Amazon- und Google-Sicherheitsversprechen kollidieren mit geheimer KI-Prüfung des Weißen Hauses

Die Sicherheitsverpflichtungen von Amazon und Google stehen nun neben einem Prüfprozess des Weißen Hauses, dessen wichtigste Regeln der öffentlichen Kontrolle verborgen bleiben. Die Regierung sagt, der freiwillige Rahmen werde die nationale Sicherheit stärken. Kritiker sehen einen grundlegenden Widerspruch: Behörden wollen, dass Unternehmen staatlichen Tests vertrauen, geben Forschern und der Öffentlichkeit aber kaum Anlass, den Tests selbst zu vertrauen.

Der Rahmen erlaubt Berichten zufolge Bundesprüfern, bestimmte Frontier-Modelle vor ihrer Veröffentlichung bis zu 30 Tage lang zu untersuchen. Ein Frontier-Modell ist ein fortschrittliches Allzwecksystem, dessen Fähigkeiten ernsthafte Risiken für die nationale Sicherheit schaffen könnten. Die gemeldeten Regeln erfassen jedoch geschlossene Modelle und schließen Systeme mit offenen Gewichten aus, deren herunterladbare Parameter verändert und weiterverbreitet werden können.

Diese Trennung macht aus einem technischen Evaluierungsplan einen politischen Streit. Google, OpenAI, Anthropic, Meta, Microsoft, Nvidia und kleinere Entwickler nahmen Berichten zufolge an einem Briefing des Weißen Hauses am 4. August teil. Amazon wurde in mehreren Berichten über dieses Treffen nicht genannt, doch seine Cloud-Position und frühere Sicherheitszusagen machen das Unternehmen für die breitere Debatte zentral.

Der eigentliche Wettbewerb lautet nicht Amazon gegen Google. Es geht um vertrauliche staatliche Prüfung gegen öffentliche Rechenschaftspflicht. Beide Unternehmen haben eigene Sicherheitsansätze veröffentlicht, doch keines kann die zentrale politische Frage allein beantworten: Wer überprüft die Prüfer, wenn der Maßstab selbst geheim bleibt?

Der Rahmen schafft vor der Veröffentlichung ein privates Tor

Das Weiße Haus hat ein potenziell einflussreiches Prüftor geschaffen, ohne das zugrunde liegende Regelwerk zu veröffentlichen.

Präsident Donald Trump unterzeichnete am 2. Juni eine Executive Order, die führende KI-Entwickler dazu einlud, bestimmte fortschrittliche Systeme zur bundesstaatlichen Evaluierung vorzulegen. Die Anordnung beschrieb die Teilnahme als freiwillig und erlaubte der Regierung, Modelle vor ihrer öffentlichen Veröffentlichung bis zu 30 Tage lang zu prüfen.

Die Regierung stellte den Prozess als eng begrenzte Maßnahme der nationalen Sicherheit dar. Sie erklärte, Behörden würden sich auf Systeme mit fortschrittlichen Cyberfähigkeiten konzentrieren, statt jedes kommerzielle Modell zu überprüfen. Die Anordnung zur Modellprüfung räumte auch dem Direktor der National Security Agency eine bedeutende Rolle ein.

Das Weiße Haus erklärte, den Umsetzungsrahmen bis zu einer Frist im August fertiggestellt zu haben. Anschließend informierten Behördenvertreter Vertreter mehrerer großer KI-Unternehmen. Die Regierung veröffentlichte das Dokument jedoch nicht und benannte die Organisationen, die es nutzen sollen, nicht vollständig.

Laut mit den Treffen vertrauten Personen definiert der Rahmen ein erfasstes Frontier-Modell als geschlossenes System mit Fähigkeiten auf dem neuesten Stand der Technik und Auswirkungen auf die nationale Sicherheit. Entwickler würden Prüfern kurz vor der Veröffentlichung Zugang gewähren, wenn das Modell nahezu seine endgültige Form erreicht hat.

Dieser Zeitpunkt ist wichtig. Ein frühes Forschungsmodell kann sich bis zum Start erheblich verändern, wodurch Evaluierungsergebnisse weniger nützlich werden. Ein nahezu fertiges Modell bietet ein realistischeres Testziel, doch eine 30-tägige Verzögerung kann mit Produktzeitplänen, Sicherheitskontrollen und dem Schutz vor Wettbewerbern kollidieren.

Mitarbeiter könnten während des Prüfzeitraums Berichten zufolge Zugangsbeschränkungen unterliegen. Solche Kontrollen können das Risiko verringern, dass gefährliche Fähigkeiten oder Testmethoden durchsickern. Sie können die Behebung jedoch auch erschweren, wenn Ingenieure ein von staatlichen Prüfern gefundenes Problem nicht frei untersuchen können.

