AS Perintahkan Instansi Sipil Hapus DeepSeek, Perluas Larangan ke Pemasok Eksternal

Larangan DeepSeek melampaui chatbot

Departemen Keamanan Dalam Negeri AS memerintahkan instansi sipil federal untuk menghapus teknologi DeepSeek dari sistem informasi mereka dan menghentikan pengadaan produk serta layanan yang menggunakannya. Langkah ini memperluas pembatasan Washington terhadap perusahaan kecerdasan buatan asal China itu hingga mencakup perangkat lunak yang disediakan kontraktor eksternal.

Pemberitahuan DHS yang didaftarkan ke Federal Register pada 19 Oktober 2026 menyebut model DeepSeek menghadirkan "berbagai vektor ancaman." Departemen itu memperingatkan bahwa penggunaan oleh pegawai atau vendor pemerintah dapat mengirim informasi sensitif ke China, menghasilkan intelijen yang dapat ditindaklanjuti tentang warga Amerika atau instansi federal, serta membuat sistem rentan terhadap malware atau kelemahan keamanan lainnya.

Pembatasan ini melampaui pengunduhan aplikasi DeepSeek atau kunjungan ke situs webnya. Cakupannya meliputi DeepSeek dan produk afiliasinya, serta produk dan layanan dari perusahaan lain yang dikembangkan dengan menggunakan implementasi DeepSeek. Instansi sipil seperti Badan Perlindungan Lingkungan, Departemen Keuangan, dan Internal Revenue Service termasuk dalam cakupannya.

Perintah itu dilaporkan ditandatangani pada 24 Juli, sebelum diumumkan ke publik pada Oktober. Dengan demikian, periode 60 hari yang dilaporkan tersedia untuk mengajukan pengecualian kemungkinan berakhir sekitar 22 September. Waktu tersebut menimbulkan persoalan kepatuhan mendesak bagi pemasok pemerintah, sementara luasnya cakupan bahasa perintah itu menyisakan ketidakpastian mengenai perangkat lunak apa yang harus mereka hapus.

Teknologi apa yang harus dihapus menurut DHS

DHS mengarahkan instansi sipil untuk menyingkirkan teknologi DeepSeek yang sudah digunakan dan menghentikan pengadaan produk serta layanan yang tercakup. Pembatasan pengadaan ini berarti suatu instansi tidak bisa sekadar mengganti langganan langsung DeepSeek dengan layanan perusahaan lain yang menyediakan model dasar yang sama.

Model AI adalah sistem perangkat lunak yang menghasilkan jawaban, menulis kode, atau menjalankan tugas lain. Perusahaan dapat memasang antarmukanya sendiri di atas model milik pengembang lain, sehingga nama yang tercantum dalam kontrak perangkat lunak pemerintah bisa berbeda dari nama teknologi yang menjalankan tugas tersebut.

Bagi tim pengadaan, tugas praktisnya karena itu lebih luas daripada sekadar mencari aplikasi yang terpasang. Instansi perlu mengetahui model apa yang digunakan pemasok mereka, termasuk model yang diakses melalui layanan cloud dan subkontraktor. Memo DHS yang diterbitkan pada Juli juga mendorong instansi untuk memantau lalu lintas ke dan dari situs web pemerintah guna mengantisipasi potensi risiko DeepSeek.

Perintah untuk instansi sipil ini berlaku berdampingan dengan aturan terpisah yang mengatur sistem pertahanan dan intelijen. Sistem keamanan nasional tertentu berada di bawah kewenangan lain, sementara jaringan Pentagon dan pengguna militer sudah lebih dahulu dikenai pembatasan DeepSeek.

Mengapa pemerintah menilai teknologi ini berisiko

DHS mengidentifikasi beberapa cara penggunaan DeepSeek oleh pemerintah dapat menimbulkan risiko. Materi sensitif yang dimasukkan pegawai atau vendor dapat terkirim ke China. Informasi yang dihimpun dari banyak interaksi juga dapat membantu seseorang menyusun gambaran yang berguna tentang suatu instansi, stafnya, atau operasinya.

Kekhawatiran departemen itu juga mencakup keamanan perangkat lunak. Pemberitahuannya menyebut model DeepSeek dapat "mengandung malware atau kerentanan keamanan lainnya." Bagi instansi yang menggunakan AI untuk memproses dokumen atau membantu tugas komputer, kelemahan dapat berdampak lebih luas daripada sekadar jawaban yang ditampilkan di jendela obrolan.

