ABD’den DeepSeek’e Tam Yasak: Kamu Kurumları ve Üçüncü Taraf Hizmetler Kapsamda
ABD hükümeti, Çin merkezli yapay zeka girişimi DeepSeek'in ürünlerini, açık ağırlıklı modellerini ve bu modellere dayalı üçüncü taraf hizmetleri tüm sivil federal kurumlarda yasaklayan kapsamlı bir güvenlik direktifi yayımladı.
Küresel yapay zeka rekabetinde düşük maliyetli ve yüksek performanslı büyük dil modelleriyle (LLM) dengeleri değiştiren Çin merkezli DeepSeek, Washington yönetiminin şimdiye kadarki en sert regülasyon hamlesiyle karşı karşıya kaldı. ABD İç Güvenlik Bakanlığı (DHS), federal sivil kamu kurumlarının bilgi teknolojileri sistemlerinden DeepSeek ürünlerinin tamamen kaldırılmasını ve yeni tedarik süreçlerinin durdurulmasını emreden bağlayıcı bir direktif yayımladı.
Alınan bu karar yalnızca doğrudan uygulama veya API kullanımını değil, aynı zamanda arka planda DeepSeek mimarilerini barındıran üçüncü taraf ticari yazılımları da kapsıyor. Böylece açık ağırlıklı (open-weight) yapay zeka modellerinin kurumsal tedarik zincirlerindeki geleceği açısından yeni bir dönem başlamış oldu.
Yasak Kararının Kapsamı ve Hukuki Dayanağı
Federal Sicil (Federal Register) üzerinden resmiyet kazanan direktif, 2018 tarihli Federal Tedarik Zinciri Güvenliği Yasası (FASCSA) çerçevesinde yürürlüğe girdi. Federal Tedarik Güvenliği Konseyi'nin (FASC) kapsamlı risk değerlendirmeleri sonucunda hazırlanan tavsiye kararı, sivil yürütme organlarına bağlı tüm bakanlık ve ajansları doğrudan bağlıyor.
Kararın teknik ve idari sınırları şu temel maddelerden oluşuyor:
- Doğrudan Ürün ve Hizmet Yasağı: Hangzhou DeepSeek Artificial Intelligence Co., Ltd. ve bağlı kuruluşları tarafından geliştirilen tüm yazılımlar, web arayüzleri, mobil uygulamalar ve API servisleri federal ağlardan tamamen temizlenecek.
- Üçüncü Taraf Entegrasyon Kısıtlaması: Kamu kurumlarına hizmet veren yazılım tedarikçileri, kendi ürünlerinin içinde veya alt katmanlarında DeepSeek modellerini (örneğin ince ayar yapılmış V3 veya R1 türevlerini) barındırıyorsa bu ürünleri kamu kurumlarına satamayacak.
- Tedarik ve Sözleşme Yenileme Engeli: Mevcut sistemlerde tespit edilen DeepSeek bileşenleri belirlenen uyum takvimi içinde devre dışı bırakılacak ve hiçbir federal bütçe kalemi bu teknolojilerin lisanslanması için kullanılamayacak.
Direktif; Dışişleri, Hazine ve Adalet Bakanlıkları gibi sivil federal kurumların tamamını kapsarken, Savunma Bakanlığı (Pentagon) ve istihbarat topluluğu kendi bağımsız ve daha sıkı ulusal güvenlik protokollerine tabi oldukları için bu sivil direktifin kapsamı dışında tutuldu. Bilindiği üzere Pentagon ve birçok askeri birim, DeepSeek erişimini çok daha erken aşamalarda kendi ağlarında engellemişti.
Siber Güvenlik ve Veri Egemenliği Endişeleri
ABD'li güvenlik yetkililerinin DeepSeek'i tedarik zinciri kara listesine eklemesinin arkasında hem veri gizliliği hem de siber güvenlik mimarisine dair kritik bulgular yer alıyor. Değerlendirme raporlarında öne çıkan başlıca risk faktörleri şunlar:
1. Veri Transferi ve Yasal Erişim Zorunluluğu
DeepSeek'in bulut tabanlı servislerinin; kullanıcı istemlerini (prompt), yüklenen belgeleri, cihaz telemetri verilerini ve dijital parmak izi (digital fingerprinting) bilgilerini Çin'de bulunan sunuculara ilettiği vurgulandı. Çin'in mevcut Ulusal İstihbarat Yasası ve veri güvenliği mevzuatı uyarınca, ülkede faaliyet gösteren şirketlerin talep halinde bu verileri Pekin yönetimiyle paylaşmakla yükümlü olması, Washington tarafından doğrudan bir ulusal güvenlik tehdidi olarak sınıflandırılıyor.
