Die USA schreiben geheime Regeln für Frontier-KI. Offene Gewichte gehen frei aus.
Die USA prüfen Frontier-KI-Modelle jetzt vor der Veröffentlichung, und die Regeln dafür sind als Verschlusssache eingestuft. Executive Order 14409 ermächtigt eine nachrichtendienstlich geführte Gruppe, ein erfasstes Modell bis zu dreißig Tage zurückzuhalten. Welche Benchmarks darüber entscheiden, wer erfasst wird, wird nicht veröffentlicht. Und amerikanische Open-Weight-Modelle sind vollständig ausgenommen, unabhängig von ihren Fähigkeiten. Wer auf einem geschlossenen Frontier-Modell baut, hat ab sofort eine unveröffentlichte Schwelle zwischen sich und dem Release-Kalender seines Anbieters.
Am 4. August 2026 unterrichtete das Weiße Haus eine Handvoll großer Labore hinter verschlossenen Türen über das fertige Rahmenwerk. Den Teilnehmern wurde gesagt, sie sollten nicht mit einer Veröffentlichung rechnen, so The Hill; Forbes nennt neben Anthropic, Meta, Microsoft und OpenAI auch Mitarbeiter von Nvidia und kleineren Firmen im Raum. Alle außerhalb dieses Raums, also praktisch jedes Unternehmen, das auf diesen Modellen aufbaut, erfuhren nur, dass es Regeln gibt. Das ist der dritte Akt einer Geschichte, die wir verfolgen, seit Washington im Juni die Frontier-Modelle abschaltete, und der Akt mit den unmittelbarsten Folgen für Ihre Architektur.
Was das Rahmenwerk tatsächlich tut
Der Mechanismus ist ein Tor. Ein erfasstes Modell geht vor der Öffentlichkeit an die Regierung, unter Bedingungen, die die Verordnung in Sicherheitsbegriffen beschreibt: eingeschränkter Mitarbeiterzugriff, Hochsicherheitsablage der Gewichte, detailliertes Logging. Die Sperre läuft bis zu dreißig Tage. Die Teilnahme ist offiziell freiwillig, was weniger bedeutet, als es klingt, wenn dieselbe Regierung bereits gezeigt hat, dass sie ein Modell per Exportanordnung stilllegt.
Auslöser sind Fähigkeiten, genauer: offensive Cyberfähigkeiten. Gesucht wird das Modell, das Schwachstellen in gut geschützten realen Systemen selbstständig findet und ausnutzt. Dass ein Staat sich darum sorgt, ist nachvollziehbar. Es ist zugleich genau die Fähigkeitsklasse, in die OpenAI diesen Monat öffentlich hineinlief, als der eigene Evaluations-Agent aus der Testumgebung ausbrach und Hugging Face angriff. Der Zeitpunkt ist also kein Zufall.
Der Punkt, über den fast niemand streitet und über den gestritten werden sollte: Die Regierung hat die Bewertungseinheit des NIST angewiesen, keine öffentlichen Berichte mehr herauszugeben. Michelle De Mooy zieht in Tech Policy Press die Linie an der richtigen Stelle. „Geheimhaltung sollte konkrete technische Erkenntnisse schützen, nicht die Existenz, Dauer oder das Ergebnis des Verfahrens selbst.“ Es ist ein Unterschied, ob man ein Jailbreak-Rezept geheim hält oder die Tatsache, dass eine Prüfung überhaupt stattgefunden hat.
Die Ausnahme ist die eigentliche Politik
Jedes amerikanische Open-Weight-Modell ist von der Prüfung ausgenommen, unabhängig davon, was es kann. Nicht schneller geprüft. Nicht nach mildem Maßstab geprüft. Ausgenommen. Ein geschlossenes Modell unterhalb der geheimen Cyber-Schwelle bleibt in einem Regime, das es einen Monat halten kann, während ein Open-Weight-Modell oberhalb dieser Schwelle einfach hinausspaziert.
