En embedsmand i Det Hvide Hus bekræftede mandag over for Axios, at den frivillige testordning for de mest avancerede AI-modeller er færdig. Derefter afviste administrationen at oplyse, hvad der står i den, hvem der har set den, og hvornår virksomhederne skal bruge den.
Ordningen kommer fra et præsidentielt dekret underskrevet 2. juni, og den er flere steder blevet læst som et krav om 30 dages godkendelse af nye AI-modeller. Det står der ikke. Vi har læst dekretteksten, NIST's egen beskrivelse af sin testrolle og den rapportering, resten hviler på, og gennemgår her, hvad der er dokumenteret, hvad der kun er rapporteret af ét medie, og hvad forskellen betyder for dig, der køber AI i Danmark.
Dekretet gav myndighederne 60 dage til at levere tre ting: en klassificeret benchmarkproces, selve den frivillige ramme og en plan for at styrke den føderale cybersikkerhedsstab. Fristen faldt 1. august, og den dag kom der ingen offentlig meddelelse. En gennemgang af fristen på Yahoo Finance noterede, at hverken Federal Register, NIST, CISA eller Det Hvide Hus' videnskabskontor lagde noget frem.
Mandag den 3. august bekræftede administrationen alligevel, at rammen var færdig til tiden, og afviste samtidig at dele indholdet. En unavngiven embedsmand forklarede holdningen sådan over for Axios: "Just because things are unclassified that doesn't mean we are going to broadcast them to everyone." Rammen er med andre ord uklassificeret, men Det Hvide Hus holder den internt alligevel.
Tirsdag mødtes Det Hvide Hus med AI-virksomhederne på stabsniveau for at gennemgå den. Ifølge Axios' kilder havde tre laboratorier forinden givet feedback på et udkast: Anthropic, OpenAI og Google. De tre er samtidig blandt de selskaber, ordningen med størst sandsynlighed kommer til at omfatte. Om deres feedback har flyttet tærsklen, ved vi ikke, og ingen har dokumenteret det.
Påstanden om, at fristen blev overholdt, hviler dermed alene på administrationens eget udsagn, formidlet gennem anonyme kilder. Der findes ikke et offentligt dokument at holde det op imod.
Executive Order 14409 er offentlig, og den er præcis nok til at læse ordentligt. Sektion 3(b) etablerer en frivillig ramme, hvor en udvikler kan bede den føderale regering vurdere, om en model under udvikling opfylder betegnelsen "covered frontier model".
Dekretet pålægger myndighederne at bygge "a classified benchmarking process to assess the advanced cyber capabilities of AI models". Tærsklen fastsættes af NSA-direktøren i samråd med National Cyber Director, præsidentens videnskabsrådgiver, CISA-direktøren og repræsentanter fra Department of War. Er en model omfattet, kan udvikleren give regeringen adgang "for a period of up to 30 days before they plan to release such models to other trusted partners".
Dekretet knytter adgangen til en række betingelser og kræver "appropriate confidentiality, cybersecurity, insider-risk, and intellectual-property protection, use, and nondisclosure requirements", altså beskyttelse af fortrolighed, cybersikkerhed, insiderrisici og immaterielle rettigheder. Så følger en sætning, der sjældent kommer med i overskrifterne: "Nothing in this section shall be construed to authorize the creation of a mandatory governmental licensing, preclearance, or permitting requirement for the development, publication, release, or distribution of new AI models, including frontier models."
Dekretet nævner ikke CAISI. Det nævner NIST via handelsministeren som konsulteret part, men der findes en eksisterende praksis, ordningen kan læses op imod. NIST's Center for AI Standards and Innovation kalder sig selv industriens primære kontaktpunkt i regeringen for at facilitere test og forskningssamarbejde om kommercielle AI-systemer, og arbejdet foregår gennem frivillige aftaler. Centret evaluerer både amerikanske og udenlandske modeller. Praksis går tilbage til august 2024, hvor forgængeren indgik aftaler med OpenAI og Anthropic om adgang til nye modeller før og efter offentlig lancering, og til november samme år, hvor amerikanske og britiske myndigheder i fællesskab testede en opgraderet Claude 3.5 Sonnet på biologi, cybersikkerhed, softwareudvikling og modstandskraft mod jailbreaks.
Det nye ligger i formaliseringen: klassificerede cyberbenchmarks, en defineret tærskel, en afgrænset adgangsperiode og en tættere kobling til de nationale sikkerhedsmyndigheder frem for til en standardorganisation.
Ordningen måler avancerede cyberkapaciteter, altså hvad en model kan udrette i hænderne på nogen, der vil finde sårbarheder eller bygge angreb. Den siger intet om diskrimination, hallucinationer, ophavsret, produktkvalitet eller almindelig forbrugerbeskyttelse. En model kan bestå den amerikanske test og stadig være et problem på alle de andre områder.