Die Regierung hat einen vertretbaren Grund, einige Details geheim zu halten. Die Veröffentlichung eines exakten Cyber-Benchmarks könnte Angreifern eine Checkliste liefern, mit der sie herausfinden, welche Fähigkeiten staatliche Bedenken auslösen. Sie könnte Entwicklern auch helfen, Modelle auf einen Test zu optimieren, ohne die zugrunde liegende Gefahr zu verringern.

Dieses Argument erfordert nicht, jede Regel geheim zu halten. Behörden könnten Details zur Governance, Teilnahmekriterien, Einspruchsverfahren, Qualifikationen der Prüfer und übergeordnete Risikoschwellen offenlegen. Keine dieser Angaben muss einen ausnutzbaren Prompt oder ein klassifiziertes Ziel preisgeben.

Der gemeldete Rahmen schafft daher zwei getrennte Geheimnisse. Das erste betrifft sensible Testmethoden, für die es eine klare Sicherheitsbegründung gibt. Das zweite betrifft die Art, wie Entscheidungen getroffen werden, und wirft ein schwierigeres Problem der Rechenschaftspflicht auf.

Das Weiße Haus erklärt, der Prozess fördere seine Cybersicherheitsstrategie und unterstütze die amerikanische Führungsrolle bei KI. Diese Behauptung bleibt schwer zu beurteilen, weil Außenstehende das erklärte Ziel nicht mit dem tatsächlich angewandten Standard vergleichen können.

Dies ist die zentrale Veränderung des Ereignisses. Die Bundesprüfung ist nicht länger nur ein politischer Vorschlag. Sie verfügt nun Berichten zufolge über einen Prozess, teilnehmende Unternehmen, ein Prüfzeitfenster und eine Modellkategorie, obwohl die Öffentlichkeit den vollständigen Rahmen nicht einsehen kann.

Warum die Sicherheitsrichtlinien von Amazon und Google hier wichtig sind

Die Sicherheitsrahmen von Amazon und Google zeigen, dass große Unternehmen Fähigkeitstests bereits akzeptieren, doch ihre freiwilligen Richtlinien können keinen transparenten öffentlichen Prozess ersetzen.

Amazon und Google gehörten zu sieben Unternehmen, die dem Weißen Haus im Juli 2023 freiwillige KI-Verpflichtungen zusagten. Diese Zusagen umfassten interne und externe Red-Teaming-Tests, Informationsaustausch, Investitionen in Cybersicherheit und Methoden zur Kennzeichnung KI-generierter Inhalte.

Red Teaming bedeutet, ein System gezielt auf schädliches Verhalten, Sicherheitslücken und Missbrauchswege zu testen. Es ist nützlich, weil gewöhnliche Produkttests gegnerisches Verhalten häufig übersehen. Seine Ergebnisse hängen weiterhin vom Zugang der Prüfer, der Qualität der Tests und der Bereitschaft des Entwicklers ab, darauf zu reagieren.

Amazon veröffentlichte später einen Sicherheitsrahmen für Frontier-Modelle, der beschreibt, wie das Unternehmen Risiken schwerwiegender Fähigkeiten bewerten würde. Sein Ansatz konzentriert sich auf kritische Fähigkeiten, die bei einer Veröffentlichung ohne geeignete Schutzmaßnahmen erheblichen Schaden ermöglichen könnten.

Google DeepMind entwickelte ebenfalls ein Frontier Safety Framework. Das Unternehmen nutzt Fähigkeitsschwellen und Frühwarn-Evaluierungen, um Modelle zu identifizieren, die stärkere Sicherheits- oder Einsatzkontrollen benötigen. Googles Sicherheitsrahmen wurde mehrfach öffentlich überarbeitet.

Diese Richtlinien geben beiden Unternehmen operative Erfahrung, die für die Bundesinitiative relevant ist. Ihre Forscher verstehen Tests vor der Bereitstellung, Zugangskontrollen, Fähigkeitsschwellen und die Schwierigkeit, ein beunruhigendes Benchmark-Ergebnis in eine Freigabeentscheidung zu überführen.

Unternehmensrahmen bleiben jedoch Instrumente der Selbstregulierung. Entwickler wählen viele ihrer eigenen Schwellenwerte, Testpartner, Offenlegungspraktiken und Gegenmaßnahmen. Kunden und unabhängige Forscher können nicht davon ausgehen, dass diese Entscheidungen zwischen Unternehmen vergleichbar sind.

Eine akademische Überprüfung früherer Verpflichtungen des Weißen Hauses stellte uneinheitliche öffentliche Nachweise für die Einhaltung fest. Die Forscher berichteten insbesondere über schwache Ergebnisse bei der Sicherheit von Modellgewichten, mit einem Durchschnittswert von 17 % bei den untersuchten Unternehmen. Dieser Befund beweist nicht, dass Schutzmaßnahmen fehlten, da nicht offengelegte Sicherheitsmaßnahmen in einer auf Transparenz basierenden Bewertung nicht erscheinen würden.

