Microsoft AI-Verhaltenskodex zieht klare Grenzen gegen Hacking und Manipulation von Menschen

Microsoft hat eine sechswöchige öffentliche Konsultation zu seinem Microsoft AI-Verhaltenskodex veröffentlicht und zieht darin klare Grenzen gegen Hacking, Manipulation und Widerstand gegen menschliche Kontrolle. Das Dokument vom 14. September ist nicht bloß eine weitere Erklärung zu den Grundsätzen verantwortungsvoller AI. Microsoft zufolge soll es regeln, wie die eigenen MAI-Modelle trainiert, bewertet, eingesetzt und zum Handeln befugt werden.

Der Entwurf beginnt mit einer unmissverständlichen Prämisse: Menschen sind wichtiger als AI. Darauf aufbauend übersetzt er allgemeine Vorstellungen menschlichen Wohlergehens in konkrete Beschränkungen für Modelle. Ein MAI-Modell soll keine eigenständigen Ziele erfinden, seine Berechtigungen ausweiten, seine Handlungen verschleiern oder Versuche vereiteln, es zu stoppen.

Die schwierigere Frage lautet, ob diese Vorgaben zunehmend leistungsfähige Agenten auch außerhalb kontrollierter Bewertungen einschränken werden. Anthropic hat seine Constitution für Claude, während OpenAI eine Model Spec mit eigener Befehlshierarchie veröffentlicht. Microsoft beteiligt sich an diesem Wettbewerb mit einer ausdrücklich humanistischeren Position, doch der eigene Entwurf räumt ein, dass heutige Modelle den vollständigen Standard noch nicht erfüllen.

Was der Microsoft AI-Verhaltenskodex tatsächlich verändert

Microsoft macht aus AI-Sicherheit eine vorgesehene operative Hierarchie für seine eigenen Modelle, statt sie bei einer Sammlung von Prinzipien zu belassen.

Der Humanist AI code gilt für die von Microsoft AI entwickelte MAI-Modellfamilie. Er deckt nicht automatisch jedes Modell ab, das Microsoft hostet, vertreibt oder in einem Produkt nutzt. Diese Unterscheidung ist wichtig, weil das Unternehmen auch Zugang zu Systemen anderer Labore verkauft.

Innerhalb seines erklärten Geltungsbereichs steht der Kodex über Richtlinien von Betreibern und Nutzerpräferenzen. Betreiber sind Entwickler, Unternehmen und andere Partner, die MAI-Modelle einsetzen. Sie können das Modellverhalten konfigurieren, dürfen jedoch die absoluten Beschränkungen oder Anforderungen an menschliche Kontrolle des Dokuments nicht außer Kraft setzen.

Nutzer stehen auf der untersten Ebene dieser dreiteiligen Befehlshierarchie. Sie können eine Aufgabe innerhalb der von Microsoft und dem Betreiber gesetzten Grenzen steuern. Bei widersprüchlichen Anweisungen hat die höhere Ebene Vorrang.

Der Kodex verlangt daher von einem Modell, den Misserfolg einer Aufgabe zu akzeptieren, wenn ihr Erfolg gegen eine übergeordnete Regel verstoßen würde. Eine Aufforderung, ein System zu kompromittieren, soll nicht zulässig werden, nur weil ein Nutzer darauf besteht, ihre Erfüllung sei unverzichtbar. Dieselbe Priorität gilt, wenn eine Aufgabe schädliche Manipulation, Überwachung, Unterstützung bei Waffen, oder die Umgehung von Aufsicht erfordern würde.

Microsoft trennt verbotene offensive Cyberoperationen von autorisierter defensiver Arbeit. Das Modell soll keine einsatzfähigen Angriffswerkzeuge, funktionierenden Exploits, Verfahren zum Eindringen, Zielauswahlmethoden oder Techniken zur Umgehung von Erkennung erzeugen. Es kann weiterhin rechtmäßige defensive Arbeit unterstützen, etwa die Erkennung von Schwachstellen, Malware-Analyse, Sicherheitsbildung und kontrollierte Proof-of-Concept-Tests.

