สหรัฐสั่งถอด DeepSeek ออกจากระบบหน่วยงานรัฐพลเรือนทั้งหมด: คำสั่งลงนามตั้งแต่ 24 ก.ค. แต่เพิ่งเผยแพร่ 20 ต.ค. — ครอบคลุม "ผลิตภัณฑ์ของบุคคลที่สามที่พัฒนาด้วย DeepSeek" โดยไม่นิยามว่ารวมโมเดล open-weight ที่โฮสต์เองหรือไม่

กระทรวงความมั่นคงแห่งมาตุภูมิสหรัฐ (DHS) เผยแพร่ประกาศใน Federal Register เมื่อ 20 ต.ค. 2026 (91 FR 66346, docket DHS-2026-0628) เรื่องคำสั่ง Exclusion and Removal Order #2026-01 ซึ่งออกภายใต้กฎหมาย Federal Acquisition Supply Chain Security Act (FASCSA) ปี 2018 คำสั่งนี้มีผลสองข้อกับหน่วยงานรัฐบาลกลางฝ่ายพลเรือนทั้งหมด (1) ห้ามจัดซื้อ ผลิตภัณฑ์และบริการไอทีของ DeepSeek และบริษัทในเครือ และ (2) ถอดออก ทั้งผลิตภัณฑ์ของ DeepSeek เองและ “ผลิตภัณฑ์และบริการของบุคคลที่สามที่พัฒนาโดยใช้ DeepSeek implementations” ออกจากระบบไอทีของหน่วยงาน

ข่าวนี้มีรายงานจาก WSJ ตั้งแต่ 19 ต.ค. แต่เมื่อวานเรายังไม่เขียน เพราะยังหาตัวคำสั่งจริงไม่ได้ ตอนนี้คำสั่งที่ลงนามแล้วอยู่ในภาคผนวกของ PDF ใน Federal Register และเมื่ออ่านฉบับเต็มก็พบหลายจุดที่ข่าวส่วนใหญ่ไม่ได้รายงาน โดยเฉพาะวันที่ออกคำสั่งและขอบเขตที่กว้างกว่าแอป DeepSeek มาก

สิ่งที่อยู่ในตัวคำสั่ง (ไม่ใช่แค่ในข่าว)

• ออกคำสั่งตั้งแต่เดือนกรกฎาคม: หัวเอกสารเขียนว่า “Original Release Date: July 24, 2026” ลงนามโดย Markwayne Mullin รัฐมนตรี DHS และส่งสำเนาถึง Russell Vought ผู้อำนวยการ OMB ส่วนประกาศใน Federal Register ยื่นวันที่ 19 ต.ค. และเผยแพร่ 20 ต.ค. คำสั่งจึงเริ่มใช้ภายในหน่วยงานรัฐเกือบ 3 เดือนก่อนที่ภาคเอกชนจะได้เห็น
• ต้องถอด “ทันที” ไม่มีระยะผ่อนผัน: หน่วยงานต้องถอดผลิตภัณฑ์ออก “immediately after the issuance of the Order, or seek an Exception” ถ้าต้องการขอยกเว้นต้องยื่นเป็นลายลักษณ์อักษร “ภายใน 60 วัน นับจากวันออกคำสั่ง” ถ้านับจากวันที่ 24 ก.ค. ที่ระบุในหัวเอกสาร กรอบ 60 วันนี้หมดไปตั้งแต่ปลายเดือนกันยายนแล้ว ตัวเอกสารไม่ได้อธิบายว่าจะนับอย่างไร
• ไม่ครอบคลุมกลาโหมและหน่วยข่าวกรอง: คำสั่งใช้กับหน่วยงานพลเรือนเท่านั้น ยกเว้นระบบความมั่นคงแห่งชาติ (national security systems) และระบบ SCI เพราะส่วนนั้นอยู่ในอำนาจของกระทรวงกลาโหมและ DNI แยกต่างหาก
• มีเหตุผลด้านความเสี่ยงระบุไว้ แต่หลักฐานเก่า: ข่าวหลายสำนักเขียนว่า DHS “ไม่ระบุข้อกังวลด้านความปลอดภัย” ซึ่งไม่ถูกต้อง ภาคผนวกมีหัวข้อ Summary of Risks ที่ระบุว่าเซิร์ฟเวอร์อยู่ในจีน, กฎหมายจีนเปิดให้รัฐเข้าถึงข้อมูลได้, ระบบสร้างบัญชีเก็บข้อมูลส่วนบุคคล (PII) และ “อาจติดตามหรือทำ fingerprint ผู้ใช้”, prompt ที่ส่งไปอาจทำให้ข้อมูลอ่อนไหวรั่วไหล และ “ตัวโมเดลเองอาจมี malware หรือช่องโหว่” แต่เชิงอรรถที่ใช้อ้างอิงเกือบทั้งหมดเป็นเอกสารปี 2025 เช่น privacy policy ที่เก็บใน Wayback เดือนมีนาคม 2025 และรายงานช่องโหว่แอป iOS ของ NowSecure เดือนกุมภาพันธ์ 2025 ไม่มีเอกสารใดพูดถึงโมเดลรุ่นปี 2026 เลย
• ชื่อบริษัทไม่ตรงกันในเอกสารชุดเดียวกัน: ประกาศใน Federal Register ใช้ชื่อ “Hangzhou DeepSeek Artificial Intelligence Co., Ltd” ตัวคำสั่งใช้ “Hangzhou DeepSeek Artificial Intelligence Basic Technology Research Co., Ltd.” ส่วนเชิงอรรถที่นิยาม “affiliate” (เชิงอรรถ 9 และ 12) อ้างถึง “DeepSeek AG” ซึ่งไม่ใช่ชื่อนิติบุคคลใดของ DeepSeek ที่เรารู้จัก ทีมกฎหมายที่ต้องตีความว่าบริษัทใดถือเป็น “บริษัทในเครือ” จึงไม่มีนิยามที่ชัดเจนให้ใช้

