De Governance Gap: Waarom AI-Regulering Altijd Achterloopt

Innovatie evolueert met machinesnelheid, terwijl governance met mensensnelheid beweegt. Naarmate de adoptie van AI exponentieel groeit, loopt regulering achterop, wat vrij typisch is voor technologie. Wereldwijd proberen overheden en andere entiteiten AI te reguleren, maar gefragmenteerde en ongelijksoortige benaderingen komen veel voor.

Een deel van de uitdaging is dat er geen zodanig iets bestaat als apolitieke techniekontwerp. Er zijn een aantal regelgevingen en voorstellen, van de AI-wet van de Europese Unie tot de Amerikaanse reguleringszandbakken, elk met hun eigen filosofie. Terwijl AI-governance inherent achter innovatie aanloopt, is de echte uitdaging het verantwoord beheren van veiligheid en beleid binnen die vertraging.

De aard van de kloof: Innovatie eerst, toezicht later

Regulatoire vertraging is een onvermijdelijk bijproduct van technologische vooruitgang. Bijvoorbeeld, Henry Ford ontwikkelde de Model T niet met als hoofddoel de veiligheid van de weg en de verkeersregels. Regulatoire patronen volgen historisch de innovatie; recente voorbeelden zijn gegevensbescherming, blockchain en sociale media. De snelle evolutie van AI overtreft het vormen en handhaven van beleid. Met andere woorden, de wagen is voor de paard gespannen.

Een deel van de uitdaging is dat beleidsmakers vaak reageren op schade in plaats van risico’s te anticiperen, waardoor cycli van reactief bestuur ontstaan. Het probleem is niet de vertraging zelf, maar eerder het ontbreken van adaptieve mechanismen om bij te blijven met nieuwe bedreigingsmodellen, en het ontbreken van de wil om een concurrentievoordeel op te offeren voor veiligheid. Het is een “race to the bottom”-scenario; we ondermijnen onze collectieve veiligheid voor lokale concurrentievoordelen.

Wereldwijde patchwork van AI-governance vertegenwoordigt gefragmenteerde filosofieën

De bestaande belangrijke AI-governance-benaderingen in de wereld verschillen sterk.

In de EU is de AI-wet die vorig jaar is ingevoerd, sterk gebaseerd op ethiek en risico’s. Het gebruik van AI wordt beoordeeld op basis van risiconiveau, waarbij sommige als onaanvaardbaar en dus verboden risico’s worden beschouwd. De VS daarentegen heeft een meer reguleringszandbakmodel dat flexibiliteit in innovatie benadrukt. Sommigen zouden dit een uitzondering voor innovatie noemen, terwijl critici het een blanco cheque noemen.

Er is ook het Hiroshima-proces, dat globale coördinatie-intentie bevat, maar beperkte follow-through; elk G7-land is nog steeds gefocust op binnenlandse AI-dominantie.

In de VS is de kwestie grotendeels overgelaten aan de staten, wat effectief een gebrek aan effectieve regulering garandeert. De federale overheid doet dit soms precies vanwege de ineffectiviteit ervan. Staten creëren nieuwe zandbakken om technologiebedrijven en investeringen aan te trekken, maar het is onwaarschijnlijk dat er op staatsniveau enige betekenisvolle regulering zal zijn; alleen uitzonderingen worden verleend.

Het VK heeft een binnenlandse en internationale strijd gevoerd om zichzelf te vestigen als een fel onafhankelijke natie na de Brexit. Door deregulering en het “Leveling Up”-plan van de regering is de introductie van reguleringszandbakken geen verrassing. De regering van het VK wil dat het VK een dominante AI-supermacht wordt, zowel voor interne als externe politieke voordelen en stabiliteit.

De EU is meer gefocust op consumentenveiligheid, maar ook op de kracht van de gedeelde markt. Dit is logisch, gezien de geschiedenis van de EU met patchwork-regulering. Gedeelde naleving, normen en grensoverschrijdende handel zijn essentieel om de EU tot wat het is te maken. Ze hebben nog steeds reguleringszandbakken nodig, maar elke lidstaat moet er een operationeel hebben tegen dezelfde datum.

