De Amerikaanse overheid heeft de stap gezet die veel organisaties met AI- en IT-leveranciers in spanning houdt: DeepSeek verwijderd uit federale civiele systemen. Volgens een bevel van het Department of Homeland Security (DHS) moeten federale civiele agentschappen niet alleen DeepSeek-producten van hun IT-systemen halen, maar geldt de maatregel ook voor bepaalde derde partijen die oplossingen gebruiken die zijn ontwikkeld met DeepSeek-implementaties.
Het bevel is gedateerd 24 juli 2026 en door DHS gepubliceerd in het Federal Register op 20 oktober. Voor IT-teams en inkoopafdelingen is vooral relevant dat de maatregel niet bij intenties blijft: er staan ook verplichtingen voor overheidscontractanten bij.
Wat bepaalt het DHS-bevel precies?
Het DHS-bevel is uitgevaardigd onder de Federal Acquisition Supply Chain Security Act of 2018. In de kern schrijft het agentschappen voor om:
- DeepSeek-producten te verwijderen uit hun informatie- en IT-systemen;
- ook derdepartyproducten of -diensten te stoppen die zijn ontwikkeld met DeepSeek-implementaties (de exacte afbakening van dat begrip wordt in de melding niet nader gedefinieerd);
- geen nieuwe IT-producten of -diensten meer aan te schaffen van DeepSeek of gelieerde partijen.
Het document benoemt expliciet Hangzhou DeepSeek Artificial Intelligence Co., Ltd., de ontwikkelaar van de R1 en V3 modellen, en breidt de reikwijdte uit naar gelieerde entiteiten volgens de definities uit federale inkoopregels.
Geen verbod voor iedereen, wel voor civiele agentschappen
Volgens de toelichting in de publicatie richt het bevel zich op wat federale civiele agentschappen kopen en gebruiken. Het geldt daarom niet als een generiek verbod voor het bedrijfsleven of voor het brede publiek.
Met andere woorden: het gaat om procurement en inzet binnen het civiele federale domein. Dat maakt het bevel niet minder relevant voor organisaties buiten de overheid, maar wel anders van karakter: je krijgt te maken met veranderende eisen aan leveranciers en contracten, niet alleen met een publieke productban.
Waarom “DeepSeek verwijderd” dit kan raken bij contracten
De maatregel gaat verder dan directe gebruikers. Het DHS-bevel kan namelijk ook regeringscontractanten raken.
Een contractclausule uit de Federal Acquisition Regulation (FAR), aangeduid als FAR clause 52.204-30, zorgt ervoor dat een contractor geen product of dienst mag leveren of gebruiken bij de uitvoering van het contract als het onder een toepasselijke FASCSA order valt—tenzij de uitgevende functionaris een waiver (uitzondering) heeft gegeven.
Verplichtingen voor contractors: wat moeten zij doen?
De clausule legt concrete administratieve en operationele taken neer, zoals:
- ten minste eens per drie maanden zoeken in SAM.gov op de term “FASCSA order”;
- bij nieuwe orders die mogelijk impact hebben op de supply chain: een redelijke inventarisatie uitvoeren;
- als een covered product of dienst wordt gevonden: dit binnen 3 werkdagen melden aan de contracting officer;
- binnen 10 werkdagen extra mitigatie-informatie aanleveren;
- de clausule opnemen in subcontracten.
Ook is bepaald dat een order die geldt ná een lopende aanbesteding, maar één keer van toepassing wordt wanneer de contracting officer de order toevoegt via een amendement of wijziging.
Uitzonderingen en proces: hoe wordt er gereageerd?
De onderliggende wet bepaalt dat uitvoerende agentschappen moeten voldoen aan exclusion- en removal orders. Tegelijk kan een agentschap in theorie een uitzondering aanvragen bij de functionaris die het bevel heeft uitgevaardigd, met een schriftelijke aanvraag en een overtuigende onderbouwing.
