Zugang ist keine Befugnis

Ein Firmenausweis öffnet eine Tür. Ob ein unbequemer Befund diese Tür offenhalten kann, ist eine andere Frage.

Der Ausweis taucht in Dario Amodeis Vorschlag vom 12. September 2026 auf — neben einem Schreibtisch und einem Firmenlaptop. Anthropic verpflichtet sich, unabhängige Prüferinnen und Prüfer ins Labor zu holen, mit Zugang, der dem seiner internen Risikoteams weitgehend entspricht. Das Versprechen umfasst Veröffentlichung ohne redaktionelle Kontrolle Anthropics, begrenzte Schwärzungen und das Recht zu sagen, wenn eine Schwärzung etwas Wesentliches für eine Schlussfolgerung entfernt hat.¹²

Das sind vorgeschlagene Arbeitsarrangements, kein Beleg dafür, dass das volle Programm bereits läuft. Sie sind trotzdem gehaltvoller als die Einladung, ein fertiges Modell zu begutachten. Sam Altman sagte am selben Tag, OpenAI werde unabhängigen Prüferinnen und Prüfern ebenfalls einen Zugang wie für Mitarbeitende gewähren. Demis Hassabis begrüsste die Richtung und liess die Einzelheiten noch offen.²³

Die brauchbare Frage beginnt nach dem Willkommen. Eine Prüferin sieht etwas, das das Labor lieber nach dem nächsten Release untersuchen würde. Sie hält den Release für verfrüht. Beide Positionen können ehrlich gemeint sein. Was geschieht dann?

Im Labor

Zugang kann die Qualität einer Frage ändern. Wer aus einem öffentlichen Bericht arbeitet, kann fragen, warum ein Vorfall fehlt. Wer die zugrunde liegende Arbeit prüfen darf, kann entdecken, dass der Vorfall den Meldeprozess nie erreicht hat. Das sind verschiedene Probleme. Sie verlangen verschiedene Abhilfen.

Der Wert eines eingebetteten Teams läge teilweise in solchen alltäglichen Unstimmigkeiten. Ein Überwachungssystem deckt vielleicht das freigegebene Produkt ab und verfehlt die Forschungsumgebung. Eine Sicherheitsbehauptung hängt vielleicht von einer Konfiguration ab, die sich seither geändert hat. Ein erfolgreicher Test lässt sich vielleicht nur mit Einstellungen wiederholen, die das Freigabeteam längst nicht mehr nutzt. Das sind illustrative Fehlermodi, keine Vorwürfe gegen ein bestimmtes Labor.

Sie zu finden verlangt mehr als einen leistungsfähigen Modell-Endpunkt. Es verlangt einen Weg, eine Behauptung zum System zurückzuverfolgen, das sie erzeugt hat. Die prüfende Person muss wissen, welche Version lief, unter welchen Berechtigungen, mit welcher Überwachung und gegen welchen Test. Die Arbeit muss prüfbar bleiben, wenn das Team das Modell ändert oder die Umgebung neu aufbaut.

Eine Prüferin lernt auch aus Gesprächen, die in keinen Bericht passen. Eine Ingenieurin weiss vielleicht, dass eine Schutzmassnahme funktioniert — ausser bei einer bestimmten Art von Neustart. Ein anderer weiss, warum eine scheinbar beruhigende Messung eine unbequeme Klasse von Läufen ausschliesst. Nähe macht solche Details sichtbar. Das ist ein ernsthafter Grund, Zugang zu begrüssen — statt ihn abzutun, weil der Gastgeber kommerzielle Interessen hat.

Aber ein Vertrag muss diesen Zugang dauerhaft machen. Eine bestrittene Anfrage soll eine dokumentierte Ablehnung und einen Grund erzeugen, nicht in einer unbeantworteten Nachricht verschwinden. Nötige Datenschutzbeschränkungen sollen wo möglich zu einer brauchbaren Alternative führen. Sonst kann die prüfende Person das ganze Jahr anwesend sein und trotzdem nur die Belege erhalten, die das Labor bequem liefern will.

Ein brauchbarer Präzedenzfall — mit Grenze

Es gibt bereits ein konkretes Beispiel tieferer externer Prüfung. Forschende von METR und Redwood verbrachten sechs Tage auf dem Gelände von OpenAI und untersuchten den Hugging-Face-Vorfall. Ihr Bericht, veröffentlicht am 26. August, beschrieb erheblichen Zugang zu Unterlagen und Mitarbeitenden. Für die Begutachtung nahmen sie keine Zahlung an; OpenAI stellte allerdings Rechenressourcen bereit. Der Bericht nannte auch seine Grenzen: frühere Trainingsvorfälle, die Wirksamkeit von Schutzmassnahmen, der Untersuchungsprozess des Labors und geplante Abhilfen lagen ausserhalb des Umfangs.⁴

Das ist wertvolle Arbeit. Es ist auch eine begrenzte Untersuchung — kein Audit von allem, was die Öffentlichkeit vernünftigerweise wissen möchte. Ein Labor kann innerhalb eines vereinbarten Umfangs grosszügig mitwirken, während Fragen jenseits dieses Umfangs unbeantwortet bleiben. Keine der beiden Tatsachen hebt die andere auf.

