สรุปสั้น

กระทรวงความมั่นคงแห่งมาตุภูมิสหรัฐฯ (DHS) ออกคำสั่งให้หน่วยงานพลเรือนของรัฐบาลกลางถอดผลิตภัณฑ์ปัญญาประดิษฐ์ของ DeepSeek ออกจากระบบเทคโนโลยีสารสนเทศ และหยุดจัดซื้อผลิตภัณฑ์และบริการที่เกี่ยวข้อง คำสั่งระบุบริษัท Hangzhou DeepSeek Artificial Intelligence Co., Ltd. เป็นเป้าหมาย และมีผลครอบคลุมบริษัทในเครือ รวมถึงผลิตภัณฑ์และบริการของบุคคลที่สามที่พัฒนาโดยใช้เทคโนโลยีของ DeepSeek ด้วย ประกาศนี้เผยแพร่ใน Federal Register วันที่ 20 ตุลาคม 2569 ภายใต้แฟ้มเลขที่ DHS-2026-0628

ประเด็นที่ทำให้คำสั่งนี้ต่างจากการแบนแอปทั่วไปคือการนับรวมการนำ DeepSeek ไปใช้ในผลิตภัณฑ์ปลายน้ำ หน่วยงานจึงต้องตรวจว่าผลิตภัณฑ์ที่ใช้อยู่มีโมเดล DeepSeek อยู่เบื้องหลังหรือไม่ ไม่ใช่ดูแค่ชื่อผู้ขายหรือแบรนด์ของแอปพลิเคชัน รายงานระบุว่า DHS เตือนว่าโมเดลของ DeepSeek มี “ช่องทางภัยคุกคามหลายทาง” ที่อาจทำให้ข้อมูลอ่อนไหวของเจ้าหน้าที่หรือผู้รับเหมาถูกส่งไปยังจีน แต่ข้อความนี้เป็นการประเมินความเสี่ยงของ DHS ไม่ใช่การยืนยันว่าเกิดการขโมยข้อมูลในทุกจุดที่ใช้งาน ทั้งนี้คำสั่งใช้กับระบบและการจัดซื้อของหน่วยงานพลเรือนเท่านั้น ไม่ได้ห้ามบุคคลทั่วไปใช้ DeepSeek

รายละเอียดข่าว

เว็บไซต์ GBHackers รายงานเมื่อวันที่ 20 ตุลาคม 2569 ว่า DHS ออกคำสั่งนี้ภายใต้กฎหมาย Federal Acquisition Supply Chain Security Act of 2018 (FASCSA) โดยอ้างอำนาจตาม 41 U.S.C. 1321–1328 และกฎระเบียบที่ 41 CFR 201-1 กระทรวงระบุว่าได้พิจารณาข้อเสนอของสภาความมั่นคงการจัดซื้อจัดจ้างของรัฐบาลกลาง (Federal Acquisition Security Council) พร้อมหลักฐานประกอบก่อนออกคำสั่ง

ข้อจำกัดการจัดซื้อใช้กับผลิตภัณฑ์และบริการไอทีที่พัฒนาโดย DeepSeek และบริษัทในเครือ ซึ่งความเป็นบริษัทในเครือพิจารณาตามนิยามใน 48 CFR 2.101 ส่วนข้อกำหนดการถอดออกระบุเพิ่มชัดเจนว่าครอบคลุมผลิตภัณฑ์และบริการของบุคคลที่สามที่พัฒนาโดยใช้ DeepSeek แม้ผู้ขายจะครอบด้วยอินเทอร์เฟซของตัวเองก็ไม่ได้รับการยกเว้น

DHS แนบคำสั่งที่ลงนามแล้วไว้กับประกาศ และเปิดให้ดูผ่านแฟ้มเดียวกันบน Regulations.gov ผู้ประสานงานด้านการปฏิบัติตามคือทีม FASCSA Order Implementation Team ของ CISA

