20 października 2026 roku w amerykańskim Federal Register opublikowano rozporządzenie Departamentu Bezpieczeństwa Wewnętrznego (DHS), które każe usunąć produkty DeepSeek z systemów federalnych agencji cywilnych. Samo rozporządzenie podpisano już 24 lipca, upubliczniono je dopiero teraz.
Najważniejsze na start: to nie jest zakaz dla firm. Nie dotyczy prywatnych przedsiębiorstw ani użytkowników w USA, a tym bardziej w Polsce.
Temat jest jednak na stole z innego powodu. Kilka dni wcześniej DeepSeek wypuścił nowy model V4.1 Flash, a w tym samym tygodniu także API do wyszukiwania w sieci, więc wiele firm właśnie zastanawia się, czy podpiąć go do swoich automatyzacji. Poniżej rozpisaliśmy, co dokładnie się stało, co mówią polskie urzędy i jak zdecydować u siebie.
Co dokładnie zrobiły USA (i czego nie zrobiły)
Rozporządzenie DHS ma dwie części (Federal Register, PDF):
- Zakupy: federalne agencje cywilne nie mogą kupować produktów i usług IT od Hangzhou DeepSeek Artificial Intelligence i podmiotów z nim powiązanych.
- Usunięcie: agencje muszą usunąć ze swoich systemów wszystkie produkty DeepSeek, a także produkty i usługi innych firm „opracowane z użyciem implementacji DeepSeek”.
Agencje mają 60 dni od wydania rozkazu, żeby poprosić o wyjątek. Wnioski rozpatruje CISA (BleepingComputer, CNBC).
Uzasadnienie: dane użytkowników rządowych mogą być dostępne dla władz Chin na mocy chińskiego prawa (TechCrunch). Chińskie MSZ odpowiedziało, że sprzeciwia się „nadużywaniu pojęcia bezpieczeństwa narodowego”.
Czego rozporządzenie nie obejmuje:
- firm prywatnych i zwykłych użytkowników,
- Departamentu Obrony, który zresztą blokuje DeepSeek w swoich sieciach od stycznia 2025 roku (The Register, CNBC).
Jedna rzecz jest niejasna nawet dla Amerykanów: co to znaczy „produkt opracowany z użyciem DeepSeek”. The Register zwraca uwagę na bramki AI, takie jak OpenRouter czy Vercel AI Gateway. Przez nie można korzystać z modeli DeepSeek, nawet o tym nie wiedząc. Do tego wątku wrócimy w checkliście, bo dotyczy też polskich firm.
Czy DeepSeek jest zakazany w Polsce?
Nie. W Polsce nie ma zakazu DeepSeek ani dla firm, ani dla administracji.
Do 22 października nie znaleźliśmy żadnej reakcji polskich organów na decyzję USA: ani UODO, ani Ministerstwa Cyfryzacji, ani CERT Polska. Polskie media relacjonują tylko samą decyzję amerykańską (TVN24).
Co powiedział UODO o DeepSeek?
6 lutego 2025 roku Prezes UODO wydał komunikat, w którym zaleca „daleko idącą ostrożność” w korzystaniu z aplikacji i usług DeepSeek (UODO). To zalecenie, nie decyzja i nie zakaz.
Powody, które podał UODO:
- według polityki prywatności DeepSeek dane użytkowników mogą być przechowywane na serwerach w Chinach,
- Chiny nie mają decyzji Komisji Europejskiej stwierdzającej odpowiedni stopień ochrony danych,
- rząd Chin ma szerokie uprawnienia dostępu do danych.
UODO zapowiedział współpracę z innymi organami w Europejskiej Radzie Ochrony Danych. Nowego stanowiska od tamtej pory nie ma.
Jeśli więc pytasz o DeepSeek i RODO: urząd nie zabronił, ale wprost wskazał problem z przekazywaniem danych osobowych do Chin.
Co mówi Ministerstwo Cyfryzacji?