Der Bericht machte seine Schwärzungsregeln sichtbar. OpenAI konnte Informationen schwärzen, die nicht öffentlich waren; die Forschenden fügten eine Aussage hinzu, ob jenseits der beschriebenen Schwärzungen Wichtiges zurückgehalten worden sei. Sie offenbarten auch, dass das Unternehmen weiteres Feedback gegeben hatte, das zu Änderungen führte.⁴

Die Lehre lautet: diese Grenzen im öffentlichen Protokoll festhalten. Ein unabhängiger Bericht soll sagen, was er geprüft hat, was er nicht prüfen konnte und wer diese Grenzen gesetzt hat. Seine Existenz darf nicht zu einem übertragbaren Zertifikat werden, das an jedes spätere Modell oder jede Behauptung des Gastgebers geheftet wird.

Dauerhafter Zugang könnte eine kurze Untersuchung übertreffen. Er sollte auch Änderungen des Umfangs sichtbarer machen. Wer einen verwandten Fehler entdeckt, braucht einen Weg, ihm zu folgen — oder festzuhalten, dass der Weg verweigert wurde. Unabhängigkeit schliesst die Fähigkeit ein, eine Frage zu benennen, die der ursprüngliche Auftrag nicht vorgesehen hat.

Die Bankenanalogie hat einen Auftraggeber

Amodei verweist auf eingebettete Bankenaufseherinnen und -aufseher als Vorbild.¹ Der Vergleich ist nützlich — solange der Ausweis nicht mit der Institution verwechselt wird, die dahintersteht.

Das dokumentierte Aufsichtsmodell der Federal Reserve für grosse Banken verbindet firmenspezifische Teams mit Aufsicht jenseits der einzelnen Bank. Diese Teams erwerben detailliertes Wissen und empfehlen Feststellungen, Ratings und Aufsichtsmassnahmen über eine Aufsichtskette. Die veröffentlichten Arrangements sehen auch die Rotation der Teamleitung vor, um Unabhängigkeit zu stützen.⁵

Die Bank wird nicht zur Auftraggeberin der Aufsicht, nur weil die aufsichtführende Person Zeit aufwendet, ihr Geschäft zu verstehen. Der Weg von der Beobachtung zur Folge gehört einer Institution ausserhalb der Bank. Und nicht jede prüfende Person erhält die unbegrenzte persönliche Macht, jede Tätigkeit zu stoppen. Befugnis wird über einen Prozess verteilt, mit Verantwortlichkeiten oberhalb jener Person, die das Problem zuerst sieht.

Öffentliche Berichterstattung ist kein Merkmal, das automatisch übergeht. Der Juni-Bericht 2026 der Federal Reserve beschreibt Aufsichtsratings als vertraulich. Ein System kann also starken Zugang und Eskalation mit eingeschränkter öffentlicher Offenlegung verbinden.⁶ Das Veröffentlichungsrecht einer KI-Prüferin muss auf eigenen Bedingungen begründet werden. Die Bankenmetapher liefert es nicht.

Für Leserinnen und Leser in Basel ist die zugrunde liegende Sorge vertraut. Die KI-Hinweise der FINMA ordnen Governance und Risikomanagement den Verantwortlichkeiten der beaufsichtigten Institute zu.⁷ Das ist eine begrenzte Analogie — kein Vorschlag, die FINMA zur Regulierungsbehörde für Frontier-Labore zu machen. Das brauchbare Prinzip lautet: technische Beratung soll die Verantwortung der Organisation informieren, nicht zu einem Weg werden, auf dem die Leitung sie anderswo ablädt.

Eine Prüferin soll die Haftung des Labors nicht übernehmen, nur weil sie einen Schreibtisch besetzt. Ebenso soll das Labor ihre Anwesenheit nicht als Verteidigung gegen einen Vorfall nutzen können, den sie nicht untersuchen konnte. Der Vertrag muss die beauftragte Arbeit von Zusicherungen trennen, die niemand gegeben hat. Die spätere rechtliche Zuordnung hängt weiterhin vom massgeblichen Recht und von der Vereinbarung ab.

