DeepSeek Kararı Sonrası Ürününüzdeki Modelin Kökeni Sorulacak

Karar ne diyor ve neden ikinci maddesi önemli

19 Ekim 2026'da ABD İç Güvenlik Bakanlığı (DHS), 2026-01 numaralı Dışlama ve Kaldırma Kararı'na ilişkin bildirimini Federal Register'a sundu. Kararı Bakan Markwayne Mullin imzaladı, yasal dayanağı ise 2018 tarihli Federal Tedarik Zinciri Güvenliği Yasası (FASCSA). Reuters'ın haberine göre DHS'nin gerekçesi, ürünün devlet çalışanları ya da tedarikçiler tarafından kullanılmasının hassas verilerin Çin Halk Cumhuriyeti'ne aktarılmasına yol açabileceği. Bakanlık ayrıca modellerin birden fazla tehdit vektörü taşıdığını, kişisel veri toplayabileceğini, kullanıcıların dijital parmak izini çıkarabileceğini ve zararlı yazılım içerebileceğini öne sürüyor.

Bildirim metnine göre karar iki işlemden oluşuyor. Birincisi, federal sivil kurumlar Hangzhou DeepSeek ve bağlı şirketlerinden BT ürün ve hizmeti satın alamayacak. İkincisi, mevcut DeepSeek ürünleri ile 'DeepSeek uygulamaları kullanılarak geliştirilmiş' üçüncü taraf ürün ve hizmetler de kurum sistemlerinden kaldırılacak. Asıl ağırlık bu ikinci maddede, çünkü yasak artık bir markaya değil, bir ürünün içinde neyin çalıştığına bakıyor. DeepSeek adını arayüzünde hiç görmediğiniz bir araç da kapsama girebilir; model kökeninin tedarik sorusuna dönüşmesi tam olarak bu.

• Kapsam: Federal sivil yürütme kurumları. IBTimes UK'ye göre ulusal güvenlik sistemleri ve hassas bölümlenmiş bilgi (SCI) sistemleri dışarıda. Korea JoongAng Daily'nin belirttiği gibi ABD'deki özel şirketler ve bireyler için genel bir kullanım yasağı yok.
• İstisna: CyberScoop'a göre kurumlar 60 gün önceden ve kritik bir görevi yerine getirememek gibi 'zorlayıcı bir gerekçe' ile başvurabiliyor. Bu karardan önce kurumlar bu tür modelleri kendi takdirleriyle engelliyordu.
• Tarihler: Karar 24 Temmuz 2026 tarihli. 19 Ekim'de kamu incelemesine açıldı, 20 Ekim'de resmi olarak yayımlanması planlandı.

Yasak kurumlarla sınırlı, etkisi zincir boyunca iniyor

Kamuya satış yapan şirketler için asıl mekanizma sözleşme maddelerinde. FAR 52.204-30'a göre bir FASCSA kararı sözleşmeye uygulandığında, muafiyet yoksa yüklenici kapsamdaki ürünü sözleşmenin ifasında ne sağlayabilir ne de kullanabilir. DHS'nin FASCSA kararları Savunma Bakanlığı dışındaki sözleşmeler için geçerli ve yüklenicilerin SAM.gov'da 'FASCSA order' araması yapması bekleniyor. Teklif çağrısı tarihinden sonra çıkan bir karar ise ancak sözleşmeye bir değişiklikle eklenirse uygulanıyor.

Benim okumam şu: yürüyen sözleşmeler kendiliğinden değişmiyor, baskı kurum kararı bir değişiklikle sözleşmeye eklediği anda başlıyor. Sözleşme yenilemelerinde de benzer bir eklemenin gündeme gelebileceğini düşünüyorum, ama bu bir varsayım; kaynaklarda yalnızca değişiklik yolu geçiyor.

Zincirin ne kadar aşağı indiğini GSA'nın kılavuzu gösteriyor. GSA yüklenicilere kapsamdaki ürünleri teklif etmemelerini ve her kademedeki alt yüklenicinin bu kararlara uyduğunu kontrol etmelerini söylüyor. PilieroMazza'nın analizine göre FAR 52.204-29 maddesini içeren ihalelerde yüklenicinin SAM'de arama yapması ve kendi tedarik zinciri hakkında 'makul bir araştırma' yürütmesi gerekiyor. 2025'teki ilk FASCSA kararı da bu mekanizmanın zincire nasıl indiğini gösterdi: Covington'ın notuna göre Acronis'i hedef alan karar, yüklenicilerin kapsamdaki kurumlarla yaptığı yeni ve değiştirilen sözleşmelerde Acronis ürün ve hizmetlerini kullanmasını yasaklamıştı.

Türkiye'den doğrudan ABD federal yüklenicisi olarak çalışan şirket az. Ama bu zincirde duran çok uluslu bir müşteriniz varsa, soru eninde sonunda size de ulaşır. Büyük ihtimalle bir tedarikçi güvenlik anketine sessizce eklenmiş yeni bir satır olarak.