Ordlyden i dekretet er "before they plan to release such models to other trusted partners", altså før en snævrere frigivelse til betroede partnere. Der står ikke, at store modeller skal vente 30 dage på en offentlig lancering, og der står ikke, at regeringen skal sige god for noget.
Læser du ordningen som en obligatorisk 30-dages godkendelse af alle nye AI-modeller, tager du fejl tre gange. Den er ikke obligatorisk, den er ikke en godkendelse, og den gælder ikke alle modeller. En mere præcis formulering lyder: udviklere af udvalgte frontier-modeller kan under en frivillig og fortrolig ordning give amerikanske myndigheder op til 30 dages adgang før bredere frigivelse.
Listen over ting, vi ikke ved, er længere end listen over ting, vi ved. Der findes ingen offentlig dokumentation for, om et dårligt testresultat kan forsinke en lancering, om regeringen kan kræve ændringer, hvad der sker, hvis udvikleren siger nej tak, om en opdateret model skal testes igen, hvordan løbende finjusteringer håndteres, om resultaterne nogensinde bliver offentliggjort, eller om en udvikler kan appellere en vurdering.
Advokatfirmaet Skadden beskriver i sin juridiske gennemgang fra 9. juni den amerikanske tilgang som forholdsvis let på hånden sammenlignet med EU og Storbritannien, netop fordi dekretet udtrykkeligt afviser licens- og forhåndsgodkendelseskrav. Firmaet gengiver mekanikken uden at problematisere den, og noterer, at reaktionerne spænder fra tilfredshed med den lette hånd over en frygt for, at ordningen bliver første skridt mod mere detaljeret regulering, til en vurdering af, at en frivillig tilgang er utilstrækkelig i forhold til truslen. Vores egen læsning er, at to af spørgsmålene ovenfor er de tungeste: hvad der udløser status som covered frontier model, og hvad der konkret sker, når de 30 dage er gået.
Axios rapporterede tirsdag, at den færdige ramme definerer en covered frontier model som closed-source med state-of-the-art-kapabiliteter og national sikkerhedsrisiko. Axios noterer samtidig, at rammen ikke definerer, hvad der tæller som state-of-the-art, eller hvad der tæller som en national sikkerhedsrisiko. Åbne modeller er udenfor, og rammen siger ifølge Axios udtrykkeligt, at intet i den skal fortolkes som en begrænsning af åbne modeller, når de først er frigivet. I den 30-dages periode skal adgangen begrænses, og der skal føres detaljerede logs over, hvem der har rørt modellen.
Kilden er værd at markere her. Dekretet udelukker ikke open-weight-modeller, altså modeller, hvis vægte frit kan hentes og køres lokalt. Det gør implementeringen, ifølge personer, der er blevet orienteret om rammen og taler anonymt med Axios. Der findes ikke et offentligt dokument at efterprøve det i, og det er en af de påstande, du skal behandle som rapporteret frem for dokumenteret.
Bag valget ligger en praktisk logik. En lukket model kan udleveres til myndighederne under fortrolige vilkår og trækkes tilbage igen bagefter. Når vægtene på en åben model først ligger til download, kan ingen kalde dem hjem, og en statslig præ-lanceringstest er derfor lettere at administrere for lukkede modeller.
Undtagelsen efterlader alligevel et hul. En stærk open-weight-model kan bruges til præcis de opgaver, testen leder efter: sårbarhedssøgning, malwareudvikling, phishing i skala, automatiserede angrebskæder og autonome agenthandlinger. Vi har set flere af dem demonstreret inden for de seneste måneder, blandt andet i en kontrolleret øvelse, hvor Claude gennemførte angreb mod tre virksomheder uden at vide, at det var en test.
CAISI kan fortsat evaluere åbne modeller efter offentliggørelse, og centret gør det: dets egen nyhedsside nævner blandt andet evalueringer af DeepSeek V4 Pro og GLM-5.2. Forskellen ligger i, at åbne modeller står uden for netop den fortrolige præ-lanceringstest. Holder Axios' oplysninger, er resultatet en reguleringsmæssig asymmetri, hvor de virksomheder, der holder vægtene lukkede, bliver kigget mest efter i kortene.
EU AI Act er juridisk bindende, og undtagelserne fungerer omvendt. Udbydere af general-purpose AI-modeller med systemisk risiko skal ifølge Europa-Kommissionen "assess and mitigate systemic risks, in particular by performing model evaluations, keeping track of, documenting, and reporting serious incidents", og de skal sikre tilstrækkelig cybersikkerhed omkring både modellen og dens fysiske infrastruktur.
