هوش مصنوعی در مدت کوتاهی به یکی از ابزارهای مهم کارهای اداری، تحلیل داده، برنامه‌نویسی و تصمیم‌سازی تبدیل شده است؛ اما هرچه استفاده از این فناوری در سازمان‌های حساس گسترده‌تر می‌شود، یک پرسش جدی‌تر مطرح می‌شود: اطلاعاتی که در اختیار یک ابزار هوش مصنوعی قرار می‌دهیم، دقیقاً کجا ذخیره می‌شود و چه کسانی ممکن است به آن دسترسی داشته باشند؟
تازه‌ترین تصمیم دولت آمریکا درباره DeepSeek بار دیگر این موضوع را به صدر اخبار فناوری و امنیت سایبری آورده است. وزارت امنیت داخلی آمریکا در اکتبر ۲۰۲۶ دستور حذف محصولات این شرکت چینی را از سامانه‌های فناوری اطلاعات دستگاه‌های اجرایی غیرنظامی فدرال منتشر کرد. این دستور علاوه بر محصولات مستقیم DeepSeek، برخی خدمات و نرم‌افزارهای شخص ثالثی را نیز دربرمی‌گیرد که با استفاده از فناوری این شرکت توسعه یافته‌اند.
اما دلیل این تصمیم چیست؟ آیا نگرانی اصلی فقط چینی‌بودن شرکت سازنده است یا شیوه جمع‌آوری و نگهداری اطلاعات هم اهمیت دارد؟ در این مقاله از مجله اوپاکالا، ابعاد امنیتی این محدودیت و تأثیر آن بر آینده استفاده سازمانی از هوش مصنوعی را بررسی می‌کنیم.
بر اساس دستور وزارت امنیت داخلی آمریکا که در ۲۰ اکتبر ۲۰۲۶ در روزنامه رسمی دولت فدرال منتشر شد، محصولات شرکت Hangzhou DeepSeek Artificial Intelligence و شرکت‌های وابسته به آن باید از سامانه‌های فناوری اطلاعات دستگاه‌های اجرایی غیرنظامی فدرال حذف شوند.
این تصمیم فقط به نصب‌نکردن اپلیکیشن DeepSeek روی رایانه‌های اداری محدود نیست. محصولاتی از شرکت‌های دیگر که با استفاده از پیاده‌سازی‌ها و فناوری DeepSeek توسعه یافته‌اند نیز ممکن است مشمول این محدودیت شوند. همچنین خرید محصولات و خدمات فناوری اطلاعات این شرکت برای دستگاه‌های مشمول دستور ممنوع شده است.
نکته مهم این است که این تصمیم به معنای ممنوعیت سراسری استفاده از DeepSeek برای تمام شهروندان و شرکت‌های خصوصی آمریکا نیست. دامنه اصلی دستور، سامانه‌ها و خریدهای فناوری اطلاعات دستگاه‌های اجرایی غیرنظامی فدرال است و برای موارد استثنا نیز سازوکار درخواست مجوز پیش‌بینی شده است.
بنابراین باید میان محدودیت استفاده در دستگاه‌های دولتی و ممنوعیت عمومی یک نرم‌افزار تفاوت قائل شد.
نگرانی‌های امنیتی مطرح‌شده درباره DeepSeek را می‌توان در چند محور اصلی بررسی کرد.
یکی از مهم‌ترین موضوعات، محل پردازش و نگهداری داده‌هاست. طبق سیاست حریم خصوصی DeepSeek، اطلاعات کاربران می‌تواند در سرورهای مستقر در چین ذخیره و پردازش شود.
این مسئله برای یک کاربر عادی ممکن است فقط یک موضوع مربوط به حریم خصوصی به نظر برسد؛ اما برای یک کارمند دولتی، شرایط کاملاً متفاوت است.
فرض کنید کارمندی برای خلاصه‌سازی یک گزارش محرمانه، تحلیل یک قرارداد یا بررسی اطلاعات یک پروژه دولتی از هوش مصنوعی استفاده کند. اگر این اطلاعات به سرورهای خارج از زیرساخت سازمان ارسال شوند، کنترل سازمان بر محل نگهداری، دسترسی و پردازش داده‌ها دشوارتر خواهد شد.
دولت آمریکا نگران است که اطلاعات حساس واردشده به این سرویس‌ها در معرض دسترسی اشخاص یا نهادهای خارج از کنترل سازمان قرار بگیرد.