Dit zijn slechts enkele van dergelijke regelgevingen, maar waarschijnlijk de meest prominente. Het belangrijkste punt is dat er disjuncte kaders zijn die gedeelde definities, handhavingsmechanismen en grensoverschrijdende interoperabiliteit ontberen. Dit laat gaten over voor aanvallers om te exploiteren.

De politieke aard van protocollen

Geen enkele AI-regulering kan ooit echt neutraal zijn; elke ontwerpkeuze, beveiligingsmaatregel en regulering weerspiegelt onderliggende overheids- of bedrijfsbelangen. AI-regulering is een geopolitiek instrument geworden; landen gebruiken het om economisch of strategisch voordeel te behalen. Chip-exportcontroles zijn een huidig voorbeeld; ze dienen als indirecte AI-governance.

De enige regulering die effectief is ingevoerd, is die welke is bedoeld om een markt te hinderen. De wereldwijde strijd om AI-suprematie houdt governance een mechanisme voor concurrentie in plaats van samenwerkende veiligheid.

Veiligheid zonder grenzen, maar governance met grenzen

Het grote probleem hier is dat AI-geactiveerde bedreigingen grenzen overschrijden, terwijl regulering nog steeds binnen grenzen blijft. De snel evoluerende bedreigingen van vandaag omvatten zowel aanvallen op AI-systemen als aanvallen die AI-systemen gebruiken. Deze bedreigingen overschrijden rechtsgebieden, maar regulering blijft geïsoleerd. Veiligheid wordt afgesloten in een hoek, terwijl bedreigingen het hele internet overschrijden.

We zien al het misbruik van legitieme AI-hulpmiddelen door wereldwijde bedreigingsactoren die zwakke veiligheidscontroles exploiteren. Bijvoorbeeld, is er sprake geweest van kwaadwillige activiteit met het gebruik van AI-site-creatiehulpmiddelen die meer zijn als site-klooners en gemakkelijk kunnen worden misbruikt om phishing-infrastructuur op te zetten. Deze hulpmiddelen zijn gebruikt om inlogpagina’s na te bootsen voor alles, van populaire sociale mediaservices tot nationale politiebureaus

Tot governance-kaders de grensoverschrijdende structuur van AI weerspiegelen, zullen verdedigers beperkt blijven door gefragmenteerde wetten.

Van reactieve regulering naar proactieve verdediging

Regulatoire vertraging is onvermijdelijk, maar stagnatie is dat niet. We hebben adaptieve, voorspellende governance nodig met kaders die evolueren met de technologie; het gaat erom van reactieve regulering naar proactieve verdediging over te gaan. Ideaal gezien zou dit eruit zien als:

• Ontwikkeling van gedeelde internationale standaarden voor AI-risicoclassificatie.
• Uitgebreide deelname aan standaardinstellingen buiten grote overheden en bedrijven. Internetgovernance heeft (met gemengd succes) een multistakeholdermodel boven een multilateraal model gebruikt. Hoewel onvolmaakt, heeft het een enorme impact gehad op het maken van het internet een instrument voor iedereen en het minimaliseren van censuur en politieke afsluitingen.
• Bevorderen van diversiteit in governance.
• Een mechanisme voor incidentenrapportage en transparantie. Een gebrek aan regelgeving zal vaak ook een gebrek aan rapportageverplichtingen betekenen. Het is onwaarschijnlijk dat er in de nabije toekomst een verplichting zal zijn om het publiek te informeren over schade door fouten of ontwerpkeuzes binnen reguleringszandbakken.

Terwijl de governance-gap nooit zal verdwijnen, kunnen samenwerkende, transparante en inclusieve kaders voorkomen dat het een permanente kwetsbaarheid in de mondiale veiligheid wordt. ly dat er in de nabije toekomst een verplichting zal zijn om het publiek te informeren over schade door fouten of ontwerpkeuzes binnen reguleringszandbakken. Terwijl de governance-gap nooit zal verdwijnen, kunnen samenwerkende, transparante en inclusieve kaders voorkomen dat het een permanente kwetsbaarheid in de mondiale veiligheid wordt.