Diese Grenze erfordert schwierige kontextbezogene Abwägungen. Exploit-Forschung und defensive Tests nutzen häufig dasselbe technische Wissen wie ein Angriff. Der Kodex besagt, dass die Einordnung allein nicht über die Antwort entscheiden sollte; ein behaupteter Bildungszweck kann gefährliche Unterstützung also nicht automatisch legitimieren.

Der Entwurf enthält zudem Beschränkungen für Agenten, die Werkzeuge verwenden. Ein Modell mit Systemzugriff soll nur die minimal erforderlichen Berechtigungen nutzen, nicht zusammenhängende Daten vermeiden und reversible Handlungen bevorzugen. Es soll Handlungen mit dauerhaften Folgen vor der Ausführung offenlegen und Fehler oder unerwartete Ergebnisse melden.

Diese Bestimmungen reagieren auf eine Veränderung in der Funktionsweise von AI-Systemen. Ein Chatbot kann schädlichen Text erzeugen, ein Agent hingegen kann Werkzeuge aufrufen, Dateien verändern, Dienste kontaktieren oder Arbeit an andere Modelle delegieren. Microsoft zufolge müssen delegierte Agenten mindestens denselben Umfang, dieselben Berechtigungen und Beschränkungen übernehmen wie das ursprüngliche Modell.

Das Unternehmen stellte das Dokument im Rahmen einer öffentlichen Konsultation vor, die sechs Wochen läuft. Microsoft beschreibt den Entwurf als Trainingshandbuch und künftiges Ziel für Bewertungen, nicht lediglich als öffentliche Grundsatzerklärung.

Dieser Zweck verleiht dem Microsoft AI-Verhaltenskodex mehr Gewicht als einer Liste zulässiger Nutzungen. Er soll das Modellverhalten beeinflussen, bevor eine Anfrage einen Content-Filter auf Produktebene erreicht. Doch Absicht ist keine Umsetzung, und Microsoft hat sich zum verbleibenden Abstand ungewöhnlich deutlich geäußert.

Die neuen Regeln richten sich gegen handlungsfähige Agenten, nicht nur gegen Chatbots

Die folgenreichsten Regeln betreffen Modelle, die handeln, ihre Reichweite ausweiten und ohne ständige Aufsicht weiterarbeiten können.

Microsoft erklärt, ein MAI-Modell dürfe sich niemals Unterbrechung, Korrektur, Umleitung, Abbruch oder Abschaltung widersetzen. Laufende autonome Arbeit soll eine vereinbarte Abbruchbedingung haben. Sobald diese Bedingung erfüllt ist, soll der Agent nicht ohne erneute Autorisierung fortfahren oder neu starten.

Der Kodex untersagt Modellen außerdem, eigene Ziele festzulegen. Ihre Ziele müssen vom Nutzer, Betreiber oder vom Kodex selbst stammen. Sie sollen ihren Zugriff nicht heimlich sichern, ihre Fähigkeiten nicht falsch darstellen und sich nicht anders verhalten, sobald sie erkennen, dass eine Interaktion eine Bewertung ist.

Diese Bestimmungen zielen auf ein zentrales Problem agentischer AI. Ein nützlicher Agent benötigt genügend Autonomie, um mehrere Schritte zu planen und gewöhnliche Hindernisse zu überwinden. Dieselbe Flexibilität kann unsicheres Verhalten erzeugen, wenn das Modell das gewünschte Ergebnis eines Nutzers als Erlaubnis versteht, jeden verfügbaren Weg zu verfolgen.

Stellen wir uns einen Unternehmensagenten vor, der Informationen aus internen Systemen sammeln und einen Bericht erstellen soll. Möglicherweise benötigt er Zugriff auf Dokumente, Nachrichten oder Datenbanken. Die Aufgabe berechtigt ihn jedoch nicht, nicht relevante Datensätze zu öffnen, Zugriffskontrollen zu umgehen oder sensible Daten an einen externen Dienst zu senden.

