Američki dobavljači koji posluju sa saveznom upravom moraju voditi računa i o tehnologiji ugrađenoj u proizvode drugih kompanija. Prema ugovornoj klauzuli FAR 52.204-30, određeni dobavljači moraju redovito provjeravati naredbe o sigurnosti lanca opskrbe, prijavljivati obuhvaćene proizvode i prenositi odgovarajuće obveze na podizvođače. Nova američka naredba protiv DeepSeeka pokazuje zašto ta pravila mogu postati problem i za proizvođača poslovne aplikacije koji se na tržištu pojavljuje pod vlastitim imenom.
Američko Ministarstvo domovinske sigurnosti (DHS) izdalo je 24. srpnja 2026. naredbu kojom isključuje DeepSeekove proizvode iz obuhvaćene civilne savezne nabave i nalaže uklanjanje određene tehnologije iz informacijskih sustava agencija. Obavijest je javno dostupna od 19. listopada, a 20. listopada objavljena je u američkom Federal Registeru.
Posebno je važan dio službene naredbe DHS-a koji se odnosi na proizvode i usluge drugih kompanija razvijene korištenjem DeepSeekovih implementacija. Kupac tako može ugovoriti softver s američkom ili europskom kompanijom, a da pojedine funkcije aplikacije ovise o modelu koji je obuhvaćen američkim ograničenjem.
Ugovorne obveze mogu zahvatiti i podizvođače
Američka ugovorna klauzula FAR 52.204-30 uređuje postupanje dobavljača kada se na njihov savezni ugovor primjenjuje naredba izdana prema Zakonu o sigurnosti lanca opskrbe u saveznoj nabavi (Federal Acquisition Supply Chain Security Act, FASCSA).
Dobavljač tijekom izvršavanja takvog ugovora mora provjeravati primjenjive naredbe u sustavu SAM.gov najmanje jednom u tri mjeseca, osim ako ugovorni službenik ne odredi drukčije. Kada utvrdi proizvod ili uslugu za koje postoji obveza izvještavanja, početne informacije mora dostaviti u roku od tri radna dana. Dodatne informacije o poduzetim mjerama dostavljaju se u roku od deset radnih dana nakon početnog izvješća.
Klauzula predviđa i prijenos odgovarajućih ugovornih odredbi na podizvođače, uključujući one koji isporučuju komercijalne proizvode i usluge. Pritom je obveza tromjesečne provjere naredbi izuzeta iz obveznog prijenosa na podizvođače.
Za razvojnu kompaniju to otvara vrlo konkretno pitanje. Ako njezin softver koristi DeepSeekov model, izravni kupac koji ima ugovor sa saveznom agencijom može zatražiti informacije o toj tehnologiji kako bi provjerio vlastite ugovorne obveze.
Takav zahtjev ne proizlazi automatski iz svakog ugovora o prodaji softvera. Primjena američkih pravila ovisi o konkretnom saveznom ugovoru, uključenim klauzulama i proizvodima na koje se naredba odnosi.
Što je točno obuhvaćeno američkom naredbom?
DHS je naredbu donio nakon preporuke Federal Acquisition Security Councila. U njezinu tekstu razlikuju se isključenje iz nabave i nalog za uklanjanje.
Isključenje iz nabave odnosi se na DeepSeek, povezane subjekte i njihove proizvode. Nalog za uklanjanje šire je formuliran: obuhvaća i proizvode te usluge trećih strana razvijene korištenjem DeepSeekovih implementacija.
To ne znači da je DeepSeek općenito zabranjen privatnim korisnicima u Sjedinjenim Američkim Državama. Riječ je o mjerama koje se odnose na obuhvaćenu civilnu saveznu nabavu i informacijske sustave.
DHS odluku obrazlaže sigurnosnim rizicima, među kojima navodi mogućnost prijenosa osjetljivih podataka u Kinu, pristup kineskih vlasti infrastrukturi privatnih kompanija i sigurnosne ranjivosti.
U obrazloženju se poziva i na istraživanje tvrtke NowSecure iz veljače 2025. Istraživači su u tadašnjoj DeepSeekovoj aplikaciji za iOS utvrdili propuste povezane sa zaštitom određenih podataka o uređaju, kriptografskom implementacijom i pohranom podataka.
Ti nalazi odnose se na testiranu mobilnu aplikaciju. Ne dokazuju da iste ranjivosti postoje u svakom poslovnom proizvodu koji koristi DeepSeekov model.
