Das Paradoxon der präemptiven Zusicherung: Wer bewacht die KI-Leitplanken?

Die Fische haben den Tank nicht gebaut. Wenn ein KI-Agent Schaden anrichtet, heißt es, er sei entkommen. Als die Flugsteuerungssoftware der Boeing 737 MAX versagte und 346 Menschen starben, hat niemand gesagt, sie sei außer Kontrolle geraten.

Fast jede Sicherheitsvorschrift, die wir haben, wurde nach einer Katastrophe geschrieben. Unfallberichte brachten uns Luftfahrtvorschriften, Vergiftungen brachten uns Arzneimittelgesetze, Bankenstürme brachten uns die Bankenaufsicht. Bei KI sollen wir umgekehrt vorgehen. Wir müssen die Leitplanke vor dem Unfall bauen, gegen Fehler, die noch niemand gesehen hat, ohne ein Wrack, das die Notwendigkeit der Regel beweist. Das ist das Paradoxon der präventiven Absicherung. In der dritten Septemberwoche 2026 verließ es den Seminarraum und schaffte es auf die Titelseiten. Bei den Trust Valley Days an der EPFL war es die Grundlage fast jeder Sitzung.

Zusammenfassung

Die öffentliche Debatte über Frontier-KI steckt zwischen zwei Positionen fest: einseitig zu verlangsamen, um eine Katastrophe abzuwenden, oder hemmungslos um die Wette zu rennen, weil die andere Seite nicht aufhören wird. Beide verkennen das Problem. Eine Pause setzt einen Durchsetzungsmechanismus voraus, den niemand hat; ein Sprint akzeptiert eine Fragilität, die niemand beziffern kann. Die nützliche Frage ist nicht, wie schnell, sondern wer das Risiko trägt und wie es jeder überprüfen kann.

Dieser Artikel bespricht die Argumente der Trust Valley Days 2026 in Lausanne, prüft sie anhand der Ereignisse der Woche und korrigiert sie, wo die Beweise nicht stichhaltig sind. Vier Schlussfolgerungen bleiben bestehen. Erstens ist das meiste, was als neuartige KI-Governance-Lücke dargestellt wird, eine alte Haftungsfrage in neuem Gewand, und das Gesetz hat bereits eine Antwort darauf. Zweitens hält KI Einzug in Organisationen eher als Kollege denn als Werkzeug, weshalb Aufsichtsbehörden zu ergebnisorientierten, technologieneutralen Regeln übergehen. Drittens erkauft man sich mit der Anmietung der gesamten Intelligenz aus einer fernen Cloud heute Geschwindigkeit um den Preis der Abhängigkeit von morgen, und es gibt jetzt eine glaubwürdige lokale Alternative. Viertens lässt sich das „Wettrüsten“ besser als Koordinationsspiel denn als Gefangenendilemma modellieren, und was die Akteure von Misstrauen zu Kooperation bewegt, ist Verifizierung, nicht Rhetorik.

Jede Schlussfolgerung verweist auf dasselbe fehlende Infrastrukturstück: unabhängige, kontinuierliche Nachweise darüber, wie sich KI-Systeme tatsächlich verhalten. Das ist es, was ein Assessor liefert, und deshalb glauben wir, dass das Paradoxon lösbar ist.

Eine Woche im September

Die Abfolge ist es wert, dargelegt zu werden, denn sie ist das Paradoxon in Miniatur. Am Samstag, den 12. September, veröffentlichte Dario Amodei, der CEO von Anthropic, einen Essay mit dem Titel „We Must Pace the Frontier“, in dem er argumentierte, dass die Branche die Geschwindigkeit, mit der sie die Modellfähigkeiten verbessert, bewusst drosseln sollte, nicht um die Forschung zu stoppen, sondern um Alignment-Arbeit, Drittanbieter-Verifizierung und operativer Strenge Zeit zum Aufholen zu geben. Er ging weiter als nur den Zugang zu fertigen Modellen zu fordern: er schlug vor, externe Evaluatoren in sein eigenes Unternehmen einzubetten, mit Schreibtischen, Ausweisen und Laptops und mit Berechtigungen, die mit denen eines internen Risikoteams vergleichbar sind, damit Trainings-Pipelines und -Prozesse verifiziert werden können und nicht nur die Modelle, die aus ihnen hervorgehen. Die Leiter von drei konkurrierenden Laboren stimmten noch am selben Tag öffentlich zu.

