Analisis Larangan DeepSeek: DHS Melarang TI Sipil karena Risiko China

Sebuah model bisa murah, cepat, dan sepenuhnya memadai untuk demo, lalu menjadi tidak bisa dibeli karena jalur datanya gagal dalam uji pengadaan. Itulah pelajaran praktis dari langkah Department of Homeland Security terhadap DeepSeek. Bagian yang menarik bukan apakah pembeli federal lebih menyukai satu chatbot dibanding yang lain. Yang penting adalah bahwa fakta rantai pasok AI—ke mana prompt pergi, siapa pemilik model, dan perangkat lunak lain apa yang dibangun di atasnya—kini menjadi fakta kontrak.

Apa yang sebenarnya diperintahkan DHS

Menurut pemberitahuan Federal Register yang diterbitkan pada 20 Okt. 2026, DHS menggunakan Federal Acquisition Supply Chain Security Act of 2018 setelah peninjauan oleh Federal Acquisition Security Council. Pemberitahuan tersebut mencakup produk dan layanan TI dari Hangzhou DeepSeek Artificial Intelligence Co., Ltd. dan entitas terafiliasi. Kata kerja utamanya adalah mengecualikan dan menghapus: lembaga sipil harus berhenti membeli penawaran terkait DeepSeek yang tercakup dan menarik produk yang tercakup dari teknologi informasi lembaga.

Pilihan penyusunan yang penting adalah bahwa DHS tidak berhenti pada perusahaan yang disebutkan. Pemberitahuan Federal Register juga mencakup afiliasi DeepSeek serta produk atau layanan vendor yang dibangun dengan implementasi DeepSeek. Dalam bahasa pengadaan yang sederhana, pemasok tidak bisa menyelesaikan ini dengan mengatakan bahwa DeepSeek hanya berada satu lapis di bawah dalam stack dan karena itu menjadi masalah orang lain.

@title Apa saja yang terkena penghapusan
@source Federal Register

  Civilian agency IT
     │
     ├─ DeepSeek products
     ├─ Affiliate products
     └─ Third party products
           │
           └─ DeepSeek implementations

@caption Pemberitahuan DHS mencakup DeepSeek, afiliasi, dan produk vendor yang dibangun dengan DeepSeek.

Bagi pembeli di lembaga, ini berarti pesanan pembelian hanyalah setengah dari pemeriksaan. Inventaris, riwayat integrasi, dan pernyataan vendor juga penting. Jika sebuah alat menggunakan implementasi DeepSeek selama pengembangan, bahasa penghapusan tersebut memberi tim pengadaan alasan untuk mengajukan pertanyaan lanjutan yang tidak nyaman sebelum perpanjangan.

Mengapa ini dibingkai sebagai risiko rantai pasok

CyberScoop melaporkan bahwa DHS menyebutkan kekhawatiran termasuk data yang berpindah ke server di Tiongkok, kemungkinan malware, dan risiko yang lebih luas terhadap sistem TI federal. Laporan yang sama mengatakan bahwa Menteri DHS Markwayne Mullin menggambarkan model DeepSeek sebagai menghadirkan "berbagai vektor ancaman" bagi sistem lembaga sipil. Itu adalah bahasa hukum, bukan penilaian berdasarkan perasaan, dan menempatkan penerapan model dalam keluarga yang sama dengan router berisiko, pustaka perangkat lunak yang disusupi, dan saluran pengadaan yang mencurigakan.

CyberScoop juga melaporkan alasan DHS bahwa DeepSeek menyimpan data di server berbasis Tiongkok dan bahwa undang-undang keamanan nasional Tiongkok dapat memberi pemerintah Tiongkok akses luas ke data perusahaan domestik. Alur kerja prompt dan respons penting di sini karena pengguna lembaga dapat memasukkan informasi sensitif ke dalam sistem, dan DHS memperingatkan bahwa proses tersebut dapat mentransfer data sensitif ke pemerintah Tiongkok. GovInfoSecurity secara terpisah melaporkan peringatan DHS bahwa model tersebut "mungkin mengandung malware atau kerentanan keamanan lainnya."