یکی دیگر از محورهای نگرانی، چارچوب قانونی کشور محل فعالیت شرکت است.
در ارزیابی دولت آمریکا، قوانین امنیت سایبری و اطلاعات ملی چین می‌توانند در شرایطی شرکت‌های فعال در این کشور را ملزم به همکاری با نهادهای دولتی و ارائه اطلاعات کنند.
از نگاه نهادهای امنیتی آمریکا، وقتی اطلاعات حساس دولتی روی زیرساختی خارج از کنترل مستقیم این کشور پردازش می‌شود، احتمال دسترسی قانونی یا غیرمستقیم به آن باید در ارزیابی ریسک در نظر گرفته شود.
البته باید یک نکته را روشن کرد: مطرح‌شدن چنین نگرانی‌ای به‌تنهایی اثبات نمی‌کند که تمام اطلاعات کاربران DeepSeek در اختیار دولت چین قرار گرفته است. موضوع اصلی، ارزیابی خطر و میزان اطمینان سازمان‌ها به حفاظت از داده‌هاست.
در دستور وزارت امنیت داخلی آمریکا، نگرانی درباره آسیب‌پذیری‌های امنیتی و احتمال وجود کدهای مخرب نیز مطرح شده است.
هر نرم‌افزار یا سرویس آنلاین می‌تواند در معرض آسیب‌پذیری قرار بگیرد؛ اما وقتی یک ابزار به اطلاعات مهم سازمانی دسترسی دارد، پیامدهای یک ضعف امنیتی بسیار گسترده‌تر می‌شود.
برای مثال، اگر یک نرم‌افزار بتواند به اسناد داخلی، حساب‌های کاربری یا شبکه سازمان متصل شود، نفوذ به آن ممکن است مسیر دسترسی به بخش‌های دیگری از زیرساخت را نیز فراهم کند.
به همین دلیل، ارزیابی امنیت یک ابزار هوش مصنوعی نباید فقط بر اساس کیفیت پاسخ‌ها یا سرعت پردازش آن انجام شود. معماری نرم‌افزار، مجوزهای دسترسی، شیوه انتقال داده و نحوه به‌روزرسانی آن نیز اهمیت دارند.
بخش مهمی از ریسک امنیتی DeepSeek به رفتار کاربران مربوط می‌شود؛ موضوعی که درباره سایر ابزارهای هوش مصنوعی نیز صدق می‌کند.
کاربران معمولاً برای دریافت پاسخ بهتر، اطلاعات زیادی در اختیار چت‌بات‌ها قرار می‌دهند. ممکن است یک کارمند بدون توجه به حساسیت اطلاعات، مواردی مانند این‌ها را وارد ابزار کند:
متن قراردادهای محرمانه
اطلاعات مالی و حسابداری
مشخصات مشتریان و کارکنان
گزارش‌های داخلی سازمان
اطلاعات پروژه‌های در حال اجرا
کدهای نرم‌افزاری اختصاصی
جزئیات زیرساخت‌های فناوری اطلاعات
حتی اگر یک سرویس قصد سوءاستفاده از این اطلاعات را نداشته باشد، ارسال داده‌های حساس به محیطی خارج از کنترل سازمان می‌تواند ریسک ایجاد کند.
به همین دلیل، سیاست‌های امنیتی بسیاری از سازمان‌ها استفاده از ابزارهای هوش مصنوعی عمومی را برای پردازش اطلاعات محرمانه محدود می‌کنند.
خیر. مسئله اصلی، اعتماد به زنجیره تأمین فناوری و نحوه مدیریت اطلاعات است.
DeepSeek یک شرکت چینی است و همین موضوع در ارزیابی امنیت ملی آمریکا اهمیت دارد؛ اما چالش ذخیره‌سازی داده‌ها، دسترسی‌های غیرضروری، آسیب‌پذیری نرم‌افزار و استفاده نادرست کارکنان، مختص یک کشور یا یک شرکت نیست.
هر ابزار هوش مصنوعی که اطلاعات حساس را دریافت می‌کند، باید از نظر امنیتی ارزیابی شود. حتی اگر یک سرویس در کشوری با قوانین متفاوت فعالیت کند یا توسط شرکتی آمریکایی توسعه یافته باشد، باز هم نمی‌توان بدون بررسی سیاست‌های داده و معماری امنیتی آن را برای هر نوع اطلاعاتی مناسب دانست.