W lutym 2025 minister cyfryzacji mówił, że rząd przegląda usługi AI, ale wyłączenia DeepSeek nie planuje (CRN).
We wrześniu 2025, w odpowiedzi na interpelację nr 8083, ministerstwo potwierdziło: zakazu nie ma (odpowiedź MC, PDF). Urzędników odesłało do rekomendacji, żeby nie wpisywać do narzędzi generatywnej AI wewnętrznych informacji urzędowych ani danych osobowych. Ograniczenie byłoby możliwe przez rekomendację Pełnomocnika Rządu ds. Cyberbezpieczeństwa. Ministerstwo promuje też polski model PLLuM do przetwarzania danych lokalnie.
A reszta Unii?
Zakazów w ścisłym sensie jest mniej, niż sugerują nagłówki:
- Włochy: w styczniu 2025 tamtejszy urząd ochrony danych ograniczył przetwarzanie danych użytkowników z Włoch przez DeepSeek (Garante). To blokada aplikacji i czatu, nie modelu.
- Niemcy (Berlin): w czerwcu 2025 berlińska rzeczniczka ochrony danych zgłosiła aplikacje DeepSeek do Apple i Google jako treść nielegalną, z powodu transferu danych do Chin (Datenschutz Berlin).
- Czechy: w lipcu 2025 czeski urząd cyberbezpieczeństwa NÚKIB ostrzegł przed produktami DeepSeek, w tym API, i ocenił zagrożenie jako wysokie (NÚKIB).
Czeskie ostrzeżenie zawiera zdanie, które jest kluczem do całego tematu. O nim za chwilę.
Dwa różne „DeepSeeki”: API w Chinach i model open-weight
Kiedy ktoś mówi „używamy DeepSeek”, może chodzić o dwie zupełnie różne rzeczy.
1. API i aplikacja DeepSeek. Wysyłasz zapytanie na serwery firmy. Polityka prywatności DeepSeek mówi wprost, że dane osobowe są zbierane, przetwarzane i przechowywane w Chińskiej Republice Ludowej (polityka prywatności). Tego dotyczą ostrzeżenia UODO i decyzje z Włoch czy Berlina.
2. Otwarty model (open-weight). Wagi najnowszego modelu DeepSeek-V4.1-Flash-1017 są dostępne na licencji MIT, także do użytku komercyjnego. Taki model można uruchomić na własnym serwerze albo u dostawcy w innym kraju. Wtedy dane nie trafiają do DeepSeek.
To rozróżnienie zapisał czeski NÚKIB: jego ostrzeżenie nie dotyczy otwartych modeli DeepSeek uruchamianych lokalnie, bez łączności z serwerami DeepSeek. Z tego, co znaleźliśmy, to jedyny organ w UE, który powiedział to wprost.
Uwaga: amerykańskie rozporządzenie takiego rozróżnienia nie robi. Obejmuje też produkty innych firm „opracowane z użyciem” DeepSeek i nie precyzuje, co to znaczy. Nie można więc powiedzieć, że w USA model open-weight jest „w porządku”.
Jak postawić DeepSeek lokalnie i czy to ma sens w małej firmie?
Technicznie się da. Praktycznie, z najnowszym modelem, raczej nie.
DeepSeek-V4.1-Flash-1017, opublikowany na Hugging Face 17 października, ma według metadanych około 763 mld parametrów i około 510 GB plików wag (Hugging Face). To nie jest model na jedną kartę graficzną w biurze.
Dla małej firmy realne są dwie drogi:
- dostawca, który hostuje model open-weight i przetwarza dane w UE (przed wyborem sprawdź w umowie, gdzie fizycznie są serwery i kto jest podprzetwarzającym),
- mniejszy otwarty model na własnym sprzęcie. Jak to wygląda w praktyce, opisaliśmy w tekście o lokalnym LLM Qwen na karcie RTX 4090.
Ile kosztuje DeepSeek?
