En genopstandelse uden festtaler
Frasen »move fast and break things« blev Facebooks uofficielle motto omkring 2009. Den lovede fart, læring og markedsdominans. I dag bruges den igen, men sjældent med samme selvtillid. AI-kapløbet har gjort hastværk til en dyd, og virksomheder kalder fejl for »uheld« eller »edge cases«. Spørgsmålet er ikke, om vi er tilbage. Vi er der. Det nye er, at de ting, der knuses, ikke længere kun er kode eller forretningsmodeller. Det er journaler, stemmer, adgangskoder og menneskers tillid. Når en autonom agent handler i et sundhedssystem, et jobcenter eller en bank, er skaden konkret, selv om beslutningen er fordelt mellem modelvægte, API'er og menneskelige ledere.
Ulykke eller ansvar
Juraen spørger først om intention. Havde nogen forsæt til at krænke privatlivet? Vidste en udvikler, at data ville lække? I strafferetten findes begrebet mens rea, den skyldige tanke. I erstatningsretten findes culpa og i visse tilfælde objektivt ansvar. Men AI-systemer passer dårligt ind. En large language model (LLM) træffer ikke bevidste valg. En agent kan optimere for et mål, som ingen enkelt person har formuleret præcist. Derfor ender ansvaret i et vakuum. Virksomheder peger på brugeren, brugeren peger på API'et, og API-udbyderen peger på den åbne kildekode. Ingen har haft »intention«, og derfor ryster man på hovedet. Men et menneske ville blive straffet for samme handling. Det er ikke et teknisk problem. Det er et demokratisk problem.
Det etiske vakuum ved autonome agenter
Autonome agenter kan nu læse dokumenter, kalde funktioner og træffe beslutninger i realtid. Når de fejler, kalder vi det en fejl i modellen. Men en agent, der sender en patients journal til den forkerte modtager, har udført en handling. Et menneske ville kalde det en databrudshandling. Forskellen er, at agenten ikke kan stilles til ansvar. Dens handlinger er spredt ud over tusind parameteropdateringer, RLHF (reinforcement learning from human feedback) og A/B-tests. Det skaber en ansvarsfraskrivelse, hvor skyld bliver et spørgsmål om, hvem der havde den bedste advokat. Imens står den ramte tilbage med et kompromitteret CPR-nummer eller en psykiatrisk diagnose, som nu kan findes på et forum. Retten til privatliv er ikke en teknisk indstilling. Den er en menneskelig rettighed, og den kan krænkes uden nogen intention.
De mest sårbare betaler prisen
Databrud rammer ikke tilfældigt. De rammer oftest dem, der allerede har mindst magt. En flygtning med midlertidig opholdstilladelse, en patient i et offentligt sundhedssystem, en lavtlønnet ansat i et gig-økonomi. For dem er et lækket sundhedsdata ikke bare en teknisk hændelse. Det er et brud på den menneskelige værdighed. En diagnose kan føre til diskrimination i forsikring, jobs eller bolig. En adresse kan føre til vold. Når Silicon Valley optimerer for hastighed, har disse mennesker ingen stemme i release-cyklussen. De er ikke brugere i produktets forstand. De er data. Deres samtykke er ofte indirekte, givet til et offentligt system, som har outsourcet ansvaret til en cloud-udbyder. Når det går galt, kaldes de »berørte parter« i en juridisk meddelelse.
Fra sociale medier til AI: samme mønster
Den tidlige sociale medieæra havde også en fortælling om frihed. Facebook, Twitter og YouTube ville forbinde verden. I 2010'erne viste Cambridge Analytica, Myanmar og algoritmisk radikalisering, hvad hastværket kostede. Sociologen Ulrich Beck beskrev risikosamfundet, hvor velstand skaber nye, usynlige farer. Zygmunt Bauman beskrev flydende modernitet, hvor ansvar forsvinder i netværk. AI-kapløbet gentager mønstret med større regnekraft. Før var skaden et opslag. Nu er den en lækket journal, en falsk stemme eller en automatisk afvisning af en sygedagpengeansøgning. Den historiske linje er ikke tilfældig. Den viser, at når teknologiske virksomheder får lov at definere problemet, bliver løsningen altid flere data og flere modeller. Menneskelige rettigheder bliver en eftertanke i vilkårene.
