DHS、DeepSeekを連邦調達禁止リストに正式追加――民間機関は即時削除を義務付け

2026年10月20日、米国土安全保障省（DHS）は文書番号2026-21447の禁止命令を連邦官報に掲載し、全連邦民間行政機関に対してDeepSeek及び同モデルを基盤とする全サードパーティ製品の即時削除と今後の調達禁止を命じた。

事実の整理

本命令はDHS長官Markwayne Mullinが2026年10月19日に連邦官報の公開閲覧サイトに発出し、翌日付けで正式掲載された。文書は2018年「連邦調達サプライチェーン安全法（FASC法）」を根拠として引用しており、DHSが除外または削除の手段によりサプライチェーンリスクを管理する権限を認めている。DeepSeekは中華人民共和国内に所在する民間企業として記載されており、そのモデルには三種類の脅威経路が存在するとされる。すなわち、中国法が政府による民間企業インフラへのアクセスを認めていること、アカウント作成過程で個人識別情報（PII）が収集されること、プロンプトと応答のやり取りを通じてユーザーがモデルに情報を送信することが求められる点である。こうした情報が中国に転送された場合、公開データと組み合わせることで米国の個人または政府プログラムに関する実行可能なインテリジェンスが生成される恐れがある。また、モデル自体にマルウェアやセキュリティ上の脆弱性が含まれている可能性があり、公開されたセキュリティ調査においてDeepSeekのiOSモバイルアプリに複数の重大な脆弱性が発見されている。

これに先立ち、オーストラリア、台湾、イタリアはすでにDeepSeekに対して禁止措置または調査を実施していた。米国ではテキサス州が政府端末上でのDeepSeek使用を禁止した最初の州となり、2025年3月には米商務省も政府支給端末におけるDeepSeek AIモデルの使用を禁止していた。

メカニズムの分析

今回の命令はDeepSeekをFASC法の執行枠組みに組み込んだものであり、核心はデータの流通とアクセス権限の組み合わせにある。アカウント作成とプロンプト応答の各段階でユーザーによる情報送信が直接求められる点が、連邦機関が日常的に利用する他のモデルとの差異となっている。命令は、中国法のもとでのアクセス可能性とPII収集プロセスが相まってインテリジェンスリスクの経路を形成するものであり、単一の技術的脆弱性の問題ではないと明示している。iOSアプリの脆弱性への言及は、ソフトウェアサプライチェーンセキュリティをさらなる考慮事項として加えるものであり、コードレベルでの潜在的な埋め込みリスクを示唆している。

産業への影響

禁止範囲は全連邦民間行政機関を対象とするが、国家安全保障関連システムおよび隔離システムは明示的に除外されている。これにより、一部の隔離環境では限定的な使用が引き続き認められる可能性がある。テキサス州と商務省による従来の制限が州・連邦レベルでの段階的な規制強化を形成してきた中、今回の命令は民間機関を全面的にカバーするものとなり、DeepSeekに依存するサードパーティ製品ベンダーは連邦契約戦略の見直しを迫られる。他国による先行禁止措置は、同様のサプライチェーン審査が国際的な連鎖反応を生む可能性を示している。

戦略的評価

【分析】中国の大規模言語モデルが初めて2018年サプライチェーン安全法の枠組みに組み込まれたことは、米国政府によるAIモデルの出所審査が個別事案への対処から体系的な政策手段へと移行したことを示している。この動きは連邦機関のAI調達における調達先の優先順位を変え、民間システムにおける国内または同盟国モデルのシェア拡大を促す可能性があるが、具体的な代替手段の性能とコストの比較については今後の動向を見守る必要がある。過去の事例が示すように、サプライチェーン除外命令は通常、長期的なコンプライアンスコストの上昇を伴うものであり、関係企業はクロスボーダーデータアーキテクチャの再評価を迫られることになる。