Kinas öppna AI-modeller vinner mark – så förändras teknikracet mot USA

Det kinesiska AI-hotet handlar inte längre bara om huruvida landets laboratorier kan skapa en modell som matchar USA:s främsta system. Den allt viktigare frågan är distribution: vem som kan göra avancerad AI tillgänglig för flest utvecklare, företag och myndigheter – till lägst kostnad.

DeepSeek, Moonshot AI:s Kimi och Alibabas Qwen har gjort modeller med öppna vikter till en central del av den konkurrensen. En analys från Stanfordforskare visade att kinesiska open-weight-modeller snabbt har minskat försprånget i både kapacitet och användning – och på vissa områden gått om sina globala motsvarigheter. I september 2025 passerade Qwen dessutom Meta Llama och blev den mest nedladdade familjen av stora språkmodeller på Hugging Face. 18

För Washington skapar utvecklingen ett dilemma. Begränsningar av kinesiska modeller kan minska exponeringen i känsliga miljöer. Men ett brett förbud kan också innebära att USA lämnar det öppna utvecklingslagret till Kina – och avstår från den insyn och lokala kontroll som gör egen drift attraktiv.

Open-weight är inte samma sak som öppen källkod

En open-weight-modell gör sina tränade parametrar, eller modellvikter, tillgängliga för nedladdning. Då kan andra aktörer köra, anpassa och finjustera den färdiga modellen på egen infrastruktur. Det skiljer sig från en stängd modell, som vanligtvis nås genom leverantörens app eller API. 33

Att modellvikterna publiceras betyder däremot inte automatiskt att följande finns tillgängligt:

• den ursprungliga träningskoden
• träningsdata eller information om datans ursprung
• en träningsmetod som går att återskapa
• fullständiga utvärderingsresultat
• obegränsade rättigheter för kommersiell användning och vidare distribution
• transparent information om filtrering, säkerhetsjusteringar eller modellens utveckling

Därför måste begreppet ”öppen” granskas för varje enskild release. En modell kan vara nedladdningsbar men ändå svår att återskapa, omfattas av en restriktiv licens eller vara otydlig kring vilken data som har format dess beteende. Fullt öppen AI enligt en starkare definition kräver meningsfull tillgång till kod, datarelaterad information och andra komponenter som behövs för att studera och reproducera systemet. 41

Skillnaden är särskilt viktig när DeepSeek, Kimi och Qwen jämförs. Tillgänglighet, licenser och teknisk dokumentation kan variera mellan olika versioner, och offentlig rapportering kan släpa efter förändringar i en modells status.

Kina tävlar om användningen – inte bara om benchmarkresultat

Kinesiska AI-laboratorier har kombinerat konkurrenskraftiga resultat med låga priser, effektiv inferens och möjligheten att köra modeller lokalt. Det ger nystartade bolag, forskare och större företag ett alternativ till att vara helt beroende av dyra, USA-baserade API-tjänster. Policy- och branschstudier beskriver en återkopplingsloop där billiga lanseringar lockar användare, användarna skapar verktyg och specialiserade varianter, och ekosystemet i sin tur skyndar på nästa utvecklingssteg. 1720

Den strategiska effekten mäts inte bara i hur många som använder en chatbot. Varje installation kan bidra till:

• finjusterade och specialiserade modeller
• utvecklarverktyg och integrationer
• nya benchmarktester och felrapporter
• ökad förtrogenhet med en viss modelfamilj
• kommersiella beroenden och tekniska standardval

Stanfordanalysen visade att kinesiska utvecklare stod för 17,1 procent av nedladdningarna på Hugging Face mellan augusti 2024 och augusti 2025, något mer än amerikanska utvecklare som stod för 15,8 procent. 18 Andra rapporter har också dokumenterat en växande användning av kinesiska modeller bland amerikanska företag som vill sänka kostnaderna. 31

Om kinesiska modeller byggs in i programvara, apparater, myndighetstjänster och industrisystem runt om i världen kan Peking få inflytande över tekniska standardval, uppdateringar och närliggande leveranskedjor. Det är en möjlig geopolitisk hävstång – men inte ett bevis för att varje lokalt installerad modell är komprometterad.

Säkerhetsdebatten består av flera olika frågor

Uttrycket ”risker med kinesisk AI” kan syfta på åtminstone fyra separata problem. De bör inte blandas ihop.

1. Dataåtkomst via molntjänster

När en användare skickar frågor, filer eller identifierande uppgifter till en Kina-baserad tjänst lämnar informationen användarens miljö. Den kan då omfattas av leverantörens jurisdiktion och tillämplig lagstiftning. Känsliga arbetslaster inom försvar, offentlig förvaltning, vård, kritisk infrastruktur eller företagshemligheter bör därför genomgå en formell riskbedömning innan de skickas till en extern tjänst.