بنابراین، تصمیم سازمان‌ها باید بر اساس میزان حساسیت داده‌ها، محل پردازش، قراردادهای خدماتی، کنترل‌های امنیتی و الزامات قانونی انجام شود.
یکی از موضوعات مهم در بررسی امنیت DeepSeek، تفاوت میان استفاده از سرویس آنلاین و اجرای مدل روی سخت‌افزار خود کاربر یا سازمان است.
ویژگینسخه آنلایناجرای محلیمحل پردازشزیرساخت ارائه‌دهنده سرویسسخت‌افزار کاربر یا سازمانارسال اطلاعات به سرور خارجیمعمولاً برای استفاده از سرویس لازم استدر صورت تنظیم صحیح می‌تواند انجام نشودکنترل بر داده‌هاوابسته به سیاست ارائه‌دهندهبیشتر در اختیار سازماننیاز به سخت‌افزارکمتر برای کاربروابسته به اندازه مدل و منابع پردازشینگهداری و مدیریتعمدتاً بر عهده ارائه‌دهندهبر عهده کاربر یا سازمان
اجرای محلی یک مدل می‌تواند بخشی از نگرانی‌های مربوط به ارسال اطلاعات به سرور خارجی را کاهش دهد؛ اما به‌معنای امنیت کامل نیست.
اگر مدل از منبع نامعتبر دریافت شود، نرم‌افزار اجراکننده آسیب‌پذیر باشد یا سیستم به اینترنت و شبکه‌های دیگر متصل شود، همچنان امکان بروز مشکل وجود دارد. همچنین باید میان اجرای محلی مدل و استفاده از اپلیکیشن یا سرویس ابری تفاوت گذاشت؛ این دو روش لزوماً شرایط امنیتی یکسانی ندارند.
محدودیت دولت آمریکا به‌تنهایی به این معنا نیست که استفاده شخصی از DeepSeek برای همه افراد خطرناک است. بااین‌حال، کاربران عادی نیز باید بدانند چه اطلاعاتی را در اختیار ابزارهای هوش مصنوعی قرار می‌دهند.
برای استفاده روزمره، بهتر است از واردکردن اطلاعات زیر خودداری کنید:
رمز عبور و اطلاعات ورود به حساب‌ها
شماره کارت بانکی و اطلاعات مالی حساس
تصویر مدارک هویتی
اطلاعات خصوصی دیگران بدون رضایت آن‌ها
اسناد محرمانه کاری یا تجاری
اطلاعات پزشکی و شخصی بسیار حساس
همچنین پیش از استفاده از هر ابزار هوش مصنوعی، سیاست حریم خصوصی، تنظیمات ذخیره‌سازی داده‌ها و گزینه‌های حذف تاریخچه را بررسی کنید.
این توصیه فقط برای DeepSeek نیست؛ درباره ChatGPT، Gemini و سایر سرویس‌های هوش مصنوعی نیز باید با توجه به سیاست‌های هر سرویس رعایت شود.
شرکت‌ها و سازمان‌ها نمی‌توانند فقط بر اساس محبوبیت یا هزینه پایین یک ابزار هوش مصنوعی درباره استفاده از آن تصمیم بگیرند. یک ارزیابی امنیتی مناسب باید چند موضوع را پوشش دهد:
۱. مشخص‌کردن سطح محرمانگی اطلاعات: همه داده‌ها ارزش یکسانی ندارند. اطلاعات عمومی، داخلی، محرمانه و بسیار حساس باید سطح دسترسی متفاوتی داشته باشند.
۲. بررسی محل پردازش و ذخیره‌سازی: سازمان باید بداند داده‌ها به کدام سرورها ارسال می‌شوند و چه مقرراتی بر آن‌ها حاکم است.
۳. محدودکردن دسترسی کارکنان: بهتر است هر کارمند فقط به ابزارها و اطلاعاتی دسترسی داشته باشد که برای وظایفش ضروری است.
۴. بررسی قرارداد و سیاست حریم خصوصی: شرایط استفاده، نگهداری اطلاعات، حذف داده‌ها و نحوه استفاده از ورودی کاربران باید به‌دقت بررسی شود.
۵. آزمایش امنیتی پیش از استقرار: ابزارهای هوش مصنوعی باید پیش از ورود به شبکه سازمان، از نظر آسیب‌پذیری، مجوزها و نحوه ارتباط با سایر سامانه‌ها ارزیابی شوند.