Naredba predviđa i mogućnost iznimke. Agencije mogu podnijeti obrazložen zahtjev za određeni proizvod ili odgodu provedbe. Rok od 60 dana za podnošenje zahtjeva računa se od izdavanja naredbe 24. srpnja, a ne od njezine javne objave u listopadu.
Lokalno pokretanje modela ne rješava pitanje obuhvata
Proizvođači poslovnog softvera mogu koristiti DeepSeekovu tehnologiju na različite načine. Jedna aplikacija može pristupati modelu putem vanjske mrežne usluge, dok ga druga može pokretati na vlastitoj infrastrukturi.
DeepSeek na službenom GitHub repozitoriju objavljuje modele i upute za njihovo lokalno pokretanje. U takvoj izvedbi korisnički upiti ne moraju odlaziti na DeepSeekove poslužitelje. Stvarni put podataka ovisi o konfiguraciji sustava i povezanim uslugama.
No tehničko pitanje prijenosa podataka razlikuje se od pitanja primjene američke naredbe. Lokalno pokretanje nije u njezinu javno dostupnom tekstu potvrđeno kao opća iznimka.
Dodatno pitanje otvara formulacija o proizvodima razvijenima korištenjem DeepSeekovih implementacija. Programeri, primjerice, mogu koristiti AI alat tijekom razvoja aplikacije, a da završni proizvod ne sadrži model kojim su se služili.
Javno dostupni tekst naredbe ne daje dovoljno detaljnu definiciju za nedvojben zaključak o svim takvim slučajevima. Zbog toga se obuhvat pojedinog proizvoda ne može pouzdano odrediti samo na temelju činjenice da je DeepSeek korišten u nekoj fazi razvoja.
Zamjena AI modela donosi dodatne troškove
Ako se pokaže da proizvod ne može ostati u obuhvaćenom saveznom sustavu, proizvođač softvera može se suočiti sa zamjenom ugrađenog modela. Cijena pristupa novom modelu pritom nije jedini trošak.
Aplikacija koja automatski obrađuje ulazne račune mora pouzdano prepoznavati iznose, datume i dobavljače. Nakon zamjene modela potrebno je provjeriti daje li nova izvedba rezultate koje ostatak sustava može ispravno obraditi.
Sličan problem može nastati u programima koji pretražuju internu dokumentaciju ili pripremaju odgovore korisnicima. Drugi model može drukčije tumačiti upite, mijenjati strukturu odgovora ili zahtijevati prilagodbe postojećih funkcija.
Trošak takve promjene ovisi o arhitekturi proizvoda i načinu na koji je model integriran. Za DeepSeekovu naredbu nema dovoljno javno potvrđenih podataka o broju pogođenih dobavljača, vrijednosti njihovih ugovora ili ukupnim troškovima prilagodbe.
Proizvođač koji može zamijeniti model bez preuređenja cijele aplikacije ima više prostora za ispunjavanje različitih uvjeta nabave. Onaj čiji proizvod snažno ovisi o jednom modelu može se suočiti s opsežnijim razvojnim i testnim poslom.
Što trebaju provjeriti kupci u EU-u?
Američka naredba ne uvodi opću zabranu DeepSeeka za privatne kompanije u Europskoj uniji. Ipak, njezin obuhvat otvara pitanje koliko poslovni kupac zna o tehnologiji ugrađenoj u aplikaciju koju koristi.
Kompanija koja putem vanjskog softvera obrađuje ugovore, računovodstvene dokumente ili korisničke podatke ima razlog provjeriti koji pružatelji sudjeluju u obradi tih informacija. Važno je i može li proizvođač promijeniti AI model bez prethodne obavijesti te što takva promjena znači za ugovorene uvjete usluge.
Europski AI Act propisuje određene obveze dokumentiranja za pružatelje modela opće namjene i dostavljanja informacija kompanijama koje ih ugrađuju u svoje sustave. Te obveze ne znače da svaki poslovni kupac ima pravo na sve tehničke pojedinosti modela niti da je DeepSeek općenito zabranjen u EU-u.
Za kompaniju koja softver prodaje državnim institucijama ili njihovim ugovornim partnerima poznavanje ugrađenih AI modela može postati uvjet sudjelovanja u nabavi. Ugovor je sklopljen s proizvođačem aplikacije, ali provjera može završiti na modelu koji je taj proizvođač ugradio u pozadini.
Autor: financa.ba
Prilikom preuzimanja obvezno navesti izravni link na članak.