Zwei Tage später, am Montag, den 14. September, antwortete der Präsident der Vereinigten Staaten auf Truth Social.

Vergrößern

Primärquelle: Der Truth Social-Post des Präsidenten vom 14. September 2026, zwei Tage nach dem Essay über die Verlangsamung. Wiedergegeben wie veröffentlicht zu Kommentar- und Analysezwecken.

Liest man den Post als Governance und nicht als Politik, so stellt er drei Behauptungen auf. Die einzige Leitplanke, die KI braucht, ist das Urteil eines einzigen Amtsträgers. Der Staat verfügt bereits über „enorme straf- und aufsichtsrechtliche Macht“ über KI-Unternehmen und wird diese auch weiterhin nutzen. Und der Wettbewerb ist binär: „Wer KI gewinnt, gewinnt.“ Die erste Behauptung ersetzt Verifizierung durch persönliche Zusicherung. Die zweite bestätigt, nachdem die Exportrichtlinie vom Juni eine weltweite Lizenzpflicht für die Übertragung von zwei Frontier-Modellen an ausländische Personen einführte und deren Hersteller daraufhin beide für neunzehn Tage deaktivierte, dass die Ermessensbefugnis der Exekutive das operative Kontrollinstrument in den Vereinigten Staaten ist. Die dritte ist das Framing des Gefangenendilemmas, das, wie wir weiter unten argumentieren, das von allen gefürchtete Ergebnis wahrscheinlicher macht.

Fünf Tage später brachte The Economist die Frage auf sein Titelblatt.

Vergrößern

Ein Hinweis zu den Quellen. Wir geben beide Bilder wie veröffentlicht wieder und ordnen sie zu, anstatt sie zu befürworten. Wir beziehen keine Stellung zu den Motiven von irgendjemandem; die Struktur der Argumentation ist hier entscheidend. Wo im Folgenden Personen namentlich genannt werden, fassen wir ihre öffentlichen Argumente in unseren eigenen Worten zusammen, unabhängig davon, ob sie bei den Trust Valley Days oder, im Fall von Marcel Salathé, in einem Post auf LinkedIn geäußert wurden. Etwaige Interpretationsfehler gehen auf unser Konto.

Das Paradoxon und warum Angst ein Burggraben ist

Das Paradoxon hat zwei treibende Kräfte. Die erste ist epistemisch: Leitplanken müssen entworfen werden, bevor die Fehlermodi, vor denen sie schützen, beobachtet wurden, daher ist jede Regel eine Prognose. Die zweite ist eine Anreizfalle: Eine Partei, die sich einseitig zurückhält, wirkt schwächer, was alle anderen dazu drängt, schneller bereitzustellen. Nimmt man beides zusammen, kann jede Sicherheitsmaßnahme von beiden Seiten angegriffen werden: als verfrüht von denen, die Geschwindigkeit wollen, und als unzureichend von denen, die das Schlimmste befürchten.

Diese Unsicherheit ist ausnutzbar. Marcel Salathé von der EPFL hat das Muster in einem Post auf LinkedIn klar benannt: Ein Unternehmen, das sagt „Bitte regulieren Sie uns, unsere Technologie ist zu gefährlich“, erreicht zwei Dinge auf einmal. Es signalisiert, dass sein Produkt das leistungsstärkste auf dem Markt ist. Und es lenkt die Regulierung in Richtung aufwändiger, maßgeschneiderter Compliance-Regelungen, die sich etablierte Unternehmen leisten können, Open-Source-Entwickler, Universitäten und kleinere Firmen jedoch nicht. Eine auf Angst basierende Regulierung wird zum Burggraben. Währenddessen bleibt das ältere, billigere und allgemeinere Instrument, die Haftung für fehlerhafte Produkte, unerwähnt.

Fairerweise möchten wir eine Einschränkung zu den Ereignissen der Woche hinzufügen. Ein Aufruf zur Verlangsamung an der Frontier, der ständige externe Evaluatoren fordert, ist nicht dasselbe wie ein Aufruf zu einem Lizenzierungsregime, das nur etablierte Unternehmen erfüllen können; es ist, zumindest in seiner erklärten Form, ein Aufruf zu genau der Art von unabhängiger Verifizierung, für die dieser Artikel plädiert. Der Test der Aufrichtigkeit ist einfach und öffentlich: ob dieser Zugang gewährt wird, wem, und ob die Ergebnisse veröffentlicht werden.

