Forbruk av KI-tokens: et nytt produkt som ennå ikke er godt nok regulert?

Kort fortalt: API-nøkkelen gir tilgang til kontoen; en KI-token måler tekst som modellen behandler, og faktureres etter forbruk. Forfatteren argumenterer for å behandle tokenen som et produkt og drøfter hvorfor dagens strafferettslige kategorier ikke gir et sikkert svar, med et skille mellom forhåndsbetalt saldo og gjeld til leverandøren.

Tidligere i dag skrev jeg om tyveri av API-nøkler og om dem som bruker KI på andres regning. Men den historien etterlater et spørsmål: Hva er det egentlig som blir stjålet?

Først to ord vi bør holde fra hverandre. Nøkkelen (som også kan kalles en token) er tilgangsbeviset som åpner kontoen. Her snakker vi derimot om token som måleenhet og forbruksenhet for KI: den minste tekstbiten modellen leser eller skriver. En del av et ord, et kort ord, et tegn. Nøkkelen er husnøkkelen. Tokenen er strømmen som brukes inne.

Det vi betaler for, er tokens

Det holder å se på en prisliste. Én pris for hver million tokens du sender, og en annen for hver million modellen sender tilbake. Fakturaen er bokstavelig talt en opptelling av tokens.

For å produsere dem trenger leverandøren datasentre, brikker, programvare og enorme mengder strøm. Men det er ikke noe av dette leverandøren selger. Når jeg kjøper et ark kartong, har noen brukt en fabrikk, maskiner og energi for å lage det. Det jeg blir fakturert for, er kartongen. Når jeg betaler for strøm, har kraftverket brent gass eller drevet turbiner. Det jeg betaler for, er kilowattimer.

Slik er det også med KI. Tokenen er ikke bare enheten vi måler noe med: Den er produktet. Den måles, betales og forbrukes. Betaler du på forskudd, blir saldoen gradvis omsatt til tokens. Betaler du ved månedsslutt, blir hver token til gjeld. I begge tilfeller er det tokens som omsettes.

Myndighetene ser allerede på sluttproduktet

Tanken er ikke så fremmed. I 2018 måtte norske skattemyndigheter avgjøre hva et selskap som leide ut datakraft til utvinning av bitcoin, solgte. Konklusjonen var at selskapet solgte nettopp datakraft. Strømmen var bare en kostnad ved å produsere den. Det er logikken bak kartongen, brukt på databehandling.[1]

Andre land har gått lenger og gir strafferettslig vern mot bruk av andres datamaskiner uten tillatelse. I USA anerkjenner den føderale loven mot datakriminalitet verdien av å bruke en datamaskin. California, Texas og New York regner datamaskintid og databehandling blant tjenestene det kan være straffbart å bruke uten tillatelse.[2][3][4][5] I England og Wales skilles det mellom tyveri av strøm og uredelig tilegnelse av tjenester. Sveits straffer uttrykkelig den som skaffer seg ytelser fra databehandlingsutstyr uten å betale.[6][7][8]

Alle disse reglene har noe til felles: De beskytter maskinen og bruken av den. Ingen av dem nevner tokenen. De stanser ved fabrikken og når aldri frem til kartongen.

Det samme skjedde med strømmen

Dette har skjedd før. I 1899 slo Tysklands øverste domstol fast at elektrisitet ikke var en «ting» og ikke kunne stjeles. Året etter vedtok Tyskland en egen lov.[9][10][11] I 1977 opphevet Virginias høyesterett en dom for bruk av et universitets datamaskin uten tillatelse. Datamaskintid var verdt penger, men var ikke et formuesgode som kunne stjeles etter datidens lov.[12] Så kom lovene.

Lærdommen er alltid den samme. En dommer kan ikke domfelle bare fordi noe ligner. Når et nytt og verdifullt produkt ikke passer inn i de eksisterende straffebudene, må lovgiveren sette navn på det. Og det finnes grenser: I 2022 frifant Japans høyesterett en person som hadde brukt datamaskinene til besøkende på nettstedet sitt til å utvinne kryptovaluta. Programmet ble ikke ansett som sosialt uakseptabelt. Dermed manglet ett av vilkårene for straff.[13]

Stjålne tokens har allerede nådd domstolene

Det tydeligste eksemplet hittil er Storm-2139. Microsoft saksøkte en gruppe i USA som brukte stjålne nøkler til å videreselge tilgang til selskapets modeller. I sin innstilling fra mai 2026 gjengir magistratdommeren anførsler i søksmålet som ble lagt til grunn fordi de saksøkte uteble. De gjelder kunder som ble fratatt «tokens they had paid for», tokens de hadde betalt for.[14]

Dette er en sivil sak, ikke en straffedom. Dommeren sier ikke at tokenen er en ting som kan stjeles. Men han beskriver skaden slik den er: Ofrene ble fratatt tokens de hadde kjøpt.

