Kinas åpne AI-modeller vinner terreng – dette betyr det for kappløpet mot USA

Kinas AI-utfordring handler ikke lenger bare om hvorvidt kinesiske laboratorier kan lage en modell som matcher de ledende amerikanske systemene. Det stadig viktigere spørsmålet er hvem som klarer å få avansert AI ut til flest utviklere, bedrifter og myndigheter – til lavest mulig kostnad.

DeepSeek, Moonshot AIs Kimi og Alibabas Qwen har gjort modeller med åpne vekter til en sentral del av denne konkurransen. Analyser fra Stanford-forskere viser at kinesiske modeller med åpne vekter raskt har hentet inn forspranget – og på enkelte områder tatt igjen eller passert konkurrentene når det gjelder både egenskaper og utbredelse. I september 2025 gikk Qwen forbi Metas Llama som den mest nedlastede familien av store språkmodeller på Hugging Face. 18

For Washington skaper dette et dilemma. Begrensninger på kinesiske modeller kan redusere eksponeringen i sensitive miljøer. Et bredt forbud kan samtidig gi Kina kontroll over laget for åpen AI-utvikling – og fjerne noe av innsynet og den lokale kontrollen som gjør egen drift attraktiv.

Åpne modellvekter er ikke det samme som full åpen kildekode

En modell med åpne vekter gjør de ferdigtrente parameterne tilgjengelige for nedlasting. Tredjeparter kan dermed kjøre modellen selv eller tilpasse den, uten å være avhengige av leverandørens applikasjon eller API. 33

Det betyr imidlertid ikke nødvendigvis at følgende er tilgjengelig:

• den opprinnelige treningskoden
• treningsdataene eller informasjon om hvor dataene kommer fra
• en oppskrift som gjør treningen reproduserbar
• komplette evalueringsresultater
• ubegrensede rettigheter til kommersiell bruk eller videre distribusjon
• åpen informasjon om filtrering, sikkerhetsjusteringer eller modellens utvikling

Derfor må «åpen» vurderes fra utgivelse til utgivelse. En modell kan være nedlastbar, men vanskelig å gjenskape, underlagt en begrensende lisens eller lite transparent om dataene som har formet modellens oppførsel. Fullt åpen kildekode for AI er en strengere standard, med meningsfull tilgang til kode, datarelatert informasjon og andre komponenter som trengs for å studere og gjenskape systemet. 41

Dette skillet er særlig viktig når DeepSeek, Kimi og Qwen sammenlignes. Tilgjengelighet, lisensvilkår og teknisk dokumentasjon kan variere mellom utgivelser, og offentlig informasjon kan ligge etter endringer i en models status.

Kina konkurrerer om brukerne – ikke bare om testresultatene

Kinesiske laboratorier har kombinert konkurransedyktige resultater med lave priser, effektiv drift og muligheten til å kjøre modellene lokalt. Det gir oppstartsbedrifter, forskere og større virksomheter et alternativ til å basere seg fullt ut på dyre, amerikanske API-tjenester. Analyser av kinesisk industripolitikk beskriver en selvforsterkende sirkel: Billige modeller tiltrekker brukere, brukerne utvikler verktøy og avledede modeller, og økosystemet gjør det mulig å forbedre modellene raskere. 1720

Fordelen handler ikke bare om hvor mange som bruker en chatbot. Hver ny installasjon kan bidra til:

• finjusterte og spesialiserte modeller
• utviklerverktøy og integrasjoner
• nye tester, feilrapporter og sikkerhetsfunn
• kjennskap til en bestemt modellfamilie
• kommersielle avhengigheter og tekniske standardvalg

Stanford-analysen fant at kinesiske utviklere sto for 17,1 prosent av nedlastingene fra Hugging Face mellom august 2024 og august 2025, litt foran amerikanske utviklere med 15,8 prosent. 18 Andre rapporter har også dokumentert økende bruk av kinesiske modeller blant amerikanske selskaper som ønsker å kutte kostnader. 31

Hvis kinesiskutviklede modeller blir bygget inn i programvare, enheter, offentlige tjenester og industrielle systemer verden over, kan Beijing få innflytelse over tekniske standardvalg, oppdateringer og deler av de omkringliggende leverandørkjedene. Det er et mulig geopolitisk påvirkningspunkt – men ikke bevis på at alle lokalt installerte modeller er kompromittert.

«Kinesisk AI-risiko» består av flere ulike spørsmål

Debatten bør deles opp. Minst fire forskjellige bekymringer blandes ofte sammen.

1. Data som sendes til en vertstjeneste

Når en bruker sender spørsmål, filer eller identifiserende opplysninger til en tjeneste som driftes i Kina, forlater informasjonen brukerens eget miljø. Den kan også bli underlagt leverandørens jurisdiksjon og gjeldende lovverk.