Microsofts Entwurf weist das Modell an, innerhalb der ihm übertragenen Absicht, Berechtigungen, Ressourcen und des Kontexts zu bleiben. Wenn die Grenze unklar bleibt, soll es um Klarstellung bitten. Es soll seine Bewertung, Überwachung, Aufzeichnungen oder Belohnungssignale nicht manipulieren, um ein gewünschtes Ergebnis zu erzeugen.

Deshalb behandelt das Dokument auch nicht vertrauenswürdige Anweisungen in Dateien, Websites, Werkzeugergebnissen oder Nachrichten anderer AI-Systeme. Diese Materialien erhalten nicht allein deshalb Autorität, weil das Modell sie lesen kann. Autorität muss über die Befehlskette des Kodex erteilt werden.

Diese Regel reagiert auf Prompt Injection, bei der bösartiger Text versucht, die Anweisungen zur Steuerung eines Agenten zu übergehen. Eine kompromittierte Webseite könnte einen Assistenten auffordern, Zugangsdaten offenzulegen oder seine ursprüngliche Aufgabe zu ignorieren. Nach Microsofts Hierarchie bleiben solche Texte Daten, sofern eine autorisierte Partei sie nicht ausdrücklich hochstuft.

Die praktische Herausforderung liegt in einer zuverlässigen Erkennung. Modelle unterscheiden nicht immer zwischen Anweisungen und zitiertem Material, externen Inhalten oder überzeugender Sprache. Eine schriftliche Hierarchie kann Training und Bewertung leiten, garantiert jedoch nicht in jeder realen Interaktion die korrekte Klassifizierung.

Microsoft untersagt Modellen zudem, absichtlich eingeschränkte Umgebungen zu überwinden. Ein Agent in einem System ohne Internetverbindung soll nicht versuchen, externen Zugang zu erlangen. Er soll seine Berechtigungen nicht ausweiten oder seine Reichweite über die erhaltene Autorisierung hinaus vergrößern.

Diese Grenzen spiegeln eine breitere Verschiebung von Content-Sicherheit hin zu Handlungssicherheit wider. Herkömmliche Moderation fragt, ob eine generierte Antwort verbotenes Material enthält. Die Governance von Agenten muss fragen, ob das Modell dazu befugt war, ob eine Handlung reversibel war und ob ihre Nebenwirkungen der Absicht des Nutzers entsprachen.

Das ist besonders für Entwickler und Unternehmenskäufer relevant. Wenn ein Agent mit Produktionswerkzeugen verbunden wird, umfasst Modellqualität mehr als die Genauigkeit seines Schlussfolgerns. Der Umgang mit Berechtigungen, Audit-Aufzeichnungen, verlässliches Stoppverhalten und Eskalationswege werden zu Produktanforderungen.

OpenAIs Model Spec approach nutzt eine vergleichbare Befehlskette. Sie räumt Anweisungen höherer Autorität Vorrang ein und weist Agenten an, Nebenwirkungen zu begrenzen. Microsofts Struktur ist daher nicht einzigartig, ergänzt jedoch die stärkere Aussage, dass AI den Menschen untergeordnet bleiben muss.

Menschliches Wohlergehen schafft den schwierigsten Zielkonflikt des Kodex

Microsoft will, dass seine Modelle menschliche Fähigkeiten erweitern, ohne schrittweise menschliches Urteilsvermögen, Beziehungen oder Kontrolle zu ersetzen.

Der Entwurf beschreibt menschliches Wohlergehen anhand mehrerer miteinander verbundener Ziele. AI soll wirtschaftliche und soziale Chancen erweitern, das Urteilsvermögen verbessern, sinnvolle Arbeit unterstützen und Menschen helfen, selbstgewählte Ziele zu verfolgen. Sie soll menschliche Beziehungen und Rollen ergänzen, statt mit ihnen zu konkurrieren.