Piranhas unterschreiben keine Verträge

„Hinter der KI stehen immer diese Menschen“, erinnerte Rachid Guerraoui von der EPFL den Raum bei den Trust Valley Days. Doch wenn ein Agent Schaden anrichtet, klingt die Geschichte, die man uns erzählt, wie ein Filmdrehbuch: Der Agent ist „entkommen“ und hat ein Unternehmen „angegriffen“. Er bot einen Vergleich aus Horrorfilmen an: Piranhas, die aus dem Aquarium entkommen und Menschen im See fressen. „Das ist wirklich irreführend.“ Geschichten wie diese haben kein menschliches Subjekt; sie machen das System zum Akteur. Doch hinter jedem eingesetzten Agenten steht eine Organisation, die sein Ziel gewählt, seine Rechenleistung bereitgestellt, seine Berechtigungen festgelegt, seine Sicherheitsschwellen kalibriert und entschieden hat, wann er bereit für die Auslieferung war. Der Fisch hat das Becken nicht gebaut.

Vergrößern

Die Luftfahrt zeigt, wie die Alternative aussieht. Nachdem bei zwei Abstürzen von Boeing 737 MAX in den Jahren 2018 und 2019 346 Menschen ums Leben kamen, erhielt das Flugzeug weltweit für rund zwanzig Monate ein Flugverbot, und Boeing erklärte sich 2021 bereit, im Rahmen einer Vereinbarung zur Aussetzung der Strafverfolgung mit dem US-Justizministerium mehr als 2,5 Milliarden Dollar zu zahlen. Zu keinem Zeitpunkt wurde argumentiert, dass die Flugsteuerungssoftware „ein Eigenleben entwickelt“ habe. Die Designentscheidungen, die Tests, die Offenlegungen gegenüber Aufsichtsbehörden und Piloten wurden alle als Entscheidungen von Menschen innerhalb eines Unternehmens behandelt, weil sie es waren.

Das Gesetz ist der Schließung dieser Lücke näher, als die öffentliche Debatte vermuten lässt, zumindest in Europa. Die überarbeitete EU-Produkthaftungsrichtlinie, Richtlinie (EU) 2024/2853, behandelt Software ausdrücklich als Produkt, nennt KI-Systeme unter den Beispielen, die sie abdeckt, und gilt für Produkte, die nach dem 9. Dezember 2026 auf den Markt gebracht werden. Sie erleichtert die Beweislast, wenn die technische Komplexität den Nachweis eines Mangels erschwert. Die separate KI-Haftungsrichtlinie wurde 2025 zurückgezogen, aber das Kerninstrument benötigte sie nicht. Die verschuldensunabhängige Produkthaftung ist kein spekulatives Zukunftsinstrument für KI. Sie kommt zu einem festen Datum.

Was die Haftung braucht, um zu funktionieren, sind Beweise: wofür das System getestet wurde, unter welchen Bedingungen, mit welchen Ergebnissen und was dem Anwender mitgeteilt wurde. Ein Hersteller, der diese Aufzeichnungen vorlegen kann, hat eine Verteidigungsgrundlage. Einer, der das nicht kann, hat ein Problem. Hier richtet die anthropomorphe Sprache ihren wahren Schaden an. Indem sie Fehler als Entscheidungen der Maschine beschreibt, schreckt sie von der Protokollierung ab, die zeigen würde, wessen Entscheidungen es tatsächlich waren.

Bei den Trust Valley Days erläuterte Kevin Schawinski, Mitbegründer des Schweizer Unternehmens für KI-Governance Modulos, was dies bedeutet, sobald Agenten im Einsatz sind. Agentische Systeme, so warnte er, „tun Dinge, die man nicht unbedingt erwartet oder plant.“ Wer für ein solches System verantwortlich ist, muss daher ständig überprüfen: Tut es noch das, was es tun sollte, oder hat es begonnen, seine Grenzen auf eine Weise zu überschreiten, „die Sie in Schwierigkeiten bringen wird und die Polizei schließlich vor Ihrer Tür stehen wird“? Die Verantwortung endet nicht mit der Inbetriebnahme. Sie wird jeden Tag ausgeübt, an dem das System läuft.

