Internationale AI-beveiligingswetgeving

Hoe wetten voor AI-beveiligingstesten verschillen per jurisdictie: EU AI Act, Amerikaanse executive orders, het UK AI Safety Institute, Chinese AI-regelgeving en hun impact op de scope van red teaming.

AI-regelgeving evolueert snel in verschillende jurisdicties, en geen twee landen hanteren dezelfde aanpak. Voor red teamers betekent dit dat de rechtmatigheid, de scope en de rapportageverplichtingen van een bepaalde opdracht drastisch kunnen veranderen, afhankelijk van waar het systeem wordt ingezet, waar de tester zich bevindt en waar de gegevens zich bevinden.

Regelgevingsbenaderingen vergeleken

Europese Unie: de AI Act

De EU AI Act is de eerste uitgebreide AI-regelgeving ter wereld en heeft de meest directe impact op red teaming-activiteiten.

Risicoclassificatie

Red teaming-verplichtingen onder de AI Act

Voor AI-systemen met hoog risico vereist Artikel 9 dat aanbieders een risicomanagementsysteem implementeren dat het volgende omvat:

• Identificatie en analyse van bekende en voorzienbare risico's
• Testen met "previously unknown inputs" (adversarieel testen)
• Evaluatie tegen "reasonably foreseeable misuse"
• Testen tegen risico's voor gezondheid, veiligheid en grondrechten

General-Purpose AI (GPAI)-modellen

Modellen met systeemrisico (over het algemeen die getraind met meer dan 10^25 FLOPs) staan voor aanvullende verplichtingen:

• Adversarieel testen om systeemrisico's te identificeren
• Gedocumenteerde testmethodologie
• Incidentrapportage voor ernstige incidenten
• Cybersecuritybeschermingen voor modelgewichten

Verenigde Staten: gefragmenteerde federale aanpak

De VS heeft geen uitgebreide federale AI-wet. In plaats daarvan vloeien AI-testverplichtingen voort uit:

Executive Order 14110 (2023)

• Ontwikkelaars van dual-use foundation models moeten red team-resultaten met de overheid delen
• Federale instanties moeten red team-testen uitvoeren voordat ze AI inzetten
• NIST is opgedragen AI-teststandaarden te ontwikkelen (zie NIST AI RMF)

Sectorspecifieke regelgeving

Activiteit op staatsniveau

Staten vullen het federale gat op met hun eigen AI-wetgeving. Colorado, California, Illinois en Texas hebben wetten met testvereisten ingevoerd of voorgesteld. Zie het overzicht van juridische kaders voor een uitsplitsing per staat.

Verenigd Koninkrijk: pro-innovatie-kader

Het VK heeft bewust een andere aanpak dan de EU gekozen, met een voorkeur voor flexibiliteit boven prescriptieve regelgeving.

AI Safety Institute (AISI)

Het Britse AI Safety Institute voert tests uit op frontier-AI-modellen vóór inzet. Belangrijke aspecten:

• Vrijwillige overeenkomsten met grote AI-labs voor toegang vóór release
• Evaluatiecapaciteiten voor gevaarlijke capaciteiten, maatschappelijke schade en misbruikpotentieel
• Gepubliceerd onderzoek over evaluatiemethodologie en bevindingen
• Internationale coördinatie met het Amerikaanse AISI en andere instanties

Aanpak via regulatory sandbox

Het VK moedigt beveiligingsonderzoek aan via regulatory sandboxes en het principe dat bestaande toezichthouders (FCA, Ofcom, CMA, enz.) AI-governance binnen hun bestaande mandaten moeten toepassen in plaats van nieuwe AI-specifieke wetten te creëren.

China: focus op contentcontrole

De AI-regelgeving van China legt sterk de nadruk op contentcontrole en alignment met de "socialistische kernwaarden". Belangrijke instrumenten:

• Interim Measures for the Management of Generative AI Services (2023): Vereist veiligheidsbeoordelingen voordat publiek toegankelijke generatieve AI-diensten worden gelanceerd
• Algorithm Recommendation Regulation (2022): Vereist algoritmetransparantie en gebruikerscontrole
• Deep Synthesis Regulation (2023): Reguleert deepfakes en synthetische media

Implicaties voor red teaming

Navigeren in opdrachten met meerdere jurisdicties

Veel AI-red teaming-opdrachten betreffen meerdere jurisdicties. Een veelvoorkomend scenario: een in de VS gevestigde tester die een AI-systeem evalueert dat wordt ingezet door een Brits bedrijf dat EU-gebruikers bedient, gebouwd op een model van een Amerikaanse aanbieder.

1. 1

   Breng alle jurisdicties in kaart

   Identificeer waar de tester zich bevindt, waar het systeem wordt gehost, waar de modelaanbieder is gevestigd en waar de eindgebruikers zich bevinden.

2. 2

   Identificeer de meest restrictieve vereisten

   Het extraterritoriale bereik van de EU AI Act betekent dat EU-regels vaak van toepassing zijn, zelfs wanneer het systeem buiten de EU wordt gehost. Pas de meest restrictieve standaard toe.

3. 3

   Pak regels voor gegevensoverdracht aan

   De AVG en andere gegevensbeschermingswetten kunnen de overdracht van testdata (inclusief modeloutputs) over grenzen heen beperken. Zorg dat je plan voor gegevensverwerking hier rekening mee houdt.

4. 4

   Stem af over rapportageverplichtingen

   Verschillende jurisdicties hebben verschillende rapportagevereisten voor incidenten en kwetsbaarheden. Je opdrachtcontract moet specificeren welke rapportageverplichtingen van toepassing zijn.

Gerelateerde onderwerpen

• Juridische kaders voor AI-red teaming -- VS-gerichte juridische analyse inclusief de CFAA
• Nalevingstesten voor de EU AI Act -- gedetailleerde testmethodologie voor de EU AI Act
• Autorisatie, contracten & aansprakelijkheid -- contractbepalingen voor opdrachten met meerdere jurisdicties
• NIST AI RMF & ISO 42001 -- de kaders waarnaar toezichthouders verwijzen

Referenties

• "EU Artificial Intelligence Act" - European Parliament (2024) - Articles 9 and 15 on adversarial testing requirements for high-risk AI systems
• "Interim Administrative Measures for Generative AI Services" - Cyberspace Administration of China (2023) - China's regulatory framework for generative AI including security assessment requirements
• "AI Safety Institute Approach to Evaluations" - UK AI Safety Institute (2024) - UK government methodology for pre-deployment AI safety testing
• "Cross-Border Data Transfer Mechanisms and AI Testing" - International Association of Privacy Professionals (2024) - Analysis of GDPR implications for international AI security assessments
• "ISO/IEC 42001:2023 AI Management Systems" - International Organization for Standardization (2023) - International standard for AI governance referenced across jurisdictions