Er zeigt jedoch die Grenze freiwilliger Verpflichtungen bei der Rechenschaftspflicht auf. Ein Versprechen kann präzise klingen, während Außenstehende dennoch nicht feststellen können, ob die zugesagte Kontrolle funktioniert hat. Die Bewertung der Verpflichtungen argumentiert, dass die öffentliche Berichterstattung zwischen Entwicklern weiterhin uneinheitlich bleibt.

Der neue Rahmen des Weißen Hauses könnte diese Situation verbessern, indem er einen gemeinsamen Evaluierungskanal schafft. Staatliche Prüfer können Systeme unter konsistenteren Bedingungen vergleichen und Fähigkeiten untersuchen, die Unternehmen nicht sicher öffentlich demonstrieren können.

Geheimhaltung kann jedoch auch das bestehende Problem auf höherer Ebene reproduzieren. Statt dem privaten Prozess jedes einzelnen Unternehmens zu vertrauen, soll die Öffentlichkeit einem privaten Prozess vertrauen, den Regierung und ausgewählte Unternehmen teilen.

Die Rolle von Amazon ist besonders wichtig, weil AWS Infrastruktur und Modellzugang im gesamten KI-Markt bereitstellt. Amazon entwickelt eigene Modelle und hostet zugleich Systeme anderer Anbieter über Cloud-Dienste. Ein bundesstaatlicher Prüfstandard kann daher seine Produkte, Partner und Unternehmenskunden betreffen.

Google nimmt eine ähnlich vielschichtige Position ein. Es entwickelt Gemini-Modelle, betreibt Google Cloud, betreibt Frontier-Forschung über DeepMind und liefert KI-Systeme an Unternehmen und öffentliche Institutionen. Eine Entscheidung zur Modellklassifizierung kann mehr als den Start eines einzelnen Verbraucher-Chatbots beeinflussen.

Deshalb steht das Keyword amazon google für mehr als zwei Unternehmensnamen. Diese Unternehmen verbinden Frontier-Forschung, Cloud-Vertrieb, Unternehmensbeschaffung und Regierungstechnologie. Jeder nationale Prüfprozess wird diese Beziehungen letztlich berühren, selbst wenn ein konkretes Treffen eine andere Teilnehmerliste umfasst.

Ihre veröffentlichten Rahmen bieten zudem einen praktischen Vergleichspunkt. Beide Unternehmen legen zumindest einige Risikokategorien und Governance-Konzepte offen. Die Bundesregierung verlangt vergleichbares Vertrauen, während sie weniger über ihre eigene Entscheidungsstruktur preisgibt.

Dieses Ungleichgewicht wird schwieriger zu verteidigen sein, wenn eine Prüfung ein Modell verzögert, ein anderes freigibt oder Entwicklern unterschiedliche Zugangsbedingungen auferlegt. Dann wird Verfahrenstransparenz sowohl zu einem Wettbewerbsthema als auch zu einem Sicherheitsproblem.

Die Amazon-Google-Debatte offenbart den Transparenzkonflikt

Eine sichere Evaluierung erfordert vertrauliche Testdetails, doch eine glaubwürdige Evaluierung erfordert sichtbare Regeln, Befugnisse und Rechenschaftspflicht.

Das stärkste Argument der Regierung ist einfach. Cybersicherheitstests verlieren an Wert, wenn jeder Prompt, jede Exploit-Umgebung und jede Fehlerschwelle öffentlich wird. Fortschrittliche Modelle könnten Nutzern helfen, Schwachstellen zu finden, Exploit-Code zu schreiben oder Teile eines Eindringens zu automatisieren.

Prüfer benötigen kontrollierten Zugang zu realistischen Systemen und sensiblen Zielen. Möglicherweise benötigen sie auch klassifizierte Bedrohungsinformationen, die weder mit Entwicklern noch mit externen Forschern oder der breiten Öffentlichkeit geteilt werden können.

Die Regierung hat daher legitime Gründe, Benchmark-Inhalte zu schützen. Das Problem beginnt, wenn operative Geheimhaltung sich zu institutioneller Geheimhaltung ausweitet.

Die Öffentlichkeit muss dennoch wissen, wer als Prüfer qualifiziert ist, wie Interessenkonflikte gehandhabt werden und was geschieht, nachdem eine schwerwiegende Fähigkeit entdeckt wurde. Entwickler müssen verstehen, ob ein ungünstiges Ergebnis die Veröffentlichung verzögert, Abhilfemaßnahmen auslöst oder lediglich eine Warnung hervorbringt.

Kleinere Labore benötigen eine weitere Antwort. Sie müssen wissen, ob die Teilnahme einen echten Sicherheitsvorteil bietet oder eine informelle Hürde schafft, die Unternehmen mit etablierten Beziehungen nach Washington begünstigt.

Ein Prozess kann formell freiwillig sein und dennoch wirtschaftlich schwer abzulehnen werden. Bundesbehörden kaufen Cloud-Dienste und KI-Werkzeuge. Regulierungsbehörden beeinflussen Risikobewertungen von Unternehmen. Eine staatliche Zustimmung kann zudem für Versicherer und Beschaffungsteams in Unternehmen zu einem starken Signal werden.