Kollegen, die keine Menschen sind

Bei den Trust Valley Days beschrieb Kelly Richdale von Amadeus Capital Partners, die auch SandboxAQ berät, einen Wandel, der in forschungsintensiven Unternehmen bereits im Gange ist: virtuelle Vollzeitmitarbeiter, ein virtueller Chemiker, ein virtueller Quantenphysiker, ein virtueller Programmierer, die asynchron neben menschlichen Teams in denselben Chat-Kanälen und Projekt-Boards arbeiten. Der Agent ist nicht mehr ein Werkzeug, das jemand öffnet. Er ist ein Kollege, dem man Arbeit zuweist.

Das verändert, wer innerhalb einer Organisation für das KI-Risiko verantwortlich ist. Die Personalabteilung muss entscheiden, was Aufsicht, Zugang und Rechenschaftspflicht für einen Kollegen bedeuten, der kein Mitarbeiter ist. Die Rechtsabteilung muss entscheiden, wessen Unterschrift die Empfehlung eines virtuellen Analysten trägt. Die Sicherheitsabteilung muss einen Insider modellieren, der von außen gesteuert werden kann. Die Revision muss Entscheidungen rekonstruieren, die teilweise von Systemen getroffen wurden, deren Verhalten sich zwischen den Versionen ändert. Keines dieser Risiken ist für sich genommen neu. Ihre Kombination ist es, und sie summiert sich nicht linear.

Die Finanzaufsichtsbehörden haben die naheliegende Schlussfolgerung gezogen. Die schweizerische FINMA in ihrer Aufsichtsmitteilung 08/2024 über Governance und Risikomanagement für KI und die britische FCA, die sich selbst als technologieagnostisch, prinzipienbasiert und ergebnisorientiert bezeichnet, haben sich beide dafür entschieden, Ergebnisse statt Technologien zu überwachen: Anstatt Regeln für bestimmte Modelltypen zu schreiben, fragen sie, ob das Institut nachweisen kann, dass seine Ergebnisse solide sind, seine Risiken identifiziert und seine Kontrollen wirksam sind. Das ist das richtige Design für sich schnell entwickelnde Software, und es ist besonders wichtig, da die Einführung von KI mit der Migration zur Post-Quanten-Kryptografie zusammenfällt, was die Institute zwingen wird, einen Großteil ihrer Sicherheitsgrundlagen zu ersetzen, während sie gleichzeitig ihre Arbeitsabläufe neu gestalten. Die ergebnisorientierte Aufsicht hat jedoch eine feste Voraussetzung. Sie können keine Ergebnisse überwachen, die Sie nicht messen.

Gemietete Intelligenz und das Souveränitätsdilemma

Mehrere Redner betonten zu Recht, dass die heutigen Frontier-Modelle Fähigkeiten bieten, die keine Organisation ignorieren kann. Das Dilemma liegt darin, wie sie genutzt werden. Der Aufruf eines proprietären Modells über eine Cloud-API bringt sofortige Geschwindigkeit. Er sendet auch Prompts, Dokumente, Entscheidungslogik und im Laufe der Zeit das darin eingebettete institutionelle Wissen an einen Anbieter außerhalb der Kontrolle der Organisation, zu Bedingungen und unter Gerichtsbarkeiten, die sie nicht festlegt. Die Abschaltung im Juni zeigte, dass die Regierung des Anbieters die Vereinbarung mit einem Schreiben beenden kann.

Guerraoui benannte die leisere Hälfte des Problems, und es betrifft jeden, nicht nur Staaten. Jedes Mal, wenn Professoren, Administratoren oder Manager einem großen Modell eine Frage stellen oder ihm ihre Dokumente übergeben, um die Antwort zu verfeinern, „geben wir unser Schicksal in die Hände dieser Giganten.“

Seine Antwort ist das, was er pragmatische Souveränität nennt. Anyway Systems, eine Software aus seinem Labor, kombiniert gewöhnliche Rechner in einem lokalen Netzwerk zu einem selbststabilisierenden, fehlertoleranten Cluster, der große Open-Weight-Modelle on-premise ausführen kann, ohne dass Daten das Gebäude verlassen. Die EPFL berichtet, dass ein Modell von der Größe der Open-Weight-Veröffentlichung von OpenAI mit 120 Milliarden Parametern auf nur vier Rechnern mit Standard-Hardware bereitgestellt werden kann, installiert in etwa einer halben Stunde statt über einen Beschaffungszyklus. Der zugrunde liegende Punkt ist einfach: ein Staat kann keinen Kampfjet herunterladen, aber er kann ein Modell herunterladen.