I Spania og Norge har tokenen ingen egen boks

Hvis Clara, hun som driver kontoret for administrative tjenester i den forrige artikkelen min, i morgen anmelder at noen har brukt 1 480 euro på tokens på hennes regning, må påtalemyndigheten finne ut hvor det passer inn. Det er ikke enkelt.

I den forrige artikkelen presenterte jeg artikkel 255 som et argument det gikk an å forsvare. Her forklarer jeg hvorfor jeg mener det ikke er nok til å gi et sikkert svar om forbruk av tokens. Artikkel 255 i den spanske straffeloven straffer bedragersk tilegnelse av «telecomunicaciones u otro elemento, energía o fluido»: telekommunikasjon eller et annet element, energi eller fluider. Tokenen er verken energi eller et fluid. Og «otro elemento» — et annet element — er for vagt til å tøyes, fordi strafferetten ikke tillater analogi til skade for den tiltalte. Artikkel 256 krever bruk av en annens terminal. Å bruke et API er ikke helt det samme. Databedrageri etter artikkel 249.1.a krever dessuten en overføring av et formuesgode uten samtykke. Ofte er det i stedet snakk om gjeld til leverandøren.[15]

I Norge likestiller straffeloven energi med en gjenstand, men den nevner ikke tokens.[16] Ved siden av databedrageri etter § 371 b), grovt bedrageri etter § 372 og heleri etter § 332 må vi undersøke ulovlig bruk av andres datasystemer etter §§ 343 og 344, som forarbeidene omtaler.[17][18][19][20] Jeg kjenner ingen spansk eller norsk dom om KI-tokens.

Et praktisk skille hjelper. Hvis Clara hadde en forhåndsbetalt saldo, har tyven brukt penger som allerede var hennes. Det ligner mye på databedrageri. Hvis hun betalte ved månedsslutt, har noen påført henne gjeld. Det ligner mer på å koble seg til en annens strømmåler. Men ingen av de to boksene er laget for tokenen.

Europa har heller ikke løst det

I EU finnes det ingen egen kategori for KI-tokens som faktureres etter forbruk. Det finnes enkeltregler som beskytter den som inngår avtale om tjenesten.

KI-forordningen bruker ordet token, men bare for å måle størrelsen på treningsdataene.[21] Dataforordningen regulerer tilgang til dataressurser og bytte av leverandør, inkludert data som kan eksporteres. Men den definerer ikke den fakturerte tokenen som et produkt.[22] Direktivet om digitalt innhold og digitale tjenester beskytter forbrukere. Medlemsstatene kan utvide dette vernet til bedrifter.[23] I merverdiavgiftsretten passer et automatisert KI-svar inn i definisjonen av en elektronisk levert tjeneste, selv om det faktureres i tokens. En forhåndsbetalt saldo kan være en kupong i merverdiavgiftsrettslig forstand, avhengig av hvordan den er utformet.[24][25]

På det strafferettslige området beskytter artikkel 3 og 7 i direktivet om angrep på informasjonssystemer døren, altså tilgangen og nøklene. De gjør ikke i seg selv forbruk av tokens straffbart.[26] Direktivet om bedrageri med betalingsmidler krever overføring av penger, pengeverdi eller virtuell valuta. Det er uklart om en token er noe av dette.[27] Og MiCA, forordningen om kryptoeiendeler, gjelder noe annet: At en KI-token faktureres etter forbruk, gjør den ikke til en kryptoeiendel som kan overføres og lagres ved hjelp av distribuert registerteknologi eller lignende teknologi.[28]

Europa regulerer maskinen, tjenesten, avgiften og døren. Produktet på fakturaen har fortsatt ikke fått noe navn.

Vi må sette navn på det

Løsningen er ikke å tøye artikkel 255 eller vente på at en domstol våger seg frem. Den er å gjøre som med strømmen: sette navn på det. Det ville være nok at artikkel 255 og 256 i den spanske straffeloven uttrykkelig omfattet tokens og andre enheter for databehandling som faktureres etter forbruk, slik Sveits allerede gjør med databehandling.[8] På én betingelse: Ikke ethvert brudd på bruksvilkår skal bli straffbart.

Og dette gjelder mer enn strafferetten. Vi trenger klarhet i hvordan prisen per token opplyses, hva som skjer med saldo som utløper, hvordan forskuddsbetaling avgiftsbehandles, og hvordan den regnskapsføres.

I mellomtiden bør enhver bedrift som bruker KI via API, undersøke fire ting: hva hver token koster, og hvem som betaler for dem som brukes uten tillatelse; om bedriften betaler på forskudd eller ved månedsslutt; om forbruksgrensen faktisk stanser bruken eller bare varsler; og om den tar vare på loggene som trengs for å vise hvilke tokens som var dens egne, og hvilke som ikke var det.

Hvis jeg faktureres for tokens, bruker jeg tokens, akkurat som jeg bruker kilowattimer og ikke turbiner. Måleren teller allerede tokens. Det er på tide at loven også teller dem.