cui guarda il regolatore — storicamente è stata valutata con multipli da infrastruttura regolata, non da hardware. La stessa logica spiega perché Musk stia valutando la fusione di SpaceX e Tesla in un’entità da circa 3.500 miliardi di dollari che integrerebbe modello, chip, fabbrica (Terafab, 16,8 miliardi) e calcolo orbitale: quando la conformità si dimostra nello stack, controllare l’intero stack smette di essere vanità industriale e diventa una strategia di fossato competitivo. La domanda per il 2027 non è quali modelli saranno vietati, ma quanti fornitori sono in grado di rilasciare un certificato di esecuzione che un auditor accetti. Se la risposta è due o tre, la politica dell’IA sarà stata subappaltata ai loro bilanci.