Pemeriksaan keamanan terhadap aplikasi seluler DeepSeek memunculkan kekhawatiran yang lebih spesifik. Sebuah penilaian pada Desember 2025 menyebut informasi dikirimkan dalam bentuk teks biasa, koneksi ke server yang dioperasikan perusahaan teknologi China, serta tidak adanya SSL pinning. Informasi dalam bentuk teks biasa tidak dienkripsi saat dikirimkan. SSL pinning adalah pemeriksaan tambahan yang membantu aplikasi memastikan bahwa komunikasinya terhubung ke server yang dituju.

Perilaku model menimbulkan risiko lain. Pengujian yang dikaitkan dengan Institut Nasional Standar dan Teknologi menemukan bahwa agen yang dibangun menggunakan DeepSeek R1-0528 mengikuti instruksi berbahaya yang disisipkan sekitar 12 kali lebih sering daripada agen yang menggunakan GPT-5 dan Claude Opus 4. Jenis serangan ini disebut injeksi prompt: instruksi disembunyikan di dalam materi yang dibaca sistem AI untuk mengarahkannya agar menyimpang dari tugas yang diberikan.

Persoalan sulit terkait perangkat lunak eksternal

Frasa yang mencakup produk "yang dikembangkan menggunakan implementasi DeepSeek" menimbulkan ketidakpastian praktis terbesar. Cakupannya mungkin meliputi layanan yang secara aktif mengirim permintaan ke DeepSeek, model yang diadaptasi dari teknologi DeepSeek, atau perangkat lunak yang pengembangnya menggunakan DeepSeek untuk menulis atau menguji kode. Menurut laporan mengenai perintah tersebut, DHS belum menjelaskan batasan cakupan itu secara terbuka.

Katie Moussouris, pendiri sekaligus CEO perusahaan keamanan siber Luta Security, mengatakan pembatasan langsung lebih mudah diterapkan daripada ketentuan yang mencakup produk eksternal:

Melarang aplikasi dan API milik DeepSeek sendiri masih bisa diterapkan. Masalahnya adalah larangan terhadap 'produk dan layanan pihak ketiga yang dikembangkan menggunakan implementasi DeepSeek.'

API, atau antarmuka pemrograman aplikasi, memungkinkan satu sistem perangkat lunak meminta layanan dari sistem lain. Memblokir koneksi API merupakan langkah teknis yang konkret. Namun, memastikan asisten pemrograman mana yang digunakan pemasok beberapa bulan sebelumnya memerlukan jenis pencatatan lain, yang mungkin tidak pernah dibuat.

Moussouris mengatakan daftar komponen AI dalam perangkat lunak, yang pada dasarnya merupakan inventaris komponen AI suatu produk, tidak akan mencatat setiap alat yang digunakan selama pengembangan. Ia menjelaskan persoalan verifikasi itu secara lugas:

Setiap vendor harus menyatakan bahwa tidak ada apa pun yang digunakannya yang pernah bersentuhan dengan DeepSeek. Tidak ada cara praktis untuk memverifikasinya.

Pengalihan melalui cloud dapat menyamarkan penggunaan DeepSeek

Layanan seperti OpenRouter dan Vercel AI Gateway memungkinkan pelanggan mengakses beberapa penyedia AI melalui satu koneksi. Bergantung pada model dan pengaturan perutean, permintaan dapat diarahkan ke suatu penyedia tanpa pegawai harus memilih ulang setiap kali.

Karena itu, pemasok pemerintah perlu memeriksa pengaturan konfigurasi sekaligus kontrak. Memilih model yang diizinkan secara eksplisit, memeriksa opsi cadangan, dan meninjau log layanan dapat membantu mengidentifikasi apakah suatu produk mengakses DeepSeek melalui perantara.

DeepSeek juga merilis model dengan bobot terbuka. Bobot adalah berkas numerik yang memuat hasil pembelajaran model selama pelatihan. Perusahaan lain dapat mengunduh berkas tersebut dan menjalankan model di komputer mereka sendiri atau melalui penyedia cloud AS, alih-alih mengirim permintaan ke server DeepSeek.

Moussouris berpendapat bahwa lokasi hosting penting dalam menilai kekhawatiran yang disebutkan pemerintah:

Risiko yang disebutkan dalam perintah itu sebagian besar berkaitan dengan data yang mengalir ke server DeepSeek di China, pengumpulan datanya, dan aplikasinya. Hosting di AS menghindari sebagian besar risiko tersebut.