ประโยคที่นักพัฒนาต้องอ่าน: “third-party … developed using DeepSeek implementations”

ข้อนี้คือส่วนที่กว้างที่สุดของคำสั่ง เชิงอรรถอธิบายเพิ่มเพียงว่า “รวมถึง third party implementations of DeepSeek ที่ใช้ให้บริการแก่หน่วยงานพลเรือน” แต่ไม่ได้นิยามว่า “implementation” หมายถึงอะไร เมื่ออ่านตามตัวอักษร คำนี้อาจครอบคลุม

• ระบบที่โฮสต์ open weights ของ DeepSeek เองบนเซิร์ฟเวอร์ในสหรัฐ ไม่ได้ส่งข้อมูลไปจีนเลย
• โมเดลที่ fine-tune หรือ distill มาจาก DeepSeek (ซึ่งมีจำนวนมากบน Hugging Face)
• AI gateway หรือ router ที่ส่ง request บางส่วนไปยังโมเดล DeepSeek
• โค้ดโอเพนซอร์สจาก DeepSeek เช่น inference engine อย่าง DeepInfer ที่เพิ่งเปิดซอร์สเมื่อวาน

เหตุผลด้านความเสี่ยงในคำสั่งส่วนใหญ่ (เซิร์ฟเวอร์ในจีน, การเก็บ PII ตอนสมัครบัญชี) ใช้ได้กับบริการที่ DeepSeek โฮสต์เอง แต่ขอบเขตคำสั่งกว้างกว่านั้นมาก ช่องว่างระหว่างเหตุผลกับขอบเขตนี้คือจุดที่ผู้รับจ้างรัฐจะต้องตีความเอง

สำหรับผู้รับจ้างรัฐบาลกลาง สัญญาที่มีข้อ FAR 52.204-30 กำหนดให้ตรวจ SAM.gov อย่างน้อยทุก 3 เดือน เมื่อพบคำสั่ง FASCSA ใหม่ต้อง “ตรวจสอบตามสมควร” ว่าได้ส่งมอบหรือใช้ของที่เข้าข่ายหรือไม่ ถ้าพบต้องรายงานภายใน 3 วันทำการ และส่งรายละเอียดมาตรการแก้ไขภายใน 10 วันทำการ บริษัทที่มี coding agent หรือ pipeline ภายในที่เรียกใช้โมเดล DeepSeek ระหว่างทำงานตามสัญญาจึงควรตรวจสอบตั้งแต่ตอนนี้

