DHS 딥시크 금지, 모델 쓴 납품 제품도 대상

정부가 딥시크를 겨냥한 이유

연방 조달 보안 위원회는 딥시크의 모델, 코드, 서비스가 연방 컴퓨팅 환경에 받아들일 수 없는 공급망 취약점, 데이터 유출 위험, 무결성 위협을 만든다고 결론 내렸어요. 로펌 헤인스 분(Haynes Boone)이 설명한 명령의 위험 요약에 따르면, 딥시크의 서버는 중국에 있고 중국 법체계는 정부의 사이버 및 정보 기관이 민간 기업의 인프라에 폭넓게 접근할 권한을 줘요.

요약에는 구체적인 위험이 여럿 나열돼 있어요. 딥시크가 호스팅하는 모델에 가입하면 개인 식별 정보를 수집하고 사용자를 추적하거나 핑거프린팅할 수 있어요. 가장 널리 쓰이는 딥시크 앱에 입력한 프롬프트는 민감한 데이터를 중국으로 보낼 수 있어요. 모델 자체에 악성코드나 다른 취약점이 있을 수 있고, 명령은 딥시크 iOS 앱에서 심각한 결함이 여러 개 발견됐다는 연구를 인용해요.

FASCSA 명령이 요구하는 것

국토안보부 장관 마크웨인 멀린이 2018년 연방 조달 공급망 보안법(FASCSA)에 따라 서명한 배제 및 제거 명령 #2026-01은 두 부분으로 이뤄져 있어요. 딥시크와 계열사의 연방 민간 조달을 막고, 민간 기관이 정보기술 시스템에서 딥시크 구현을 써서 개발한 제3자 제품과 서비스를 포함해 모든 딥시크 제품을 제거하도록 요구해요.

두 부분 모두 즉시 발효돼요. 예를 들어 에너지부는 2026년 10월 27일자 정책 공지에서 계약 담당 직원에게 네트워크에서 모든 딥시크 제품을 제거하고, 이를 포함한 계약은 체결하지 말라고 알렸어요. 전쟁부와 국가정보국장이 낸 같은 취지의 명령은 국방 기관과 정보 공동체를 대상으로 해요.

정부에 납품하는 기업에 미치는 영향

명령은 기관을 수신인으로 하지만, 계약업체는 계약 조항 FAR 52.204-30으로 구속돼요. 면제를 받지 못하면 계약업체는 계약 이행 중에 대상 물품을 제공하거나 사용할 수 없어요. 이 조항은 정기 절차도 정해요. 계약업체는 최소 3개월마다 SAM.gov에서 새 FASCSA 명령을 확인하고 공급망을 합리적으로 조사해야 해요.

계약업체가 대상 물품을 발견하면 영업일 기준 3일 안에 계약 담당관에게 보고하고, 영업일 기준 10일 안에 완화 조치를 후속 보고해야 해요. 이 조항은 상용 제품과 서비스 계약을 포함한 모든 하도급 계약에 전달해야 해요.

"공급업체의 제품이 대상인지는 브랜드가 아니라 소유와 통제가 결정한다." 헤인스 분, 명령이 적용되는 딥시크 계열사에 관해

날짜와 범위가 보여주는 것

시점은 조문만큼 중요해요. 명령에 적힌 발행일은 2026년 7월 24일이지만, 10월 19일에 공개 열람용으로 접수됐고 거의 석 달 뒤인 10월 20일에야 연방관보에 실렸어요. 기관이 예외를 신청할 수 있는 기간은 발행일로부터 60일이라 9월 22일에 끝났고, 이는 대중이 명령을 읽을 수 있게 되기 28일 전이었다고 헤인스 분은 지적해요.

범위는 다른 두 명령보다 넓어요. 크로웰 앤 모링(Crowell & Moring)에 따르면 국방 및 정보 명령은 호스팅 위치와 상관없이 딥시크 모델을 구현한 소프트웨어를 대상으로 해요. 민간 명령은 여기에 딥시크 구현을 써서 개발한 제품을 더했고, 이 로펌은 딥시크의 코딩 어시스턴트로 작성한 소프트웨어도 포함될 수 있다는 뜻이라고 봐요. 명령은 "딥시크 구현"이 무엇인지 정의하지 않아요.

DHS 딥시크 금지가 연방 계약업체에 의미하는 것

민간 기관에 소프트웨어나 서비스를 파는 기업에는 이제 모델의 출처가 실사 항목이 됐어요. 헤인스 분은 공급업체가 제품 안에서 딥시크 모델이나 그 파인튜닝 버전이 어디에 있는지, 자체 호스팅한 오픈 웨이트 배포까지 포함해 파악하고 결과를 문서로 남기라고 권해요. 딥시크 모델은 오픈 웨이트라서 딥시크 서버를 거치지 않고 공급업체의 자체 장비에서 실행할 수 있는데, 제거 조문은 이런 배포와 딥시크 호스팅 배포를 구분하지 않아요.

실무 과제는 제품에 들어간 모든 AI 모델의 목록, 각 모델의 출처 기록, 영업일 3일 기한을 맞출 수 있는 보고 절차예요. 장관은 1년 안에 명령을 검토하고, 그 뒤에도 매년 검토해요.

질문과 답변

공급업체가 자사 서버에서 돌리는 딥시크 모델도 명령 대상인가요?

조문은 이를 직접 밝히지 않아요. 제거 문구는 딥시크 호스팅과 자체 호스팅을 구분하지 않고 파인튜닝 버전도 다루지 않아서, 로펌들은 공급업체에 그런 사용을 모두 파악하고 문서화하라고 권해요.

계약업체가 제품에서 딥시크를 발견하면 무엇을 해야 하나요?

FAR 52.204-30에 따라 대상 물품을 확인한 날부터 영업일 3일 안에 계약 담당관에게 보고하고, 영업일 10일 안에 완화 조치를 담아 보고를 갱신해야 해요.

딥시크 명령은 언제 발효됐나요?

배제는 발행과 동시에 즉시 발효됐어요. 명령에 적힌 발행일은 2026년 7월 24일이고, 연방관보에는 2026년 10월 20일에 게재됐어요.