Offentlige myndigheter, forsvar, helsevesen, kritisk infrastruktur og virksomheter med forretningshemmeligheter bør derfor gjennomføre en formell risikovurdering før sensitive data sendes til en ekstern tjeneste.

Lokal drift endrer dette konkrete spørsmålet om dataflyt. Riktig konfigurert infrastruktur kan holde spørsmål og dokumenter inne i virksomhetens eget nettverk. Det garanterer likevel ikke at modellpakken, programvaren som kjører modellen eller tilkoblede verktøy er sikre.

2. Sensur, skjevheter og modellens oppførsel

Trening og sikkerhetsjustering kan føre til politisk pregete avvisninger, utelatelser, vinklinger eller feilinformasjon. En rapport fra en amerikansk kongresskomité anklaget DeepSeeks vertstjeneste for å overføre amerikaneres data til Kina og for å manipulere svar. Dette er funn og påstander fra en kongressundersøkelse – ikke bevis på at alle nedlastbare vektfiler inneholder ondsinnet kode. 2

En vertstjeneste kan også oppføre seg annerledes enn en lokalt kjørt avledning av samme modell. Omslaget rundt modellen, systeminstruksjoner, modereringslag, søkeverktøy og oppdateringsrutiner påvirker alle svarene brukeren får.

3. Bakdører og angrep på forsyningskjeden

En modellpakke eller programvaren rundt den kan i teorien inneholde usikker innlastingskode, manipulert oppførsel eller skjulte utløsere. Men modellens nasjonale opprinnelse er i seg selv ikke bevis på en bakdør.

Sikkerhetsteam må kontrollere opprinnelse, kontrollsummer og digitale signaturer, undersøke nettverksaktivitet, kjøre komponenter i sandkasse og teste hele systemet – ikke bare selve modellfilen.

4. Lukkede modeller har også risiko

Lukkede, kommersielle modeller har egne utfordringer knyttet til konsentrasjon av makt og manglende innsyn. Brukerne kan vanligvis ikke kontrollere modellvekter, treningsdata, skjulte systeminstruksjoner, telemetri, filtrering eller oppdateringsprosessen.

Sentraliserte API-er kan bli attraktive mål for overvåking, driftsstans og kompromittering. Samtidig kan lukket tilgang gjøre det enklere for leverandøren å overvåke misbruk, rulle ut sikkerhetsendringer og hindre ukontrollert videre distribusjon.

Lukkede systemer er altså ikke automatisk pålitelige. Åpne og lukkede modeller har ulike risikobilder – og ulike former for kontroll.

Lokal drift er det sterkeste argumentet mot et totalforbud

Selvhosting kan gi virksomheten større kontroll over trusselbildet. Et sikkerhetsteam kan låse en bestemt modellversjon, kontrollere filer og signaturer, begrense utgående nettverkstrafikk, skanne avhengigheter, kjøre tjenesten i sandkasse, gjennomføre såkalte red-team-tester og holde sensitive spørsmål på intern infrastruktur.

Åpen tilgang kan også gjøre det mulig for uavhengige forskere å gjenskape feil og undersøke skjevheter eller skjulte utløsere.

Denne åpenheten er verdifull, men er ikke det samme som automatisk sikkerhet. De færreste virksomheter kan kontrollere den innlærte oppførselen til en svært stor modell i sin helhet. Finjustering kan introdusere nye sårbarheter, og et fysisk adskilt system beskytter bare data mot å lekke ut dersom hele driftsmiljøet er riktig konfigurert.

Den praktiske lærdommen er derfor å vurdere hvordan modellen distribueres, ikke bare etiketten som følger den. En kinesisk vertstjeneste, en revidert lokal installasjon og en ubekreftet modellvariant fra en tredjepart representerer forskjellige risikoer.

Destillering står sentralt i striden

Destillering betyr at en mindre eller nyere «elevmodell» trenes ved hjelp av informasjon fra en sterkere «lærermodell».

• Svartboks-destillering bruker observerbare svar, ofte hentet gjennom API-spørringer. Metoden kan være legitim når den er godkjent, men omfattende uthenting kan bryte tjenestevilkår, omgå sikkerhetstiltak eller kopiere proprietær oppførsel.
• Hvitboks-destillering bruker intern informasjon som modellvekter, logitter eller skjulte tilstander. Det kan overføre egenskaper mer effektivt, men tilgang til slik intern informasjon krever normalt autorisasjon. Uautorisert tilgang reiser tydeligere spørsmål om sikkerhet og forretningshemmeligheter.