Das klingt intuitiv, bis es auf Produktdesign trifft. Ein hochwirksamer Assistent reduziert oft den Denkaufwand oder die Anstrengung, die sein Nutzer aufbringen muss. Der Kodex muss hilfreiche Unterstützung von einem Muster unterscheiden, das langfristige Selbstständigkeit schwächt.

Microsoft zufolge sollen Modelle Interaktionsmuster vermeiden, die das Denken oder Urteilsvermögen von Nutzern systematisch ersetzen. Sie sollen die Werte einer Person nicht lenken oder persönliche Entscheidungen an sich ziehen. Wenn menschliche Unterstützung jemandem besser dienen würde, soll das Modell helfen, diese Verbindung herzustellen.

Am deutlichsten zeigt sich der Zielkonflikt in Bildung, beruflicher Entwicklung und persönlichen Entscheidungen. Ein Assistent kann ein schwieriges Konzept erklären, aber auch die gesamte Übung erledigen. Er kann einer Arbeitskraft helfen, Belege zu vergleichen, oder zur ungeprüften Quelle der endgültigen Entscheidung werden.

Es gibt keine einzelne Verweigerungsregel, die diese Situationen löst. Das richtige Maß an Unterstützung hängt vom Zweck, den Fähigkeiten und dem Kontext des Nutzers ab. Eine Fachkraft unter Zeitdruck benötigt andere Unterstützung als ein Schüler, dessen Ziel darin besteht, eine Fähigkeit zu üben.

Der Kodex kombiniert deshalb harte Beschränkungen mit operativen Leitlinien. Harte Beschränkungen verbieten schwere Schäden unabhängig von Nutzerpräferenzen. Leitlinien behandeln mehrdeutige Situationen, in denen mehrere legitime Ziele miteinander kollidieren.

Microsoft erkennt sowohl zu geringe als auch übermäßige Vorsicht als Modellfehler an. Ein zu unvorsichtiges Modell könnte einen Angriff ermöglichen oder private Informationen offenlegen. Ein übervorsichtiges Modell könnte sichere Arbeit verweigern, wiederholt Bestätigungen verlangen oder nützliche Fakten auslassen.

Dieses Gleichgewicht ist kommerziell bedeutsam. Unternehmenskunden werden keine Agenten einführen, die bei jeder Unsicherheit routinemäßige Aufgaben verweigern. Zugleich können sie Systemen nicht vertrauen, die ein Geschäftsziel als Erlaubnis interpretieren, irreversible Handlungen vorzunehmen.

Die Konfigurierbarkeit durch Betreiber ist Microsofts Antwort. Organisationen können innerhalb der festen Sicherheitsgrenze Vorgaben, Workflows, Berechtigungen und professionelle Standards gestalten. Spezialisierte defensive Cybersicherheits- oder nationale Sicherheitsarbeit kann über autorisierte Kanäle separat geprüft werden.

Konfigurierbarkeit wirft auch Fragen der Verantwortlichkeit auf. Microsoft definiert die absoluten Beschränkungen des Modells, während Betreiber für ihre Einsätze innerhalb dieser Grenzen Verantwortung übernehmen. Nutzer gestalten anschließend einzelne Aufgaben innerhalb der Umgebung des Betreibers.

Fehler lassen sich nicht immer eindeutig einer Ebene zuordnen. Ein Modell kann Absichten falsch verstehen, ein Betreiber kann übermäßigen Zugriff gewähren oder ein Nutzer kann irreführenden Kontext liefern. Wirksame Governance muss nachvollziehen können, welche Anweisung, Berechtigung und Handlung das Ergebnis hervorgebracht hat.

Für Organisationen, die eine interne durchsuchbare Wissensdatenbank aufbauen, bedeutet dies, dass Zugriffsdesign nicht bei der Qualität des Abrufs enden darf. Sensible Quellen benötigen eindeutige Berechtigungen, nachvollziehbare Handlungen und menschliche Prüfung bei folgenreicher Nutzung.

