Kinas åbne AI-modeller vinder udbredelse – sådan ændrer de kapløbet med USA

Kinas AI-udfordring handler ikke længere kun om, hvorvidt landets laboratorier kan udvikle en model, der matcher de førende amerikanske systemer. I stigende grad handler den om distribution: Hvem kan få avanceret AI ud til flest udviklere, virksomheder og myndigheder til den laveste pris?

DeepSeek, Moonshot AIs Kimi og Alibabas Qwen har gjort open-weight-modeller til et centralt konkurrenceområde. En analyse fra Stanford-forskere viste, at kinesiske open-weight-modeller hurtigt har indsnævret – og på enkelte områder lukket eller overhalet – forskellen i kapacitet og udbredelse. I september 2025 overhalede Qwen desuden Metas Llama som den mest downloadede familie af store sprogmodeller på Hugging Face. 18

Det skaber et strategisk dilemma for Washington. Begrænsninger på kinesiske modeller kan mindske eksponeringen i følsomme miljøer. Et bredt forbud kan samtidig overlade det åbne udviklingslag til Kina og fjerne noget af den gennemsigtighed og lokale kontrol, som gør selvhostede modeller attraktive.

Open-weight er ikke det samme som fuldt open source

En open-weight-model gør sine trænede parametre – modellens såkaldte vægte – tilgængelige for download. Tredjeparter kan dermed køre eller tilpasse den færdige model uden nødvendigvis at bruge producentens applikation eller API. Det adskiller sig grundlæggende fra en lukket model, som typisk kun kan tilgås gennem en leverandørstyret tjeneste. 33

En udgivelse af modelvægte betyder dog ikke nødvendigvis, at man også får adgang til:

• den oprindelige træningskode
• træningsdataene eller deres oprindelse
• en opskrift, der gør træningen reproducerbar
• komplette evalueringsresultater
• ubegrænsede rettigheder til kommerciel brug eller videredistribution
• gennemsigtige oplysninger om filtrering, sikkerhedstilpasning eller modeludvikling

Derfor bør ordet »åben« vurderes fra udgivelse til udgivelse. En model kan være downloadbar, men stadig svær at reproducere, underlagt en restriktiv licens eller uigennemsigtig med hensyn til de data, der har formet dens adfærd. Fuldt open source er en højere standard, der indebærer meningsfuld adgang til kode, datarelaterede oplysninger og andre komponenter, som er nødvendige for at undersøge og reproducere systemet. 41

Forskellen er vigtig ved sammenligning af DeepSeek, Kimi og Qwen. Tilgængelighed, licenser og teknisk dokumentation kan variere fra udgivelse til udgivelse, og offentlig rapportering kan halte efter ændringer i en models status.

Kina konkurrerer på udbredelse – ikke kun på benchmarkresultater

Kinesiske laboratorier kombinerer konkurrencedygtig ydeevne med lave priser, effektiv drift og mulighed for lokal implementering. Det giver startups, forskere og virksomheder et alternativ til udelukkende at være afhængige af dyre amerikansk-hostede API'er. Politisk analyse og rapportering beskriver en selvforstærkende mekanisme: Billige udgivelser tiltrækker brugere, brugerne skaber værktøjer og afledte modeller, og økosystemet fremskynder derefter nye forbedringer. 1720

Fordelen handler ikke kun om, hvor mange der bruger en chatbot. Hver implementering kan bidrage til:

• finjusterede og specialiserede afledte modeller
• udviklerværktøjer og integrationer
• nye benchmarks og fejlrapporter
• kendskab til en bestemt modelserie
• kommercielle afhængigheder og tekniske standardvalg

Stanford-analysen viste, at kinesiske udviklere stod for 17,1 procent af Hugging Face-downloads mellem august 2024 og august 2025, en anelse mere end amerikanske udviklere, der stod for 15,8 procent. 18 Andre rapporter har også dokumenteret, at amerikanske virksomheder i stigende grad bruger kinesiske modeller for at reducere omkostningerne. 31

Hvis kinesiskudviklede modeller bliver indlejret i software, enheder, offentlige tjenester og industrielle systemer verden over, kan Beijing få indflydelse på tekniske standardvalg, opdateringer og de omkringliggende forsyningskæder. Det er et muligt geopolitisk påvirkningspunkt – ikke et bevis på, at enhver lokalt installeret model er kompromitteret.

»Kinesisk AI-risiko« dækker over flere forskellige problemer

Debatten bør opdeles i mindst fire forskellige bekymringer.

1. Dataadgang via hostede tjenester

Når en bruger sender prompts, filer eller identifikationsoplysninger til en tjeneste, der hostes i Kina, forlader oplysningerne brugerens eget miljø. De kan være underlagt leverandørens jurisdiktion og gældende lovgivning.