Geopolitisk nødvendighed som undskyldning
I dag lyder argumentet, at USA og Kina kæmper om AI, og at Europa ikke kan tillade sig at bremse. Derfor udskydes etiske sikkerhedsforanstaltninger. EU's AI-forordning forhandles langsomt, mens NIST's AI Risk Management Framework og ISO/IEC 42001 kun er frivillige rammer. Geopolitisk nødvendighed bliver et universalargument. Det bruges til at sænke tærskler for dataindsamling, til at undgå konsekvensanalyser og til at kalde regulering for protektionisme. Men nødvendighed er ikke etisk neutral. Den flytter omkostningen fra investorer til borgere. Når en virksomhed siger, at verden ikke kan vente, er det værd at spørge: hvem venter på hvad? De sårbare venter ikke på hurtigere AI. De venter på, at deres data ikke bliver misbrugt. Den geopolitiske ramme gør det sværere at se den ventetid.
Selvreguleringens illusion
Tech-ledere siger, at de bedst kan regulere sig selv. De peger på etiske råd, røde linjer og responsible scaling policies. Men selvregulering har en indbygget konflikt. Et selskab kan ikke både maksimere vækst og trække bremsen, når væksten er målet. OpenAI's bestyrelsesdrama i 2023 viste, hvor hurtigt sikkerhedshensyn kan bøje for kommercielle aftaler. Meta, Google og Microsoft har alle fyret etiske teams eller omorganiseret dem. Når ansvaret placeres i en intern komité, er der ingen uafhængig dommer. Der er ingen myndighed med adgang til modelvægte, og der er ingen erstatning til den ramte. Selvregulering bliver et sprog for at udskyde regulering. Det virker, indtil næste brud. Men næste brud er allerede sket for nogen, der ikke havde råd til at klage.
Kommerciel vinding mod global sikkerhed
Spændingen mellem kommerciel vinding og global sikkerhed er ikke abstrakt. Den findes i beslutningen om at træne på offentlige data, i valget af tilgængelighed frem for verificering, i lanceringen af agenter uden revisionsspor. En virksomhed kan tjene penge på at sende en model ud tidligt. Samfundet betaler for oprydningen. Det er en eksternalitet, ligesom CO2 eller finansiel risiko. Uden bindende regler bliver sikkerhed en udgift, som kun de ansvarlige virksomheder bærer, indtil de bliver udkonkurreret. Det er ikke et marked, der belønner forsigtighed. Det er et kapløb mod bunden, hvor sikkerhed bliver PR. Derfor er spørgsmålet ikke, om AI kan ødelægge menneskeheden i en fjern fremtid. Spørgsmålet er, hvordan AI allerede nu skader rettigheder, privatliv og social tillid gennem uansvarlig implementering.
Hvad ansvarlig implementering kræver
Ansvarlig AI kræver mere end etiske retningslinjer. Det kræver juridisk ansvar, der ikke afhænger af intention. Det kræver uafhængig revision med adgang til data, modeller og beslutningslogfiler. Det kræver erstatning til dem, der rammes, uanset om skaden skyldes en fejl, en agent eller en menneskelig leder. Det kræver, at sundhedsdata behandles efter GDPR og HIPAA, ikke som råmateriale. Det kræver, at virksomheder kan bevise, at de har bremset, før de har lanceret. Initiativer som EU's AI Act er et skridt, men kun hvis håndhævelsen har tænder. Uden det fortsætter »move fast and break things«. Denne gang er det ikke kun kode, der knuses. Det er mennesker, der allerede er sårbare. Vi bør ikke kalde det et uheld. Vi bør kalde det et valg.