Semua ini tidak mengharuskan DHS membuktikan bahwa setiap penggunaan DeepSeek berbahaya dalam setiap situasi. Pertanyaan pengadaannya lebih sempit dan lebih tegas: apakah ini dapat diterima pada TI sipil federal, mengingat risiko rantai pasok yang dinilai? Bagi vendor, perbedaan itu penting karena membantah kritik umum terhadap sebuah model tidak sama dengan memenuhi tinjauan risiko pembeli federal.

Siapa yang terseret ke radius ledakan kontrak

GovInfoSecurity melaporkan bahwa aturan pelaksanaan Federal Acquisition Security Council memungkinkan perintah pengecualian dan penghapusan menjangkau kontraktor utama dan subkontraktor yang melayani lembaga federal. Itulah klausul yang harus dibaca dua kali oleh para pembangun. Jika Anda menjual alat peninjauan dokumen, lapisan analitik, atau alur kerja agen kepada lembaga sipil, pemerintah mungkin tidak hanya peduli pada merek Anda di faktur, tetapi juga pada model dan jalur implementasi di bawahnya.

Di sinilah pekerjaan kepatuhan menjadi konkret. Vendor AI yang berhadapan dengan federal kini perlu mengetahui model mana yang tertanam, di mana data pengguna diproses, afiliasi atau penyedia hulu mana yang menyentuh sistem, dan apakah ada komponen pihak ketiga yang dibangun menggunakan implementasi DeepSeek. Menyebutnya sebagai daftar bahan AI bukanlah sihir, tetapi itu adalah jenis artefak yang benar-benar bisa ditinjau oleh tim pengadaan. Pernyataan ceria bahwa vendor menyambut pengawasan tidak akan menggantikan peta dependensi.

Perintah tersebut juga menempatkan tim produk dalam dilema yang sudah dikenal. Kinerja dan harga mungkin mengarah ke satu sisi, sementara akses sektor publik mengarah ke sisi lain. Jika peta jalan Anda mencakup pelanggan pemerintah, pendidikan, atau infrastruktur teregulasi, pemilihan model bukan lagi sekadar preferensi rekayasa.

Tenggat waktu, pengecualian, dan apa yang perlu diperhatikan berikutnya

CyberScoop melaporkan bahwa pemberitahuan tersebut mencakup surat dari Mullin tertanggal 26 Juni, yang menunjukkan bahwa pembatasan itu sudah berlaku sebelum publikasi Federal Register. CyberScoop juga melaporkan bahwa lembaga dapat meminta pengecualian, tetapi harus melakukannya 60 hari sebelumnya dan memberikan alasan yang meyakinkan, seperti kebutuhan misi kritis atau pertimbangan keamanan nasional. Terjemahannya: jalur pengecualian memang ada, tetapi itu bukan tombol keringanan yang bisa ditekan begitu saja.

Pertanyaan praktis berikutnya adalah bagaimana lembaga dan kontraktor mengoperasionalkan klausul turunan tersebut. Perkirakan kuesioner pengadaan akan bertanya lebih langsung tentang asal-usul model, lokasi penyimpanan data, dan dependensi pengembangan. Pembangun yang dapat menjawab pertanyaan-pertanyaan itu dengan jelas akan memiliki percakapan yang lebih mudah; pembangun yang baru menemukan arsitektur mereka dari tinjauan keamanan pelanggan akan menghadapi minggu yang lebih panjang.

Bagi pembaca di luar pengadaan federal, pelajarannya tetap bisa diterapkan. Tata kelola AI semakin tidak berkisar pada prinsip abstrak dan semakin berkisar pada siapa yang dapat mendokumentasikan sistem yang ada di hadapan mereka. Perhatikan apakah pembeli pemerintah lain meniru struktur ini, karena begitu sebuah model menjadi objek rantai pasok, jejak audit akan mengikutinya ke dalam kontrak.