DeepSeek प्रतिबंध विश्लेषण: चीन जोखिम को लेकर DHS ने नागरिक IT पर रोक लगाई

कोई मॉडल डेमो के लिए सस्ता, तेज़ और पूरी तरह पर्याप्त हो सकता है, फिर खरीदना असंभव हो सकता है क्योंकि उसका डेटा पाथ खरीद-प्रक्रिया की जाँच में विफल हो जाता है। DeepSeek के खिलाफ Department of Homeland Security की कार्रवाई से यही व्यावहारिक सीख मिलती है। दिलचस्प बात यह नहीं है कि संघीय खरीदारों को एक चैटबॉट दूसरे से ज़्यादा पसंद है या नहीं। बात यह है कि AI सप्लाई चेन से जुड़े तथ्य—प्रॉम्प्ट कहाँ जाते हैं, मॉडल का मालिक कौन है, और उस पर कौन-सा दूसरा सॉफ़्टवेयर बनाया गया—अब अनुबंध से जुड़े तथ्य बन गए हैं।

DHS ने वास्तव में क्या आदेश दिया

20 अक्तूबर, 2026 को प्रकाशित Federal Register नोटिस के अनुसार, DHS Federal Acquisition Security Council की समीक्षा के बाद Federal Acquisition Supply Chain Security Act of 2018 का उपयोग कर रहा है। यह नोटिस Hangzhou DeepSeek Artificial Intelligence Co., Ltd. और उससे संबद्ध संस्थाओं के IT उत्पादों और सेवाओं को कवर करता है। मुख्य क्रियाएँ हैं exclude और remove: नागरिक एजेंसियों को कवर किए गए DeepSeek-संबंधित ऑफ़र खरीदना बंद करना है और कवर किए गए उत्पादों को एजेंसी की सूचना प्रौद्योगिकी से हटाना है।

महत्वपूर्ण ड्राफ्टिंग विकल्प यह है कि DHS नामित कंपनी पर ही नहीं रुका। Federal Register नोटिस DeepSeek से संबद्ध संस्थाओं और DeepSeek implementations के साथ बनाए गए विक्रेता उत्पादों या सेवाओं तक भी पहुँचता है। सरल खरीद-प्रक्रिया वाली अंग्रेज़ी में, कोई सप्लायर यह कहकर समस्या हल नहीं कर सकता कि DeepSeek स्टैक में सिर्फ़ एक लेयर नीचे है और इसलिए यह किसी और की समस्या है।

@title हटाने की कार्रवाई कहाँ तक पहुँचती है
@source Federal Register

  Civilian agency IT
     │
     ├─ DeepSeek products
     ├─ Affiliate products
     └─ Third party products
           │
           └─ DeepSeek implementations

@caption DHS नोटिस DeepSeek, संबद्ध संस्थाओं और DeepSeek के साथ बने विक्रेता उत्पादों तक पहुँचता है।

एजेंसी खरीदारों के लिए, इसका मतलब है कि purchase order जाँच का सिर्फ़ आधा हिस्सा है। इन्वेंटरी, इंटीग्रेशन इतिहास और विक्रेता के सत्यापन भी मायने रखते हैं। अगर किसी टूल ने विकास के दौरान DeepSeek implementations का उपयोग किया है, तो हटाने वाली भाषा procurement टीमों को नवीनीकरण से पहले असुविधाजनक follow-up सवाल पूछने का कारण देती है।

इसे सप्लाई चेन जोखिम के रूप में क्यों पेश किया गया है

CyberScoop ने रिपोर्ट किया कि DHS ने ऐसी चिंताओं का हवाला दिया जिनमें डेटा का चीन में सर्वरों पर जाना, संभावित malware और संघीय IT सिस्टमों के लिए व्यापक जोखिम शामिल हैं। उसी रिपोर्ट में कहा गया कि DHS Secretary Markwayne Mullin ने DeepSeek मॉडल्स को नागरिक एजेंसी सिस्टमों के लिए "multiple threat vectors" पेश करने वाला बताया। यह कानूनी भाषा है, कोई माहौल-आधारित आकलन नहीं, और यह मॉडल deployment को जोखिम भरे routers, compromised software libraries और संदिग्ध procurement channels वाले ही परिवार में रखती है।