Følsomme offentlige, forsvarsrelaterede, sundhedsmæssige, infrastrukturelle og kommercielle data bør derfor gennemgå en formel risikovurdering, før de sendes til en ekstern tjeneste.

Lokal drift ændrer dette konkrete spørgsmål om dataflow. Med korrekt konfigureret infrastruktur kan prompts og dokumenter blive på organisationens eget netværk. Det garanterer dog ikke, at modelpakken, serveringssoftwaren eller tilknyttede værktøjer er sikre.

2. Censur, bias og modellens adfærd

En models træning og tilpasning kan føre til politisk prægede afvisninger, udeladelser, vinklinger eller misinformation. En rapport fra en amerikansk kongreskomité hævdede, at DeepSeeks hostede produkt overførte amerikaneres data til Kina og manipulerede svar. Det er resultater og anklager fra en kongresundersøgelse – ikke et bevis på, at alle downloadbare vægtfiler indeholder skadelig kode. 2

Adfærden i en hostet tjeneste kan også være anderledes end i en lokalt kørt afledt model. Modellens wrapper, systemprompts, moderationslag, søgeværktøjer og opdateringsproces kan alle påvirke svarene.

3. Bagdøre og kompromittering af forsyningskæden

En downloadet modelpakke eller den omkringliggende software kan i teorien indeholde usikker indlæsningskode, manipuleret adfærd eller skjulte udløsere. Men modellens oprindelsesland er ikke i sig selv dokumentation for en bagdør.

Sikkerhedsteams bør kontrollere oprindelse, hashes og digitale signaturer, undersøge netværksadfærd, isolere komponenter i sandkasser og teste hele implementeringsstakken.

4. Risikoen ved lukkede modeller

Lukkede, proprietære modeller har deres egne problemer med koncentration og ansvarlighed. Brugerne kan normalt ikke inspicere modelvægte, træningsdata, skjulte prompts, telemetri, filtrering eller opdateringsprocesser.

Centraliserede API'er kan blive attraktive mål for overvågning, driftsforstyrrelser og kompromittering. Lukket adgang kan gøre det lettere for leverandøren at overvåge misbrug, udsende sikkerhedsændringer og forhindre ukontrolleret videredistribution. Det gør dog ikke modellen automatisk troværdig. Åbne og lukkede systemer indebærer forskellige risici og forskellige former for kontrol.

Lokal drift er det stærkeste argument mod et blanketforbud

Selvhosting kan give en organisation større kontrol over sin egen trusselmodel. Et sikkerhedsteam kan fastholde en bestemt modelversion, kontrollere artefakter, begrænse udgående forbindelser, scanne afhængigheder, isolere tjenesten, gennemføre red-team-tests og holde følsomme prompts på intern infrastruktur.

Åben adgang kan også gøre det muligt for uafhængige forskere at reproducere fejl og undersøge bias eller skjulte udløsere.

Gennemsigtighed er dog ikke det samme som automatisk sikkerhed. De færreste organisationer kan fuldt ud kontrollere den indlærte adfærd i en meget stor model. Finjustering kan introducere nye sårbarheder, og en isoleret installation beskytter kun mod dataudslip, hvis hele serveringsstakken er korrekt konfigureret.

Den praktiske konklusion er derfor, at man bør vurdere implementeringen – ikke kun mærkatet på modellen. En kinesisk-hostet API, en revideret lokal installation og en ubekræftet tredjepartsafledt model udgør forskellige risikoprofiler.

Distillation er centralt i striden

Distillation er en metode, hvor en mindre eller nyere »elevmodel« trænes ved hjælp af information fra en stærkere »lærermodel«.

• Black-box-distillation bruger observerbare svar, ofte indsamlet gennem API-forespørgsler. Det kan være legitimt, når det er autoriseret, men omfattende udtræk kan overtræde tjenestevilkår, omgå sikkerhedsforanstaltninger eller kopiere proprietær adfærd.
• White-box-distillation bruger intern information som vægte, logits eller skjulte tilstande. Det kan overføre kapacitet mere effektivt, men adgang til disse oplysninger kræver normalt tilladelse. Uautoriseret anskaffelse rejser mere direkte spørgsmål om sikkerhed og forretningshemmeligheder.

