Az Egyesült Államok Belbiztonsági Minisztériuma (DHS) 2026. október 20-i közzétételre adott ki egy rendelkezést a Hangzhou DeepSeek Artificial Intelligence Basic Technology Research Co., Ltd. (a továbbiakban DeepSeek) termékeiről. A dokumentumot 2026. október 19-én nyújtották be a Szövetségi Közlönybe (Federal Register), és a minisztérium nyilvánossá tette az aláírt rendelkezést is. A rendelkezés száma „Exclusion and Removal Order #2026-01”, eredeti kiadási dátuma pedig 2026. július 24. A hír így nem egy új tilalom, hanem egy korábban aláírt rendelkezés nyilvánossá válása.
Mi a szabály lényege
A rendelkezésnek két fő eleme van. Az első a beszerzés tiltása. A szövetségi civil ügynökségek nem szerezhetnek be DeepSeek-termékeket és -szolgáltatásokat. A szöveg szerint ez a tiltás a rendelkezés kiadása után azonnal hatályos. Kiterjed a jóváhagyott terméklistákra és az elektronikus beszerzési piacterekre is. A második elem az eltávolítás. Az ügynökségeknek el kell távolítaniuk a DeepSeek-termékeket a meglévő rendszereikből, vagy kivételt kell kérniük.
A rendelkezés a harmadik féltől származó termékekre is kiterjed. A szöveg szerint ide tartoznak a „DeepSeek-implementációk felhasználásával fejlesztett harmadik féltől származó termékek és szolgáltatások”. Ez azt jelenti, hogy nem elég a DeepSeek saját alkalmazását eltávolítani. Az olyan szoftverre is kiterjed, amely a DeepSeek modelljére épül, de más cég neve van rajta. Ez a pont a legnehezebb a gyakorlatban. Egy ügynökség nem mindig látja, hogy a megvett termék mögött éppen a DeepSeek modellje fut. A rendelkezés ehhez külön módszertant nem ad.
A jogalap a 2018-as Federal Acquisition Supply Chain Security Act, vagyis a szövetségi beszerzési ellátásilánc-biztonsági törvény. Ez a törvény hozta létre a Szövetségi Beszerzési Biztonsági Tanácsot. A tanács ajánlást tehet kockázatos termékek kizárására. Az ajánlás alapján a civil ügynökségekre a DHS vezetője adhat ki kizárási vagy eltávolítási rendelkezést (41 U.S.C. 1323(c)(5)(A)(i)). A mostani rendelkezést Markwayne Mullin, a DHS vezetője írta alá.
Kire vonatkozik, és kire nem
A rendelkezés hatálya pontosan meghatározott. A szöveg szerint a „szövetségi civil végrehajtó ágazat ügynökségeire” vonatkozik. Kivételt képeznek ezek nemzetbiztonsági rendszerei és a minősített elkülönített információs rendszerek. A Védelmi Minisztérium és a nemzeti hírszerzés igazgatójának hatálya alá tartozó rendszerek külön szabályozás alá esnek. A CNBC szerint a szabály érinti például a pénzügyi, a külügyi és az igazságügyi tárcát, a Védelmi Minisztériumot viszont nem.
Fontos, hogy ez egy amerikai szabály. Nem uniós és nem magyar előírás. A rendelkezés az amerikai szövetségi kormányzat saját rendszereire szól. Nem tiltja be a DeepSeeket a magánszektorban, és nem globális tilalom. Magyar cégre tehát nem keletkezik belőle közvetlen kötelezettség. Közvetve az a szállító érintett, amely amerikai szövetségi civil ügynökségnek ad el DeepSeekre épülő terméket vagy szolgáltatást: a rendelkezés ezeket is kizárja. Az amerikai rendelkezésről NAIH- vagy NKI-állásfoglalást nem találtunk, ezért magyar hatósági álláspontot nem idézünk.
A szabály nem új. Az aláírt rendelkezés eredeti dátuma 2026. július 24. A 2026. október 19-i és 20-i hír arról szól, hogy a dokumentum nyilvánossá vált, és bekerült a Szövetségi Közlönybe.
A CNBC szerint a DeepSeek 2025 eleji megjelenése óta több amerikai lépés született. A Kongresszus 2025 decemberében korlátozta a DeepSeek használatát a hírszerzési közösség rendszereiben. A Reuters akkori értesülése szerint 2025 márciusában a Kereskedelmi Minisztérium egyes hivatalai közölték munkatársaikkal, hogy a DeepSeek a kormányzati eszközökön tilos. A mostani DHS-rendelkezés a szövetségi civil oldalt fedi le. A CNBC szerint a kínai külügyminisztérium azt közölte, hogy megvédi cégei jogait, és bírálta a nemzetbiztonság túlzott kiterjesztését.
A 60 nap: mire vonatkozik?
A rendelkezés egy 60 napos határidőt is tartalmaz. A határidő nem az eltávolításra vonatkozik. A szöveg szerint az eltávolítást „a rendelkezés kiadása után azonnal” kell elvégezni, vagy kivételt kell kérni.
A 60 nap a kivételkérelemre vonatkozik. A dokumentum szerint a kivételkérelmeket írásban, a rendelkezés kiadásától számított 60 napon belül kell benyújtani. Egy ügynökség kérheti, hogy a szabály ne vonatkozzon rá, vagy halasztást kérhet a megfelelésre. A kérelemhez indoklás és a kockázatcsökkentő lépések leírása is kell. A kérelmet a CISA bírálja el, és írásban dönt róla.