Der Markt bezahlt bereits für diese Abgrenzung. Robin Simon, CEO des Schweizer Messengers Threema, erklärte bei einer Podiumsdiskussion auf den Trust Valley Days, dass er Regierungskunden mit Software gewinnt, die sie in ihrer eigenen Infrastruktur betreiben können. Denn das klärt die Frage nach dem Datenspeicherort, bevor man sich auf einen Vertrag verlassen muss. In einer Umfrage unter den rund 8.000 Kunden von Threema sei der am zweithäufigsten genannte Kaufgrund „Swissness“ gewesen: ein Kürzel für Neutralität, modernes Recht und einen Gerichtsstand, auf dessen Bestand der Käufer vertraut. Souveränität ist demnach nicht nur eine technische Präferenz. Sie ist ein Kaufkriterium.

Vergrößern

Die letzte Zeile wird in der Souveränitätsdebatte oft übersehen. Ein Open-Weight-Modell lokal auszuführen, macht es nicht fair, robust oder wohlverhaltend; es überträgt Ihnen die Verantwortung, dies zu beurteilen. Unabhängigkeit vom Anbieter ist nur die halbe Souveränität. Die andere Hälfte besteht darin, das, was Sie nun selbst betreiben, auch bewerten zu können.

Simon fügte eine Warnung hinzu, die auch die souveräne Säule erschüttert. Das Risiko, das ihm Sorgen bereitet, ist nicht das Eigentum. „Das Risiko sind die Gesetze in den Ländern“, und die Gesetze eines Landes können sich unter einem Unternehmen verschieben, dessen ganzes Versprechen auf ihnen beruht. Er verwies auf sein eigenes. Im Januar 2025 eröffnete das Eidgenössische Justiz- und Polizeidepartement eine Vernehmlassung zur Revision der Verordnung über die Überwachung des Post- und Fernmeldeverkehrs (VÜPF), um die Identifizierungs- und sechsmonatige Aufbewahrungspflicht auf abgeleitete Kommunikationsdienste auszuweiten, wobei die größten Anbieter die höchsten Auflagen erfüllen müssten. Threema und Proton fallen beide in den Anwendungsbereich, und Proton hat bereits damit begonnen, Infrastruktur aus der Schweiz zu verlagern, mit der Aussage, das Land ganz zu verlassen, sollte die Revision angenommen werden. Die erste Vernehmlassung endete im Mai 2025 mit einer fast einhellig ablehnenden Reaktion. Das Departement hat seither eine externe Wirkungsanalyse in Auftrag gegeben und einen zweiten Entwurf ohne festen Zeitplan in Aussicht gestellt, und der Bundesrat hat klargestellt, dass Ende-zu-Ende-verschlüsselte Nachrichten zwischen Nutzern nicht unter eine Entschlüsselungspflicht fallen würden. Der Ausgang ist noch offen, was genau der Punkt ist.

Diese Lektion lässt sich weit über Messenger-Dienste hinaus verallgemeinern. Ein Gerichtsstand ist kein Anlagevermögen, und der Ruf der Neutralität ist eine Beschreibung der Vergangenheit. Die Wahl des Betriebsstandorts eines Systems ist eine Wette auf eine Legislative, und eine Wette ist keine Kontrolle. Was das Argument auf das eine zurückführt, das sich durch beide Spalten und jeden Gerichtsstand zieht: nicht, wo ein System läuft oder wem es gehört, sondern was über sein Verhalten gemessen werden kann.

Kein Gefangenendilemma: eine Hirschjagd

Die politische Rhetorik dieser Woche behandelt den KI-Wettbewerb der Großmächte als ein Gefangenendilemma, ein Spiel, in dem es der rationale Schritt ist, bei der Sicherheit Abstriche zu machen, ganz gleich, was die andere Seite tut. Wäre das richtig, wäre Zurückhaltung naiv, und die einzige Frage wäre, wer schneller abtrünnig wird. Aber die Spielausgänge sehen nicht so aus. Unkontrollierte Skalierung, die ein unkontrollierbares System hervorbringt, oder bio-digitale Fähigkeiten in den falschen Händen schaden beiden Spielern. Gegenseitige, verifizierte Zurückhaltung nützt beiden mehr als gegenseitige Rücksichtslosigkeit.

