Det reguleringsmæssige gap: Hvorfor AI-regulering altid vil være efteruddannet

Innovation udvikler sig i maskinehastighed, mens governance bevæger sig i menneskehastighed. Da AI-adoption vokser eksponentielt, er reguleringen efteruddannet, hvilket er ret typisk, når det kommer til teknologi. Verden over er regeringer og andre enheder i færd med at regulere AI, men fragmenterede og uregelmæssige tilgange er almindelige.

Del af udfordringen er, at der ikke findes noget sådant som apolitisk teknisk design. Der er en række regler og forslag, fra Den Europæiske Unions AI-akt til USA’s regulerings-sandkasser, hver med sin egen filosofi. Mens AI-governance i sig selv altid følger innovation, er den virkelige udfordring at håndtere sikkerhed og politik ansvarligt inden for denne forsinkelse.

Naturen af gapet: Innovation først, overvågning senere

Reguleringsforsinkelse er en uundgåelig biprodukt af teknologisk fremgang. For eksempel var Henry Ford ikke i færd med at udvikle Model T med en primær fokus på vej sikkerhed og vejregler. Reguleringsmønstre følger historisk innovation; nyere eksempler omfatter data beskyttelse, blockchain og sociale medier. AI’s hurtige udvikling overhaler politikdannelse og gennemførelse. Med andre ord har vognen været foran hesten i en periode.

Del af udfordringen er, at politikere ofte reagerer på skade i stedet for at forudse risiko, hvilket skaber cykler af reaktiv governance. Problemet er ikke forsinkelsen i sig selv, men manglen på adaptive mekanismer til at følge med nye trusler, og manglen på vilje til at gå på kompromis med en konkurrencemæssig fordel for sikkerhedens skyld. Det er et “løb til bunden”-scenarie; vi undergraver vores egen kollektive sikkerhed for lokal konkurrencegevinst.

Globalt patchwork af AI-governance repræsenterer fragmenterede filosofier

De eksisterende store AI-governance-tilgange i verden varierer meget.

I EU blev AI-akten introduceret sidste år og er meget mere etisk- og risikobaseret. AI-brug vurderes efter risikoniveau, og nogle anses for uacceptabelt og derfor forbudt risici. USA har taget en mere regulerings-sandkasse-model, der fremhæver innovationsflexibilitet. Nogle kunne beskrive det som en udskæring til innovation, mens kritikere kan kalde det en blank check.

Der er også Hiroshima-processen, der indeholder global koordinationshensigt, men begrænset opfølgning; hver G7-nation er stadig fokuseret på domestic AI-dominans.

I USA er sagen overvejende blevet overladt til staterne, hvilket effektivt sikrer en mangel på effektiv regulering. Den føderale regering gør dette nogle gange præcis på grund af, hvor ineffektivt det kan være. Staterne skaber nye sandkasser for at tiltrække tech-virksomheder og investeringer, men det er usandsynligt, at der vil være nogen meningsfuld regulering på statligt niveau; kun undtagelser givet.

Storbritannien har været i en domestic og international kamp for at etablere sig som stærkt uafhængigt efter Brexit. Gennem deregulering og regeringens “Leveling Up”-skema er introduktionen af regulerings-sandkasser ikke overraskende. Storbritanniens regering vil gerne have Storbritannien som en dominant AI-supermagt for både intern og ekstern politisk fordel og stabilitet.

EU er mere fokuseret på forbrugersikkerhed, men også på styrken af det fælles marked. Dette giver mening, givet EU’s historie med patchwork-regulering. Fælles overholdelse, normer og grænseoverskridende handel er nøgle til at gøre EU til, hvad det er. De kræver stadig regulerings-sandkasser, men også, at hver medlemsstat skal have en i drift på samme dato.

Disse er kun nogle få sådanne regler, men sandsynligvis de mest prominente. Hovedpointen er, at der er uensartede rammer, der mangler fælles definitioner, gennemførelsesmekanismer og grænseoverskridende samarbejdsevne. Dette efterlader huller for angribere at udnytte.

Den politiske natur af protokoller

Ingen AI-regulering kan nogensinde være virkelig neutral; hver designvalg, sikkerhedsforanstaltning og regulering reflekterer underliggende regerings- eller virksomhedsinteresser. AI-regulering er blevet et geopolitisk værktøj; nationer bruger det til at sikre økonomisk eller strategisk fordel. Chip-eksportkontroller er et nuværende eksempel; de fungerer som indirekte AI-governance.

Den eneste regulering, der effektivt er indført hidtil, er til at bevidst hæmme en marked. Den globale kapløb om AI-overlegenhet holder governance som et mekanisme for konkurrence i stedet for samarbejdende sikkerhed.

Sikkerhed uden grænser, men governance med dem

Det store problematisk problem her er, at AI-aktiverede trusler overskrider grænser, mens regulering forbliver inden for grænser. I dag omfatter hurtigt udviklende trusler både angreb på AI-systemer og angreb, der bruger AI-systemer. Disse trusler overskrider jurisdiktioner, men regulering forbliver siloet. Sikkerhed bliver isoleret i en hjørne, mens truslerne overskrider hele internettet.

Vi begynder allerede at se misbrug af legitime AI-værktøjer af globale trusler, der udnytter svage sikkerheds kontroller. For eksempel er der set ondsindet aktivitet med brug af AI-sideoprettelsesværktøjer, der mere ligner sideklonere og kan let misbruges til at oprette phishing-infrastruktur. Disse værktøjer er blevet brugt til at efterligne login-sider for alt fra populære sociale medier til nationale politi-myndigheder

Indtil governance-rammerne reflekterer AI’s grænseoverskridende struktur, vil forsvarere forblive begrænsede af fragmenterede love.

Fra reaktiv regulering til proaktiv forsvar

Reguleringsforsinkelse er uundgåelig, men stagnation er det ikke. Vi har brug for adaptive, prædiktiv governance med rammer, der udvikler sig med teknologien; det handler om at gå fra reaktiv regulering til proaktiv forsvar. Ideelt set ville det se således ud:

• Udvikling af fælles internationale standarder for AI-risikoklassificering.
• Udbredt deltagelse i standardindstillingen ud over store regeringer og virksomheder. Internet-governance har søgt (med blandet succes) at bruge en multistakeholder-model over en multilateral en. Selv om den er uperfekt, har den haft en stor indvirkning på at gøre internettet til et værktøj for alle og minimere censur og politiske lukninger.
• Fremme af diversitet i tankegang i governance.
• En mekanisme for incidentrapportering og gennemsigtighed. En mangel på regler vil ofte også betyde en mangel på rapporteringskrav. Det er usandsynligt, at der vil være et krav om at underrette offentligheden om skader fra fejl eller designvalg inden for regulerings-sandkasser i nær fremtid.

Selv om det reguleringsmæssige gap aldrig vil forsvinde, kan samarbejdende, gennemsigtige og inklusive rammer forhindre, at det bliver en permanent sårbarhed i global sikkerhed.