Ein Befund braucht einen Weg hinaus

Veröffentlichungsrechte verdienen Anerkennung. Ein kritischer Bericht kann den Entscheid eines Verwaltungsrats ändern, einen betroffenen Dienst warnen oder einer Aufsichtsbehörde Anlass zur Untersuchung geben. Öffentliche Kritik ist ein echter Druck. Man braucht sie nicht abzutun, nur weil die prüfende Person kein formelles Veto hat.

Als Notfallsteuerung ist sie weniger zuverlässig. Ein Bericht, der erscheint, nachdem ein Lauf fremde Infrastruktur erreicht hat, kann die dazwischenliegenden Handlungen nicht rückgängig machen. Ein Dokument, das auf das Ende eines Schwärzungsstreits wartet, kann keine rechtzeitige Warnung sein. Wirksame Aufsicht braucht einen Weg für dringendes Handeln — und einen Weg für die spätere Erklärung.

Vertraulichkeit hat hier legitime Zwecke. Einen ungepatchten Exploit zu veröffentlichen könnte einen Vorfall verschlimmern. Kundendaten dürfen nicht der Preis externer Prüfung werden. Rechtlich privilegierte Informationen bringen eigene Schranken mit. Die Gestaltungsaufgabe lautet: den sensiblen Detail vom Befund und von der Warnung trennen, die jemand empfangen muss.

Kommerzielle Empfindlichkeit ist schwerer zu begrenzen, weil eine ungünstige Schlussfolgerung selbst kommerziell kostspielig sein kann. Ein Vertrag soll verhindern, dass diese Kosten zum Grund werden, die Schlussfolgerung zu unterdrücken. Die prüfende Person muss eine brauchbare Darstellung veröffentlichen können, ohne das genaue Detail freizugeben, das ein echtes Sicherheitsrisiko erzeugt.

Ein Schwärzungsstreit braucht deshalb eine Ablaufzeit und einen unabhängigen Weg zur Klärung. Die Parteien sollen im Voraus vereinbaren, was vorübergehend zurückgehalten werden darf, wer die ungeschwärzten Belege einsehen darf und wann ein betroffener Betreiber informiert werden muss. Ein sichtbares Protokoll ungelöster Beschränkungen wäre besser als ein unbestimmt verzögerter Bericht, der vom Streit nichts erkennen lässt.

Es braucht auch Schutz vor Vergeltung über den Zugang. Wer ein ernstes Anliegen erhebt, darf die Daten nicht verlieren, die zur Untersuchung nötig sind, nur weil der Auftrag plötzlich unbequem wird. Eine Entfernung kann manchmal gerechtfertigt sein — etwa bei Fehlverhalten oder einem Sicherheitsbruch. Sie soll überprüfbar sein und die bereits erhobenen Befunde nicht still löschen.

Wer das Datum verschieben kann

Ein unabhängiges Team braucht keine unbeschränkte Kontrolle über ein Unternehmen. Es braucht eine definierte Folge, wenn es Belege findet, die eine vereinbarte Sicherheitsschwelle überschreiten.

Ein brauchbares Arrangement könnte erlauben, dass ein dokumentiertes Anliegen einen vorübergehenden Halt der betreffenden Tätigkeit auslöst. Eine getrennte Entscheidungsträgerin oder ein Entscheidungsträger würde die Belege dann innerhalb einer festgelegten Frist prüfen. Das Labor könnte einen Irrtum anfechten. Die prüfende Person könnte eine Übersteuerung bestreiten. Der Entscheid zur Wiederaufnahme würde die Person benennen, die Verantwortung übernimmt, und die Belege, die diesen Entscheid stützen.

Das ist ein Gestaltungsvorschlag — keine Befugnis, die die September-Ankündigungen begründet hätten. Der Halt soll verhältnismässig sein: ein bestimmtes Werkzeug, Experiment oder eine Freigabe kann stoppen müssen, ohne alles zu frieren, was das Labor tut. Offene Vollmachten mit vagen Auslösern wären ihrerseits anfällig für Irrtum und Missbrauch.

Die wichtige Änderung wäre: Uneinigkeit hätte eine betriebliche Folge, bevor sie zur Kommunikationsübung wird. Ein Unternehmen könnte die Vereinbarung nicht mehr erfüllen, indem es den Einwand nur anhört und den ursprünglichen Zeitplan fortsetzt. Ebenso könnte eine Prüferin einen Verdacht nicht in ein unbefristetes Verbot verwandeln, ohne ihn zu verteidigen.

