EU-kommissionen vill testa AI-modeller och stärka egen förmåga

Nya AI-modeller har på kort tid blivit ett vapen i cyberkrigföringen. Vad som tidigare krävde erfarna experter och miljonbelopp på den grå marknaden kan i dag automatiseras på minuter, till en bråkdel av kostnaden.

– De här AI-modellerna kan nu bygga cyberangrepp på minuter eller timmar, till en bråkdel av kostnaden för att utbildade människor ska hitta samma sårbarheter, sade EU:s techkommissionär Henna Virkkunen när hon i tisdags presenterade kommissionens nya handlingsplan för cybersäkerhet och artificiell intelligens på tisdagen.

Planen bygger på tre delar. Avancerade AI-modeller med hög cyberförmåga ska granskas innan de släpps på EU:s marknad, med en ny europeisk utvärderingskapacitet som ska vara i drift 2027. Tillsammans med EU:s cybersäkerhetsbyrå Enisa ska kommissionen ta fram en så kallad blueprint – en vägledning för hur europeiska myndigheter och företag ska få tillgång till de mest avancerade AI-modellerna för cybersäkerhetsändamål. Och EU ska försöka mobilisera privat kapital för att stärka den europeiska AI-sektorn, bland annat genom ett nytt EU-instrument för strategiska teknikinvesteringar som aviserades i juni.

I EU-parlamentets debatt om planen handlade mycket i stället om något planen inte kan lösa på egen hand: EU:s beroende av amerikansk teknik.

Mythos-fallet dominerade debatten
Bakgrunden är en enskild händelse som flera ledamöter, från de flesta partigrupper, tog upp i debatten. Den amerikanska regeringen stängde i juni tillfälligt av icke-amerikanska aktörers tillgång till Mythos, en AI-modell från det amerikanska företaget Anthropic med särskilt starka cybersäkerhetsförmågor. EU ska enligt flera ledamöter inte ha funnits bland de undantagna, betrodda parterna – trots att unionens egen cybersäkerhetsbyrå enligt uppgift precis hade beviljats tillgång.

– "Kill switchen" är inte längre en hypotes – den har tryckts in. I juni stängde Donald Trump, med en enda underskrift, av tillgången till världens mäktigaste AI-modell – även för EU:s cybersäkerhetsbyrå, som precis hade fått den, sade den italienske EU-parlamentarikern Brando Benifei, som tillhör den socialdemokratiska S&D-gruppen.

Liknande beskrivningar kom även från yttersta högerkanten. Rada Laykova, från den ultranationalistiska ESN-gruppen, konstaterade:

– Det amerikanska företaget Anthropic presenterade Mythos, en AI-modell som kan identifiera komplexa kedjor av mjukvarusårbarheter i rekordfart och tillgången begränsades till en liten grupp betrodda partner för att stärka cyberförsvaret. Och gissa vad? Europeiska unionen fanns inte bland dessa betrodda partner, sade Laykova.

Den franska EU-parlamentarikern Virginie Joron, från den högerextrema PfE-gruppen, sammanfattade det hela med en känga åt kommissionens plan:

– USA har Mythos, Kina har Deepseek och EU har en handlingsplan. Eller snarare, skulle jag säga, en reaktionsplan – än en gång, sade Joron, som samtidigt noterade att den amerikanska begränsningen sedan dess hade hävts.

Även den kristdemokratiska och konservativa EPP-gruppen – den största i parlamentet – lyfte beroendet, om än i mer återhållna ordalag. Den finländska EPP-ledamoten Aura Salla pekade på att Europa är beroende av amerikanska leverantörer långt bortom enskilda AI-modeller.

– Europa är fortfarande starkt beroende av amerikanska leverantörer för molnsäkerhet, hotunderrättelser, identitetshantering och ändpunktsskydd. Detsamma gäller AI. Vi måste minska risken för attacker mot leverantörskedjan genom att bredda kretsen av betrodda partner globalt, samtidigt som vi gradvis bygger upp mer av vår egen teknikstack, sade Salla.