CyberScoop ने DHS का यह तर्क भी रिपोर्ट किया कि DeepSeek डेटा को चीन-आधारित सर्वरों पर संग्रहीत करता है और चीनी राष्ट्रीय सुरक्षा कानून चीनी सरकार को घरेलू कंपनी डेटा तक व्यापक पहुँच दे सकते हैं। यहाँ prompt और response workflow मायने रखता है क्योंकि एजेंसी उपयोगकर्ता सिस्टम में संवेदनशील जानकारी डाल सकते हैं, और DHS ने चेतावनी दी कि यह प्रक्रिया संवेदनशील डेटा को चीनी सरकार तक पहुँचा सकती है। GovInfoSecurity ने अलग से DHS की यह चेतावनी रिपोर्ट की कि मॉडल्स में "malware or other security vulnerabilities" हो सकती हैं।

इनमें से किसी भी बात के लिए DHS को यह साबित करने की ज़रूरत नहीं है कि DeepSeek का हर उपयोग हर सेटिंग में हानिकारक है। खरीद-प्रक्रिया का सवाल संकरा और अधिक गंभीर है: आंके गए सप्लाई चेन जोखिम को देखते हुए, क्या यह संघीय नागरिक IT पर स्वीकार्य है? विक्रेताओं के लिए, यह अंतर मायने रखता है क्योंकि किसी मॉडल की सामान्य आलोचना का जवाब देना, संघीय खरीदार की जोखिम समीक्षा को संतुष्ट करने जैसा नहीं है।

अनुबंध के प्रभाव-क्षेत्र में कौन खिंचता है

GovInfoSecurity ने रिपोर्ट किया कि Federal Acquisition Security Council का implementing rule exclusion और removal orders को संघीय एजेंसियों की सेवा करने वाले prime contractors और subcontractors तक पहुँचने की अनुमति देता है। यह वह clause है जिसे builders को दो बार पढ़ना चाहिए। अगर आप किसी नागरिक एजेंसी को document review tool, analytics layer या agent workflow बेचते हैं, तो सरकार को invoice पर आपके brand के साथ-साथ नीचे मौजूद model और implementation path की भी परवाह हो सकती है।

यहीं compliance का काम ठोस हो जाता है। संघीय बाज़ार का सामना करने वाले AI vendor को अब यह जानना होगा कि कौन-से models embedded हैं, user data कहाँ process होता है, कौन-सी affiliates या upstream providers system को touch करती हैं, और क्या कोई third-party component DeepSeek implementations का उपयोग करके बनाया गया था। इसे AI bill of materials कहना कोई जादू नहीं है, लेकिन यह ऐसा artifact है जिसे procurement teams वास्तव में review कर सकती हैं। यह cheerful statement कि vendor oversight का स्वागत करता है, dependency map की जगह नहीं लेगा।

यह आदेश product teams को एक परिचित दुविधा में भी डालता है। Performance और price एक दिशा दिखा सकते हैं, जबकि public sector access दूसरी। अगर आपके roadmap में government, education या regulated infrastructure customers शामिल हैं, तो model selection अब सिर्फ़ engineering preference नहीं रह गया है।

समय-सीमाएँ, अपवाद और आगे क्या देखना है

CyberScoop ने रिपोर्ट किया कि नोटिस में Mullin का 26 जून का एक letter शामिल है, जो संकेत देता है कि restriction Federal Register publication से पहले ही लागू था। CyberScoop ने यह भी रिपोर्ट किया कि agencies exceptions माँग सकती हैं, लेकिन उन्हें ऐसा 60 दिन पहले करना होगा और compelling justification देना होगा, जैसे mission critical need या national security considerations। सरल शब्दों में: exception path मौजूद है, लेकिन यह कोई casual waiver button नहीं है।

अगला व्यावहारिक सवाल यह है कि agencies और contractors derivative clause को कैसे operationalize करते हैं। उम्मीद करें कि procurement questionnaires model provenance, data residency और development dependencies के बारे में अधिक सीधे सवाल पूछेंगे। जो builders इन सवालों का साफ़ जवाब दे सकेंगे, उनकी बातचीत आसान होगी; जो builders customer security reviews से अपनी architecture discover करेंगे, उनका सप्ताह लंबा होगा।

Federal procurement से बाहर के पाठकों के लिए भी सीख लागू होती है। AI governance अब abstract principles के बारे में कम और इस बारे में अधिक हो रही है कि सामने मौजूद system को कौन document कर सकता है। देखें कि क्या दूसरे government buyers इस structure को copy करते हैं, क्योंकि एक बार model supply chain object बन जाता है, audit trail उसके साथ contract में चली जाती है।