Lokal drift förändrar just denna fråga om dataflödet. Med rätt konfigurerad infrastruktur kan frågor och dokument stanna i organisationens eget nätverk. Det garanterar dock inte att själva modellpaketet, serveringsmjukvaran eller anslutna verktyg är säkra.

2. Censur, vinkling och modellbeteende

En modells träning och finjustering kan leda till politiskt präglade vägran, utelämnanden, vinklingar eller felaktig information. En rapport från en amerikansk kongresskommitté hävdade att DeepSeeks värdtjänst överförde amerikaners data till Kina och manipulerade svar. Det är slutsatser och anklagelser från en kongressutredning – inte ett bevis för att varje nedladdningsbar modellfil innehåller skadlig kod. 2

Beteendet hos en molnbaserad produkt kan dessutom skilja sig från beteendet hos en lokalt körd variant. Omslaget runt modellen, systeminstruktioner, modereringslager, sökverktyg och uppdateringsprocess påverkar alla resultatet.

3. Bakdörrar och leveranskedjan

Ett nedladdat modellpaket eller den omgivande programvaran skulle i teorin kunna innehålla osäker laddningskod, manipulerat beteende eller dolda utlösare. Men modellens ursprungsland är i sig inget bevis för en bakdörr.

Säkerhetsteam behöver kontrollera ursprung, hashvärden och signaturer, granska nätverksbeteende, köra komponenter i sandlåda och testa hela distributionsmiljön. En modell kan vara öppen för nedladdning utan att hela leveranskedjan är granskad.

4. Riskerna med stängda modeller

Stängda, proprietära modeller har sina egna koncentrations- och ansvarsproblem. Användarna kan vanligtvis inte granska modellvikter, träningsdata, dolda systeminstruktioner, telemetri, filtrering eller leverantörens uppdateringsprocess.

Centraliserade API:er kan också bli attraktiva mål för övervakning, driftstörningar och intrång – samtidigt som leverantören ensidigt kan ändra policy eller tillgångsvillkor. Stängd åtkomst kan göra det enklare att övervaka missbruk, införa säkerhetsändringar och hindra okontrollerad vidare distribution. Men en stängd modell är inte automatiskt pålitlig. Öppna och stängda system innebär olika risker och olika former av kontroll.

Därför är lokal drift det starkaste argumentet mot ett heltäckande förbud

Att köra modellen på egna servrar kan ge organisationen större kontroll över hotbilden. Ett säkerhetsteam kan låsa en specifik modellversion, verifiera artefakter, begränsa utgående trafik, skanna beroenden, köra tjänsten i en sandlåda, genomföra så kallade red-team-tester och hålla känsliga frågor på intern infrastruktur.

Öppen tillgång kan också göra det möjligt för oberoende forskare att återskapa fel och undersöka partiskhet eller dolda utlösare.

Det innebär dock inte att lokal drift är säker per automatik. De flesta organisationer kan inte fullt ut granska beteendet hos en mycket stor modell. Finjustering kan skapa nya sårbarheter, och en isolerad installation skyddar bara data från att lämna nätverket om hela serveringsmiljön är korrekt konfigurerad.

Den praktiska slutsatsen är att utvärdera distributionen, inte bara etiketten på modellen. En Kina-baserad API-tjänst, en lokalt installerad och oberoende granskad modell samt en overifierad tredjepartsversion innebär olika risker.

Destillering står i centrum för kontroversen

Destillering innebär att en mindre eller nyare ”elevmodell” tränas med information från en starkare ”lärarmodell”.

• Black-box-destillering använder observerbara svar, ofta insamlade genom API-frågor. Metoden kan vara legitim när den är auktoriserad, men storskalig extraktion kan bryta mot användarvillkor, kringgå skydd eller kopiera proprietärt beteende.
• White-box-destillering använder intern information som vikter, logits eller dolda tillstånd. Det kan överföra förmågor mer effektivt, men tillgång till sådana interna uppgifter kräver normalt auktorisation. Obehörig åtkomst väcker tydligare frågor om säkerhet och företagshemligheter.

