Gli Usa escludono DeepSeek dalle agenzie federali, i suoi agenti sono 12 volte più inclini a seguire istruzioni malevole

Cos’è successo

Il Dipartimento della Sicurezza interna degli Stati Uniti (DHS) ha reso pubblico un ordine che esclude il lab cinese DeepSeek dagli acquisti delle agenzie federali civili e impone loro di rimuovere dai propri sistemi tutti i prodotti dell'azienda e delle sue affiliate, oltre a quelli di terzi "sviluppati usando implementazioni DeepSeek" (in sostanza, costruiti con i suoi modelli o la sua tecnologia). Firmato a fine luglio dal segretario Markwayne Mullin, ma pubblicato solo in questi giorni nel Federal Register (la gazzetta ufficiale americana), l'ordine applica una legge del 2018 sulla sicurezza della catena di fornitura, su raccomandazione del consiglio interministeriale che vigila sugli acquisti federali.

Mullin elenca "molteplici vettori di minaccia", cioè diverse vie d'attacco: le informazioni custodite su server in Cina, dove la legge garantisce alle autorità un ampio accesso alle infrastrutture dei privati; i dati personali raccolti alla creazione dell'account; i prompt di dipendenti pubblici e fornitori, da cui Pechino potrebbe ricavare intelligence su persone e programmi governativi americani; e la possibilità che i modelli stessi contengano malware. In precedenza erano state le singole agenzie (fra le altre la Marina e il Dipartimento del Commercio, già nel 2025) a vietare DeepSeek di propria iniziativa; ora il divieto vale per tutte. La portavoce del ministero degli Esteri cinese Mao Ning ha usato la formula di rito contro "l'estensione eccessiva del concetto di sicurezza nazionale", mentre il ministero del Commercio ha accusato Washington di ignorare l'intesa raggiunta fra il presidente americano Donald Trump e quello cinese Xi Jinping e ha minacciato di prendere "tutte le misure necessarie".

Perché conta

Tre dei quattro motivi elencati da Mullin riguardano i dati che finiscono sui server cinesi, mentre il perimetro dell'ordine segue il modello ovunque venga usato. DeepSeek pubblica infatti i pesi dei propri modelli, che chiunque può scaricare e far girare su server propri senza che le informazioni passino dall'azienda. Vietando anche ciò che è "sviluppato usando" la sua tecnologia, senza distinguere il servizio dai pesi, Washington sposta il criterio dalla destinazione dei dati all'origine del modello.

• Amazon e Microsoft hanno reso disponibile il modello di ragionamento R1 sui propri cloud già a inizio 2025, con i dati che restano sui server di due aziende americane (non esattamente fornitori sospetti). Eppure, a una lettura letterale del testo, anche quelle versioni andrebbero rimosse, dato che l'ordine non definisce cosa voglia dire "sviluppato usando" e ammette solo deroghe caso per caso. L'unico motivo dell'elenco che varrebbe anche per loro, il malware nei modelli, poggia su una ricerca relativa all'app per iPhone, secondo l'International Business Times, che ha esaminato l'ordine. In Europa i provvedimenti hanno colpito invece il servizio: nel gennaio 2025 il Garante italiano per la privacy ha limitato il trattamento dei dati degli utenti italiani da parte delle due società che gestiscono il chatbot. A luglio dello stesso anno il governo ceco ha vietato DeepSeek nell'amministrazione statale anche in ragione dell'ordinamento cinese (a cui l'azienda è "pienamente soggetta", secondo l'agenzia nazionale per la cybersicurezza), escludendo però esplicitamente i modelli open source fatti girare in locale, senza collegamento con i server di DeepSeek. Anche chi diffida dell'origine, insomma, può separare il servizio dai pesi.

• Il CAISI — il centro del governo federale che valuta i modelli di AI — aveva d'altra parte rilevato nel 2025 che gli agenti costruiti sul modello più sicuro di DeepSeek erano in media dodici volte più inclini di quelli americani di frontiera a seguire istruzioni malevole, e che i modelli del lab ripetevano quattro volte più spesso le narrazioni inaccurate del Partito Comunista Cinese. Sono “difetti” di quei modelli, che restano tali anche fuori dai server cinesi, e giustificano più di una cautela nei sistemi pubblici. Se il problema è come si comporta un modello, lo strumento coerente è una verifica che valga per tutti; l'ordine, invece, per ora nomina un'azienda sola. Mancano le cinesi Moonshot e Alibaba (che producono Kimi e Qwen), soggette allo stesso ordinamento e, come DeepSeek, accusate a settembre dalle agenzie di sicurezza americane di aver addestrato i propri modelli sulle risposte di quelli americani. Escludere i prodotti di un Paese rivale dai sistemi dello Stato è legittimo, e Washington lo ha già fatto con Huawei e Kaspersky dichiarandone apertamente il motivo; se il criterio è l'origine, va detto, e applicato allo stesso modo a tutti i lab che vi rientrano.

• Il 20 settembre, alla vigilia della visita di Xi alla Casa Bianca, il segretario al Tesoro Scott Bessent ha proposto al vicepremier He Lifeng un sistema reciproco di notifica degli incidenti di AI che toccano la sicurezza nazionale. Il divieto era stato firmato due mesi prima, ed è diventato pubblico a un mese dal vertice dell'APEC (il forum economico dell'Asia-Pacifico) di Shenzhen, dove Trump e Xi dovrebbero tornare a parlare (anche) di AI. Cooperare sui rischi comuni e chiudere le porte ai prodotti dell'altro possono convivere sulla carta; con la protesta del ministero del Commercio, però, Pechino ha già legato le due cose.

Adesso

• Spetterebbe all'agenzia federale per la cybersicurezza civile (CISA) chiarire fin dove arrivi quello "sviluppato usando": se valga per le versioni riaddestrate da terzi, per i modelli più piccoli ricavati da quelli di DeepSeek, per i servizi che affidano a un suo modello solo una parte delle richieste. Nel frattempo i fornitori federali dovrebbero poter documentare da quali modelli derivano i propri prodotti, una tracciabilità che nell'ecosistema dei pesi aperti, fatto di derivazioni a catena, è tutt'altro che scontata.

• Pechino potrebbe portare il divieto al dialogo bilaterale sull'AI, che secondo Bessent dovrebbe riprendere proprio a Shenzhen, mentre il ministero del Commercio ha già evocato contromisure. Un'estensione dello stesso meccanismo a Moonshot o ad Alibaba, possibile con una nuova raccomandazione del consiglio, renderebbe esplicito il criterio dell'origine, e insieme più difficile quella trattativa.

• Fino al 15 novembre resta in consultazione la proposta con cui il ministero del Commercio cinese considererebbe esportazione, soggetta a licenza, l'installazione su server stranieri dei modelli cinesi più avanzati, ma non l'accesso via API, app e siti; i pesi già pubblicati in open source resterebbero esclusi, e i nuovi rilasci aperti avrebbero una licenza automatica. Per chi in Europa fa girare in casa modelli cinesi aperti proprio per tenere i dati al riparo, l'opzione lasciata aperta da Praga resta valida; sui modelli futuri, però, anche Pechino si darebbe uno strumento per decidere quali pesi escono e quali no.