۶. آموزش کارکنان: بسیاری از نشت‌های اطلاعاتی ممکن است به دلیل اشتباه ساده کاربران اتفاق بیفتند. آموزش درباره اطلاعاتی که نباید در چت‌بات‌ها وارد شوند، اهمیت زیادی دارد.
محدودیت DeepSeek نشان می‌دهد رقابت شرکت‌های هوش مصنوعی فقط بر سر سرعت، دقت، قیمت و کیفیت پاسخ‌ها نیست. امنیت اطلاعات، محل نگهداری داده‌ها و اعتماد سازمانی نیز به عوامل مهم رقابت تبدیل شده‌اند.
از یک طرف، مدل‌های کم‌هزینه و قابل‌دسترسی مانند DeepSeek می‌توانند فرصت‌های تازه‌ای برای توسعه‌دهندگان، شرکت‌های کوچک و پژوهشگران ایجاد کنند. از طرف دیگر، سازمان‌های دولتی و شرکت‌های بزرگ باید پیش از استفاده از این فناوری‌ها، ریسک‌های امنیتی و حقوقی را بررسی کنند.
احتمالاً در آینده شاهد گسترش راهکارهایی مانند مدل‌های هوش مصنوعی قابل‌استقرار در زیرساخت داخلی، پردازش خصوصی داده‌ها، کنترل دقیق دسترسی و قراردادهای شفاف‌تر درباره حریم خصوصی خواهیم بود.
برای بازار ایران نیز این موضوع اهمیت دارد. کسب‌وکارهایی که از هوش مصنوعی برای تحلیل سفارش‌ها، اطلاعات مشتریان، حسابداری یا تولید محتوای داخلی استفاده می‌کنند، بهتر است از ابتدا مشخص کنند چه داده‌هایی اجازه خروج از زیرساخت سازمان را دارند.
خیر. دستور اکتبر ۲۰۲۶ وزارت امنیت داخلی آمریکا، دستگاه‌های اجرایی غیرنظامی فدرال و خریدهای فناوری اطلاعات آن‌ها را هدف قرار داده است. این دستور به‌معنای ممنوعیت عمومی استفاده شهروندان یا همه شرکت‌های خصوصی نیست.
زیرا ممکن است کاربران دولتی اطلاعات محرمانه یا شخصی را در این ابزار وارد کنند. محل پردازش و نگهداری داده‌ها و احتمال دسترسی اشخاص خارج از سازمان، از نگرانی‌های اصلی مطرح‌شده است.
اجرای محلی می‌تواند نیاز به ارسال داده‌ها به سرورهای ارائه‌دهنده را کاهش دهد؛ اما امنیت آن به منبع مدل، نرم‌افزار اجراکننده، تنظیمات شبکه و کنترل دسترسی بستگی دارد.
بله. اگر یک ابزار از نظر امنیت داده، محل پردازش، آسیب‌پذیری یا الزامات قانونی با سیاست‌های یک سازمان سازگار نباشد، ممکن است استفاده از آن نیز محدود شود. این موضوع به کشور سازنده به‌تنهایی وابسته نیست.
محدودیت DeepSeek در دستگاه‌های دولتی آمریکا نشان می‌دهد که استفاده از هوش مصنوعی در سازمان‌های حساس، فقط یک انتخاب فنی نیست؛ بلکه تصمیمی مرتبط با امنیت ملی، حریم خصوصی و مدیریت زنجیره تأمین فناوری است.
نگرانی‌های مطرح‌شده درباره محل ذخیره‌سازی داده‌ها، قوانین کشور محل فعالیت شرکت، احتمال آسیب‌پذیری نرم‌افزار و ورود اطلاعات محرمانه توسط کارکنان، همگی در این تصمیم نقش داشته‌اند.
بااین‌حال، باید میان ارزیابی ریسک و اثبات وقوع تخلف یا انتقال غیرمجاز اطلاعات تفاوت قائل شد. محدودیت دولتی به‌تنهایی اثبات نمی‌کند که تمام داده‌های کاربران در اختیار یک دولت خارجی قرار گرفته‌اند.
برای کاربران و کسب‌وکارها نیز پیام اصلی روشن است: پیش از انتخاب هر ابزار هوش مصنوعی، فقط به کیفیت پاسخ و هزینه آن توجه نکنید. بررسی حریم خصوصی، امنیت داده‌ها و میزان کنترل بر اطلاعات، بخش جدایی‌ناپذیر یک انتخاب آگاهانه است.
اوپاکالا