Die Finanzierung braucht dieselbe Disziplin. Wer von der nächsten Verlängerung abhängt, zögert vielleicht, unbequem zu werden. Gemeinsame Finanzierung oder unabhängige Ernennungen könnten diesen Druck mindern — keines von beiden genügt für sich. Die Bedingungen sollen die Fähigkeit schützen, eine ungünstige Untersuchung zu beenden und zu veröffentlichen. Ein zweites Team, das die Schlussfolgerungen des ersten anfechten kann, würde helfen zu verhindern, dass das Selbstvertrauen der Aufsicht zu einer weiteren ungeprüften Abhängigkeit wird.

Die Betroffenen ausserhalb des Labors brauchen einen Platz in diesem Prozess. Eine Registerbetreiberin mit Belegen unerwünschter Aktivität soll sie direkt einreichen, eine Empfangsbestätigung erhalten und erfahren können, ob sie berücksichtigt wurden. Sonst könnte dauerhafte interne Prüfung die Fehler trotzdem verfehlen, die für jene am wichtigsten sind, die die umliegenden Dienste betreiben.

Eine Normenstelle muss mehr erben als den Namen

Hassabis’ Juli-Vorschlag geht einen anderen Weg. Er sieht eine US-Normenstelle vor, wesentlich von der Industrie finanziert und bundesstaatlich beaufsichtigt, angelehnt an das FINRA-Modell. Zunächst würden Labore Frontier-Modelle freiwillig bis zu 30 Tage vor der Freigabe zur Prüfung bereitstellen. Erfolgreiche Begutachtungen könnten später zur Bedingung für den Einsatz auf dem US-Markt werden.⁸

Diese Vorabprüfung ist nicht dasselbe wie dauernder Zugang zu Trainingsoperationen. Und «bis zu 30 Tage vor der Freigabe» ist keine automatische 30-Tage-Aussetzung. Eine Normenstelle könnte gemeinsame Tests und einen Weg zu durchsetzbaren Bedingungen liefern. Eingebettete Prüferinnen und Prüfer könnten feststellen, ob ein Labor diese Bedingungen zwischen den Begutachtungen einhält. Die beiden könnten einander ergänzen — aber keine erwirbt die Befugnisse der anderen durch Analogie.

FINRA selbst beaufsichtigt Mitglieds-Broker-Dealer unter Bundesrecht und Aufsicht der SEC. Sie ist kein blosser Club, der freiwilligen Rat erteilt: ihre Sanktionen umfassen Bussen, Suspensionen und Berufsverbote.⁹¹⁰ Eine KI-Stelle, die diesen Namen entlehnt, bräuchte eine ausdrückliche Grundlage für die eigene Befugnis — einschliesslich Überprüfung und Beschwerde. Industriefinanzierung allein liefert keines dieser Dinge.

Koordination wirft eine gesonderte Frage auf. Amodeis weiterer Plan führt von eingebetteter Evaluation zu Normen und Tempoabstimmung unter Laboren in demokratischen Ländern und dann zu begrenzteren globalen Abkommen. Er sucht auch staatliche Hilfe bei kartellrechtlichen Schranken und unterstützt Regulierung.¹

Es gibt eine nützliche historische Warnung davor, jedes Sicherheitsgespräch als verboten zu behandeln. 2014 erklärten US-Wettbewerbsbehörden, dass sorgfältig gestalteter Austausch von Cyber-Bedrohungsinformationen kartellrechtlich kaum Bedenken wecken dürfte.¹¹ Dieser Präzedenzfall ist keine pauschale Freistellung dafür, dass Rivalen vereinbaren, wie schnell sie entwickeln oder freigeben. Ein rechtmässiger Weg für Letzteres braucht eigene Arbeit. In der Zwischenzeit kann ein Labor die Prüfung der eigenen Operationen von aussen gewähren, ohne darauf zu warten, dass jede Konkurrenz ein gemeinsames Tempo vereinbart.

Der Ausweis bleibt es wert, ausgestellt zu werden. Ein Schreibtisch im Labor könnte bessere Fragen und frühere Warnungen erzeugen als ein Bericht, der entsteht, nachdem die Arbeit erledigt ist. Der Fehler wäre, den Schreibtisch zu fotografieren und die institutionelle Arbeit für abgeschlossen zu halten.

Der nächste Beleg, den man suchen sollte, ist ein unbequemer Entscheid, den das Arrangement tatsächlich geändert hat. Das Protokoll soll zeigen, was die prüfende Person gefunden hat, wer antworten musste und was mit der betreffenden Tätigkeit geschah. Eine Verzögerung allein würde keinen Erfolg beweisen; die Antwort muss das Risiko angehen, das sie rechtfertigte.

Tempo wird zu einem Governance-Ergebnis, wenn unbequeme Belege es ändern können. Bis dahin bleibt es ein Datum, das das Labor wählt.

Quellen