7월 서명분 공개…서드파티 파생 제품도 포함
미 국토안보부가 DeepSeek와 그 파생 제품을 연방 민간기관 IT에서 제거하라고 명령한 사실을 19일(현지시간) 공개했다.
명령은 7월 24일 서명됐으나 석 달 가까이 비공개였다. 연방관보 고지에 따르면 DeepSeek 구현을 쓴 제3자 제품까지 제거 대상에 넣고, 예외 시한은 발령일로부터 60일이다.
기관, 구매 막고 설치분 제거
국토안보부 장관 마크웨인 멀린이 서명한 배제·제거 명령(2026-01)은 2018년 연방조달공급망보안법(FASCSA)에 따른다. 연방조달안보위원회 권고를 검토한 뒤 항저우 DeepSeek 인공지능과 계열사를 민간 행정기관 조달에서 배제하고, 이미 깔린 제품도 빼내라고 했다.
대상은 승인 제품 목록, 서비스 제공자 장비 목록, 전자상거래 조달 창구까지 포함한다. 기관은 발령 직후 즉시 제외·제거하거나 서면으로 예외를 신청해야 한다. 신청서에는 해당 제품과 임무 수행에 꼭 필요하다는 사유, 대체 위험 완화책이 들어가고, 사이버안보·인프라안보국(CISA)이 승인 여부를 서면으로 통보한다.
제거가 끝나기 전까지 기관 안팎 트래픽 감시, 강화된 로그, 데이터 유출 통제 같은 임시 조치도 주문 대상이다. 자체 역량이 부족해 이행이 어려운 기관에는 CISA가 기술 지원을 제공한다. 민간·개인 이용을 전면 금지하는 조치는 아니다.
DHS, 데이터 중국 이전 우려
로이터에 따르면 명령문은 DeepSeek 모델이 「여러 위협 경로」를 제시한다고 적었다. 사용 결과 미국인이나 정부 프로그램에 대한 실행 가능한 정보가 생길 수 있고, 모델 자체에 악성코드나 보안 취약점이 있을 가능성도 담겼다. 같은 날 공개된 7월 메모는 정부 웹사이트 입출 트래픽을 DeepSeek 관련 위험에 맞춰 감시하라고도 했다.
“프롬프트와 응답” 처리 과정에서 민감 데이터가 중국 정부로 이전될 수 있다.
— 마크웨인 멀린 국토안보부 장관, CyberScoop 10월 19일 · “may result in the transfer of sensitive data to the Chinese government”
서버가 중국에 있고, 중국법이 국내 기업 인프라에 대한 광범위한 접근을 허용한다는 점도 명령문에 적혀 있다. 계정 생성 때 개인정보를 모으고 이용자의 「디지털 지문」을 추적할 수 있다는 대목도 있다. 제거를 마친 기관에는 네트워크 침해 가능성에 대비한 보안 통제 강화가 권고 사항으로 붙었다.
명령, 민간기관에만 적용
적용 범위는 연방 민간 행정기관의 IT와 조달이다. 재무부·국무부·법무부 등이 해당하고, 국방부와 국가안보·기밀구획 정보체계는 이 명령 밖이다. 국토안보부는 민간기관에 지시할 수 있지만 군·정보기관에는 같은 권한을 쓰지 못한다.
명령은 DeepSeek 구현으로 개발된 제3자 제품·서비스도 제거하라고 했다. 화면이나 계약서에 DeepSeek 상호가 없어도 모델에 의존하는 납품물이 포함될 수 있다. 어떤 제3자 제품이 해당하는지는 고지에 목록이 없다.
고지는 19일 오전 8시 45분(동부시간) 사전열람에 올랐고 20일 연방관보에 실렸다. 발령일부터 세면 예외 신청 60일 창은 9월 22일께 이미 닫혀 있었을 수 있다. 예외 승인 건수와 기관별 제거 완료 여부는 고지에 나오지 않았다.
중 외교부, 안보 남용 비판
중국 외교부 대변인 마오닝은 20일 정례 브리핑에서 미측 조치에 답했다.
중방은 일관되게 국가안보 개념의 남용과 기술·무역 문제의 정치화에 반대한다. 우리는 중국 기업의 합법적 권익을 단호히 수호할 것이다.
— 마오닝 외교부 대변인, 중국 외교부 10월 20일 · “China consistently opposes overstretching the concept of national security and politicizing tech and trade issues. We will resolutely safeguard Chinese businesses’ lawful rights and interests.”
DeepSeek 측 공식 입장은 아직 나오지 않았다. 워싱턴 주재 중국대사관은 19일 외신 논평 요청에 즉각 응하지 않았다.