미 국토안보부, 연방 민간기관에서 DeepSeek와 이를 활용한 제3자 서비스 제거 명령
목차
개요
미국 국토안보부(DHS)가 연방 민간기관의 IT 시스템에서 DeepSeek 제품과 DeepSeek를 활용해 개발된 제3자 제품·서비스를 제거하라고 명령했습니다. 기존 시스템에서 제거하는 것뿐 아니라, 해당 제품과 서비스를 새로 구매하는 것도 금지됩니다. DeepSeek 자체 앱과 웹사이트를 넘어 DeepSeek 모델을 내장한 다른 회사의 도구까지 대상에 포함된다는 점에서, 중국 AI 기업을 겨냥한 미국의 조치 가운데 가장 범위가 넓습니다.
배경
DHS는 10월 19일 월요일, 위험한 기술을 정부 시스템에서 배제할 수 있도록 한 2018년 공급망 관련 법률에 근거해 이 명령을 연방 관보(Federal Register)에 제출했습니다. 명령 번호는 2026-01이며, 마크웨인 멀린(Markwayne Mullin) 국토안보부 장관이 서명했습니다. 명령서 자체의 날짜는 2026년 7월 24일로, 이번 주까지 공개되지 않았습니다. 연방 관보 공지는 10월 20일 화요일에 docket DHS-2026-0628로 게재될 예정입니다.
함께 공개된 7월 메모에서 DHS는 연방기관에 정부 웹사이트의 유입·유출 트래픽을 감시하도록 지시한 바 있습니다. 이번 조치는 트럼프 행정부가 중국 기술기업에 대한 규제를 강화하는 흐름 속에서 나왔습니다.
핵심 내용
명령의 주요 요구사항
연방 민간기관은 다음 두 가지를 이행해야 합니다.
- 구매 중단: Hangzhou DeepSeek Artificial Intelligence와 그 계열사, 이들의 제품을 더 이상 구매하지 않습니다. 기관 승인 제품 목록, 전자상거래 마켓플레이스 등 유사한 구매 경로가 모두 포함되며, 명령은 “즉시 효력(effective immediately)”을 명시합니다.
- 즉시 제거: DeepSeek와 계열사 제품, 그리고 “DeepSeek 구현을 사용해 개발된 제3자 제품 및 서비스(third-party products and services developed using DeepSeek implementations)”를 기관 IT 시스템에서 즉시 제거합니다.
두 번째 요구사항이 가장 광범위합니다. DeepSeek 모델은 오픈 웨이트로 공개되어 있어, DeepSeek의 앱과 웹사이트뿐 아니라 다른 회사의 도구 안에도 들어가 있기 때문입니다. 그러나 명령은 영향을 받는 제품 목록을 제시하지 않으며, 미국 기업의 서버에서 호스팅되는 DeepSeek 모델을 어떻게 취급해야 하는지도 밝히지 않습니다.
적용 범위
| 구분 | 내용 |
|---|---|
| 적용 대상 | 연방 민간 행정부처(federal civilian executive branch agencies) |
| 적용 제외 | 국가안보 시스템, 보안 구획 정보(SCI) 시스템 |
| 제외 사유 | 해당 시스템은 국방부와 국가정보장(DNI) 소관 |
DHS가 제시한 위험 요인
DHS는 DeepSeek 모델에 여러 위협 경로가 있다고 판단했습니다.
- DeepSeek의 서버는 중국에 있으며, 중국 법률은 당국에 민간 기업 인프라에 접근할 폭넓은 권한을 부여합니다.
- 가입 과정에서 개인정보를 수집하며, 사용자를 추적하고 핑거프린팅할 수 있습니다.
- 앱이 사용자 입력에 의존하므로, 정부 직원이나 계약업체의 민감한 데이터가 중국으로 넘어갈 수 있습니다.
- 이 정보가 공개 데이터와 결합되면 미국인이나 정부 프로그램에 관한 활용 가능한 첩보가 만들어질 수 있습니다.
- 모델에 악성코드나 보안 취약점이 포함되어 있을 수 있습니다. 명령은 2025년 2월 NowSecure 감사에서 DeepSeek iPhone 앱의 치명적 결함이 여러 건 발견된 사례를 인용합니다.
명령의 근거는 모두 공개 자료입니다. DeepSeek의 개인정보 처리방침, 중국 데이터 위험에 관한 2020년 DHS 비즈니스 권고, 2025년 4월 하원 중국특별위원회 보고서가 인용되었습니다. 정부 데이터가 실제로 DeepSeek에 전달된 사례는 명령에 기술되어 있지 않습니다.
