To Kongresmedlemmer, En Lov, Et Skarpt Sigte

Kongresmedlem Josh Gottheimer, demokrat fra New Jersey, og kongresmedlem Mike Lawler, republikaner fra New York, fremsatte Stop Rogue AI Act i det amerikanske Repræsentanternes Hus den 3. september 2026. Det tværpolitiske samarbejde peger på en afgrænset teknisk løsning frem for en bredere strid om AI-regulering. Gottheimers kontor formulerede bekymringen ligeud: "AI-agenter løber frit rundt i vores netværk, og ingen kan se dem eller bekræfte, hvem der har bygget dem."

Loven kommer tre dage efter, at en agent-sikkerhedshændelse rapporteret tidligere på måneden gjorde det synlighedshul offentligt kendt. Bagmændene ventede ikke på en fuld redegørelse for den episode, før de udarbejdede et svar; de gik direkte til den mekanisme, de mente manglede, en måde at vide, hvilke agenter der er aktive, og hvad de foretager sig.

Hvad NIST Faktisk Skal Bygge

Stop Rogue AI Act pålægger National Institute of Standards and Technology at skrive standarder for sikker udrulning af agent-AI, med en frist på et år efter ikrafttræden til at færdiggøre dem. Tre krav udgør kernen: løbende verifikation af, hvad en agent rent faktisk gør, manipulationssikre logger over agenters handlinger, og en maskinlæsbar fortegnelse over alle AI-agenter, der opererer i en organisation.

NIST får til opgave at koordinere dette arbejde med Cybersecurity and Infrastructure Security Agency, hvilket kobler de nye standarder til statens eksisterende cyberforsvarsapparat frem for at oprette et selvstændigt AI-kontor. Fortegnelseskravet vejer tungest af de tre, fordi det behandler en AI-agent som et selvstændigt, sporbart objekt frem for at lade den forsvinde ind i den model eller det softwareprodukt, den udsprang af.

Obligatorisk for Nogle, Frivillig for Resten

De standarder, NIST udarbejder, bliver kun obligatoriske for føderale leverandører; enhver anden organisation, der udruller AI-agenter, kan vælge dem til frivilligt. Denne opdeling holder lovens umiddelbare rækkevidde begrænset til virksomheder, der handler med staten, i forventning om, at en NIST-udarbejdet standard senere breder sig i det bredere marked, sådan som tidligere NIST-cybersikkerhedsrammer har gjort.

Loven har allerede opbakning fra industrien: Palo Alto Networks, GoDaddy, Infoblox, AI Policy Network og Alliance for Secure AI har alle støttet den, ifølge Gottheimers kontor. Den liste hælder mod sikkerheds- og infrastrukturleverandører frem for de store AI-laboratorier, der selv bygger agenterne, en detalje der siger noget om, hvem der ser en defensiv eller konkurrencemæssig fordel i et formelt fortegnelseskrav.

Agenter, Ikke Modeller: Et Andet Reguleringsobjekt

Ethvert stort AI-styringsrammeverk skrevet indtil nu, inklusive EU's AI-forordning, regulerer modellen: dens evner, dens træningsdata, dens risikoklassificering. Stop Rogue AI Act regulerer noget andet, agenten, en softwareinstans der handler autonomt på et netværk, undertiden bygget oven på en model uden at den models egen udvikler ved, den findes. Det er et markant andet reguleringsobjekt, og det er den første amerikanske lov, der foreslår et fortegnelses- og oprindelseskrav skrevet specifikt til det.

En maskinlæsbar fortegnelse og en manipulationssikker handlingslog spørger ikke abstrakt, hvad et AI-system kan; de spørger, hvilke konkrete agenter der findes lige nu, hvem der har udrullet dem, og hvad de faktisk har gjort. Det er oprindelsesorienteret regulering frem for evneorienteret regulering, og intet i den nuværende tekst i EU's AI-forordning kræver en tilsvarende agentspecifik fortegnelse.

Hvad Dette Varsler for Europæiske Regulatorer

EU arbejder stadig med sine egne frister i AI-forordningen, hvor forpligtelser for AI-modeller til generelle formål og andre overholdelsesdatoer fortsat træder gradvist i kraft gennem 2026. Ingen af disse bestemmelser kræver i dag den slags stående, maskinlæsbare agentfortegnelse, som Stop Rogue AI Act ville skabe, fordi AI-forordningen blev bygget omkring modeller og risikoniveauer, ikke omkring autonome agenter som deres egen kategori.

Det hul giver europæiske regulatorer to måder at læse loven på. En læsning betragter den som en skabelon, et fungerende, industristøttet mønster for tilsyn med agenter, som EU kunne indarbejde i en fremtidig ændring af AI-forordningen eller i et selvstændigt agentspecifikt instrument, med et års forspring i implementeringserfaring, når NIST har færdiggjort sine standarder. Den anden læsning betragter den som en advarsel, en frivillig ordning uden for den føderale stat, der alligevel kan hærde til et de facto markedskrav, hvis nok leverandører tager den til sig for at sælge til den amerikanske forbundsregering, hvilket skaber en anden fortegnelsesstandard, som europæiske operatorer skulle følge ved siden af deres egne forpligtelser under AI-forordningen. Hvilken læsning der vinder, afhænger af, hvordan NIST's standarder ser ud om et år, ikke af hvad lovteksten fastlægger i dag.

Læs videre: Ingen AI-sikkerhedsregel binder endnu jeres leverandør  |  USA-forslag truer AI-udviklere med 20 års fængsel