Ein Entwickler, der eine Prüfung ablehnt, könnte mit Fragen von Kunden konfrontiert werden, nachdem ein Wettbewerber teilnimmt. Umgekehrt könnte ein Unternehmen, das sich vorlegt, eine implizite Sicherheitsbestätigung gewinnen, selbst wenn die Regierung nie beabsichtigte, eine solche zu geben.

Das ist die Gefahr eines privaten Tors. Seine Autorität kann durch Markterwartungen wachsen, ohne dass der Kongress seine rechtlichen Grenzen festlegt. Eine vertrauliche Prüfung kann als Zusammenarbeit beginnen und sich zu einer faktischen Genehmigung entwickeln.

OpenAIs Chris Lehane sprach sich dafür aus, wirksame Sicherheitsrahmen durch demokratische Institutionen, technische Expertise und breite Einbindung von Interessengruppen zu entwickeln. Diese Formulierung benennt, was dem geheimen Verfahren fehlt: Eine öffentliche Institution kann sensible Beweise schützen und zugleich ihre Governance erklären.

Frühere Cybersicherheitsprogramme bieten nützliche Präzedenzfälle. Die koordinierte Offenlegung von Schwachstellen schützt Exploit-Details und schafft zugleich Meldekanäle, Reaktionsfristen und Erwartungen für betroffene Anbieter. Auch Programme für klassifizierte Bedrohungen arbeiten unter gesetzlicher Aufsicht, ohne jede Geheimdienstquelle zu veröffentlichen.

Diana Kelley, eine Sicherheitsexpertin, die interviewt wurde, nachdem eine frühere Version der Initiative auf Eis gelegt worden war, argumentierte, dass Dauerhaftigkeit unabhängige Tests, klare Schwellenwerte und spürbare Konsequenzen erfordert. Ihre Bedenken bleiben relevant, weil das letztlich berichtete Rahmenwerk diese Governance-Fragen öffentlich nicht beantwortet hat.

Der Vergleich amazon google verschärft das Problem. Google kann Fähigkeitsstufen offenlegen, ohne jeden adversarial prompt zu veröffentlichen. Amazon kann Eskalationsprotokolle erläutern, ohne sensible Modellgewichte zu veröffentlichen. Die Bundesregierung kann dieselbe Trennung zwischen öffentlicher Governance und geschütztem Testmaterial vornehmen.

Transparenz beeinflusst auch die technische Qualität. Externe Forschende identifizieren häufig fehlerhafte Benchmarks, verunreinigte Testsätze und Annahmen, die interne Teams übersehen haben. Ein vollständig geschlossenes Bewertungsverfahren begrenzt diesen korrigierenden Druck.

Beamte müssen keine laufenden Cyberübungen veröffentlichen. Sie können Prinzipien für das Benchmark-Design, Validierungsverfahren, Regeln zur Unabhängigkeit von Evaluierenden und anonymisierte Erkenntnisse veröffentlichen, nachdem Risiken adressiert wurden.

Sie könnten auch aggregierte Berichte herausgeben. Solche Berichte könnten offenlegen, wie viele Modelle in die Prüfung eingingen, wie viele Minderungsmaßnahmen benötigten und welche Risikokategorien am häufigsten auftraten. Die Aggregierung würde die Vertraulichkeit der Unternehmen wahren und zugleich zeigen, ob das Programm tatsächlich Arbeit leistet.

Ohne diese Signale können Beobachtende eine anspruchsvolle Sicherheitsprüfung nicht von einer privaten Beratung unterscheiden. Der Unterschied ist wichtig, weil eine Beratung Entwickelnde informiert, während eine Prüfung ein Urteil impliziert.

Die Geheimhaltung des Weißen Hauses könnte auch die Beteiligung von Unternehmen schwächen. Entwickelnde schützen routinemäßig unveröffentlichte Systeme, Forschungsmethoden und Produktzeitpläne. Sie brauchen Vertrauen darauf, dass staatlicher Zugang weder geistiges Eigentum preisgibt noch wettbewerbsrelevante Informationen durchsickern lässt.

Klare Regeln für die Handhabung würden helfen. Ebenso veröffentlichte Grenzen dafür, wer auf eingereichte Modelle zugreifen darf, wie lange Artefakte aufbewahrt werden und ob Ergebnisse Einfluss auf nicht damit zusammenhängende Beschaffungs- oder Durchsetzungsentscheidungen haben können.

Geheimhaltung kann einen Test schützen. Übermäßige Geheimhaltung kann die Zusammenarbeit untergraben, die den Test erst möglich macht. Diesen Zielkonflikt hat die Regierung öffentlich nicht aufgelöst.

Der Ausschluss offener Modelle lässt das schwierigste Risiko außen vor

Die berichtete Ausnahme für Open-Weight-Modelle verengt das Programm genau dort, wo die Kontrolle nach der Veröffentlichung am schwächsten ist.

