En modell med 2,8 billioner parametere, og et spørsmål ingen liker å svare presist på
- juli 2026 lanserte det kinesiske selskapet Moonshot AI Kimi K3 – 2,8 billioner parametere, den største åpne AI-modellen som noensinne er lansert. Vektene blir først offentlig tilgjengelige 27. juli, under en modifisert MIT-lisens, så det som finnes nå er API-tilgang og selskapets egne benchmark-tall. De skal tas med en klype salt inntil noen utenfor Moonshot har fått teste selv. Men lanseringen i seg selv utløste noe: børser i Asia falt kraftig samme dag, i det flere omtalte som en ny «DeepSeek-øyeblikk» – en gjentakelse av sjokket fra januar 2025, da markedet første gang skjønte at kinesiske labber kunne matche amerikanske frontier-modeller til en brøkdel av kostnaden.
Prisene beveger seg allerede. Kimi K3 koster rundt 3 dollar per million input-tokens og 15 dollar per million output-tokens – markant billigere enn amerikanske frontier-modeller. Anthropic kuttet prisene på Sonnet 30. juni. OpenAI-sjef Sam Altman har signalisert at de kan gå ned til en fjerdedel av dagens pris om nødvendig. Google kuttet abonnementsprisen på sin Ultra-plan med 20 prosent i mai. Og på OpenRouter, en av de største markedsplassene for AI-modeller, gikk andelen av tokens rutet til kinesiske åpne modeller fra rundt 11 prosent for et år siden til opp mot 46 prosent nå i juli.
Det er den ene historien: åpne modeller presser prisen ned, over hele bransjen, uansett hvem du egentlig bruker.
Den andre historien er vanskeligere, og det er den denne artikkelen faktisk handler om: skal en norsk bedrift være mer nervøs for å kjøre en kinesisk åpen modell enn en amerikansk? Og er «amerikansk» faktisk et trygt standardvalg – eller stoler vi på det av vane, ikke av dokumentert grunn?
Det som faktisk er dokumentert om kinesiske modeller
La oss starte med det ubehagelige, fordi det er reelt og det hjelper ingen å late som det ikke er det.
Politisk sensur i kinesiske modeller er godt dokumentert og reproduserbar. Uavhengige tester finner konsekvent at DeepSeek og lignende modeller nekter å svare, eller svarer med regimets offisielle fremstilling, på spørsmål om Tiananmen-plassen i 1989, Taiwans status, Xinjiang og Hongkong. Dette er ikke enkeltstående funn – det er reprodusert i akademiske studier og i en amerikansk kongress-komités rapport. Det er en reell, målbar egenskap ved modellen, ikke ryktespredning.
Det finnes også en nyere og mer ubehagelig datapunkt: det amerikanske sikkerhetsorganet CAISI under NIST testet DeepSeek og fant at modellen var omtrent 12 ganger mer tilbøyelig enn amerikanske frontier-modeller til å følge ondsinnede instruksjoner, med et pro-Beijing narrativ-bias innebygd. Et separat rødteam-selskap, Enkrypt AI, fant at DeepSeek-R1 var elleve ganger mer tilbøyelig til å generere skadelig innhold enn OpenAIs o1-modell. Dette er ikke tall vi bør avfeie for å få en pen symmetrisk konklusjon til å gå opp. De er reelle, og de er større enn de tilsvarende svakhetene som er dokumentert i amerikanske åpne modeller som Llama.
Norges eget Nasjonal sikkerhetsmyndighet advarte eksplisitt mot DeepSeek, og Datatilsynet har flagget GDPR-bekymringer. Begge advarslene handler om Kinas etterretningslov – spesifikt artikkel 7, som pålegger kinesiske selskaper å samarbeide med statens etterretningstjenester på forespørsel. Det er ikke en teoretisk bekymring; det er skrevet inn i kinesisk lov.
Det som ikke er like godt kjent om amerikanske modeller
Her blir bildet mer komplisert enn «amerikansk = trygt».
CLOUD Act gir amerikanske myndigheter rett til å pålegge amerikanske selskaper å utlevere data uansett hvor i verden dataene fysisk lagres – inkludert i EU. Det europeiske personvernrådet (EDPB) har eksplisitt flagget dette som en konflikt med GDPR etter Schrems II-dommen. Strukturelt er dette den nærmeste amerikanske parallellen til Kinas etterretningslov: begge gir staten en juridisk vei inn til data som befinner seg hos et selskap underlagt deres jurisdiksjon, uavhengig av hvor kunden sitter.