Siyaseti bir kenara bırakınca geriye kalan

Bu kararı ABD ile Çin arasındaki rekabetin bir hamlesi olarak okumak mümkün. Tedarik ekipleri için daha işe yarayan okuma ise başka: model kökeni, donanım ve yazılım kökeni gibi denetlenen bir kaleme dönüşüyor. Bir sunucunun hangi üreticiden geldiğini sormak nasıl olağansa, bir ürünün içinde hangi dil modelinin çalıştığını sormak da olağanlaşacak.

Bu eğilim yalnızca ABD'de görülmüyor. The Korea Times'ın hatırlattığı gibi Güney Kore'nin dışişleri, ticaret ve savunma bakanlıkları Şubat 2025'te devlet bilgisayarlarında DeepSeek erişimini engellemişti. Kapsamlar farklı, yön aynı.

Anketlerin nasıl değişeceğine dair somut bir ipucu da var. Karardan sonra yayımlanan bir uyum kontrol listesi, tedarikçi değerlendirme anketlerinin güncellenmesini ve tedarikçilerden ürünlerinin hangi modeller üzerine kurulduğunu, tedarik zincirinde DeepSeek ya da Çin kökenli başka bir model bulunup bulunmadığını beyan etmelerinin istenmesini öneriyor. Kurumsal güvenlik ekipleri için bu maddeyi kendi şablonlarına taşımak bir satırlık iş. Soru geldiğinde hazırlıksız yakalanmamak için cevabı şimdiden yazmaya değer.

Model nerede çalışıyor: üç barındırma seçeneği

Ankette karşınıza çıkacak ilk teknik soru, veriniz modele gittiğinde fiziksel olarak nereye gittiği; bunun üç temel cevabı var.

• Tedarikçi API'si: Kurulumu en hızlı seçenek. Her istem, belge parçası ve transkript sağlayıcının altyapısına gider; kontrolünüz sözleşme ve veri işleme şartlarıyla sınırlı kalır.
• Kendi bulut hesabınız: Açık ağırlıklı modeller burada çalıştırılabilir. Veri sizin hesabınızda ve seçtiğiniz bölgede kalır; donanım maliyeti ve sürüm yönetimi size geçer.
• Şirket içi kurulum: Model kendi veri merkezinizdeki donanımda çalışır. Veri binadan çıkmaz ve denetimde en güçlü cevabı verir; karşılığında güncelleme, yama, kapasite planlaması ve izleme tamamen BT ekibinizin sorumluluğundadır.

Seçimi belirleyen ayrıntılar

API tarafında belirleyici olan, verinin hangi altyapıdan geçtiği. Ticari bir self-hosting rehberi olan Lushbinary'nin yazısına göre DeepSeek'in kendi barındırdığı API Çin altyapısı üzerinden yönlendiriliyor ve açık ağırlıkları kendi bulutunuzda çalıştırmak bu veri yerleşimi kaygısını gideriyor. Bunu tek ve ticari bir kaynaktan aktardığımı not edeyim: rehberin işi zaten kendi kendine barındırmayı anlatmak. Ağ yönlendirmesi konusunda sağlayıcının yazılı beyanını ve kendi trafik gözleminizi esas almak daha sağlıklı. Şunu da ekleyeyim: sözleşme şartları ne kadar iyi olursa olsun, verinin hangi hukuk düzeninin erişimine açık olduğu sorusunu tek başına çözmez.

Aynı rehber iki pratik ayrıntı daha veriyor. Ağırlıklar MIT lisanslı, yani lisans tarafında kendi altyapınızda çalıştırmanın önünde bir engel görünmüyor. Öte yandan DeepSeek V4-Flash için yaklaşık 170-175 GB bellek gerektiği belirtiliyor. Bu, sıradan bir sunucuyla karşılanacak bir ihtiyaç değil ve kendi kendine barındırma kararını bir lisans sorusundan çok bir bütçe ve operasyon sorusuna çeviriyor.

Kendi sunucunuzda çalışması temiz sicil anlamına gelmiyor

Birçok ekip 'modeli kendi sunucumuzda çalıştırıyoruz, o halde sorun yok' diye düşünecek. Bu karar özelinde o kadar emin olmayın. Mad Robot'un dikkat çektiği gibi karar hangi ürünleri kastettiğini adıyla saymıyor ve bir ABD şirketinin kendi sunucularında çalışan DeepSeek modelinin nasıl değerlendirileceğini söylemiyor; üstelik DeepSeek modelleri açık ağırlık olarak yayımlandığı için başka şirketlerin araçlarının içinde de yer alıyor.

Burada iki ayrı soruyu ayırmak gerekiyor. Veri yerleşimi verinin nereye gittiğiyle, model kökeni ise modeli kimin eğittiği ve içine ne konmuş olabileceğiyle ilgili. Modeli yerelde çalıştırmak birinci soruyu cevaplar, ikinciyi cevaplamaz. DHS'nin zararlı yazılım ve güvenlik açığı iddiası doğrudan modelin kendisine yöneliyor; bu iddianın teknik sağlamlığını tartışabilirsiniz, ama bir alıcı anketinde tartışmaya pek yer olmaz.