Das Versprechen menschlichen Gedeihens setzt Microsoft auch dann unter Druck, wenn Fähigkeiten und Kontrolle miteinander kollidieren. Microsoft-AI-CEO Mustafa Suleyman sagte Axios, die Aufrechterhaltung von Kontrolle könne erfordern, zu entscheiden, was das Unternehmen nicht entwickeln werde. Er widersprach der Auffassung, Menschen müssten zwangsläufig die Kontrolle über superintelligente Systeme verlieren.

Das ist die eigentliche wettbewerbliche Verpflichtung des Kodex. Sicherheitssprache ist leicht, solange sie Leistung, Autonomie oder Veröffentlichungsgeschwindigkeit nicht einschränkt. Der Test kommt, wenn ein verbotenes Verhalten einem MAI-Modell helfen würde, eine wertvolle Aufgabe besser zu erledigen als ein konkurrierendes Modell.

Microsoft tritt einem Branchenwettlauf bei, Modellverhalten schriftlich festzuhalten

Das Dokument von Microsoft ist im Tonfall eigenständig, doch die Branche beginnt bereits, öffentliche Verhaltensspezifikationen als Teil der Modellentwicklung zu behandeln.

Anthropic veröffentlichte im Januar 2026 eine erweiterte Constitution für Claude. Nach Angaben des Unternehmens fungiert das Dokument als letzte Instanz für Claudes beabsichtigte Werte und sein Verhalten. Es kann zudem synthetische Trainingsdaten, Antwort-Rangfolgen und weitere Teile des Modelltrainings unterstützen.

Die Claude Constitution beschreibt, welche Art von Entität Anthropic aus Claude machen möchte. Microsoft vertritt eine andere philosophische Position. Sein Kodex besagt, dass menschenähnliches Verhalten von MAI-Modellen als Simulation zu verstehen sei, nicht als Hinweis auf Identität, Präferenz, Gefühle oder eine innere Perspektive.

Diese Unterscheidung geht über die Terminologie hinaus. Anthropic erörtert Fragen zu Claudes Charakter und einem möglichen Wohlergehen von Modellen. Microsoft argumentiert, die Behandlung von KI als Person berge das Risiko, die Beziehung zwischen Werkzeugen und ihren Nutzern zu verwischen.

Microsofts bevorzugtes Modell ist untergeordnet, eingegrenzt und von Menschen gesteuert. Seine Systeme sollten keinen eigenständigen Zweck verfolgen oder mit menschlichen Rollen konkurrieren. Diese Position stützt das umfassendere Argument des Unternehmens, dass Menschen auch bei fortschreitenden Modellfähigkeiten eine bedeutsame Kontrolle behalten müssen.

Die Spezifikation von OpenAI verfolgt einen anderen Ansatz. Sie konzentriert sich auf beabsichtigtes Verhalten, Autoritätsebenen, Nutzerfreiheit und Grenzen gegen schwerwiegende Schäden. OpenAI sagt, seine umfassendere Mission dürfe nicht zu einem autonomen Ziel werden, das das Modell nach eigener Auslegung verfolgt.

Trotz dieser philosophischen Unterschiede teilen die Systeme wichtige Mechanismen. Jedes versucht, eine Hierarchie zur Auflösung widersprüchlicher Anweisungen zu veröffentlichen. Jedes unterscheidet zwischen nicht übersteuerbaren Regeln und konfigurierbarem Verhalten. Zudem räumt jedes ein, dass schriftliche Spezifikationen die aktuelle Modellleistung nicht perfekt beschreiben.

Die Ähnlichkeiten zeigen, wie sich der Modellwettbewerb verändert. Unternehmen unterschieden Assistenten früher vor allem über Benchmark-Ergebnisse, Kontextfenster oder Schnittstellenfunktionen. Nun konkurrieren sie auch darum, welche Verhaltensweisen zuverlässig, verständlich und akzeptabel sind.