Ein Open-Weight-Modell stellt seine trainierten Parameter zum Download bereit. Diese Gewichte können verändert, feinabgestimmt und auf Infrastruktur betrieben werden, die außerhalb der Kontrolle des ursprünglichen Entwicklers liegt. Das unterscheidet sich von einem Open-Source-Projekt, bei dem auch Trainingsdaten, Code und Entwicklungsprozess öffentlich sein können.

Das Rahmenwerk des Weißen Hauses beschränkt die erfassten Frontier-Modelle Berichten zufolge auf geschlossene Systeme. Open-Weight-Modelle würden damit dieselben freiwilligen Bundesprüfungen umgehen, selbst wenn sie vergleichbare Fähigkeiten erreichen.

Diese Unterscheidung unterstützt die Innovationsagenda der Regierung. Offene Modelle helfen Forschenden bei der Prüfung von Systemen, ermöglichen Unternehmen den Einsatz von KI auf ihrer eigenen Infrastruktur und verringern die Abhängigkeit von einer kleinen Gruppe von API-Anbietern.

Sie schaffen jedoch auch andere Sicherheitsbedingungen. Ein geschlossener Anbieter kann die Nutzung überwachen, Schutzmaßnahmen aktualisieren, Konten beschränken und ein Modell nach der Veröffentlichung patchen. Diese Kontrollen sind unvollkommen, stehen aber weiterhin zur Verfügung.

Eine Open-Weight-Veröffentlichung lässt sich nur schwer rückgängig machen. Sobald Nutzer die Gewichte kopiert haben, kann der ursprüngliche Entwickler nicht zuverlässig jede Version zurückziehen oder eine neue Schutzmaßnahme durchsetzen. Der internationale Sicherheitsbericht bezeichnet diese Unumkehrbarkeit als zentrale Governance-Herausforderung.

Befürworter der Ausnahme argumentieren, dass offene Modelle keine Regeln übernehmen sollten, die für zentral gehostete kommerzielle Systeme konzipiert wurden. Verpflichtender Zugang vor der Veröffentlichung könnte Forschung abschrecken, große etablierte Unternehmen verfestigen und die Entwicklung aus den Vereinigten Staaten verdrängen.

Kritiker entgegnen, dass die Verteilungsmethode das Fähigkeitsrisiko nicht aufhebt. Ein Modell, das fortgeschrittene Cyberoperationen unterstützt, bleibt relevant, unabhängig davon, ob Nutzer über eine API darauf zugreifen oder seine Gewichte herunterladen.

Beide Argumente haben Gewicht, doch eine absolute Ausnahme nach Kategorien ist eine grobe Antwort. Eine fähigkeitsbasierte Prüfung könnte offene und geschlossene Modelle unterschiedlich behandeln, ohne eine Kategorie als harmlos zu behandeln.

Beispielsweise könnten Evaluierende ein offenes Modell vor der Veröffentlichung untersuchen und dabei Kontrollen anwenden, die auf irreversible Verteilung zugeschnitten sind. Die Minderung könnte Gewichtssicherheit, eine schrittweise Veröffentlichung, Hardwareanforderungen oder das Zurückhalten einer gefährlichen Fähigkeit betonen.

Geschlossene Systeme könnten anderen Maßnahmen unterliegen. Anbieter könnten Überwachung, Ratenbegrenzungen, Kontrollen für Konten oder serverseitige Filter ergänzen. Dasselbe Testergebnis erfordert nicht bei allen Veröffentlichungsarten dieselbe Minderung.

Das berichtete Rahmenwerk scheint stattdessen Architektur und Verteilung bereits in der Phase der Zulässigkeit entscheidend zu machen. Das birgt den Anreiz, eine Veröffentlichung als offen zu beschreiben, während schwierige Fragen zu Fähigkeitsgrenzen ungelöst bleiben.

Es verkompliziert auch den Wettbewerb. Meta hat offene Modelle stark beworben, während Anthropic für strengere Kontrollen der leistungsfähigsten Systeme plädiert hat. Google unterstützt offene Veröffentlichungen in einigen Produktfamilien, hält seine fortschrittlichsten Systeme jedoch kontrolliert. Amazon vertreibt über AWS sowohl proprietäre als auch frei verfügbare Modelle.

Diese gemischten Strategien machen eine einfache Unternehmens-gegen-Unternehmen-Erzählung irreführend. Die entscheidende Trennlinie verläuft durch einzelne Unternehmen und Produktlinien.

Die Cloud-Geschäfte von amazon google veranschaulichen das praktische Problem. Unternehmenskunden nutzen Modelle nicht unter einer einheitlichen Veröffentlichungsstruktur. Sie vergleichen verwaltete APIs, herunterladbare Gewichte, feinabgestimmte Systeme und Drittmodelle, die über Cloud-Marktplätze verfügbar sind.