รายละเอียดคำสั่ง

คำสั่งสร้างหน้าที่สองส่วนที่ต้องทำคู่กัน ส่วนแรกคือกันไม่ให้เทคโนโลยีที่อยู่ในขอบเขตเข้าสู่กระบวนการจัดซื้อของหน่วยงานพลเรือน ส่วนที่สองคือถอดผลิตภัณฑ์ที่อยู่ในขอบเขตออกจากสภาพแวดล้อมไอทีที่มีอยู่แล้ว งานนี้จึงไม่ได้ตกอยู่กับฝ่ายจัดซื้อหรือฝ่ายความปลอดภัยฝ่ายเดียว ทั้งสองฝ่ายต้องร่วมกันระบุผู้ขาย ผลิตภัณฑ์ และเทคโนโลยีเบื้องหลังที่เข้าข่าย

ผลในทางปฏิบัติคือการไล่ถอนแอปแชตบอต DeepSeek ที่ติดตั้งแยกไว้ไม่เพียงพอต่อการปฏิบัติตาม เพราะขอบเขตรวมถึงผลิตภัณฑ์ของบุคคลที่สามที่สร้างบนโมเดล DeepSeek เช่น เครื่องมือหรือบริการที่ฝังโมเดลไว้ข้างในโดยไม่ได้แสดงชื่อ DeepSeek ต่อผู้ใช้ จุดนี้ทำให้ที่มาของโมเดล AI กลายเป็นเรื่องที่ต้องตรวจสอบในห่วงโซ่อุปทานซอฟต์แวร์ของรัฐ

ข้อจำกัดของข้อมูลที่ควรทราบคือ ประกาศไม่ได้เปิดเผยรายละเอียดหลักฐานที่สภาความมั่นคงการจัดซื้อฯ ใช้ประกอบการพิจารณา และคำเตือนเรื่อง “ช่องทางภัยคุกคามหลายทาง” มาจากรายงานข่าวที่อ้างถึง DHS ไม่ใช่ผลการตรวจพบการรั่วไหลในเหตุการณ์ใดเหตุการณ์หนึ่ง เว็บนี้เคยรายงานความเสี่ยงที่เกี่ยวกับ DeepSeek ในมุมเทคนิคไว้ เช่น ช่องโหว่ใน DeepSeek Harness ที่ทำให้เอเจนต์ปิดแซนด์บ็อกซ์ของตัวเองได้ (2026/09/075 )

อัปเดต 23 ต.ค. 2569: คำสั่งลงนามตั้งแต่ ก.ค. ภาระของผู้รับเหมา และท่าทีของจีน

เว็บไซต์ The Hacker News รายงานเมื่อวันที่ 21 ตุลาคม 2569 ว่าคำสั่งนี้ลงนามโดยนาย Markwayne Mullin รัฐมนตรีว่าการกระทรวงความมั่นคงแห่งมาตุภูมิ ตั้งแต่วันที่ 24 กรกฎาคม 2569 แต่ DHS เพิ่งยื่นให้ Federal Register เปิดให้สาธารณะตรวจดูเมื่อวันที่ 19 ตุลาคม หรือ 87 วันหลังลงนาม และเผยแพร่ในวันถัดมา กฎระเบียบของสภาความมั่นคงการจัดซื้อฯ ปล่อยให้การเปิดเผยคำสั่งเป็นดุลยพินิจของผู้ออกคำสั่งโดยไม่กำหนดเส้นตาย ประกาศใน Federal Register ไม่ระบุเหตุผลของคำสั่ง และไม่ได้นิยามคำว่า “DeepSeek implementations” ที่ใช้กำหนดขอบเขตผลิตภัณฑ์ของบุคคลที่สาม ทำให้ยังไม่ชัดว่าเส้นแบ่งอยู่ตรงไหน เช่น โมเดลที่ fine-tune ต่อจากน้ำหนักของ DeepSeek หรือโมเดลที่กลั่น (distill) มาจาก DeepSeek นับรวมด้วยหรือไม่ ส่วนนโยบายความเป็นส่วนตัวของ DeepSeek เองระบุว่าบริษัทเก็บ ประมวลผล และจัดเก็บข้อมูลส่วนบุคคลของผู้ใช้ในสาธารณรัฐประชาชนจีน

