Chinese open-weight-AI wint terrein: wat betekent dat voor de machtsstrijd met de VS?

De AI-uitdaging van China draait niet langer alleen om de vraag of Chinese laboratoria een model kunnen bouwen dat zich kan meten met de beste systemen uit de Verenigde Staten. Steeds belangrijker wordt de distributie: wie kan krachtige AI tegen de laagste kosten in handen krijgen van de meeste ontwikkelaars, bedrijven en overheden?

DeepSeek, Kimi van Moonshot AI en Alibaba’s Qwen hebben de aandacht gevestigd op zogeheten open-weight-modellen. Onderzoekers van Stanford concludeerden dat Chinese open-weight-modellen de achterstand in mogelijkheden en gebruik snel hebben verkleind — en op sommige punten hun buitenlandse tegenhangers evenaren of voorbijstreven. In september 2025 werd Qwen bovendien de meest gedownloade familie van grote taalmodellen op Hugging Face, vóór Meta’s Llama. 18

Dat leidt in Washington tot een lastige afweging. Beperkingen op Chinese modellen kunnen de blootstelling van gevoelige systemen verminderen. Een breed verbod kan er echter ook toe leiden dat China de open ontwikkellaag van AI naar zich toetrekt. Bovendien verdwijnen dan een deel van de transparantie en lokale controle die zelf gehoste modellen juist aantrekkelijk maken.

Open-weight is niet hetzelfde als volledig open source

Een open-weight-model stelt de getrainde parameters — de numerieke waarden die het model tijdens de training heeft geleerd — beschikbaar om te downloaden. Derden kunnen het afgeronde model daardoor zelf uitvoeren of aanpassen. Bij een gesloten model krijgen gebruikers doorgaans alleen toegang via een applicatie of API die door de aanbieder wordt beheerd. 33

Het vrijgeven van de gewichten betekent echter niet automatisch dat ook het volgende beschikbaar is:

• de oorspronkelijke trainingscode;
• de trainingsdata of de herkomst daarvan;
• een reproduceerbaar trainingsrecept;
• volledige evaluatieresultaten;
• onbeperkte rechten voor commercieel gebruik of herdistributie;
• transparante informatie over filtering, veiligheidsafstemming en modelontwikkeling.

Daarom moet het label ‘open’ per release worden beoordeeld. Een model kan downloadbaar zijn, maar tegelijk moeilijk reproduceerbaar, onder een beperkende licentie vallen of onduidelijk blijven over de data die het gedrag hebben gevormd. Volledig open-source-AI is een strengere standaard, waarbij gebruikers zinvolle toegang hebben tot de code, relevante informatie over de data en andere onderdelen die nodig zijn voor onderzoek en reproductie. 41

Dat onderscheid is belangrijk bij DeepSeek, Kimi en Qwen. Hun beschikbaarheid, licenties en technische documentatie kunnen per release verschillen. Ook kan openbare berichtgeving achterlopen op veranderingen in de status van een model.

China concurreert niet alleen op benchmarks, maar vooral op gebruik

Chinese laboratoria combineren concurrerende prestaties met lage prijzen, efficiënte inferentie en de mogelijkheid om modellen lokaal te draaien. Start-ups, onderzoekers en bedrijven krijgen zo een alternatief voor volledige afhankelijkheid van dure Amerikaanse API’s. Onderzoek en beleidsanalyses beschrijven een zichzelf versterkende cyclus: goedkope releases trekken gebruikers aan, gebruikers bouwen tools en afgeleide modellen, en dat ecosysteem versnelt de volgende ontwikkelronde. 1720

Het gaat daarbij niet alleen om hoeveel mensen een chatbot gebruiken. Elke implementatie kan bijdragen aan:

• gespecialiseerde en verder afgestemde afgeleide modellen;
• ontwikkelaarstools en integraties;
• nieuwe benchmarks, foutmeldingen en beveiligingsinzichten;
• vertrouwdheid met een bepaalde modelfamilie;
• commerciële afhankelijkheden en technische standaarden.

Tussen augustus 2024 en augustus 2025 waren Chinese ontwikkelaars goed voor 17,1 procent van alle downloads op Hugging Face, iets meer dan Amerikaanse ontwikkelaars met 15,8 procent. 18 Andere berichtgeving laat ook zien dat Amerikaanse bedrijven Chinese modellen steeds vaker gebruiken vanwege de lagere kosten. 31

Als modellen van Chinese oorsprong wereldwijd worden ingebouwd in software, apparaten, overheidsdiensten en industriële systemen, kan Beijing invloed krijgen op technische standaarden, updates en omliggende toeleveringsketens. Dat is een mogelijk geopolitiek hefboomeffect — geen bewijs dat elk lokaal geïnstalleerd model is gecompromitteerd.

Vier verschillende veiligheidsdiscussies

De term ‘Chinees AI-risico’ verwijst in de praktijk naar meerdere zorgen. Die moeten niet op één hoop worden gegooid.

1. Data bij gehoste diensten

Wanneer een gebruiker prompts, bestanden of identificerende gegevens naar een dienst stuurt die in China wordt gehost, verlaten die gegevens de eigen omgeving. Ze kunnen vervolgens vallen onder de jurisdictie van de aanbieder en de toepasselijke wetgeving.