Ein Rahmenwerk, das einen Verteilungsweg prüft, einen anderen jedoch ignoriert, kann zu inkonsistenter Absicherung führen. Ein Beschaffungsteam könnte die staatliche Beteiligung als Beleg dafür ansehen, dass ein geschlossenes Modell stärker geprüft wurde, nicht unbedingt dafür, dass es weniger Risiko birgt.

Die Ausnahme betrifft auch den internationalen Wettbewerb. Außerhalb der Vereinigten Staaten entwickelte offene Modelle können sich rasch verbreiten und die heimische Forschung in Ländern unterstützen, die nur eingeschränkten Zugang zu amerikanischen Chips oder Diensten haben.

Das Weiße Haus scheint die breite Verfügbarkeit offener Modelle als Teil des strategischen Wettbewerbs mit China zu betrachten. Kritiker sehen das gegenteilige Risiko: Ein fortschrittliches herunterladbares System kann Fähigkeiten über die Reichweite amerikanischer Anbieter hinaus übertragen.

Eine einfache politische Lösung gibt es nicht. Die Regierung muss entscheiden, wie viel irreversible Verbreitung sie für mehr Innovation und geopolitische Reichweite akzeptieren will.

Das derzeitige Rahmenwerk entscheidet sich Berichten zufolge für Reichweite, indem es offene Modelle ausschließt. Weil die operativen Kriterien geheim bleiben, kann die Öffentlichkeit nicht erkennen, ob Beamte eine Fähigkeitsobergrenze festgelegt oder die Kategorie schlicht vor dem Tor gelassen haben.

Diese Unsicherheit ist folgenreicher als jeder einzelne Benchmark. Die nach der Veröffentlichung am schwersten kontrollierbaren Systeme könnten vor der Veröffentlichung der am wenigsten sichtbaren Bundesprüfung unterliegen.

Freiwillige Prüfung kann den KI-Markt dennoch umgestalten

Der kommerzielle Einfluss des Rahmenwerks wird weniger von formaler Durchsetzung als von Beschaffung, Reputation und Zugang zu staatlicher Expertise abhängen.

Ein freiwilliges Programm führt keine herkömmliche Lizenzpflicht ein. Unternehmen können theoretisch ohne Einreichung eines Modells starten, sofern kein anderes Gesetz die Veröffentlichung verhindert.

Märkte bewahren diese klare Unterscheidung selten. Unternehmenskäufer machen technische Signale zu Beschaffungsanforderungen. Versicherer fragen, ob Anbieter anerkannte Praktiken befolgt haben. Vorstände wollen Belege dafür, dass ein Lieferant Risiken für nationale Sicherheit und Cybersicherheit antizipiert hat.

Die Teilnahme könnte daher zu einem Wettbewerbsausweis werden. Ein Unternehmen könnte Kunden mitteilen, dass es vor der Veröffentlichung mit Bundes-Evaluierenden zusammengearbeitet hat, selbst wenn die Regierung nie eine formelle Genehmigung erteilt hat.

Diese Sprache würde eine sorgfältige Kontrolle erfordern. „Geprüft“ bedeutet nicht „sicher“, und eine kurze Bewertung vor der Veröffentlichung kann nicht jeden Missbrauchspfad identifizieren. Die Regierung sollte verhindern, dass Entwickelnde die Teilnahme in eine irreführende staatliche Empfehlung verwandeln.

Eine Nichtteilnahme kann das gegenteilige Problem schaffen. Ein Startup verfügt möglicherweise nicht über das Rechtsteam, die sichere Umgebung oder die Regierungsbeziehungen, die zur Navigation durch das Verfahren nötig sind. Kunden könnten seine Abwesenheit als Sicherheitsversagen statt als Ressourcenbeschränkung interpretieren.

Große Unternehmen haben unter diesen Bedingungen klare Vorteile. Amazon, Google, Microsoft, Meta, OpenAI und Anthropic unterhalten bereits Sicherheitsteams und Beziehungen zu Bundesbehörden. Sie können kontrollierten Zugang zu unveröffentlichten Modellen leichter unterstützen als ein kleineres Labor.

Das Prüfverfahren könnte Startups dennoch helfen, wenn die Regierung Testexpertise kostenlos bereitstellt und proprietäre Informationen schützt. Gemeinsame Bewertungsressourcen würden die Notwendigkeit verringern, dass jeder Entwickler ein kostspieliges internes Programm aufbaut.

Die unveröffentlichten Regeln machen diesen Nutzen ungewiss. Kleinere Unternehmen müssen Teilnahmevoraussetzungen, Antragsverfahren, technische Voraussetzungen und Datenschutzvorkehrungen kennen, bevor sie ihre Teilnahme planen können.

Cloud-Anbieter werden indirekten Druck spüren. AWS, Google Cloud und Microsoft Azure hosten Modelle mehrerer Entwickelnder. Kunden könnten sie bitten, festzuhalten, ob ein Modell einer Bundesprüfung unterzogen wurde, welche Version getestet wurde und ob spätere Feinabstimmungen sein Risikoprofil verändert haben.