예외 절차와 후속 의무
명령을 이행할 수 없는 기관은 예외를 요청할 수 있습니다. 예외는 명령 전체의 면제, 특정 조치의 면제, 또는 이행 연기 형태가 될 수 있습니다.
| 항목 | 내용 |
|---|---|
| 요청 방식 | 서면 |
| 요청 기한 | 명령 발령일로부터 60일 이내 |
| 필요 내용 | 임무 핵심 업무에 대한 영향 등 “설득력 있는 정당성”과 대체 보호 조치 |
| 심사 기관 | 사이버보안·인프라보안청(CISA), 서면으로 승인 또는 거부 |
DeepSeek 제품을 제거하기 전까지 기관은 다음 조치를 취해야 합니다.
- 네트워크 트래픽 모니터링
- 로깅 강화
- 시스템 외부로의 데이터 유출 방지 통제 추가
- 이상 징후 보고
이행 역량이 부족한 기관은 CISA의 지원을 받을 수 있습니다. 장관은 1년 이내에 명령을 검토하고, 이후 매년 재검토해야 합니다.
기존 금지 조치
이번 명령 이전에도 DeepSeek 사용을 제한한 사례가 있었습니다.
| 구분 | 주체 | 조치 |
|---|---|---|
| 미국 연방 | 상무부, 해군 | DeepSeek 차단 |
| 미국 주정부 | 뉴욕, 테네시, 버지니아 | 정부 기기에서 사용 금지 |
| 해외 | 이탈리아 데이터보호당국 | 2025년 초 DeepSeek 앱 차단 |
| 해외 | 대만, 한국, 호주 | 정부 기기에서 사용 금지 |
이번 명령은 모든 연방 민간기관과 이들의 모든 구매를 대상으로 한다는 점에서 기존 조치보다 한 단계 더 나아갔습니다. DeepSeek는 입장을 내지 않았고, 워싱턴 주재 중국대사관도 즉각적인 반응을 내놓지 않았습니다.
FCC의 중국 기술기업 규제
연방통신위원회(FCC)도 중국 기술기업에 대한 제한 조치를 추진하거나 시행하고 있습니다.
- 10월 29일 표결 예정 안건으로, 미국에서 쓰일 전자기기를 중국 시험기관에서 시험하지 못하게 하려 합니다. 지난해 미국 전자기기의 82%가 중국에서 시험을 거쳤습니다.
- 12월에는 중국산 드론과 인터넷에 연결되는 중국산 소비자용 라우터의 신규 모델 수입을 금지했습니다.
- 7월에는 국가안보 위험으로 판단된 중국 기업의 핵심 하드웨어를 포함한 기기의 미국 내 판매 금지를 의결했습니다.
- 미국 통신사업자가 국가안보 위험으로 판단된 중국 통신기업과 상호접속하지 못하도록 하는 방안도 제안했습니다.
의미와 시사점
이번 명령의 가장 큰 특징은 DeepSeek를 “사용해 개발된” 제3자 제품까지 제거 대상에 포함했다는 점입니다. 이로 인해 연방기관에 AI 제품을 공급하는 모든 업체가 자사 제품 안에 어떤 모델이 들어 있는지 파악해야 하는 부담을 지게 됩니다.
반면 명령은 대상 제품 목록을 제시하지 않고, 미국 기업 서버에서 실행되는 DeepSeek 오픈 웨이트 모델의 취급 기준도 정하지 않았습니다. 오픈 웨이트 모델은 누구나 내려받아 자체 인프라에서 실행하거나 파인튜닝할 수 있기 때문에, 실제 이행 과정에서 어디까지를 “DeepSeek 구현”으로 볼지가 쟁점이 될 수 있습니다.
madrobot 기사는 중국 오픈 모델이 가장 많이 다운로드되는 모델 중 하나이고 출시 시점에 안전성 결과를 공개하는 경우가 드물다는 점을 들어, 앞으로 더 많은 구매자가 같은 질문을 던지게 될 것으로 전망했습니다. 기사는 또한 중국이 자국 최대 AI 모델의 수출을 통제하려 하고 있으며, DeepSeek가 다음 모델을 중국산 칩으로 학습시키고 있다는 맥락도 함께 전했습니다.
결론
DHS 명령 2026-01은 연방 민간기관에서 DeepSeek 제품의 구매를 즉시 중단하고, DeepSeek와 이를 활용한 제3자 제품을 시스템에서 제거하도록 요구합니다. 데이터의 중국 이전 가능성과 모델 자체의 보안 취약점이 근거로 제시되었으며, 예외는 60일 이내에 CISA에 서면으로 요청해야 합니다. 모델 공급망 전체를 규제 대상으로 삼았다는 점에서, 정부 대상 AI 공급업체에게 모델 출처 관리가 필수 요건이 되는 계기가 될 것으로 보입니다.