ABD’nin federal kurumlarındaki DeepSeek kısıtlaması üçüncü taraf yazılımları da kapsıyor

ABD İç Güvenlik Bakanlığı, Çin merkezli DeepSeek'in ürün ve hizmetlerinin federal sivil kurumların sistemlerinden çıkarılmasına ilişkin kararını 20 Ekim'de resmî kayıtta yayımladı. Bildirim, yeni teknoloji alımlarında şirketin ve bağlı kuruluşlarının ürünlerinin dışlanmasını, mevcut sistemlerdeki ilgili ürünlerin de kaldırılmasını öngörüyor. DeepSeek teknolojisiyle geliştirilen üçüncü taraf ürün ve hizmetler de kapsamda bulunuyor.

DeepSeek, metin üretme ve soruları yanıtlama gibi işlerde kullanılan büyük dil modelleri geliştiriyor. Bu modeller şirketin kendi uygulaması üzerinden kullanılabildiği gibi başka hizmetlere de yerleştirilebiliyor. Bu nedenle düzenleme, kurumların yalnızca DeepSeek adlı bir uygulamayı aramasından daha kapsamlı bir inceleme gerektiriyor. Başka bir markayla alınan yazılımın hangi model üzerine kurulduğu da önem kazanıyor.

ABD Kongre Araştırma Servisinin 27 Ekim tarihli değerlendirmesi, bildirime eklenen kararın 24 Temmuz tarihini taşıdığını belirtiyor. Ekimdeki gelişme, bu kararın resmî yayımı ve uygulama kapsamının görünür hâle gelmesi. Güvenlik gerekçeleri ABD makamlarının değerlendirmesini yansıtıyor; belge yeni bir veri sızıntısının gerçekleştiğini açıklamıyor. Düzenleme, kamu dışındaki kullanıcıların DeepSeek'e erişimini genel olarak yasaklamıyor.

Kısıtlama ürünün adını aşan bir kapsam taşıyor

Federal Register bildirimi, 2018 tarihli Federal Tedarik Zinciri Güvenliği Yasasına dayanıyor. Karar, federal sivil yürütme kurumlarını kapsıyor. Askerî ve istihbarat kurumlarına ilişkin süreçler ayrı yetkiler üzerinden yürütülüyor. Bu yüzden kararın kapsamını bütün ABD kullanıcılarına veya dünyadaki bütün DeepSeek hizmetlerine yaymak doğru olmaz.

Resmî metindeki üçüncü taraf ürün vurgusu, yapay zekâ tedarikinin nasıl değiştiğini gösteriyor. Bir kamu kurumu yazılımı yerel bir satıcıdan alsa bile arka planda farklı bir ülkede geliştirilen modeli kullanabilir. Bu yüzden satın alma denetimi, markayla sınırlı kalmamalı; ürünün içindeki teknolojileri de kapsamalı.

Güvenlik gerekçesi ile kanıtlanmış olay ayrılmalı

İç Güvenlik Bakanlığı; kişisel verilerin toplanması, hassas sorguların yabancı ülkeye aktarılabilmesi ve uygulama güvenliği konusundaki endişeleri kararın gerekçeleri arasında sıralıyor. Bunları belirli bir kurumdan veri çalındığına dair yeni ve kesin bir tespit gibi sunmamak gerekiyor.

Kongre Araştırma Servisi, DeepSeek modellerine doğrudan uygulama, bulut hizmetleri veya kullanıcının kendi donanımı üzerinden erişilebildiğini hatırlatıyor. Aynı model farklı biçimlerde kurulabiliyor. Bu nedenle her kurulumda verinin aynı yere ve aynı yoldan gittiği varsayılamaz. Sağlıklı bir inceleme, modelin kaynağıyla birlikte hizmetin nerede ve nasıl çalıştığını ele alır.

Kurumların istisna talebinde bulunabilmesi de resmî çerçevenin bir parçası. Böyle bir imkânın varlığı, bütün kullanımların serbest olduğu anlamına gelmiyor; özel ihtiyacın yetkili kurum tarafından değerlendirilmesini gerektiriyor.

Türkiye için asıl soru teknoloji envanteri

Bu karar Türkiye'deki kullanıcılara doğrudan yeni bir yükümlülük getirmiyor. Bununla birlikte kamu ve özel sektör açısından yararlı bir soruyu gündeme taşıyor: Kullanılan yapay zekâ ürününün arkasındaki model, veri işleme düzeni ve alt hizmet sağlayıcılar biliniyor mu?

Bir sözleşmede yalnızca uygulamanın adı yazıyorsa, model değiştiğinde ne olacağı belirsiz kalabilir. Kurumların teknik envanterini güncel tutması, sağlayıcının hangi değişiklikleri bildireceğini belirlemesi ve hassas verilerin hangi aşamalarda işlendiğini açıklığa kavuşturması, böyle durumlarda karar vermeyi kolaylaştırır.

Örneğin bir sağlayıcının modelini değiştirmesi, satın alınan hizmetin dış görünüşünü değiştirmeden yeni bir teknik bağımlılık yaratabilir. Sözleşmedeki bildirim ve denetim hükümleri bu olasılığı kapsıyorsa, kurum da değişiklikten sonra yeniden değerlendirme yapabilir.

ABD'nin attığı adımın önemi, bir modelin kamu kurumlarından çıkarılmasıyla sınırlı değil. Yapay zekâ tercihinin fiyat ve performans kadar tedarik ilişkileri üzerinden de değerlendirildiğini gösteriyor. Bu süreç izlenirken güvenlik iddialarının kanıt düzeyi, uygulamanın gerçek kapsamı ve teknoloji rekabetinin siyasi etkileri birbirine karıştırılmamalı.