Gevoelige toepassingen van overheden, defensie, de zorg, vitale infrastructuur en bedrijven vereisen daarom eerst een formele risicoanalyse voordat gegevens naar een externe dienst worden gestuurd.

Een lokaal gehost model verandert die specifieke datastroom. Met goed ingerichte infrastructuur kunnen prompts en documenten binnen het bedrijfsnetwerk blijven. Dat garandeert echter niet dat het modelpakket, de serversoftware of gekoppelde tools veilig zijn.

2. Censuur, vooringenomenheid en modelgedrag

Training en veiligheidsafstemming kunnen leiden tot politiek gekleurde weigeringen, weglatingen, framing of desinformatie. Een rapport van het Amerikaanse Huis van Afgevaardigden stelde dat de gehoste dienst van DeepSeek gegevens van Amerikanen naar China doorgaf en antwoorden manipuleerde. Dat zijn bevindingen en beschuldigingen uit een congresonderzoek — geen bewijs dat elk afzonderlijk downloadbaar gewichtsbestand kwaadaardige code bevat. 2

Het gedrag van een gehost product kan bovendien verschillen van dat van een lokaal gedraaide afgeleide versie. De omringende applicatie, systeemprompts, moderatielaag, zoek- en ophaaltools en het updateproces beïnvloeden allemaal de uiteindelijke antwoorden.

3. Achterdeurtjes en risico’s in de toeleveringsketen

Een gedownload modelpakket of de bijbehorende software zou in theorie onveilige laadcode, vergiftigd gedrag of verborgen activeringsmechanismen kunnen bevatten. Maar het land van herkomst is op zichzelf geen bewijs voor een achterdeur.

Beveiligingsteams moeten de herkomst, hashes en digitale handtekeningen controleren, netwerkgedrag inspecteren, onderdelen in een afgeschermde omgeving testen en de volledige implementatiestack doorlichten.

4. De risico’s van gesloten modellen

Gesloten, propriëtaire modellen brengen hun eigen risico’s met zich mee. Gebruikers kunnen doorgaans de gewichten, trainingsdata, verborgen prompts, telemetrie, filters of het updateproces niet inspecteren. Gecentraliseerde API’s kunnen daardoor waardevolle doelwitten worden voor toezicht, uitval, aanvallen en eenzijdige beleidswijzigingen.

Gesloten toegang maakt het wel eenvoudiger voor een aanbieder om misbruik te monitoren, veiligheidsaanpassingen uit te rollen en ongecontroleerde verspreiding tegen te gaan. Dat maakt een model niet automatisch betrouwbaar. Open en gesloten systemen hebben verschillende risico’s én verschillende vormen van controle.

Waarom lokaal draaien het sterkste argument tegen een algemeen verbod is

Zelf hosting kan een organisatie meer controle geven over het eigen dreigingsmodel. Een beveiligingsteam kan een specifieke modelversie vastzetten, bestanden controleren, uitgaande verbindingen beperken, afhankelijkheden scannen, de dienst afschermen, red-teamtests uitvoeren en gevoelige prompts op de eigen infrastructuur houden.

Open toegang kan onafhankelijke onderzoekers bovendien helpen om fouten te reproduceren en vooringenomenheid of verborgen activeringsmechanismen te onderzoeken.

Die transparantie is waardevol, maar geen automatische veiligheidswaarborg. De meeste organisaties kunnen het aangeleerde gedrag van een zeer groot model niet volledig controleren. Fine-tuning kan nieuwe kwetsbaarheden introduceren, en een geïsoleerde installatie beschermt data alleen tegen weglekken als de volledige serverstack correct is geconfigureerd.

De praktische les is dan ook: beoordeel de implementatie, niet alleen het etiket van het model. Een in China gehoste API, een lokaal geïnstalleerd en gecontroleerd model en een ongeteste afgeleide versie hebben niet hetzelfde risicoprofiel.

Distillatie vormt het middelpunt van de controverse

Bij distillatie wordt een kleiner of nieuwer ‘studentmodel’ getraind met informatie uit een sterker ‘leraarmodel’.

• Bij black-box-distillatie gebruikt de ontwikkelaar de waarneembare antwoorden van een model, vaak verzameld via API-verzoeken. Dat kan legitiem zijn wanneer het is toegestaan. Op grote schaal kan het echter in strijd zijn met gebruiksvoorwaarden, beveiligingen omzeilen of beschermd modelgedrag kopiëren.
• Bij white-box-distillatie worden interne gegevens gebruikt, zoals gewichten, logits of verborgen toestanden. Dat kan vaardigheden efficiënter overdragen, maar toegang tot zulke interne informatie vereist doorgaans toestemming. Ongeautoriseerde verkrijging roept directere vragen op rond beveiliging en bedrijfsgeheimen.