OpenAI og Anthropic har anklaget kinesiske selskaper, blant dem DeepSeek, for å bruke svar fra modeller i treningen av egne systemer. Den amerikanske kommisjonen for økonomi og sikkerhet i forholdet til Kina har omtalt anklager om falske kontoer, mellomledd og koordinert uthenting. Reuters rapporterte samtidig om OpenAIs anklage om at DeepSeek forsøkte å «free-ride» på egenskapene til amerikanske frontmodeller. Dette er fortsatt anklager, ikke fastslåtte funn i en domstol eller annen avgjørende instans. 35

Utfordringen for myndighetene er at svartboks-uthenting kan ligne på legitim bruk i stor skala. Samtidig kan offentlig bevisføring kreve at sensitiv etterforskningsinformasjon avsløres. Løsningen bør derfor ikke være å definere all destillering som ulovlig: Autorisert destillering er en vanlig teknisk metode.

Presset på Silicon Valley og Washington øker

Kinesiske utgivelser med åpne vekter utfordrer den amerikanske forretningsmodellen, som i stor grad bygger på dyre, proprietære API-er. Amerikanske selskaper må vurdere om lukkede modellvekter beskytter et teknologisk forsprang – eller om det gjør at Kina og andre konkurrenter kan vinne utviklere, integrasjoner og global distribusjon.

At Qwen har gått forbi Llama i nedlastinger, er ett konkret tegn på at kampen om åpne modeller betyr noe. 18 Det finnes samtidig ikke tilstrekkelig dokumentasjon i materialet her til å slå fast et bestemt, pågående svar fra Nvidia eller Meta på DeepSeek V4 Pro eller Kimi K3. Påstander om enkeltselskapers reaksjoner bør knyttes til daterte uttalelser fra selskapene selv.

Washington har trappet opp granskingen. Komiteer i Representantenes hus har startet en felles undersøkelse av nasjonale sikkerhets- og cybersikkerhetsrisikoer ved bruk av modeller utviklet i Kina. Undersøkelsen omfatter rimelige modeller med åpne vekter og API-tilgang fra selskaper som DeepSeek, Alibaba og Moonshot AI. 14

Det har også vært omtale av mulige begrensninger. Det tilgjengelige materialet viser imidlertid ikke at USA har innført et generelt kommersielt forbud mot kinesiske modeller med åpne vekter. 912

Politikk som går lenger enn «forby alt» eller «ikke gjør noe»

Et mer målrettet rammeverk kan kombinere flere virkemidler:

1. Kontroller høyrisikobruk. Krev godkjenning eller forby ubekreftede modeller i forsvar, etterretning, kritisk infrastruktur, sensitive offentlige systemer og andre miljøer som håndterer data med store konsekvenser.
2. Still krav til sikker distribusjon. Krev dokumentasjon av opprinnelse, signerte pakker, programvarelister, uavhengige tester, red-team-resultater og mulighet for å isolere nettverket i sensitive installasjoner.
3. Skill mellom vertstjenester og lokale modellvekter. Et API driftet i Kina skaper en annen risiko for datatilgang enn en uavhengig revidert modell som kjøres lokalt.
4. Slå ned på uautorisert uthenting. Bedre kontoverifisering, overvåking av spørringsfrekvens, misbruksdeteksjon, metoder for å fastslå opphav og håndheving av kontrakter kan målrettes mot misbruk uten å definere all destillering som tyveri.
5. Bruk målrettede eksport- og investeringskontroller. Fokuser på avanserte brikker, produksjonsutstyr, tilgang til skytjenester og aktører med troverdige koblinger til militær eller etterretningsmessig sluttbruk. For brede begrensninger kan samtidig fremskynde utviklingen av kinesiske alternativer.
6. Bygg et amerikansk og alliert økosystem for åpne modeller. Invester i sikre og godt dokumenterte modeller, flerspråklig evaluering, effektiv kjøring og verktøy for trygg distribusjon. Et konkurransedyktig alternativ svarer mer direkte på Kinas strategi for å vinne brukere enn å begrense valgfriheten alene. 10

Konklusjonen

Kinas modeller med åpne vekter endrer AI-kappløpet fordi de gjør avanserte systemer billigere å ta i bruk, enklere å tilpasse og vanskeligere å stanse når de først er publisert. Den strategiske betydningen ligger derfor like mye i størrelsen på økosystemet som i kvaliteten på selve modellen.

Bekymringene er reelle – særlig når det gjelder vertstjenester, sensitive data, forsyningskjedens integritet og anklager om uautorisert destillering. Men nasjonalitet alene sier ikke om en konkret installasjon er sikker. Lukkede amerikanske modeller er heller ikke risikofrie bare fordi modellvektene ikke er tilgjengelige.

Det mest forsvarlige svaret er derfor risikobasert: sikre forsyningskjeden, begrens bruk i sensitive miljøer, etterforsk troverdige bevis på modelltyveri og bygg et amerikansk og alliert økosystem for åpne modeller som kan konkurrere på distribusjon – ikke bare på testresultater.