In de publicatie wordt ook aangegeven dat er geen uitgewerkte redenen worden genoemd. De Federal Register-publicatie bevat dan ook geen inhoudelijke motivering in tekst, maar verwijst naar een ondertekend bevel dat als bijlage is toegevoegd via gescande pagina’s en online staat op regulations.gov (dossier DHS-2026-0628).
Geen reden genoemd, maar wel een bredere trend van AI-leverancierscontrole
Het bevel lijkt te passen in een bredere lijn: eerder waren beperkingen rond DeepSeek al in losse stappen ingevoerd via device bans, waarbij verschillende instellingen afzonderlijk tot een verbod overgingen. In de periode vóór het DHS-bevel hadden onder meer Congress, NASA, de Navy, het Pentagon en Texas DeepSeek uit overheidsapparaten geweerd (volgens de berichtgeving).
Daarnaast waren er wetgevingsvoorstellen om DeepSeek breder van overheidsapparaten te weren, maar op 21 oktober waren die in behandeling gebleven in commissies.
Het opvallende verschil is dat dit DHS-bevel nadrukkelijk de procurement- en supply chain-kant adresseert, inclusief de manier waarop contractors moeten monitoren, melden en documenteren.
Wat betekent dit voor IT-teams en security teams?
Zelfs als je buiten de Verenigde Staten opereert, kan dit soort acties impact hebben op je leverancierskeuzes, contractvoorwaarden en compliance-processen.
Praktisch gezien zijn er vier aandachtspunten:
- Inventariseer waar AI-componenten en vendor services daadwerkelijk worden ingezet, ook in integraties en “ingekapselde” diensten.
- Check ketenafhankelijkheden: wanneer een derde partij zegt dat het “AI-models” gebruikt, betekent dat niet automatisch dat het los staat van specifieke implementaties.
- Werk je contractclausules bij: zorg dat er afspraken bestaan over comply-or-mitigate wanneer supply-chain regels veranderen.
- Monitor wijzigingen in publieke order- en waarschuwingkanalen en vertaal dit naar interne beslisbomen voor risicoacceptatie.
Als je organisatiestructuur AI-ontwikkeling, inkoop en security audit combineert, wordt dit soort “DeepSeek verwijderd”-besluiten een testcase voor hoe snel je kunt schakelen.
Gerelateerde risico’s: supply chain en AI-runtime aandachtspunten
Dit nieuws raakt aan supply chain security en aan de vraag hoe je omgaat met AI-systemen in de praktijk. Als je wilt doorpakken met de juiste defensieve keuzes, zijn de onderstaande onderwerpen inhoudelijk verwant:
- AI-agent runtime security: Beacon en beleid — voor het beheersen van gedrag en beleidsafstemming tijdens uitvoering.
- AI-software security: focus op volwassenheid — om je organisatiegericht voor te bereiden op dit soort beleidswijzigingen.
- Software Supply Chain Security — als startpunt om de ketenlogica en bijbehorende controles beter te organiseren.
Let op: de links zijn bedoeld als verdieping; ze vervangen geen juridische of compliance-advies voor jouw situatie.
Conclusie: verwijdering en inkoopstop worden supply chain vraagstukken
Met het DHS-bevel is de boodschap duidelijk: DeepSeek verwijderd uit federale civiele IT is niet alleen een technische aanpassing, maar ook een supply chain en contractverplichtingenkwestie. Agentschappen moeten producten en bepaalde derde diensten stopzetten, en contractors krijgen monitoring-, meld- en mitigatie-eisen opgelegd via FAR-clausules.
Voor IT- en securityteams betekent dit dat je niet alleen naar het AI-product kijkt, maar naar de volledige keten: welke implementaties, welke leveranciers, welke integraties, en welke contractuele voorwaarden bepalen of je snel kunt handelen wanneer beleid verandert.
Bron: https://thehackernews.com/2026/10/us-orders-deepseek-removed-from-federal.html
