DHS DeepSeek 禁止は納入ベンダーの製品にも及ぶ

政府がDeepSeekを対象にした理由

連邦調達セキュリティ評議会は、DeepSeekのモデル、コード、サービスが、連邦のコンピューティング環境にサプライチェーン上の脆弱性、データ流出のリスク、完全性への脅威をもたらすと結論づけました。法律事務所Haynes Booneによると、命令のリスク概要は、DeepSeekのサーバーが中国にあり、同国の法制度が政府のサイバー部門や情報機関に民間企業のインフラへ広くアクセスする権限を与えている点を挙げています。

概要には具体的なリスクがいくつも並びます。DeepSeekがホストするモデルのアカウント登録では個人を特定できる情報が収集され、利用者の追跡やフィンガープリント取得が行われる可能性があります。最も広く使われているアプリに入力したプロンプトが、機微なデータを中国へ送るおそれもあります。モデル自体にマルウェアなどの脆弱性が含まれる可能性があり、命令はDeepSeekのiOSアプリで複数の重大な欠陥を見つけた調査を引用しています。

FASCSA命令が求めること

国土安全保障長官のMarkwayne Mullin氏が、2018年連邦調達サプライチェーンセキュリティ法(FASCSA)に基づいて署名した排除・撤去命令2026-01は、2つの部分からなります。1つはDeepSeekとその関連会社を連邦民生機関の調達から排除すること、もう1つは民生機関に対し、DeepSeekの実装を使って開発された第三者の製品やサービスを含め、情報技術システムからDeepSeek製品をすべて撤去させることです。

どちらも即日発効します。たとえばエネルギー省は2026年10月27日付の方針通知で、契約担当職員に対し、ネットワークからDeepSeek製品をすべて撤去し、それを含む契約を結ばないよう指示しました。国防総省(Department of War)と国家情報長官による同様の命令が、国防機関と情報機関をカバーしています。

命令は機関に納入する企業にどう及ぶか

命令の宛先は政府機関ですが、請負業者には契約条項のFAR 52.204-30を通じて拘束力が及びます。免除がない限り、この条項は請負業者が契約の履行で対象物品を提供または使用することを禁じます。さらに、SAM.govで新しいFASCSA命令を少なくとも3か月ごとに確認し、サプライチェーンについて合理的な調査を行うことも定めています。

請負業者は対象物品を見つけた場合、3営業日以内に契約担当官へ報告し、10営業日以内に緩和策を続報として提出しなければなりません。この条項は、商用の製品やサービスに関するものを含め、すべての下請契約に引き継ぐ必要があります。

「供給業者の製品が対象になるかどうかは、ブランド名ではなく、所有と支配で決まります。」 Haynes Boone、命令がDeepSeekのどの関連会社に及ぶかについて

日付と範囲から見えること

時系列は命令の本文と同じくらい重要です。命令に記された公表日は2026年7月24日でしたが、公開閲覧用に提出されたのは10月19日、連邦官報への掲載は約3か月後の10月20日でした。各機関が例外を申請できる期間は発行から60日間で、その期限は9月22日に切れており、一般の人が命令を読めるようになる28日前だったとHaynes Booneは指摘しています。

範囲は他の2つの命令より広くなっています。Crowell & Moringによると、国防と情報の命令は、ホスト先を問わずDeepSeekのモデルを実装したソフトウェアを対象にします。民生向け命令はこれに加えて、DeepSeekの実装を使って開発された製品を対象とし、同事務所はDeepSeekのコーディングアシスタントで書かれたソフトウェアも含まれうると見ています。命令は「DeepSeekの実装」を定義していません。

DHS DeepSeek 禁止が連邦政府の請負業者に意味すること

民生機関にソフトウェアやサービスを販売する企業にとって、モデルの出所は審査項目になりました。Haynes Booneは、ベンダーが自社製品のどこにDeepSeekのモデルやその微調整版があるかを、自社運用のオープンウェイト展開も含めて洗い出し、結果を文書化するよう勧めています。DeepSeekのモデルはオープンウェイトなので、DeepSeekのサーバーに触れずに自社のハードウェアで動かせますが、撤去の文言はそうした展開とDeepSeekがホストする展開を区別していません。

実務の作業は、製品に入っているAIモデルの一覧化、各モデルの入手元の記録、3営業日の期限に間に合う報告の仕組みづくりです。長官は命令を1年以内に、その後も毎年見直します。

よくある質問

ベンダーが自社サーバーで動かすDeepSeekモデルも命令の対象ですか。

本文は直接そう述べていません。撤去の文言はDeepSeekがホストする展開と自社運用の展開を区別せず、微調整版にも触れていないため、法律事務所はベンダーに、そうした利用をすべて洗い出して文書化するよう勧めています。

製品にDeepSeekが入っていた場合、請負業者は何をすべきですか。

FAR 52.204-30に基づき、対象物品を特定してから3営業日以内に契約担当官へ報告し、10営業日以内に緩和策を加えた報告に更新する必要があります。

DeepSeek命令はいつ発効しましたか。

排除は発行と同時に発効しました。命令に記された公表日は2026年7月24日で、連邦官報には2026年10月20日に掲載されました。