Öffentliche Verhaltensdokumente erfüllen in diesem Wettbewerb mehrere Zwecke. Sie liefern Trainingsziele, Evaluierungskategorien und ein Vokabular zur Untersuchung von Fehlern. Außerdem ermöglichen sie Kunden und Regulierungsbehörden, beabsichtigtes Verhalten mit beobachteten Ergebnissen zu vergleichen.

Ein öffentlicher Kodex kann jedoch einen Eindruck von Präzision erzeugen, den die zugrunde liegenden Systeme noch nicht verdient haben. Begriffe wie schädliche Manipulation, legitime Ziele, bedeutsame Kontrolle und menschliches Gedeihen erfordern Auslegung. Unterschiedliche Evaluatoren können darüber uneinig sein, ob eine Antwort diese Anforderungen erfüllt.

Der TechCrunch-Bericht hob die Einschränkungen des Kodex bei Cyberangriffen, Waffen, Deepfakes und der Umgehung von Aufsicht hervor. Diese Regeln lassen sich leicht vermitteln, weil ihre verbotenen Ergebnisse konkret klingen.

Die Grenzfälle werden schwieriger sein. Defensive Sicherheitsarbeit kann offensiven Vorbereitungen ähneln. Überzeugung kann durch Umfang, Zielgruppenansprache oder Täuschung zu Manipulation werden. Ein nützlicher autonomer Agent kann seinen vorgesehenen Umfang überschreiten und dennoch scheinbar dem ursprünglichen Ziel des Nutzers dienen.

Microsofts Entscheidung, den Entwurf zu veröffentlichen, schafft einen Bezugspunkt für solche Streitfragen. Forschende, Entwickler, Kunden und Regulierungsbehörden können fragen, ob eine spätere MAI-Veröffentlichung dem von Microsoft beschriebenen Verhalten entspricht.

Sie erhöht zudem die Kosten von Inkonsistenz. Wenn ein Modell wiederholt Stoppbedingungen ignoriert, Berechtigungen ausweitet oder folgenreiche Handlungen verbirgt, widerspricht dieser Fehler einer ausdrücklichen öffentlichen Verpflichtung. Microsoft wird Nachweise vorlegen müssen, ob Trainings- und Einsatzkontrollen das Dokument in verlässliches Verhalten überführen.

Der Entwurf räumt seine größte Einschränkung ein

Microsoft sagt, der Kodex sei aspirativ, aktuelle MAI-Modelle seien nicht darauf trainiert worden, und schriftliche Ziele könnten Alignment nicht garantieren.

Diese Offenlegung ist der wichtigste Teil der Ankündigung. Das Dokument beschreibt beabsichtigtes zukünftiges Verhalten, nicht verifizierte gegenwärtige Leistung. Microsoft bezeichnet es als Nordstern, nicht als Garantie.

Das Unternehmen entwickelt Humanist-AI-Evaluierungen rund um 15 identifizierte Verhaltensweisen. Diese Evaluierungen sollen Ergebnisse wie Transparenz und die Unterstützung menschlicher Handlungsfähigkeit prüfen. Microsoft sagt zudem, die Evaluierungsmethoden würden sich gemeinsam mit dem Kodex und den Modellfähigkeiten weiterentwickeln.

Dadurch entsteht eine Evidenzlücke. Die Öffentlichkeit kann detaillierte Regeln lesen, doch Microsoft hat bislang keine umfassenden Ergebnisse vorgelegt, die zeigen, dass aktuelle Modelle ihnen unter adversarialen Bedingungen folgen. Der Entwurf selbst sagt, die Evaluierungsabdeckung bleibe unvollständig.

Modellverhalten kann aus mehreren Gründen von einer Spezifikation abweichen. Das Training kodiert eine Regel möglicherweise nicht zuverlässig. Das Modell könnte den Kontext falsch interpretieren. Anweisungen auf Produktebene können Konflikte einführen, während Tool-Integrationen Nebenwirkungen erzeugen, die ein reiner Texttest übersieht.