OpenAI och Anthropic har anklagat kinesiska företag, däribland DeepSeek, för att använda modellutdata i träningen av nya modeller. USA:s ekonomiska och säkerhetspolitiska kommission för Kina har beskrivit anklagelser om falska konton, proxytjänster och samordnad extraktion. Reuters rapporterade samtidigt om OpenAI:s anklagelse att DeepSeek försökte ”fripassagera” på amerikanska frontmodellers förmågor. Detta är fortfarande anklagelser, inte fastslagna domstolsfynd. 35

Den politiska utmaningen är att black-box-extraktion tekniskt kan likna legitim användning i stor skala. Att bevisa den offentligt kan samtidigt kräva att känsliga utredningsbevis lämnas ut. Lösningen bör därför inte vara att klassa all destillering som olaglig: auktoriserad destillering är en etablerad teknisk metod.

Vad utvecklingen betyder för Silicon Valley och Washington

Kinas open-weight-lanseringar sätter press på den amerikanska affärsmodellen, som i hög grad bygger på dyra, proprietära API:er. Amerikanska företag måste avgöra om stängda modellvikter skyddar ett tekniskt försprång – eller om strategin i stället gör att kinesiska och andra konkurrenter tar över utvecklare, integrationer och global distribution.

Att Qwen gått om Llama i nedladdningar är ett konkret tecken på att kampen om öppna modeller spelar roll. 18 Det tillgängliga underlaget fastställer däremot inte någon specifik aktuell reaktion från Nvidia eller Meta på DeepSeek V4 Pro eller Kimi K3. Påståenden om enskilda företags agerande bör kopplas till daterade förstahandsuttalanden, inte dras som slutsats av den bredare marknadsförändringen.

Washington skärper samtidigt granskningen. Amerikanska representanthusets kommittéer har inlett en gemensam utredning av de nationella säkerhets- och cybersäkerhetsriskerna med kinesiska AI-modeller, inklusive billiga open-weight-modeller och API-tjänster från företag som DeepSeek, Alibaba och Moonshot AI. 14

Det har också rapporterats om diskussioner kring begränsningar. Det tillgängliga underlaget visar dock inte att USA har infört ett heltäckande kommersiellt förbud mot kinesiska modeller med öppna vikter. 912

Politiska alternativ mellan ”förbjud allt” och ”gör inget”

Ett mer riktat regelverk skulle kunna kombinera flera åtgärder:

1. Kontrollera högriskanvändning. Kräv särskilt tillstånd för, eller förbjud overifierade modeller i, försvar, underrättelseverksamhet, kritisk infrastruktur, känsliga myndighetssystem och andra miljöer med data som kan få stora konsekvenser.
2. Ställ krav på säker distribution. Kräv dokumenterad proveniens, signerade paket, programvaruförteckningar, oberoende tester, red-team-resultat och möjlighet till nätverksisolering i känsliga installationer.
3. Skilj mellan värdtjänster och lokala modellvikter. Ett Kina-baserat API innebär en annan dataåtkomstrisk än en lokalt installerad modell som har granskats oberoende.
4. Agera mot otillåten extraktion. Förbättra verifiering av konton, övervakning av frågefrekvens, missbruksdetektering, tekniker för att spåra modellursprung och avtalsbaserad tillsyn – utan att definiera all destillering som stöld.
5. Använd riktade export- och investeringskontroller. Fokusera på avancerade chip, tillverkningsutrustning, molnåtkomst och aktörer med trovärdiga kopplingar till militära eller underrättelserelaterade slutanvändningar. Samtidigt måste man väga in att alltför breda begränsningar kan påskynda utvecklingen av kinesiska ersättare.
6. Bygg ett amerikanskt och allierat open-weight-ekosystem. Investera i säkra och väldokumenterade modeller, flerspråkig utvärdering, effektiv inferens och verktyg för säker distribution. Ett konkurrenskraftigt alternativ möter Kinas spridningsstrategi mer direkt än att enbart begränsa användarnas valmöjligheter. 10

Slutsatsen

Kinas modeller med öppna vikter förändrar AI-racet eftersom de gör avancerade system billigare att ta i bruk, enklare att anpassa och svårare att stoppa när de väl har släppts. Den strategiska betydelsen ligger därför lika mycket i ekosystemets storlek som i modellernas kvalitet.

Säkerhetsfrågorna är allvarliga – särskilt när det gäller molntjänster, känsliga data, leveranskedjans integritet och anklagelser om otillåten destillering. Men ursprungsland visar inte ensamt om en installation är säker. Inte heller är stängda amerikanska modeller riskfria bara för att deras vikter inte är offentliga.

Den mest hållbara linjen är därför riskbaserad: säkra leveranskedjan, begränsa känsliga användningsområden, utred trovärdiga belägg för modellstöld och bygg ett amerikanskt och allierat open-weight-ekosystem som kan konkurrera om distribution – inte bara om prestanda.