Og så er det noe som overrasket oss i researchen: i februar 2026 ble Anthropic rapportert svartelistet av Trump-administrasjonen, etter at selskapet nektet å gi Pentagon ubegrenset «lovlig formål»-tilgang til masseovervåking og autonome våpensystemer. I juni samme år ble utenlandsk tilgang til to av Anthropics modeller angivelig suspendert av amerikanske myndigheter, og selskapet måtte trekke tilbake tilgangen helt. Poenget her er ikke at Anthropic gjorde noe galt – tvert imot, det er en modig beslutning. Poenget er at selv et amerikansk selskap ikke er fritatt fra at egen stat kan legge politiske betingelser på tilgangen ikke-amerikanske kunder har til produktet. Det er ikke bare Kina som har et statlig tilgangsproblem. USA har sitt eget, med en annen mekanisme.
Skillet som faktisk avgjør risikoen: hostet app eller egne vekter
Her er poenget som blir borte i mesteparten av debatten: det er stor forskjell på å bruke DeepSeeks app eller API, og å laste ned DeepSeeks åpne vekter og kjøre dem på egen eller europeisk infrastruktur.
Når du bruker den hostede tjenesten, går promptene dine til servere det kinesiske selskapet kontrollerer – og da gjelder etterretningsloven direkte. Det er nøyaktig det NSM og Datatilsynet advarte mot. Når du i stedet laster ned de åpne vektene og kjører modellen på egen maskinvare, eller hos en europeisk skyleverandør, forlater ingen data bygningen din. Datalokaliseringsrisikoen er borte.
Det som blir igjen når du selvhoster, er en annen type risiko: modellintegritet. Du arver alle beslutningene laboratoriet tok under trening – hvilke data den ble trent på, hvilke skjevheter som ble filtrert bort eller forsterket, og om det finnes bakdører lagt inn under finjustering. Dette er ikke unikt for kinesiske modeller. Forskning fra blant annet Microsoft har vist at det er mulig å bygge inn såkalte «sleeper agent»-bakdører i åpne modeller for godt under tusen kroner og en times arbeid – i en hvilken som helst åpen modell, uavhengig av hvilket land som ga den ut. Det er en leverandørkjede-risiko, ikke en Kina-risiko.
Alle de tre store skyleverandørene – AWS, Azure og Google Cloud – tilbyr nå DeepSeek og Qwen som administrerte modeller. Det er ikke fordi de er naive. Det er fordi selvhosting faktisk løser datalokaliseringsproblemet, og fordi den gjenværende risikoen – modellintegritet – er noe du kan vurdere og teste, uansett hvilket land modellen kommer fra.
«Åpen kildekode» betyr mindre enn du tror
Her er noe som overrasker de fleste: nesten ingen av de store «åpne» modellene er faktisk åpen kildekode i streng forstand – verken de amerikanske eller de kinesiske.
Open Source Initiative publiserte i 2024 en formell definisjon av åpen kildekode for AI. Den krever ikke bare tilgjengelige vekter, men også treningskode og nok informasjon om treningsdataene til at systemet i praksis kan reproduseres. Målt mot den standarden er verken Llama, Qwen, DeepSeek, Mistral, Kimi eller GLM åpen kildekode. De er «åpne vekter» – du får parametrene, men ikke innsyn i hva modellen faktisk ble trent på. De få modellene som faktisk oppfyller definisjonen, som Pythia og OLMo, er akademiske prosjekter ingen bruker i produksjon.
Det betyr at «åpen» i praksis ikke gir deg det du tror. Uten innsyn i treningsdataene kan du ikke reelt verifisere om en modell har skjevheter, og du kan ikke bekrefte fravær av bakdører gjennom å se på selve modellen alene. Du arver skaperens valg, uansett om skaperen sitter i Beijing eller i Menlo Park.
Lisensvilkårene følger heller ikke landegrensene folk forventer. Metas Llama-lisens – amerikansk – krever egen kommersiell avtale om du passerer 700 millioner aktive brukere i måneden, pluss krav om å merke produktet «Built with Llama». DeepSeek og GLM – begge kinesiske – bruker ren MIT-lisens uten tilsvarende begrensninger. Qwen fra Alibaba blander: mindre modeller under Apache 2.0, større under en egen lisens med lignende brukstak som Llama. Det strengeste og mest restriktive «åpne» vilkåret i denne sammenligningen kommer altså fra et amerikansk selskap, ikke et kinesisk.