Cennika tokenów dla V4.1 Flash nie podajemy, bo nie udało nam się go potwierdzić u źródła. Pewna jest cena nowego Search API i Fetch API (wyszukiwanie w sieci i pobieranie stron dla agentów AI): 0,75 USD za 1000 udanych zapytań, osobno za każde z nich. Puste wyniki i błędy nie są liczone (dokumentacja DeepSeek).
Wywołania przez część narzędzi, m.in. Claude Code i Codex, są na razie darmowe. Płatność rusza 1 listopada 2026. Dla firm, które budują agentów, to kusząca oferta. Tym bardziej warto wiedzieć, co się do tego API wysyła.
Przetargi, administracja i duzi klienci
Jeśli startujesz w przetargach albo jesteś podwykonawcą administracji, sprawa ma jeszcze jeden wymiar.
Od 3 kwietnia 2026 obowiązuje nowelizacja ustawy o krajowym systemie cyberbezpieczeństwa (wdraża NIS2). Wprowadziła procedurę uznania firmy za dostawcę wysokiego ryzyka, o czym decyduje Minister Cyfryzacji (prawo.pl). Za tym poszła nowa przesłanka w Prawie zamówień publicznych: zamawiający odrzuca ofertę, która obejmuje produkt ICT tego typu, który wskazano w decyzji o uznaniu dostawcy za dostawcę wysokiego ryzyka. Nie chodzi więc o każdy produkt takiego dostawcy (art. 226 ust. 1 pkt 19 PZP, zamowienia.org.pl).
Stan na dziś:
- mechanizm istnieje, ale wobec DeepSeek nie został użyty, decyzji o uznaniu go za dostawcę wysokiego ryzyka nie znaleźliśmy,
- przepisy o dostawcach wysokiego ryzyka Prezydent skierował do Trybunału Konstytucyjnego.
Nasza rada: niezależnie od przepisów przeczytaj SWZ i umowę z klientem. Zamawiający i duzi klienci często stawiają własne wymagania co do tego, gdzie przetwarzane są dane i kto jest podprzetwarzającym. Chińskie API może tam nie przejść, nawet jeśli żaden przepis go nie zakazuje.
Checklista na 15 minut: DeepSeek w Twojej firmie
- Co wysyłasz do API? Jeśli dane osobowe klientów, pracowników albo tajemnicę firmy, to trafiają one na serwery w Chinach. Tu UODO zaleca daleko idącą ostrożność.
- Dla kogo pracujesz? Sektor publiczny, podmioty objęte NIS2 albo duzi klienci z własnymi wymogami? Sprawdź umowy, zanim podepniesz DeepSeek API.
- Czy korzystasz z bramki AI? OpenRouter i podobne usługi mogą kierować zapytania do modeli DeepSeek bez Twojej wiedzy. Sprawdź ustawienia scenariuszy w Make czy n8n i przypnij konkretnego dostawcę oraz region.
- Jeśli punkt 1 lub 2 to „tak”, przenieś te zadania na model open-weight hostowany w UE albo na mniejszy model lokalny.
- Dane anonimowe, testy, prototypy? Tu DeepSeek API może być rozsądnym wyborem. Ważne, żeby była to świadoma decyzja, a nie przypadek.
Podsumowanie
USA usuwają DeepSeek z urzędów federalnych, ale firm to nie dotyczy. W Polsce zakazu nie ma, jest ostrzeżenie UODO z 2025 roku. Prawdziwe pytanie nie brzmi „DeepSeek czy nie”, tylko „gdzie trafiają moje dane”. API oznacza serwery w Chinach. Model open-weight uruchomiony w UE to zupełnie inna sytuacja.
Więcej o tym, na co uważać przy wpisywaniu danych do narzędzi AI, przeczytasz w tekście o bezpieczeństwie danych.
Używasz AI w automatyzacjach i nie wiesz, gdzie trafiają dane? Napisz do nas. Przejrzymy Twoje scenariusze Make i n8n i wskażemy, co warto przenieść na model przetwarzający dane w UE.