En model formodes at have systemisk risiko, hvis træningsberegningen overstiger 1025 FLOP. Kommissionens FAQ anslår med henvisning til Epoch AI, at det koster tocifrede millionbeløb i euro at træne en model på det niveau. Tærsklen kan opdateres ved delegeret retsakt, og Kommissionen kan derudover udpege andre modeller ud fra kriterier som kapabilitetsevalueringer, antal brugere, skalerbarhed og adgang til værktøjer.
Open source-undtagelserne i AI Act gælder ikke for modeller med systemisk risiko. Kommissionen skriver det direkte: "This exception does not apply to general-purpose AI models with systemic risk." En meget kraftig åben model er altså ikke fritaget i EU, selvom den er fritaget i den amerikanske ordning, hvis Axios' kilder har ret.
Den amerikanske ramme er frivillig, den måler cyberkapabiliteter mod klassificerede benchmarks, den omfatter efter Axios' oplysninger kun lukkede modeller, og hverken kriterier eller resultater bliver offentliggjort. EU-tilgangen er bindende, den dækker systemisk risiko bredt, den kan omfatte åbne modeller, og den stiller dokumentations- og tilsynskrav, som en myndighed kan håndhæve. Ordningerne måler hver sit, så du skal forholde dig til dem hver for sig.
Juridisk er svaret klart nok. Dekretet forbyder udtrykkeligt, at rammen bliver et licens- eller forhåndsgodkendelseskrav, og forbuddet står i selve dekretteksten, hvor det binder myndighederne.
I praksis har den amerikanske regering andre håndtag end regler: offentlige indkøb, forsvars- og efterretningskontrakter, eksportkontrol samt adgang til betroede partnere og klassificerede miljøer. Skadden formulerer det tørt i sin analyse. Virksomheder, der vælger ikke at deltage, kan befinde sig i en ugunstig position, når der skal tildeles kontrakter og status som betroet partner.
Det er Skaddens vurdering af, hvordan magtforholdet virker i praksis. Dekretet selv siger kun, at ordningen er frivillig, og den skelnen bør du holde fast i, når du læser dækningen af sagen. Vi har tidligere beskrevet, hvordan amerikansk eksportkontrol kan ramme europæiske brugere af amerikanske modeller, og hvordan myndighedskrav i juni førte til, at Anthropic lukkede ned for to modeller. Ordningen her er noget andet, men den ligger i det samme mønster: leverandørens produktplan afhænger i stigende grad af amerikanske sikkerhedsvurderinger.
Ordningen lægger ingen nye compliance-krav på dig, men den flytter din leverandør- og driftsrisiko på fire punkter.
Lanceringer kan blive mere kontrollerede. Nye amerikanske frontier-modeller kan komme ud i faser eller først til udvalgte partnere. Hvis din plan regner med, at den nyeste model er tilgængelig i EU på lanceringsdagen, er det efter vores vurdering en antagelse, der er blevet svagere end for to måneder siden.
Du kan komme til at høre, at en model er blevet myndighedstestet, uden at nogen kan fortælle dig, hvad den blev testet for, eller om den bestod. Transparensen bliver på det punkt dårligere af en ordning, der i princippet skulle øge tilliden. En snæver cybertest dækker kun cyberkapaciteter, så bed leverandøren dokumentere rækkevidden, hvis de præsenterer testen som en sikkerhedscertificering.
Amerikanske myndigheder får meget tidlig adgang til leverandørens mest følsomme teknologi. Dine data ligger et andet sted i stakken og bliver ikke berørt af det. Adgangen hører alligevel hjemme i leverandørvurderingen, hvor nationalitet i forvejen vejer.
AI Act, GDPR, NIS2 og DORA stiller de samme krav til dig som før. En amerikansk myndighedstest erstatter ikke dine egne vurderinger, og det danske tilsyn kører sit eget spor uafhængigt af, hvad Washington måtte have testet.
I selve leverandøraftalen er der syv ting værd at bede om: model- og systemkort, uafhængige evalueringer, varsling om væsentlige sikkerhedsproblemer, dokumentation af versionsændringer, betingelserne for, at en model pludselig trækkes tilbage eller begrænses, adgang til logs og hændelsesdata, og en exit-plan til en anden model. Det er den slags krav, der er nemme at få med inden underskrift og næsten umulige at få bagefter.
USA har etableret en frivillig national sikkerhedstest, som efter alt at dømme er skruet sammen til lukkede modeller, og hvis kriterier og resultater ingen udenfor kommer til at se. Det er en væsentlig ændring i, hvordan de mest avancerede modeller kommer på markedet, og det er samtidig en ændring, ingen udefra kan efterprøve. De to ting bør du holde adskilt, næste gang nogen fortæller dig, at en model er blevet godkendt af den amerikanske regering.