OpenAI en Anthropic hebben Chinese bedrijven, waaronder DeepSeek, ervan beschuldigd modeluitvoer te gebruiken voor training. De Amerikaanse commissie voor economische en veiligheidsrelaties met China beschreef beschuldigingen rond frauduleuze accounts, proxy-diensten en gecoördineerde extractie. Reuters berichtte daarnaast over de beschuldiging van OpenAI dat DeepSeek probeerde mee te liften op de mogelijkheden van Amerikaanse frontiermodellen. Dit blijven beschuldigingen, geen definitief vastgestelde feiten in een rechtszaak of andere procedure. 35

Het beleidsprobleem is dat black-box-extractie technisch kan lijken op legitiem intensief gebruik. Tegelijkertijd kan publiek bewijs alleen worden geleverd door gevoelige onderzoeksinformatie vrij te geven. De oplossing is niet om elke vorm van distillatie als illegaal te behandelen: geautoriseerde distillatie is een normale technische methode.

Wat dit betekent voor Silicon Valley en Washington

Chinese open-weight-releases zetten druk op het Amerikaanse bedrijfsmodel dat sterk leunt op dure, propriëtaire API’s. Amerikaanse bedrijven moeten bepalen of gesloten gewichten hun voorsprong beschermen — of juist ruimte laten voor Chinese en andere concurrenten om ontwikkelaars, integraties en wereldwijde distributie te winnen.

De downloadvoorsprong van Qwen op Llama is een concreet signaal dat de strijd om open modellen ertoe doet. 18 Tegelijkertijd biedt het beschikbare bewijs geen basis voor een specifieke actuele reactie van Nvidia of Meta op DeepSeek V4 Pro of Kimi K3. Uitspraken over afzonderlijke bedrijfsreacties moeten worden gekoppeld aan gedateerde primaire verklaringen, niet worden afgeleid uit de bredere marktverschuiving.

Washington voert de druk op. Commissies van het Amerikaanse Huis van Afgevaardigden kondigden een gezamenlijk onderzoek aan naar de nationale veiligheids- en cyberrisico’s van de toepassing van in China ontwikkelde modellen, waaronder goedkope open-weight- en API-systemen van bedrijven als DeepSeek, Alibaba en Moonshot AI. 14

Er is ook bericht over mogelijke beperkingen. Het aangeleverde bewijs toont echter niet aan dat de Verenigde Staten een algemeen commercieel verbod op Chinese open-weight-modellen hebben ingevoerd. 912

Beleidsopties tussen ‘alles verbieden’ en ‘niets doen’

Een gerichter kader kan verschillende maatregelen combineren:

1. Beperk toepassingen met een hoog risico. Vereis toestemming voor, of verbied ongecontroleerde modellen in defensie, inlichtingendiensten, vitale infrastructuur, gevoelige overheidssystemen en omgevingen met zeer gevoelige gegevens.
2. Stel eisen aan veilige implementatie. Vraag om herkomstregistratie, ondertekende softwarepakketten, software bills of materials, onafhankelijke tests, red-teamresultaten en mogelijkheden voor netwerkisolatie.
3. Maak onderscheid tussen gehoste diensten en lokale gewichten. Een API die in China wordt gehost brengt een ander risico op datatoegang met zich mee dan een onafhankelijk gecontroleerd model dat lokaal draait.
4. Pak ongeoorloofde extractie gericht aan. Verbeter accountverificatie, monitoring van queryfrequenties, misbruikdetectie, technieken voor herkomstbepaling en contractuele handhaving, zonder elke vorm van distillatie als diefstal te definiëren.
5. Gebruik gerichte export- en investeringscontroles. Richt die op geavanceerde chips, productiemateriaal, cloudtoegang en entiteiten die aantoonbaar verbonden zijn met militaire of inlichtingentoepassingen. Te brede beperkingen kunnen de ontwikkeling van binnenlandse Chinese alternatieven juist versnellen.
6. Bouw een Amerikaans en geallieerd ecosysteem voor open modellen. Investeer in veilige, goed gedocumenteerde modellen, meertalige evaluaties, efficiënte inferentie en hulpmiddelen voor implementatie. Een concurrerend alternatief sluit directer aan op de Chinese adoptiestrategie dan alleen het beperken van gebruikerskeuze. 10

De kern

Chinese open-weight-modellen veranderen de AI-race omdat ze krachtige systemen goedkoper, makkelijker aanpasbaar en moeilijker te beheersen maken zodra ze eenmaal zijn vrijgegeven. Hun strategische belang zit niet alleen in de kwaliteit van individuele modellen, maar ook in de omvang van het ecosysteem eromheen.

De veiligheidszorgen zijn reëel — vooral bij gehoste diensten, gevoelige data, de integriteit van de toeleveringsketen en beschuldigingen van ongeoorloofde distillatie. Maar nationaliteit zegt op zichzelf niet of een implementatie veilig is. Ook gesloten Amerikaanse modellen zijn niet risicoloos alleen omdat hun gewichten geheim blijven.

De meest verdedigbare aanpak is daarom risicogestuurd: beveilig de toeleveringsketen, beperk gevoelige toepassingen, onderzoek geloofwaardige aanwijzingen voor modeldiefstal en bouw een Amerikaans en geallieerd open-model-ecosysteem dat zowel op verspreiding als op prestaties kan concurreren.