ส่วนที่คำสั่งไม่ได้ครอบคลุมคือภาคเอกชนทั่วไปและผู้บริโภค เพราะ FASCSA เป็นกฎหมายด้านการจัดซื้อของรัฐ ไม่ใช่การแบนระดับประเทศ DHS ต้องทบทวนคำสั่งนี้ภายในหนึ่งปีและทบทวนทุกปีหลังจากนั้น

มุมมอง AI Curator

เรื่องที่สำคัญที่สุดในเอกสารนี้ไม่ใช่การแบนแอป DeepSeek ซึ่งหน่วยงานรัฐหลายแห่งในหลายประเทศทำไปแล้วตั้งแต่ปี 2025 แต่เป็นการที่รัฐบาลกลางสหรัฐขยายการควบคุมจากผู้ให้บริการไปถึง “สายพันธุ์” ของโมเดล ด้วยถ้อยคำที่ไม่มีนิยาม ถ้า “developed using DeepSeek implementations” ถูกตีความกว้าง โมเดล open-weight ที่รันบนเซิร์ฟเวอร์ในสหรัฐก็ถือว่าเสี่ยงได้เพียงเพราะที่มาของ weights ซึ่งเป็นตรรกะเดียวกับการแบนฮาร์ดแวร์ แต่นำมาใช้กับไฟล์ตัวเลขที่ตรวจสอบได้ อ่านได้ และไม่มีช่องทางส่งข้อมูลกลับไปที่ใด การที่คำสั่งเขียนว่า “the models themselves may contain malware” โดยไม่มีหลักฐานทางเทคนิคประกอบ ทำให้เส้นแบ่งนี้ยิ่งไม่ชัดเจน

ผลระยะยาวที่น่าจับตาคือ provenance ของโมเดลจะกลายเป็นข้อกำหนดด้าน compliance ในลักษณะเดียวกับ SBOM ของซอฟต์แวร์ บริษัทที่ขายให้รัฐบาลสหรัฐจะเริ่มถูกถามว่า “โมเดลนี้ distill มาจากอะไร” ซึ่งตอบได้ยากมากเมื่อโมเดลโอเพนซอร์สจำนวนมากเทรนด้วย synthetic data จากโมเดลจีนโดยไม่ได้เปิดเผย และไม่มีใครรู้ว่า DHS จะถือว่ากรณีนี้เข้าข่ายหรือไม่ นอกจากนี้ การที่คำสั่งถูกใช้ภายในหน่วยงานรัฐเกือบสามเดือนก่อนเผยแพร่ แปลว่าผู้รับจ้างที่ทำตาม FAR 52.204-30 อย่างเคร่งครัดก็ยังไม่มีทางรู้ได้จนถึงวันที่ 20 ต.ค.

สำหรับบริษัทไทยและอาเซียนที่ใช้ DeepSeek V4.x อยู่ในผลิตภัณฑ์ เพราะเป็นโมเดลที่ราคาถูกที่สุดในระดับเดียวกัน ผลกระทบโดยตรงมีเฉพาะกรณีที่ขายบริการให้หน่วยงานรัฐบาลกลางสหรัฐหรือเป็น subcontractor ของบริษัทที่ขาย สิ่งที่ควรทำตอนนี้คือ (1) ทำบัญชีว่าส่วนไหนของ stack ใช้โมเดลหรือโค้ดของ DeepSeek รวมถึงโมเดล distill (2) ออกแบบ model routing ให้สลับไปใช้โมเดลอื่นได้ด้วยการแก้ config อย่างเดียว และ (3) จับตาว่า EU หรือรัฐบาลในอาเซียนจะนำถ้อยคำแบบ “third-party implementations” ไปใช้ในข้อกำหนดจัดซื้อของตัวเองหรือไม่ ถ้ามีการนำไปใช้ ต้นทุนของการเลือกโมเดลจีนเพราะราคาถูกจะเพิ่มขึ้นทันที

แหล่งข่าว

• Notice of Order Regarding Exclusion and Removal of DeepSeek Products (91 FR 66346, รวมคำสั่งฉบับลงนามในภาคผนวก) — govinfo.gov
• FAR 52.204-30 Federal Acquisition Supply Chain Security Act Orders—Prohibition — Acquisition.gov
• US bans Deepseek technology across federal civilian agencies — The Decoder