Den enda svenska ledamoten i debatten, Sofie Eriksson (S), varnade för att EU:s mest känsliga funktioner är beroende av system unionen varken äger eller styr över.

– Våra sjukhus, våra elnät, vår mest känsliga myndighetsdata är beroende av system som vi varken äger eller kontrollerar, sade Eriksson.

Delade meningar om reglering
Var ansvaret för beroendet ligger går däremot isär. En stor grupp ledamöter, från den nationalkonservativa ECR-gruppen och PfE till liberala RE, pekade i stället på EU:s egen reglering som huvudproblemet.

– Den här debatten handlar inte om cybersäkerhet och artificiell intelligens. Den här debatten är ett bevis på EU:s misslyckande under de senaste 20–30 åren, sade den polske EU-parlamentarikern Tobiasz Bocheński från ECR.

Den nederländske EU-parlamentarikern Bart Groothuis, från liberala RE, gick längre och krävde snabb avreglering med hänvisning till konkreta siffror:

– I dag finns omkring 3 000 stora språkmodeller i världen, och bara 30 av dem är europeiska. Noll är förenliga med EU:s lagar och regler. Om vi vill ha en suverän europeisk teknik måste vi driva på för avreglering – med ljusets hastighet, sade Groothuis.

De gröna och vänstern höll inte med. Den tyske EU-parlamentarikern Sergey Lagodinsky, från gröna Verts/ALE, avfärdade regleringskritiken som felriktad.

– Den här staden och den här kammaren är besatta av avreglering. Regleringen är inte problemet. Det handlar om kapital. Det handlar om finansiering, sade Lagodinsky.

Ledamöter i vänsterpartistiska GUE/NGL förde ett liknande resonemang och efterlyste i stället oberoende granskning av AI-bolagens egna påståenden om riskerna, snarare än att ta dem för givna.

Krav på pengar och tidsplan
En tredje kritik, som gick tvärs över blockgränserna, handlade om huruvida planen faktiskt förpliktigar kommissionen till något konkret.

Den tjeckiska EU-parlamentarikern Markéta Gregorová, från den gröna gruppen, menade att planen stannar vid ord.

– Allt i den nya handlingsplanen är riktlinjer, ramverk och pilotprojekt. Det är en nödvändig start, ja. Men var är den gemensamma upphandlingen som kollektiv hävstång? sade Gregorová.

Den bulgariske EU-parlamentarikern Kristian Vigenin, från S&D, efterlyste garantier för att fallet med Enisa och Mythos inte upprepas, en tydlig tidsplan för europeisk AI-kapacitet inom cybersäkerhet, samt besked om finansieringen.

Även EPP-ledamoten Sven Simon, som var mer bekymrad över EU:s bristande kapacitet än över regelverket, backade upp bilden av ett Europa på efterkälken.

– Europa förfogar bara över ungefär 5 procent av världens AI-beräkningskapacitet. USA ligger på nästan 75 procent, sade den tyske EU-parlamentarikern Simon.

Övriga partigrupper, bland andra grupplösa ledamöter, rörde sig i huvudsak inom samma tre spår: oro för beroendet av amerikansk teknik, oenighet om huruvida lösningen är mer eller mindre reglering, och krav på att planen omsätts i pengar och tidsplaner.

Vad händer nu?
Kommissionens AI-kontor, som övervakar efterlevnaden av AI-lagen, får utökade tillsynsbefogenheter från och med den 2 augusti. Blueprinten för strukturerad tillgång till avancerade AI-modeller väntas vara klar under fjärde kvartalet i år, tillsammans med en säker testplattform som Enisa utvecklar med kommissionens gemensamma forskningscentrum. Virkkunen underströk i sitt slutanförande att sju av planens nio åtgärder ska genomföras redan i höst.