Versionierung ist besonders wichtig. Ein Sicherheitsergebnis gilt für eine bestimmte Modellkonfiguration, ein bestimmtes Toolset und eine bestimmte Bereitstellungsumgebung. Die Verbindung desselben Modells mit Codeausführung oder sensiblen Datenbanken kann seine effektive Fähigkeit verändern.

Unternehmen sollten das Rahmenwerk daher nicht als Ersatz für ihre eigenen Kontrollen behandeln. Sie benötigen weiterhin Zugriffsmanagement, Protokollierung, Tests, Reaktion auf Vorfälle und Beschränkungen dafür, welche Daten ein KI-System abrufen darf.

Wissensarbeitende stehen vor einem verwandten Problem. Ein Modell kann Frontier-Cybertests bestehen und dennoch für vertrauliche Dokumente, regulierte Aufzeichnungen oder automatisierte Geschäftsentscheidungen ungeeignet sein. Die Überprüfung der nationalen Sicherheit und die Absicherung in Unternehmen beantworten unterschiedliche Fragen.

Teams, die Systeme vergleichen, können eine strukturierte KI-Wissensdatenbank nutzen, um Model Cards, Bewertungsergebnisse, Richtlinien und Vorfallsaufzeichnungen zu bewahren. Diese Dokumentation wird wertvoller, wenn öffentliche Informationen über die Bundesprüfung begrenzt bleiben.

Kunden von Amazon Google sollten auch auf vertragliche Änderungen achten. Cloud-Vereinbarungen könnten beginnen, geprüfte von ungeprüften Modellen oder verwaltete Systeme von herunterladbaren Gewichten zu unterscheiden. Anbieter könnten neue Zusicherungen zur Teilnahme an Bewertungen ergänzen, ohne ein Ergebnis zu garantieren.

Wettbewerbsbehörden sollten überwachen, ob privilegierter Zugang unfaire Vorteile schafft. Ein von etablierten Laboren dominiertes Verfahren könnte ihnen helfen, Schwellenwerte zu gestalten, die ihrer eigenen Architektur, Personalstruktur und Veröffentlichungspraxis entsprechen.

Unabhängige Evaluatoren bieten ein teilweises Gegengewicht. Ihre Einbeziehung kann die Fachkompetenz erweitern und den Eindruck verringern, dass Regierung und führende Unternehmen einander hinter verschlossenen Türen überprüfen.

Unabhängigkeit erfordert mehr als den Namen einer neuen Organisation. Evaluatoren benötigen stabile Finanzierung, geschützten Zugang, klare Regeln zu Interessenkonflikten und die Freiheit, schwerwiegende Meinungsverschiedenheiten zu berichten. Andernfalls bleiben sie Auftragnehmer, deren Zugang von den von ihnen bewerteten Stellen abhängt.

Der Rahmen kann nützlich werden, ohne verpflichtend zu sein. Er kann eine gemeinsame Sprache schaffen, sensible Tests unterstützen und Bedrohungen identifizieren, die kein einzelnes Unternehmen erkennt.

Er kann sich jedoch auch zu einem privaten Standard verhärten, der etablierte Akteure begünstigt. Die Veröffentlichung von Governance-Regeln würde helfen zu klären, welchen Weg das Programm einschlägt.

Drei Signale werden zeigen, ob der Rahmen Vertrauen verdient

Der nächste Test ist keine weitere Erklärung des Weißen Hauses. Entscheidend ist, ob der Prozess zu konsistenter Beteiligung, glaubwürdiger Prüfung und einer vertretbaren Politik für offene Modelle führt.

Das erste Signal ist ein öffentliches Governance-Dokument. Die Regierung sollte offenlegen, wer die Prüfungen leitet, wie Modelle qualifiziert werden, wie Interessenkonflikte behandelt werden und was Entwickler nach einer schwerwiegenden Feststellung tun müssen.

Diese Offenlegung muss keine geheimdienstlich eingestuften Benchmarks preisgeben. Sollte sie erfolgen, würde sie das Argument stärken, dass Geheimhaltung auf echte Sicherheitsdetails beschränkt bleibt. Anhaltendes Schweigen würde hingegen die Kritik bekräftigen, dass der gesamte Entscheidungsprozess der öffentlichen Kontrolle entzogen ist.

Das zweite Signal sind Belege aus den ersten abgeschlossenen Prüfungen. Behördenvertreter sollten aggregierte Ergebnisse berichten, einschließlich der Zahl der Systeme, die den Prozess durchlaufen haben, und wie häufig Evaluatoren Maßnahmen zur Risikominderung verlangten.

Ein modellspezifischer Bericht könnte vor der Einführung unmöglich sein. Eine anonymisierte Zusammenfassung könnte dennoch zeigen, dass der Rahmen Veröffentlichungsentscheidungen verändert, statt großen Unternehmen lediglich vertrauliche Briefings zu geben.