Meski demikian, rumusan perintah yang luas tetap menimbulkan persoalan kepatuhan bagi instansi yang mempertimbangkan pengaturan semacam itu. Menjalankan model di Amerika Serikat mengubah lokasi pemrosesan informasi, sementara pembatasan tersebut juga menyasar asal teknologi dan penggunaannya di dalam produk lain.

Perkembangan pembatasan

Tindakan federal terhadap DeepSeek sudah dimulai jauh sebelum pemberitahuan terbaru untuk instansi sipil. Organisasi pertahanan, masing-masing instansi, dan pemerintah negara bagian memberlakukan pembatasan sendiri ketika model perusahaan itu mulai banyak digunakan.

• Januari 2025: Badan Sistem Informasi Pertahanan mulai memblokir DeepSeek di jaringan Pentagon. Asisten AI DeepSeek yang berbiaya rendah juga menarik perhatian dunia pada bulan itu.
• 6 Februari 2025: Anggota DPR Darin LaHood dan Josh Gottheimer memperkenalkan RUU No DeepSeek on Government Devices Act. RUU itu tidak berlanjut dari komite.
• Sepanjang 2025: Departemen Perdagangan membatasi DeepSeek di perangkat pemerintah, sementara Angkatan Laut memerintahkan anggotanya untuk tidak menggunakannya. NASA, DPR AS, serta sejumlah negara bagian termasuk New York, Tennessee, dan Virginia juga mengambil tindakan.
• Juli 2026: DHS mendorong instansi untuk memantau lalu lintas situs web guna mengantisipasi risiko DeepSeek. Perintah penghapusan yang lebih luas dilaporkan ditandatangani pada 24 Juli.
• 17 Oktober 2026: DeepSeek merilis V4.1-Flash-1017, model terbarunya.
• 19 Oktober 2026: DHS mengumumkan secara terbuka pembatasan bagi instansi sipil melalui pemberitahuan di Federal Register.

Pengawasan federal juga mencakup tuduhan bahwa pengembang AI China menggunakan serangan distilasi terhadap model-model terkemuka AS. Distilasi adalah proses melatih satu model dengan menggunakan jawaban dari model lain. Kekhawatiran AS berpusat pada dugaan pengambilan kemampuan secara tidak sah dari sistem eksklusif, di samping persoalan keamanan lain yang melatarbelakangi perintah penghapusan.

Harga lebih rendah menjelaskan daya tarik DeepSeek

Daya tarik DeepSeek terletak pada kombinasi model yang mumpuni, bobot yang dapat diunduh, dan harga yang relatif rendah. Fitur-fitur itu menjadikannya pilihan kompetitif bagi organisasi yang ingin menggunakan AI tanpa sepenuhnya bergantung pada penyedia terbesar asal Amerika.

Peluncuran pada 17 Oktober mempertajam persaingan itu. Perusahaan evaluasi AI Artificial Analysis memberi skor 45 kepada V4.1-Flash-1017, dibandingkan 39 untuk pendahulunya, sementara rata-rata biaya evaluasi per tugas turun dari $0.49 menjadi $0.26. Berdasarkan kedua angka tersebut, penurunannya sekitar 47%.

Tabel kinerja DeepSeek sendiri mencatat skor rekayasa perangkat lunak DeepSWE v1.1 untuk model baru itu sebesar 77.0, naik dari 74.2. Skor Terminal-Bench 4.0 naik dari 31.2 menjadi 42.3. Pengujian ini mengukur tugas-tugas tertentu sehingga calon pengguna dapat mempertimbangkan hasilnya bersama faktor keamanan, keandalan, dan biaya operasional.

Harga API yang dicantumkan perusahaan selama jam sibuk adalah $0.30 per satu juta token masukan dan $1.20 per satu juta token keluaran, dengan tarif yang dipangkas setengah di luar jam tersebut. Token adalah potongan kecil teks yang digunakan perusahaan AI untuk mengukur banyaknya informasi yang diterima dan dihasilkan model.

Terobosan DeepSeek pada Januari 2025 sebelumnya telah menunjukkan besarnya dampak AI berbiaya lebih rendah terhadap pasar. Kerugian gabungan perusahaan semikonduktor, energi, dan infrastruktur melampaui $1 triliun dalam nilai pasar. Nvidia turun sekitar 17%, kehilangan hampir $593 miliar, yang saat itu menjadi kerugian satu hari terbesar yang pernah dialami sebuah perusahaan.