Diese Struktur hat in der Spieltheorie einen Namen: die Hirschjagd. Zwei Jäger können kooperieren, um einen Hirsch zu erlegen – das beste Ergebnis für beide –, aber nur, wenn jeder dem anderen zutraut, die Position zu halten. Jeder von beiden kann stattdessen allein einen Hasen jagen: eine kleinere, sicherere Beute, die kein Vertrauen erfordert. Der entscheidende Unterschied zum Gefangenendilemma besteht darin, dass die gegenseitige Kooperation selbst ein stabiles Gleichgewicht ist. Niemand, der glaubt, dass der andere kooperieren wird, hat einen Grund, abtrünnig zu werden.

Abtrünnigkeit wird also nicht von Gier, sondern von Angst angetrieben: dem Verdacht, dass die andere Seite heimlich auf den Hasen losgehen wird. Deshalb ist es nicht nur ungenau, sondern auch selbsterfüllend, KI als existenziellen Wettlauf darzustellen. Es zerstört das gegenseitige Vertrauen, das den Hirsch erreichbar macht, und zwingt beide Spieler in das schlechtere Gleichgewicht. Die politische Frage ist daher nicht, wie man das Rennen gewinnt. Sondern wie man die Zurückhaltung jeder Seite für die andere beobachtbar macht.

Konstantinos Komaitis, der bei den Trust Valley Days eine Keynote hielt, beschrieb diese Schleife in ihrer politischen Form, und ihre Symmetrie ist der springende Punkt. Wenn ein Unternehmen langsamer wird, befürchtet es, dass ein anderes vorprescht. Wenn ein Land Beschränkungen auferlegt, befürchtet es, dass ein anderes einen Vorteil erlangt. Wenn Washington glaubt, dass Peking vorauseilt, hat es einen Grund zu beschleunigen; wenn Peking glaubt, dass Washington versucht, seine technologische Entwicklung einzudämmen, hat es denselben Grund. Niemand in dieser Schleife muss das schlechtere Ergebnis wollen, damit es für alle eintritt. Deshalb stellte er eine andere Frage an die Stelle derjenigen, die die ganze Woche über gestellt wurde: nicht, wer das KI-Rennen gewinnen wird, sondern ob wir eine Welt schaffen können, in der ein Sieg nicht erfordert, dass alle anderen verlieren.

Vergrößern

Man kann ein Modell nicht aus dem Orbit fotografieren

Komaitis fasste die Schwierigkeit in einem Gedankenexperiment zusammen. Angenommen, die Vereinigten Staaten und China würden sich morgen darauf einigen, dass es KI-Anwendungen gibt, die keine Seite verfolgen würde, beispielsweise Systeme, die katastrophalen biologischen Schaden ermöglichen sollen. Die Vereinbarung wäre wichtig. Und beide Seiten würden sich sofort dieselben zwei Fragen stellen: Wird die andere Seite sich daran halten, und was bauen sie, das wir nicht sehen können? Hierin unterscheidet sich KI fundamental vom Atomzeitalter. Nukleare Infrastruktur hinterlässt physische Spuren. KI ist über Rechenleistung, Chips, Modelle, Daten, Algorithmen, Talente und Infrastruktur verteilt; Fähigkeiten entwickeln sich schnell, Software kann kopiert, Modelle können modifiziert werden.

Die Rüstungskontrolle im Kalten Krieg funktionierte – wo sie funktionierte –, weil das, was kontrolliert wurde, groß, knapp und sichtbar war. Anreicherungsanlagen können von Satelliten aus fotografiert werden; Waffentests werden von Seismografen erfasst; spaltbares Material ist schwer zu verbergen. KI bricht mit jeder dieser Annahmen.