A törvény szerint az a fél, akit a rendelkezésről értesítettek, az értesítéstől számított 60 napon belül kérheti a rendelkezés felülvizsgálatát a washingtoni szövetségi fellebbviteli bíróságtól (D.C. Circuit) (41 U.S.C. 1327(b)(1)). Ezekben az ügyekben ez a bíróság kizárólagos hatáskörű, más közigazgatási vagy bírósági jogorvoslat nincs (1327(a) és (b)(3)). Arról, hogy a DeepSeek élt-e ezzel, nem találtunk információt. Ez egy másik 60 napos határidő, mint a kivételkérelemé: az érintett félre vonatkozik, nem az ügynökségekre.
Miért hozták a döntést
A DHS több kockázatra hivatkozik. A szöveg szerint a DeepSeek szerverei a Kínai Népköztársaságban vannak. A dokumentum szerint a kínai jogrend széles hozzáférést enged az állami szerveknek a magáncégek infrastruktúrájához. A szöveg szerint a DeepSeek által üzemeltetett példányoknál a fiókregisztráció személyes adatot gyűjt, és a felhasználókat ujjlenyomatszerűen azonosíthatja.
A dokumentum szerint a használat „érzékeny adat Kínába történő átadásához vezethet, ha amerikai kormányzati alkalmazottak vagy beszállítók használják”. A szöveg szerint a modellek „kártékony kódot vagy más sebezhetőséget tartalmazhatnak”. A DHS egy 2025-ös NowSecure-kutatásra hivatkozik, amely a DeepSeek iOS-alkalmazásában talált hibákat.
A megfogalmazás mindvégig feltételes. A dokumentum nem állít bizonyított adatátadást vagy bizonyított kártékony kódot. Kockázatokról és lehetőségekről ír.
A rendelkezés átmeneti intézkedéseket is javasol. Amíg az eltávolítás nem fejeződik be, az ügynökségeknek érdemes figyelniük a forgalmat, bővíteniük a naplózást, és korlátozniuk az adatkiszivárgást. A CISA technikai segítséget is adhat azoknak, akiknek nincs saját kapacitásuk a megfeleléshez.
Mit tehet egy magyar cég
A magyar cégnek nem ebből a rendelkezésből ered kötelezettsége. A tanulság más. Érdemes tudni, milyen AI fut a megvett szoftver mögött. Sok üzleti szoftverbe egy külső AI-modell van beépítve, és a vevő ezt gyakran nem látja. A DeepSeek esete épp ezt a vakfoltot mutatja meg.
A következő pontok segítenek átnézni az AI-beszállítói láncot. Nem jogi tanácsadás, hanem egy ésszerű kiindulópont.
- Kérdezze meg a szállítótól, milyen AI-modellt használ a termék. A választ kérje írásban.
- Kérdezzen rá, hol fut a modell. Saját szerveren, európai felhőben vagy a modellt fejlesztő cég infrastruktúráján.
- Kérdezze meg, milyen adat kerül a modellhez. A beírt szöveg a cégnél marad, vagy kimegy egy külső szolgáltatóhoz. Ha személyes adat megy ki, a GDPR adatfeldolgozói (28. cikk) és EU-n kívüli továbbítási (a 44. és a 49. cikk közötti) szabályai is szóba jönnek.
- Kérdezzen rá az alvállalkozói láncra. A termékbe épített AI maga is lehet egy harmadik fél szolgáltatása.
- Rögzítse szerződésben a szállító tájékoztatási kötelezettségét. Írja le, hogy a szállító értesíti, ha modellt vagy alvállalkozót vált.
A beszállítói lánc átvilágításáról a Loop több cikket is közölt. Egy valós eset mutatja, hogyan indult egy betörés egy harmadik fél AI-eszközéből. A beszállítói felelősség kérdéseit egy kiberkérdőív is összefoglalja. Az európai AI-kontroll és a szolgáltatóváltás kérdéséről pedig egy külön elemzés szól.
A kérdés nem elméleti. A szoftverek egyre több funkciót adnak ki egy háttérben futó AI-modellnek. A fordítás, az ügyfélszolgálati válasz vagy a dokumentumelemzés mögött gyakran egy külső modell dolgozik. A vevő a felületen ebből semmit nem lát. A szállító viszont tudja, és meg tudja mondani, ha rákérdeznek.
A lényeg nem a DeepSeek neve. A lényeg a kérdés. Egy cég akkor dönthet felelősen, ha tudja, milyen AI dolgozik a megvett szoftver mögött, és hová kerül az adat. Egy rövid, írásos kérdéssor erre már elég kiindulás.
Nyitott kérdések
- Hány ügynökség kér kivételt, és hány kap halasztást. A döntéseket a CISA bírálja el.
- Hogyan azonosítható egy harmadik fél termékében a beépített DeepSeek. A rendelkezés ehhez nem ad módszertant.
- Születik-e uniós vagy magyar hatósági álláspont az AI-beszállítói láncról. Az olasz adatvédelmi hatóság (Garante) 2025. január 30-án az Olaszországban tartózkodó felhasználók adatainak kezelését korlátozta a DeepSeek szolgáltatásában. Magyar hatósági állásfoglalást nem találtunk.
Ez a cikk általános tájékoztatás, nem minősül jogi tanácsadásnak.
AI-közreműködés: AI-asszisztált. A cikk megírásában mesterséges intelligencia közreműködött. A tartalomért a Loop szerkesztősége felel. (2026)