Pemasok pemerintah menghadapi aturan yang tumpang tindih

Perusahaan yang melayani instansi sipil kini harus memeriksa produk mereka berdasarkan pembatasan DHS. Kontraktor pertahanan menghadapi lapisan aturan terpisah: Pasal 1532 dalam undang-undang otorisasi pertahanan tahun fiskal 2026 mencakup DeepSeek dan perusahaan induknya, High-Flyer.

Klausul pengadaan federal FAR 52.204-30 juga menetapkan kewajiban kepatuhan bagi kontraktor yang terkena ketentuannya. Kewajiban itu dilaporkan mencakup pemeriksaan setidaknya setiap tiga bulan terhadap perintah rantai pasok yang berlaku, pelaporan teknologi tercakup yang teridentifikasi dalam tiga hari kerja, serta pemberian informasi remediasi dalam 10 hari kerja berikutnya. Kewajiban pemasok bergantung pada kontrak dan perintah yang berlaku.

Bagi perusahaan yang menjual layanan komersial sekaligus layanan pemerintah, persoalan bisnis yang mendesak adalah pemisahan. Pembatasan untuk instansi sipil menyangkut sistem dan pengadaan federal. Pemasok yang menggunakan DeepSeek di tempat lain perlu memastikan apakah infrastruktur bersama, subkontraktor, atau proses pengembangan membawa teknologi itu ke dalam pekerjaan pemerintah.

Pembatasan tambahan tengah dipertimbangkan. Ketentuan yang diusulkan untuk rancangan undang-undang pertahanan tahun fiskal 2027 akan memperluas pembatasan ke sepuluh perusahaan AI China lainnya dan model turunannya. Usulan tersebut berbeda dari pembatasan yang sudah berlaku, tetapi menjadi alasan tambahan bagi pemasok untuk melacak model dasar dalam produk mereka.

FCC merencanakan langkah lain terkait teknologi China

Komisi Komunikasi Federal telah menjadwalkan pemungutan suara pada 29 Oktober mengenai proposal terpisah yang menyangkut laboratorium penguji perangkat elektronik untuk pasar AS. Proposal itu akan melarang laboratorium China dan negara asing lain yang tidak memberikan perlakuan timbal balik kepada laboratorium penguji AS.

FCC sebelumnya telah melarang laboratorium yang dimiliki atau dikendalikan pemerintah China menguji perangkat elektronik AS pada 2025. Komisi itu mengatakan banyak laboratorium yang berbasis di China masih menjalankan pekerjaan tersebut, sehingga mendorong munculnya proposal yang lebih luas.

Ketua FCC Brendan Carr mengatakan 82% perangkat elektronik diuji di China, dibandingkan kurang dari 4% di laboratorium AS. Berdasarkan angka tersebut, pangsa China lebih dari 20 kali pangsa AS. Laboratorium pengujian menilai apakah perangkat memenuhi persyaratan teknis sebelum dipasarkan, sehingga peran mereka dalam memberikan persetujuan berdampak besar bagi produsen.

Pemungutan suara pada 29 Oktober merupakan keputusan berikutnya yang telah dijadwalkan. Perintah DeepSeek dan proposal laboratorium menyasar teknologi yang berbeda, tetapi keduanya memperluas pengawasan AS dari produk jadi hingga perusahaan dan layanan yang mendasarinya. Bagi instansi dan vendor, mengetahui siapa yang menyediakan teknologi dasar kini menjadi bagian penting dalam menjalankan bisnis dengan pemerintah.

Poin Utama

• DHS memerintahkan instansi sipil federal untuk menghapus produk DeepSeek dan layanan tercakup yang disediakan perusahaan lain.
• Pemberitahuan publik pada 19 Oktober 2026 mengungkap pembatasan yang dilaporkan ditandatangani pada 24 Juli.
• DHS menyebut transfer data sensitif, risiko intelijen, dan kelemahan keamanan perangkat lunak sebagai alasan.
• Makna produk yang dikembangkan menggunakan DeepSeek masih menjadi persoalan praktis bagi pemasok.
• Model terbaru DeepSeek dirilis pada 17 Oktober dengan skor evaluasi yang meningkat dan biaya tugas terukur yang lebih rendah.
• Kontraktor pertahanan menghadapi pembatasan terpisah, sementara pembatasan lebih luas terhadap AI China tengah dipertimbangkan.
• FCC merencanakan pemungutan suara pada 29 Oktober mengenai pembatasan yang memengaruhi laboratorium pengujian elektronik asing.