Ein Modell mit gefährlichem Dual-Use-Potenzial befindet sich in einem gewöhnlichen Rechenzentrum neben Tausenden von harmlosen Modellen. Die Verifizierung muss sich daher ins Innere der Maschine verlagern. Forscher haben hardwaregestützte Mechanismen vorgeschlagen, die es Beschleunigern ermöglichen, kryptografisch zu attestieren, wie sie verwendet wurden. Dies macht es möglich, den Umfang und die Art großer Trainingsläufe zu bestätigen, ohne die Architektur oder die Gewichte des Modells preiszugeben. Nichts davon ist bisher im großen Maßstab im Einsatz und es wirft seinerseits ernste Fragen zu Datenschutz und Kontrolle auf. Aber es ist der einzige Weg, der zur Beschaffenheit der Technologie passt.

Vergrößern

Die Compute-Attestierung beantwortet eine Frage: Was wurde gebaut. Sie beantwortet nicht die Frage, die für die Betroffenen von Bedeutung ist: wie sich das System nach der Bereitstellung verhält, für wen und ob es sie fair behandelt. Diese zweite Verifizierungsebene ist verhaltensbasiert und kontinuierlich und muss von jemand anderem als dem Ersteller durchgeführt werden. Das Cover des Economist endet mit einer Eingabeaufforderung, j/n? Niemand sollte gebeten werden, diese Frage zu beantworten, ohne ein Protokoll einsehen zu können.

Die Infrastruktur des Vertrauens

Zusammengenommen deuten die Argumente auf vier Säulen hin. Keine davon erfordert zu Beginn einen neuen globalen Vertrag. Alle vier beruhen auf Nachweisen.

• 01Setzen Sie das bestehende Haftungsrecht durch. Behandeln Sie Schäden durch KI-Agenten als eine Frage der Produkthaftung, beginnend mit der überarbeiteten EU-Richtlinie ab dem 9. Dezember 2026. Beenden Sie die Praxis, Entscheidungen über den Einsatz als maschinelles Verhalten zu beschreiben.
• 02Überwachen Sie Ergebnisse, nicht Technologien. Folgen Sie dem Beispiel der FINMA und der FCA: Beurteilen Sie Institutionen danach, ob sie solide Ergebnisse und funktionierende Kontrollen für ihr gesamtes KI-Portfolio nachweisen können, einschließlich dessen Anfälligkeit für Cyber- und Post-Quantum-Risiken.
• 03Bauen Sie Kapazitäten auf, die Sie kontrollieren. Richard Feynman hinterließ einen Satz an seiner Tafel: „Was ich nicht erschaffen kann, das verstehe ich nicht.“ Die Diskussion in Lausanne fügte ein Korollar hinzu: Und was ich nicht erschaffe, werde ich nicht kontrollieren. Finanzieren Sie Open-Weight-Modelle, lokale Compute-Ressourcen und die Fähigkeiten, diese zu betreiben, anstatt nur Abonnements zu kaufen.
• 04Verifizieren Sie von der Hardware aufwärts und von den Ergebnissen her. Kryptografische Attestierung großer Trainingsläufe auf der einen Seite; unabhängige, kontinuierliche Verhaltensbewertung der eingesetzten Systeme auf der anderen. Jedes für sich allein hinterlässt eine Lücke.

Komaitis fügt den Teil dieser vierten Säule hinzu, den keine der anderen liefert: einen Ort, an dem die Erkenntnisse über Grenzen hinweg zusammenkommen. KI-Sicherheitsinstitute, so argumentierte er, können mehr sein als nur technische Laboratorien. Sie können Methoden vergleichen, Vorfälle melden, gemeinsame Evaluierungsprotokolle entwickeln und einen Kanal zwischen den Ländern offen halten, wenn die politischen Kanäle sich schließen, ohne zuerst die geopolitische Meinungsverschiedenheit beilegen zu müssen. Dafür braucht es keine einzelne riesige Institution und keinen Vertrag. Es ist die langsamere Arbeit, eine gemeinsame technische Sprache und genügend gemeinsame Erkenntnisse zu schaffen, auf die sich eine politische Vereinbarung stützen kann.

Was das für diejenigen bedeutet, die KI einsetzen

Für einen Vorstand oder einen Risikoausschuss lässt sich die Geopolitik auf eine kurze Liste reduzieren.