กฎหมาย FASCSA ปี 2561 แบ่งอำนาจออกคำสั่งเป็น 3 ส่วน คือรัฐมนตรี DHS สำหรับหน่วยงานพลเรือน รัฐมนตรีกลาโหมสำหรับกระทรวงกลาโหมและระบบความมั่นคงแห่งชาติ และผู้อำนวยการข่าวกรองแห่งชาติ (DNI) สำหรับประชาคมข่าวกรอง คำสั่งนี้จึงครอบคลุมเฉพาะฝั่งพลเรือน กฎหมายนี้เคยถูกใช้ครั้งแรกเมื่อปี 2568 ที่ DNI สั่งตัดบริษัท Acronis ผู้ผลิตซอฟต์แวร์ความปลอดภัยและแบ็กอัปสัญชาติสวิตเซอร์แลนด์ออกจากการจัดซื้อและระบบของประชาคมข่าวกรอง หน่วยงานที่ต้องการข้อยกเว้นต้องยื่นเป็นลายลักษณ์อักษรต่อผู้ออกคำสั่งพร้อมเหตุผลที่หนักแน่น ขณะที่ผู้ออกคำสั่งต้องแจ้งบริษัทที่ถูกระบุชื่อและคณะกรรมาธิการที่เกี่ยวข้องของรัฐสภา และทบทวนคำสั่งอย่างน้อยปีละครั้ง

ผลที่ขยายออกนอกหน่วยงานรัฐคือผู้รับเหมา สัญญารัฐบาลกลางที่มีข้อกำหนด FAR 52.204-30 ห้ามผู้รับเหมาจัดหาหรือใช้ผลิตภัณฑ์หรือบริการที่อยู่ภายใต้คำสั่ง FASCSA ในการปฏิบัติตามสัญญา เว้นแต่ได้รับการยกเว้น และกำหนดหน้าที่ให้ค้นคำว่า “FASCSA order” บน SAM.gov อย่างน้อยทุก 3 เดือน ตรวจห่วงโซ่อุปทานของตัวเองตามสมควรเมื่อมีคำสั่งใหม่ รายงานผลิตภัณฑ์ที่เข้าข่ายต่อเจ้าหน้าที่สัญญาภายใน 3 วันทำการนับจากที่พบ ส่งข้อมูลมาตรการลดผลกระทบภายใน 10 วันทำการหลังรายงาน และใส่ข้อกำหนดเดียวกันลงในสัญญาช่วงด้วย ทั้งนี้คำสั่งที่ออกหลังการประกาศเชิญชวนจะมีผลกับสัญญาที่มีอยู่แล้วก็ต่อเมื่อเจ้าหน้าที่สัญญาแก้ไขสัญญาเพิ่มเข้าไป

ก่อนหน้านี้ข้อจำกัดต่อ DeepSeek ในสหรัฐฯ เป็นการห้ามใช้บนอุปกรณ์ของหน่วยงานทีละแห่ง โดยถึงเดือนกุมภาพันธ์ 2568 รัฐสภา NASA กองทัพเรือ กระทรวงกลาโหม และรัฐเท็กซัสต่างห้ามใช้ DeepSeek บนอุปกรณ์ของรัฐแล้ว ส่วนร่างกฎหมายห้ามใช้บนอุปกรณ์รัฐบาลที่เสนอเข้าสภาผู้แทนราษฎรและวุฒิสภาในเดือนเดียวกันยังค้างอยู่ในชั้นกรรมาธิการจนถึงวันที่ 21 ตุลาคม 2569 ด้านนางเหมา หนิง โฆษกกระทรวงการต่างประเทศจีน กล่าวในการแถลงข่าววันที่ 20 ตุลาคมว่าจีน “คัดค้านการขยายแนวคิดความมั่นคงแห่งชาติเกินขอบเขตมาโดยตลอด” และจะ “ปกป้องสิทธิและผลประโยชน์อันชอบธรรมของบริษัทจีนอย่างแน่วแน่” ตามรายงานของสำนักข่าว AP ขณะที่ DeepSeek ยังไม่ตอบคำขอความเห็น

