Ny amerikansk AI-lov kobler modellstyring til cyberberedskap

Et nytt amerikansk lovutkast viser hvor AI-reguleringen er på vei: bort fra generelle prinsipper og inn i konkret styring av modeller, sikkerhetshendelser, revisjon og kritisk åpen kildekode. For norske virksomheter er dette ikke bare amerikansk politikk. Det er et tidlig varsel om hvilke krav store kunder, leverandører og myndigheter kommer til å stille til AI-systemer med høy risiko.

Cybersecurity Dive omtaler at en tverrpolitisk gruppe i Representantenes hus har lagt frem et diskusjonsutkast til «Great American Artificial Intelligence Act». Utkastet er omfattende. Det dekker frontier-modeller, arbeidsmarked, utdanning, forskning, internasjonale standarder, svindel og cybersikkerhet. Den viktigste delen for ledere er likevel enkel: store frontier-utviklere skal ikke bare si at de styrer risiko. De skal dokumentere hvordan de gjør det, få det revidert og rapportere alvorlige sikkerhetshendelser.

Utkastet vil formalisere NISTs Center for AI Standards and Innovation, CAISI, og gi senteret ansvar for standarder, beste praksis, systemevalueringer, syntetisk innholdsdeteksjon og lisensiering av uavhengige verifikasjonsorganisasjoner. Cybersecurity Dive skriver at CAISI i forslaget får 300 millioner dollar over regnskapsårene 2027 til 2029. Den offisielle seksjon-for-seksjon-oppsummeringen beskriver 100 millioner dollar per år i samme periode.

Kjernen er et nytt regime for «large frontier developers», definert som utviklere med mer enn 500 millioner dollar i inntekter. Disse skal etter forslaget lage og publisere rammeverk for risiko, inkludert terskler og prosedyrer for katastrofal risiko, cybersikkerhet rundt modellvekter og beslutninger om intern og ekstern utrulling. Ved lansering av nye frontier-modeller skal utviklerne publisere rapporter med blant annet lanseringsdato, støttede språk, modaliteter, tiltenkt bruk, restriksjoner, risikovurderinger og tiltak.

Forslaget løfter også hendelsesrapportering. Kritiske sikkerhetshendelser skal meldes til CAISI innen 15 dager, og innen 24 timer hvis hendelsen innebærer nærliggende fare for død eller alvorlig skade. I utkastet kan brudd gi bøter på opptil 1 million dollar per dag. Dette er et tydelig skifte fra frivillige AI-prinsipper til en modell som ligner mer på cyber- og finanstilsyn: dokumenter risiko, få uavhengig vurdering, rapporter hendelser og lev med sanksjoner hvis styringen svikter.

Det mest praktiske cyberpunktet gjelder åpen kildekode. Lovutkastet vil la CAISI samarbeide med CISA om sikkerhet i kritiske åpne programvarepakker. CISA skal kunne gi tilskudd til amerikanske utviklere av kritiske pakker for patching, sikkerhetsevalueringer og vedlikehold. AI-selskaper skal også gi slike utviklere tilgang til avanserte modeller som kan finne og rette sårbarheter. Det treffer en reell flaskehals: mye av den digitale økonomien hviler på små vedlikeholdsmiljøer, mens AI gjør både sårbarhetsjakt og støyende bugrapportering billigere.

For norske CIO-er betyr dette at leverandørstyring må bli mer presis. Når store AI-leverandører selger modeller, agenter eller plattformer inn i europeiske konsern, vil spørsmålene raskt handle om mer enn databehandleravtale og ISO-sertifikat. Hvilke frontier-rammeverk følger leverandøren? Hvordan håndteres modellvekter? Hvilke hendelser rapporteres, til hvem og hvor raskt? Finnes det uavhengig revisjon av modellrisiko, ikke bare skyinfrastruktur?

For CISO-er er åpen kildekode-delen minst like interessant som modellrevisjonen. Mange sikkerhetsprogrammer har SBOM, sårbarhetsskanning og patchfrister på papiret, men mangler oversikt over hvilke pakker som er forretningskritiske og hvem som faktisk vedlikeholder dem. Hvis USA gjør kritisk åpen kildekode til en del av AI-sikkerhetspolitikken, vil også leverandørkjeder i Europa bli målt hardere på dette. Det vil ikke holde å si at en komponent er «open source». Noen må eie risikoen.

Forslaget er ikke vedtatt. Det møter allerede politisk motstand, særlig fordi det vil forhåndsbegrense delstatlige AI-lover som retter seg mot modellutvikling. Det er derfor for tidlig å behandle lovteksten som kommende rett. Men for styrer er retningen mer interessant enn sannsynligheten for nøyaktig vedtak. USA forsøker å samle AI-styring, cybersikkerhet, frontier-modeller og arbeidsmarked i ett regulatorisk rammeverk. Det skjer samtidig som EU AI Act går fra regeltekst til operasjonell etterlevelse.

Norske virksomheter bør lese dette som et kravskifte. AI-governance blir ikke en policy i en mappe. Det blir et kontrollsystem. Det må kobles til risikoregister, leverandørstyring, hendelsesberedskap, sikkerhetsarkitektur, logging, tilgangsstyring og intern revisjon.

Den praktiske anbefalingen er å starte før lovkravene treffer kontraktene. Kartlegg hvilke AI-systemer som kan påvirke drift, kunder, beslutninger, sikkerhet eller etterlevelse. Skill mellom generelle assistenter, produksjonsagenter og høyrisiko-systemer. Krev at leverandører dokumenterer modellopprinnelse, evalueringsmetode, sikkerhetshendelser, underleverandører og bruk av åpen kildekode. Og legg inn en eksplisitt hendelseslinje for AI-feil, ikke bare klassiske IT-avvik.

Lovutkastet kan endres mye. Men signalet er klart: AI-regulering blir mer teknisk, mer revisorientert og tettere koblet til cyberberedskap. Det er akkurat der norske styrer bør plassere ansvaret også.

Kilder og medier

Kilde: Cybersecurity Dive, «Sprawling new House AI bill includes frontier model oversight, open-source security grants», publisert 13. august 2026. source_url: https://www.cybersecuritydive.com/news/house-ai-bill-regulation-cisa-nist-open-source/822131

Tilleggskilde: U.S. House discussion draft og section-by-section summary for Great American Artificial Intelligence Act.

Thumbnail: OpenAI Image 2 / hogby.ai