• 01Gehen Sie davon aus, dass die Haftung bei Ihnen liegt. Ab Dezember 2026 gilt in der EU: „Das Modell war’s“ ist keine Verteidigung. Inventarisieren Sie, welche Entscheidungen Ihre KI-Systeme treffen oder beeinflussen, und fragen Sie sich, welche Aufzeichnungen Sie vorlegen könnten, falls eine davon Schaden verursacht.
• 02Benennen Sie für jeden virtuellen Kollegen einen Verantwortlichen. Jeder Agent, der in Ihren Systemen agiert, benötigt einen menschlichen Verantwortlichen, einen definierten Berechtigungsumfang und eine Protokollierung, mit der Sie rekonstruieren können, was er getan hat und warum.
• 03Beziffern Sie die Kosten der Abhängigkeit. Wissen Sie, welche Workloads von einem einzigen Anbieter in einer einzigen Jurisdiktion abhängen und welche davon auf einem von Ihnen gehosteten Open-Weight-Modell laufen könnten. Proben Sie den Wechsel, bevor Sie ihn benötigen.
• 04Messen Sie die Ergebnisse kontinuierlich. Aufsichtsbehörden orientieren sich zunehmend an Ergebnissen. Fairness, Robustheit und Erklärbarkeit, die einmalig beim Start gemessen werden, werden ein Regulierungssystem nicht zufriedenstellen, das fragt, wie sich das System jetzt verhält.

Die Position von validant.ai

Jeder Gedankengang in diesem Artikel mündet in derselben Lücke: die fehlende, unabhängige Aufzeichnung darüber, wie sich ein KI-System tatsächlich verhält. Die Haftung benötigt sie, um Verantwortung zuzuweisen. Die ergebnisorientierte Aufsicht benötigt sie, um überhaupt etwas beaufsichtigen zu können. Der souveräne Einsatz benötigt sie, weil die Organisation nun die Beweislast trägt. Und die Koordination zwischen Konkurrenten benötigt sie, weil Zurückhaltung, die nicht beobachtet werden kann, kein Vertrauen genießt. Diese Aufzeichnung ist es, die wir erstellen.

Der rote Faden ist Unabhängigkeit. validant.ai entwickelt nicht die Modelle, die es misst, hostet nicht Ihre Daten und verkauft Ihnen nicht das System, das es bewertet. Wir arbeiten wie ein Wirtschaftsprüfer oder eine Ratingagentur: dieselben Instrumente, auf dieselbe Weise ausgeführt, wobei die Ergebnisse für die Personen lesbar sind, die ein System entwickeln, es steuern und ihm unterworfen sind. Wir messen mit gleicher Zufriedenheit eine Frontier-API und ein Modell, das auf vier Maschinen in Ihrem Keller läuft. Was wir nicht tun werden, ist, von irgendjemandem zu verlangen, die Sicherheit eines Systems auf Vertrauensbasis anzunehmen, sei es von einem Anbieter oder von einem Staatsoberhaupt.

Nichts davon macht die Selbstauskunft wertlos. Simons nicht verhandelbare Punkte sind Open Source, Transparenz und die schnelle Kommunikation, wenn etwas schiefgeht: Als Threema von einem Denial-of-Service-Angriff betroffen und zeitweise offline war, so sagte er, veröffentlichte das Unternehmen dies noch am selben Tag auf seinem Blog und in den sozialen Medien, anstatt zu warten, bis man gefragt wird. Das ist die ehrenhafte Variante, und sie ist immer besser als Schweigen. Es ist aber auch immer noch die eigene Darstellung des eigenen Versagens durch das Unternehmen, freiwillig gegeben und jederzeit widerrufbar. Ehrlichkeit dieser Art ist eine Tugend, keine Verifizierung.

“Die einzige Leitplanke, die skaliert, ist eine, die andere überprüfen können. Alles andere ist ein Versprechen.”

Das Paradoxon der präventiven Zusicherung

Kurz gesagt

Das KI-Wettrüsten kann weder durch eine Pause, die niemand durchsetzen kann, gestoppt, noch durch einen Sprint, den niemand überleben kann, gewonnen werden. Es wird auf die gleiche Weise beherrschbar wie jede andere gefährliche Industrie zuvor: indem man die Entwickler für das, was sie ausliefern, haftbar macht, Ergebnisse statt Absichten beurteilt, die Fähigkeit behält, unsere eigenen Systeme zu betreiben und zu inspizieren, und Zurückhaltung sichtbar macht. Jeder dieser Punkte beruht auf einer einzigen Sache. Nicht auf einem starken Führer und nicht auf einem perfekten Labor, sondern auf einer Aufzeichnung, die jeder lesen kann.

Quellen und weiterführende Literatur