ผลกระทบ

ผลโดยตรงตกอยู่กับหน่วยงานพลเรือนของรัฐบาลกลางสหรัฐฯ และผู้ขายซอฟต์แวร์ที่ขายให้รัฐบาล ผู้ขายที่ใช้โมเดล DeepSeek อยู่เบื้องหลังผลิตภัณฑ์ต้องเปลี่ยนโมเดลหรือเสียสิทธิ์ขายให้หน่วยงานเหล่านี้ ขณะที่หน่วยงานต้องทำบัญชีเทคโนโลยี AI ที่ใช้อยู่ ซึ่งหลายแห่งยังไม่มีข้อมูลระดับนั้น

ในภาพกว้าง คำสั่งนี้เป็นตัวอย่างแรก ๆ ที่การควบคุมห่วงโซ่อุปทานลงลึกถึงระดับโมเดล AI ที่ฝังอยู่ในผลิตภัณฑ์ของผู้อื่น ไม่ได้หยุดอยู่แค่การแบนแอปตามชื่อผู้ผลิต องค์กรที่ต้องทำตามข้อกำหนดของรัฐบาลสหรัฐฯ หรือคู่ค้าที่อ้างอิงแนวทางเดียวกัน มีแนวโน้มต้องถามผู้ขายมากขึ้นว่าผลิตภัณฑ์ใช้โมเดลอะไร มาจากไหน และส่งข้อมูลไปประมวลผลที่ใด

คำแนะนำ

  • ทำบัญชีเครื่องมือและบริการที่มีความสามารถด้าน AI ทั้งหมดในองค์กร รวมถึงฟีเจอร์ AI ที่ฝังอยู่ในซอฟต์แวร์ที่ใช้อยู่แล้ว และระบุโมเดลกับผู้ให้บริการเบื้องหลัง
  • เพิ่มคำถามเรื่องที่มาของโมเดล AI ตำแหน่งที่ประมวลผลข้อมูล และนโยบายการเก็บข้อมูล ลงในแบบประเมินผู้ขายและสัญญาจัดซื้อ
  • กำหนดนโยบายการใช้ AI ที่ชัดเจนว่าข้อมูลประเภทใดห้ามป้อนเข้าบริการ AI ภายนอก ไม่ว่าจะเป็นของผู้ให้บริการรายใด
  • ใช้ CASB, proxy หรือ DNS filtering ตรวจหาการเรียกใช้ API หรือบริการ AI ที่ยังไม่ได้รับอนุมัติ
  • องค์กรที่ขายผลิตภัณฑ์ให้หน่วยงานรัฐบาลกลางสหรัฐฯ ควรอ่านคำสั่งฉบับเต็มใน Federal Register และสอบถามทีม FASCSA ของ CISA หากไม่แน่ใจว่าผลิตภัณฑ์เข้าข่ายหรือไม่ (ติดต่อ fascsa.orders@cisa.dhs.gov )
  • ผู้รับเหมาและผู้รับเหมาช่วงที่สัญญามีข้อกำหนด FAR 52.204-30 ควรตั้งรอบค้น “FASCSA order” บน SAM.gov อย่างน้อยทุก 3 เดือน และเตรียมกระบวนการรายงานภายใน 3 วันทำการเมื่อพบผลิตภัณฑ์ที่เข้าข่าย

แหล่งอ้างอิง