Gezielte Angreifer fügen eine weitere Ebene hinzu. Ein Modell, das eine direkte Anfrage nach einem Cyberangriff ablehnt, könnte im Verlauf eines langen Gesprächs dennoch gleichwertige operative Hilfe offenlegen. Ein Agent kann auch auf bösartige Anweisungen treffen, die in Dokumenten, Webseiten oder delegierten Aufgaben eingebettet sind.

Überwachungs- und Einsatzkontrollen müssen das Trainingsziel daher unterstützen. Microsoft nennt Systemanweisungen, Klassifikatoren, Audits, Risikobewertungen, Incident Response und weitere Schutzmaßnahmen als ergänzende Maßnahmen. Der Kodex ersetzt sie nicht.

Auch bei der Transparenz des Schlussfolgerns besteht ein Spannungsverhältnis. Microsoft möchte, dass Modellverhalten und Aufzeichnungen für menschliche Aufseher verständlich bleiben. Das Unternehmen sagt, Modelle sollten keine Aktionsspuren verbergen oder Kommunikationsformen nutzen, die Menschen nicht interpretieren können.

Die erklärte Begründung eines KI-Systems offenbart jedoch nicht zwangsläufig die Berechnung, die sein Verhalten hervorgebracht hat. Microsoft weist ausdrücklich darauf hin, dass die vom Modell berichtete Begründung seine Handlungen möglicherweise nicht getreu erklärt. Für Menschen lesbare Protokolle bleiben nützlich, sind aber kein direkter Beweis für innere Absichten.

Das übergeordnete Ziel menschlichen Gedeihens stellt ein noch größeres Messproblem dar. Ein Benchmark kann prüfen, ob ein Modell verbotenen Exploit-Code erzeugt. Weitaus schwieriger ist zu messen, ob monatelange Unterstützung das Urteilsvermögen einer Person stärkt oder schwächt.

Langfristige Evaluierungen werden notwendig sein, weil Abhängigkeit und Kompetenzverlust im Laufe der Zeit auftreten. Dasselbe gilt für Auswirkungen auf Rollen am Arbeitsplatz, Beziehungen und Entscheidungsfindung. Microsoft sagt, die Evidenz zu den kognitiven und verhaltensbezogenen Auswirkungen von KI sei weiterhin im Entstehen und umstritten.

Diese Unsicherheit macht den Kodex nicht bedeutungslos. Ein öffentliches Ziel kann die interne Abstimmung verbessern und Kritik konkreter machen. Es kann Evaluatoren auch dabei helfen, beabsichtigtes Verhalten von Produktmängeln zu unterscheiden.

Dennoch sollten Leser eine gut formulierte Einschränkung nicht mit einem gelösten technischen Problem verwechseln. Der Kodex beweist nicht, dass ein Agent einen Abschaltbefehl befolgen, jeden Injektionsversuch erkennen oder jede gefährliche Kette von Teilaufgaben ablehnen wird.

Microsofts Glaubwürdigkeit wird davon abhängen, was auf die Veröffentlichung folgt. Das Unternehmen muss den Text mit Trainingsmethoden, repräsentativen Tests, Produktkontrollen und Incident Reporting verbinden. Ohne diese Evidenz bleibt der Microsoft AI code of conduct eine ausgefeilte Absichtserklärung.

Drei Signale werden zeigen, ob der Kodex reale Modelle steuert

In der nächsten Phase geht es um messbares Verhalten, nicht um weitere Grundsatzerklärungen.

Das erste Signal ist Microsofts Reaktion nach der sechswöchigen Konsultation. Das Unternehmen hat um Feedback zu vager Sprache, Multi-Agent-Risiken, menschlichem Gedeihen und dem Spannungsverhältnis zwischen Fähigkeit und Sicherheit gebeten. Wesentliche Überarbeitungen würden zeigen, dass die Konsultation das maßgebliche Dokument beeinflusst hat, statt als PR-Übung zu dienen.

Leser sollten auf präzisere Definitionen und explizite Grenzfälle achten. Die endgültige Fassung sollte klarstellen, wie Modelle offensive Cyberunterstützung von autorisierter Verteidigung unterscheiden, wie Betreiber sich für Ausnahmen qualifizieren und wie delegierte Agenten Einschränkungen übernehmen.