OpenAI og Anthropic har beskyldt kinesiske virksomheder, herunder DeepSeek, for at bruge outputs fra modeller i træningen af nye systemer. Den amerikanske kommission for økonomi- og sikkerhedsforholdet mellem USA og Kina har beskrevet anklager om falske konti, proxy-tjenester og koordineret udtræk. Reuters rapporterede samtidig OpenAIs anklage om, at DeepSeek forsøgte at »free-ride« på kapaciteten fra amerikanske frontier-modeller. Det er fortsat anklager og ikke fastslåede forhold i en domstol eller anden afgørende instans. 35

Politisk er problemet, at black-box-udtræk teknisk kan ligne legitim brug i stor skala, mens offentlig dokumentation kan kræve, at følsomme efterforskningsoplysninger afsløres. Løsningen bør ikke være at erklære enhver form for distillation ulovlig: Autoriseret distillation er en almindelig teknisk metode.

Hvad betyder det for Silicon Valley og Washington?

Kinesiske open-weight-udgivelser lægger pres på den amerikanske forretningsmodel, der er bygget op omkring dyre, proprietære API'er. Amerikanske virksomheder må overveje, om lukkede vægte beskytter et teknologisk forspring – eller om det giver kinesiske og andre konkurrenter mulighed for at vinde udviklere, integrationer og global distribution.

Qwens føring over Llama i downloads er et konkret tegn på, at kampen om åbne modeller har betydning. 18 Det tilgængelige materiale dokumenterer samtidig ikke en specifik, aktuel reaktion fra Nvidia eller Meta på DeepSeek V4 Pro eller Kimi K3. Påstande om enkelte virksomheders reaktioner bør knyttes til daterede, primære udmeldinger frem for at blive udledt af den bredere markedsudvikling.

Washington øger nu granskningen. Amerikanske kongreskomitéer har annonceret en fælles undersøgelse af de nationale sikkerheds- og cybersikkerhedsrisici ved udbredelsen af modeller udviklet i Kina, herunder billige open-weight- og API-baserede systemer fra virksomheder som DeepSeek, Alibaba og Moonshot AI. 14

Der har også været rapporter om drøftelser af mulige begrænsninger. Det tilgængelige materiale dokumenterer dog ikke, at USA har indført et generelt kommercielt forbud mod kinesiske open-weight-modeller. 912

Mulige politiske svar på »forbud eller ingenting«

En mere målrettet ramme kan kombinere flere tiltag:

1. Kontrollér anvendelser med høj risiko. Kræv godkendelse af eller forbyd uprøvede modeller i forsvar, efterretningstjenester, kritisk infrastruktur, følsomme offentlige systemer og andre miljøer, der håndterer data med store konsekvenser.
2. Stil krav til sikker implementering. Kræv dokumentation for oprindelse, signerede pakker, softwarelister, uafhængige sikkerhedstests, red-team-resultater og mulighed for netværksisolering i følsomme installationer.
3. Skeln mellem hostede tjenester og lokale vægte. En API hostet i Kina skaber en anden risiko for dataadgang end en uafhængigt revideret modelartefakt, der køres lokalt.
4. Håndhæv regler mod uautoriseret udtræk. Forbedr identitetskontrol, overvågning af forespørgselsrater, misbrugsdetektion, metoder til at dokumentere oprindelse og håndhævelse af kontrakter uden at definere al distillation som tyveri.
5. Brug målrettet eksport- og investeringskontrol. Fokuser på avancerede chips, produktionsudstyr, cloudadgang og virksomheder med troværdige forbindelser til militær eller efterretningsmæssig anvendelse. Meget brede begrænsninger kan dog fremskynde udviklingen af kinesiske alternativer.
6. Opbyg et amerikansk og allieret økosystem for åbne modeller. Investér i sikre og veldokumenterede modeller, flersprogede evalueringer, effektiv inferens og værktøjer til sikker implementering. Et konkurrencedygtigt alternativ rammer Kinas adoptionsstrategi mere direkte end begrænsninger af brugernes valgmuligheder alene. 10

Konklusionen

Kinas open-weight-modeller ændrer AI-kapløbet, fordi de gør avancerede systemer billigere at tage i brug, nemmere at tilpasse og sværere at inddæmme, når de først er udgivet. Deres strategiske betydning ligger derfor lige så meget i økosystemets størrelse som i selve modellernes kvalitet.

Sikkerhedsproblemerne er alvorlige – især ved hostede tjenester, følsomme data, forsyningskædens integritet og anklager om uautoriseret distillation. Men national oprindelse afslører ikke alene, om en installation er sikker. Lukkede amerikanske modeller er heller ikke risikofrie, blot fordi deres vægte ikke er offentligt tilgængelige.

Det mest forsvarlige svar er derfor risikobaseret: Sikr forsyningskæden, begræns følsomme anvendelser, undersøg troværdige beviser på modeltyveri, og opbyg et amerikansk og allieret økosystem for åbne modeller, der kan konkurrere på distribution såvel som ydeevne.