DeepSeek'in 8 Trilyon Parametreli Yeni Hedefi: Nvidia Bağımsızlığı ve Yerli Çip Hamlesi
Karşınızda DeepSeek-V4.1-Flash: Daha Akıllı, Daha Hızlı ve Daha Verimli
2. Model Güvenliği ve Siber Zaafiyetler
Güvenlik incelemelerinde, modellerin zararlı kod üretimine veya güvenlik duvarlarını aşmaya (jailbreak) karşı dirençlerinin endüstri standartlarının altında kaldığına dikkat çekildi. Ayrıca tedarik zinciri düzeyinde model ağırlıklarının veya yazılım paketlerinin kötü amaçlı yazılım (malware) ve arka kapı (backdoor) risklerine karşı doğrulanmasının zorluğu, sivil kamu altyapılarını korumak adına tam yasağı beraberinde getirdi.
Üçüncü Taraf Yazılımlar ve Açık Ağırlıklı Modeller İçin Kritik Eşiğin Aşılması
Bu kararın teknoloji dünyasındaki en çarpıcı boyutu, üçüncü taraf hizmetlerin de yasak kapsamına alınmış olmasıdır. DeepSeek, açık ağırlıklı modelleriyle özellikle girişimler ve kurumsal yazılım geliştiriciler arasında büyük bir popülerlik kazanmıştı. Birçok SaaS (Hizmet Olarak Yazılım) şirketi, maliyet avantajı nedeniyle kendi sunucularında veya bulut sağlayıcılarında DeepSeek modellerini barındırarak müşterilerine yapay zeka özellikleri sunuyordu.
Yeni direktifle birlikte, ABD kamu kurumlarıyla çalışan teknoloji şirketleri ve sistem entegratörleri için sıkı bir "Yapay Zeka Malzeme Listesi" (AI-BOM) denetimi zorunlu hale geliyor:
- Kamu ihalesine giren bir yazılım firması, ürününde yalnızca doğrudan Çinli sunuculara bağlanmadığını değil, aynı zamanda yerel olarak çalıştırdığı temel modelin (foundation model) DeepSeek tabanlı olmadığını da belgelemek zorunda kalacak.
- Açık kaynak topluluklarında DeepSeek ağırlıkları üzerine inşa edilen (fine-tuned veya distilled) türev modellerin kurumsal uyumluluk süreçlerinde kırmızı bayrak olarak işaretlenmesi bekleniyor.
Küresel Regülasyon Dalgası ve Sektörel Etkiler
ABD'nin attığı bu adım münferit bir karar olmaktan ziyade, Batı bloğunda genişleyen bir regülasyon dalgasının en kapsamlı halkasını oluşturuyor. Daha önce Avustralya, Hollanda, Güney Kore, İtalya ve Tayvan gibi ülkeler de veri güvenliği ve casusluk risklerini gerekçe göstererek kamu cihazlarında DeepSeek kullanımına çeşitli kısıtlamalar getirmişti.
Ancak Washington'ın FASCSA yasasını devreye sokarak tedarik zincirinin alt katmanlarını ve üçüncü taraf entegrasyonları hedef alması, geçmişte Huawei ve Kaspersky örneklerinde görülen yaptırım mekanizmasının artık doğrudan yapay zeka modelleri için de uygulanacağını gösteriyor.
Önümüzdeki dönemde kurumsal yazılım geliştiren şirketlerin, küresel pazarlarda regülasyon engellerine takılmamak için model mimarilerini seçerken yalnızca performans ve token maliyetine değil, modelin menşeine ve tedarik zinciri uyumluluğuna da öncelik vermesi gerekecek.