EUs AI-forordning behandler for øvrig opprinnelsesland som irrelevant. Artikkel 53(2) gir et unntak fra en del dokumentasjonskrav for genuint åpne modeller – gratis lisens, offentlig tilgjengelige vekter og parametere, ingen monetarisering – men unntaket bortfaller helt for modeller som klassifiseres med systemisk risiko, uansett hvor mye av koden som er åpen og uansett hvilket land laboratoriet ligger i. Regelverket er allerede bygget rundt risikokategori, ikke nasjonalitet.
Så: har vi rett i at risikoen er den samme?
Delvis. Og det er et mer nyttig svar enn et rent ja eller nei.
Risikokategoriene er faktisk sammenlignbare. Begge stormaktene har en juridisk mekanisme som kan tvinge et selskap under deres jurisdiksjon til å utlevere data – Kinas etterretningslov og USAs CLOUD Act er strukturelt like, bare med ulik utøvelse. Begge har vist at politiske hensyn kan påvirke hvem som får tilgang til hva – Kina gjennom sensur bygget inn i modellen, USA gjennom Anthropics erfaring med egen regjering. Og bakdør- og integritetsrisikoen i åpne vekter er en leverandørkjede-problemstilling som gjelder uavhengig av opprinnelse.
Men risikoens størrelse på enkelte konkrete, målte dimensjoner er ikke lik akkurat nå. Den dokumenterte sannsynligheten for at en kinesisk modell følger en ondsinnet instruks eller reproduserer et politisk sensurert svar, er høyere enn det tilsvarende tallet for amerikanske frontier-modeller, målt av uavhengige forskere. Det er ikke et argument for blind mistillit til kinesiske modeller. Det er et argument for at «risikoen er den samme uansett» er en for enkel konklusjon å lande på uten å se på det faktiske bruksområdet.
Konklusjonen som faktisk holder: opprinnelsesland er en dårlig proxy for risiko i begge retninger. Det er verken en garanti for trygghet at en modell er amerikansk, eller en garanti for fare at den er kinesisk. Det som faktisk avgjør risikoen, er tre konkrete spørsmål: Går dataene til en hostet tjeneste utenfor din kontroll, eller kjører du modellen selv? Hva sier lisensen faktisk, uavhengig av hvor selskapet har hovedkontor? Og er bruksområdet ett der politisk skjevhet eller lav robusthet mot ondsinnede instruksjoner faktisk har konsekvens for deg?
Hva dette betyr i praksis for mellomstore og enterprise-virksomheter
Ikke bruk landeflagg som beslutningsgrunnlag. Bruk en datastrøm-kartlegging: hvor går dataene fysisk, under hvilken lovgivning, og hvem har juridisk rett til å be om innsyn.
Skill mellom hostet tjeneste og selvhosting bevisst. Skal dere bruke en kinesisk – eller for den saks skyld amerikansk – modell for noe som involverer personopplysninger eller sensitiv forretningsinformasjon, er selvhosting på egen eller europeisk infrastruktur det som faktisk fjerner datalokaliseringsrisikoen. Det fjerner ikke modellintegritetsrisikoen, og den bør vurderes uansett opprinnelse.
Les lisensen, ikke flagget. En amerikansk lisens kan være mer restriktiv enn en kinesisk, og omvendt. Det avgjørende er de faktiske vilkårene, ikke antakelsen.
Vurder bruksområdet mot det som faktisk er dokumentert. En intern kodeassistent har en annen risikoprofil enn en kundevendt chatbot som kan bli stilt politisk sensitive spørsmål eller utsatt for forsøk på prompt-manipulasjon. De dokumenterte funnene om høyere mottakelighet for ondsinnede instruksjoner er mest relevante nettopp i det siste scenarioet.
Og la prisfallet gjøre jobben sin uten å la det bestemme alt. At Kimi K3 og lignende modeller presser prisene ned over hele bransjen er godt nytt for budsjettet deres, uavhengig av hvilken modell dere ender opp med. Men governance-arbeidet – DPIA, datastrøm, lisensgjennomgang – må gjøres uansett hvilken modell som vinner på pris denne måneden. Det er ikke noe en lavere pris per token gjør overflødig.
Vi har skrevet før om hvordan dere bygger redundans mot leverandøravhengighet uten å forlate de store leverandørene. Samme prinsipp gjelder her: spørsmålet er ikke hvilket land dere skal stole på blindt. Spørsmålet er om dere har gjort kartleggingen som gjør at dere faktisk vet hva dere stoler på, og hvorfor.
AI starter ikke med teknologi. Den starter med struktur.