Tanımsız bırakılan 'DeepSeek uygulamaları' ifadesi birkaç somut soruyu da açıkta bırakıyor. DeepSeek ağırlıkları üzerinde ince ayar yapılmış bir model bu kapsama giriyor mu? DeepSeek çıktılarıyla eğitilmiş, damıtılmış daha küçük bir model ne olacak? Ana modeli başka bir sağlayıcıdan gelen ama sınıflandırma ya da yeniden sıralama gibi bir alt görevde DeepSeek bileşeni kullanan üçüncü taraf bir araç nasıl değerlendirilecek? Karar metni bunlara cevap vermiyor; bir açıklama gelene kadar her birini açık soru olarak kaydetmek ve envanterde ayrıca işaretlemek en dürüst yaklaşım.

Pratik görüşüm şu: müşterileriniz arasında ABD kamusuyla bağlantılı şirketler varsa, tartışmalı bir model ailesini savunmak yerine onu ürünün kritik yollarından çıkarmak çoğu zaman daha ucuza gelir. Yalnızca yurt içine satan, böyle bir müşteri zinciri olmayan bir KOBİ için bu kadar sert bir adım gereksiz olabilir. Envanteri çıkarmak ise her iki durumda da işe yarar.

Bugünden belgelemeniz gerekenler

Daha önce andığım uyum kontrol listesi üç adım öneriyor: ürünleri gömülü ve beyaz etiketli entegrasyonlar dahil DeepSeek modelleri açısından denetlemek, tedarikçi anketlerini model beyanı isteyecek şekilde güncellemek ve kamuya dönük sözleşmelerdeki ihlal ve bildirim tetikleyicilerini gözden geçirmek. Bunu satış yaptığınız tarafa uyarladığınızda, elinizde bulunması gereken belge seti aşağı yukarı aşağıdaki listeye benziyor.

En kullanışlı format, her ürün veya iç süreç için tek sayfalık bir tablo. Satış ekibi bir anket aldığında bu tabloyu açıp cevabı oradan alabilmeli. Her seferinde mühendislerden tek tek bilgi toplamak hem yavaş hem tutarsız sonuç verir.

• Model envanteri: Kullanılan her modelin adı, sürümü, sağlayıcısı ve geliştiricinin kökeni.
• Barındırma yeri: Tedarikçi API'si mi, kendi bulut hesabınız mı, şirket içi mi; hangi bölgede ve kimin altyapısında.
• Gömülü bileşenler: Satın aldığınız araçların içinde çalışan, sizin doğrudan seçmediğiniz modeller.
• Türev modeller: İnce ayarlı, damıtılmış ya da başka bir modelin bileşenini kullanan modeller ve bunların hangi temel modele dayandığı.
• Veri sınıfları: Hangi tür verinin (müşteri, personel, finans, toplantı içeriği) hangi modele gittiği.
• Kayıt ve izleme: Model çağrılarının loglanıp loglanmadığı, ağ trafiğinin izlenip izlenmediği ve veri kaybı önleme kontrollerinin olup olmadığı. Kaldırma sürecinde federal kurumlara da tam bu üç kontrol tavsiye edildi; uygulamayı CISA bünyesindeki FASCSA Kararı Uygulama Ekibi izliyor.
• Alt tedarikçi beyanları: Kendi tedarikçilerinizden aldığınız yazılı model beyanları.
• Değişim planı: Bir model yasaklanırsa yerine neyin geçeceği ve geçişin ne kadar süreceği.

Envantere hassas veri taşıyan araçlardan başlayın

Nereden başlayacağınızı bilmiyorsanız, en hassas veriyi işleyen ve arka planda sizin seçmediğiniz modelleri çalıştıran araçlara bakın. CRM'inize gömülü bir yapay zekâ asistanı müşteri kayıtlarını, satış notlarını ve e-posta geçmişini bir modele gönderir; o modeli CRM sağlayıcısı seçmiştir ve onun da bir alt sağlayıcısı olabilir. Müşteri destek botu da benzer: mesajları sınıflandıran bir model ile cevabı yazan başka bir model aynı akışta çalışabilir. Her birinin kökeni ve çalıştığı yer ayrı ayrı sorulmalı.

Her sağlayıcıya aynı dört soruyu sorun: Hangi modeller kullanılıyor ve bunları kim geliştirdi? Bu modeller nerede çalışıyor? Veriler ne kadar süre saklanıyor? Alt tedarikçiler kimler? Cevap gecikiyor ya da muğlak kalıyorsa, aracı envanterde 'doğrulanmadı' olarak işaretleyin ve ona hangi veriyi gönderdiğinizi yeniden düşünün.

Hangi barındırma seçeneğinin doğru olduğu kurumun yapısına bağlı. Kamu kurumlarında ve düzenlemeye tabi sektörlerde şirket içi kurulum denetim cevabını kolaylaştırabilir. Kendi sunucusunu yönetecek BT ekibi olmayan küçük bir şirket için ise şirket içi kurulum çoğu zaman gereksiz bir yüktür; orada önemli olan, bulut sağlayıcısının hangi modeli nerede çalıştırdığını yazılı olarak bilmek.