Leser sollten auf die Formulierungen der Entwickler achten. „An der Prüfung teilgenommen“ ist eine sachliche Aussage über den Prozess. „Von der Regierung genehmigt“ würde eine Schlussfolgerung nahelegen, die das Programm möglicherweise gar nicht liefern soll.

Das dritte Signal ist der Umgang der Regierung mit Open-Weight-Systemen. Behördenvertreter müssen erklären, ob die Ausnahme dauerhaft gilt, an Fähigkeiten gebunden ist oder einem separaten Bewertungsweg unterliegt.

Ein separater Weg würde die risikobasierte Logik des Rahmens stärken. Er würde anerkennen, dass offene und geschlossene Systeme unterschiedliche Minderungsmaßnahmen benötigen, und zugleich die Annahme zurückweisen, dass ein Verteilungsmodell keiner Prüfung bedarf.

Eine dauerhafte pauschale Ausnahme würde die nationale Sicherheitsargumentation der Regierung schwächen. Sie würde irreversible Veröffentlichungen außerhalb des Programms belassen, obwohl Behördenvertreter fortgeschrittene Cyberfähigkeiten als Grund für das Eingreifen des Bundes nennen.

Amazon und Google werden alle drei Signale mitprägen – durch direkte Beteiligung, öffentliche Stellungnahmen, Cloud-Richtlinien oder eigene Sicherheitsveröffentlichungen. Ihre bestehenden Rahmenwerke geben Behördenvertretern Beispiele dafür, wie sich Governance-Prinzipien veröffentlichen lassen, ohne sensible Tests offenzulegen.

Andere Unternehmen sind ebenso wichtig. Anthropics Unterstützung für strengere Schutzmaßnahmen für Frontier-Modelle, Metas Verteidigung offener Modelle und OpenAIs Forderung nach breiter Einbindung von Interessengruppen definieren die politischen Grenzen rund um den Prozess des Weißen Hauses.

Die Regierung sollte vermeiden, Meinungsverschiedenheiten als Beleg dafür darzustellen, dass eine Seite Sicherheit ablehnt. Entwickler sind sich uneinig darüber, wo Risiken entstehen, welche Kontrollen funktionieren und wie Regulierung den Wettbewerb beeinflusst. Das sind substanzielle Streitfragen, mit denen sich ein glaubwürdiger Rahmen auseinandersetzen muss.

Unternehmen sollten den Prozess verfolgen, ohne auf ein endgültiges staatliches Label zu warten. Sie können Anbieter fragen, welche Modellversion bewertet wurde, welchen Zugang Evaluatoren erhielten und ob die Bereitstellung Fähigkeiten umfasst, die in der getesteten Konfiguration fehlten.

Sicherheitsteams sollten außerdem Dokumentation zu Änderungen nach der Veröffentlichung anfordern. Ein Modell, das mit externen Tools, lokalen Dateien oder privilegierten Systemen verbunden ist, benötigt neue Tests – selbst wenn seine Basisversion eine Bundesprüfung durchlaufen hat.

Wissensarbeiter können dieselbe Disziplin in kleinerem Maßstab anwenden. Halten Sie fest, welches Modell eine Aufgabe bearbeitet hat, auf welche Informationen es zugegriffen hat und welche Aussagen eine menschliche Überprüfung erfordern. Eine durchsuchbare Wissensdatenbank hilft dabei, diese Entscheidungen mit den sie stützenden Belegen zu verknüpfen.

Die Geschichte um Amazon und Google handelt daher nicht davon, ob zwei Technologieunternehmen Sicherheit unterstützen. Beide haben bereits öffentliche Zusagen gemacht und interne Rahmenwerke entwickelt. Die ungeklärte Frage ist, ob Washington private Zusammenarbeit in einen Prozess überführen kann, den Außenstehende bewerten können.

Vertrauliche Tests und demokratische Rechenschaftspflicht schließen einander nicht aus. Die Regierung kann Exploits, klassifizierte Geheimdienstinformationen und unveröffentlichte Modelldetails schützen und gleichzeitig Zuständigkeiten, Verfahren und aggregierte Ergebnisse veröffentlichen.

Bis diese Trennung sichtbar wird, wird der geheime Rahmen des Weißen Hauses zwei konkurrierende Identitäten tragen. Er ist ein potenziell nützlicher Kanal zum Testen gefährlicher Fähigkeiten – und ein intransparentes Tor mit wachsendem Einfluss auf Modellveröffentlichungen.

Die nächsten ein bis drei Monate sollten zeigen, welche Identität überwiegt. Achten Sie auf veröffentlichte Governance-Regeln, messbare Prüfungsergebnisse und eine kohärente Politik für offene Modelle. Diese Signale werden zeigen, ob die Sicherheitspraktiken von Amazon und Google zu einem glaubwürdigen nationalen Standard beitragen oder lediglich eine weitere private Vereinbarung umgeben.