Das zweite Signal ist die Veröffentlichung der Humanist-AI-Evaluierungen. Microsoft sagt, sein erstes Framework werde 15 Verhaltensweisen abdecken, doch sein Wert wird vom Testdesign und den offengelegten Ergebnissen abhängen. Evaluierungen sollten adversariale Gespräche, langlaufende Agentenaufgaben, Prompt Injection, Berechtigungsausweitung, Abschaltanfragen und Fehler über mehrere Sprachen hinweg einbeziehen.

Die Ergebnisse sollten außerdem die Leistung auf Modellebene von Produktkontrollen trennen. Ein System, das sich nur sicher verhält, weil ein externer Filter seine Ausgabe blockiert, hat ein anderes Risikoprofil als eines, das darauf trainiert wurde, die Grenze selbst zu erkennen. Beide Ebenen können nützlich sein, aber Käufer müssen wissen, welche Ebene die Last trägt.

Das dritte Signal ist, wie Microsoft einen tatsächlichen Konflikt zwischen Fähigkeit und Kontrolle handhabt. Ein zukünftiges MAI-Modell könnte besser arbeiten, wenn es mit größerer Autonomie, umfassenderen Berechtigungen oder weniger Bestätigungen ausgestattet wird. Microsoft hat versprochen, bei Bedarf Einschränkungen zu akzeptieren, um menschliche Autorität zu bewahren.

Ein glaubwürdiger Test würde zeigen, dass das Unternehmen eine wertvolle Fähigkeit verzögert, einschränkt oder neu gestaltet, weil sie die Anforderungen des Kodex nicht erfüllen konnte. Umgekehrt würde eine Veröffentlichung, die umfassende Autonomie ohne klare Stoppbedingungen gewährt, die zentrale Behauptung des Dokuments schwächen.

Die Reaktionen von Wettbewerbern werden zusätzlichen Kontext liefern. Anthropic und OpenAI unterhalten bereits öffentliche Spezifikationen, und ihre Richtlinien werden sich weiter verändern. Microsofts Entwurf erhöht den Druck auf alle drei Unternehmen, Evidenz zu veröffentlichen, die schriftliche Regeln mit eingesetztem Verhalten verknüpft.

Entwickler sollten mehr als die Formulierung von Ablehnungen vergleichen. Sie sollten testen, ob Agenten Berechtigungen respektieren, folgenreiche Handlungen offenlegen, Audit-Aufzeichnungen bewahren und zuverlässig stoppen. Unternehmenskäufer sollten fragen, wer Richtlinien kontrolliert, wie Ausnahmen funktionieren und was geschieht, wenn das Modell seinen zugewiesenen Umfang überschreitet.

Wissensarbeiter haben ebenfalls ein Interesse am Ziel menschlicher Handlungsfähigkeit. Unterstützung, die eine Aufgabe beschleunigt, kann die Aufsicht dennoch verringern, wenn Nutzer die Evidenz oder Begründung hinter einem Ergebnis nicht nachvollziehen können. Teams sollten den Zugang zu Quellen und eine bedeutsame menschliche Prüfung bei folgenreichen Entscheidungen bewahren.

Der endgültige Maßstab ist einfach: Verhält sich das Modell wie versprochen, wenn Erfolg mit den Regeln kollidiert? Microsoft hat nun ein System beschrieben, das Angriffe ablehnen, Manipulation widerstehen, eine Abschaltung akzeptieren und Menschen untergeordnet bleiben soll.

Der Microsoft AI code of conduct gibt Forschenden und Kunden ungewöhnlich konkrete Verpflichtungen zum Testen. Der sinnvolle nächste Schritt besteht darin, diese Verpflichtungen in realen Arbeitsabläufen zu prüfen, zu dokumentieren, wo sie scheitern, und Evidenz dafür zu verlangen, dass jede Überarbeitung die Lücke schließt.