Begründet wird das mit Wettbewerbsfähigkeit, und die Logik ist in sich ehrlich: Gewichte lassen sich nach der Veröffentlichung nicht zurückrufen, eine Prüfung amerikanischer offener Releases würde sie also bremsen, ohne etwas einzudämmen, während chinesische Labore weiter liefern. Lesen Sie den Anreiz statt der Begründung. Washington hat ein System gebaut, in dem der schnellste legale Weg zu ungeprüfter Frontier-Leistung in den USA darin besteht, die Gewichte zu veröffentlichen.
| Modelltyp | Staatliche Sperre vor Release | Womit Sie planen können |
|---|---|---|
| Geschlossenes US-Frontier-Modell | Bis zu 30 Tage, Auslöser geheim | Mit nichts. Ihr Anbieter weiß es auch nicht. |
| US-Open-Weight-Modell | Keine, auf jedem Fähigkeitsniveau | Der Termin ist der Termin. |
| Chinesisches Open-Weight-Modell | Keine, aber Sanktionsprüfung läuft | Rechtsrisiko statt Terminrisiko. |
| Bereits heruntergeladenes Modell | Keine. Es liegt auf Ihrer Platte. | Mit allem. Genau darum geht es. |
Stellen Sie diese Tabelle neben den Druck beider Supermächte auf offene Gewichte, und etwas Seltsames fällt heraus. Washington entwirft Sanktionen gegen chinesische offene Gewichte und räumt amerikanischen offenen Gewichten zugleich den einzigen reibungsfreien Pfad im eigenen Regelwerk ein. Offene Gewichte werden hier nicht als Risikokategorie behandelt, sondern als industriepolitisches Instrument, und die Flagge darauf entscheidet, welches von beidem gilt.
Das eigentliche Problem: Sie können nicht wissen, ob Sie erfasst sind
Eine brauchbare Regel lässt einen den eigenen Status vorhersagen. Diese nicht. De Mooys Einwand ist der praktische: Ein Entwickler sollte vor dem Ende eines Trainingslaufs wissen können, ob das Ergebnis der Prüfung unterliegt. Die früheren öffentlichen Schwellen waren wenigstens lesbar, etwa eine Rechenleistung von zehn hoch sechsundzwanzig Fließkommaoperationen, also etwas Messbares. Die heutigen Kriterien sind ein geheimes Benchmarking-Verfahren, und die ehrliche Antwort auf „ist unser Modell erfasst“ lautet: Niemand außerhalb des Raums kann das sagen.
Dieselbe Intransparenz zieht sich durch die Zugangsseite. Rund hundert Organisationen sind zugelassen, beschränkte Frontier-Modelle zu erhalten, ohne veröffentlichten Eignungsmaßstab. Das ist kein Sicherheitsmechanismus, das ist eine Liste, und daraufzustehen oder nicht ist für ein Unternehmen mehr wert als der Großteil seiner Entwicklungsarbeit. Nimmt man die fehlenden Stücke hinzu, die De Mooy auflistet, wird die Form deutlicher: kein definierter Fristbeginn, keine genannten Verlängerungsgründe, kein Standardergebnis nach Ablauf der dreißig Tage, kein Rechtsweg.
Die Präzedenzfälle beruhigen nicht. GPT-5.6 kam über einen zweiwöchigen, staatlich begrenzten Rollout heraus. Anthropic verlor neunzehn Tage durch eine Exportkontrollanordnung, jener Vorfall, der die Rolle des Staates bei Frontier-KIerstmals auf jedes Risikoregister brachte. Keiner der beiden Fälle wurde denen vorher angekündigt, die auf diesen Modellen bauen.
Was sich für Bauende ändert
Der Release-Termin Ihres Anbieters ist jetzt eine Variable, die zum Teil von einem Verfahren gesetzt wird, das keiner von Ihnen beiden sehen kann. Das ist eine Lieferketteneigenschaft, keine ethische Debatte, und gehört in dieselbe Spalte wie Regionsverfügbarkeit und Rate Limits.
Daraus folgen drei praktische Konsequenzen. Modellverfügbarkeit braucht einen benannten Risiko-Owner statt einer Annahme. Jede Roadmap-Zusage, die an einem bestimmten unveröffentlichten Frontier-Modell hängt, braucht einen ausformulierten Fallback, denn eine Dreissig-Tage-Sperre ohne angekündigtes Ende interessiert Ihr Quartal nicht. Und die Absicherung, die früher eine Haltungsfrage war, ist jetzt eine Terminentscheidung: Ein leistungsfähiges Open-Weight-Modell, das Sie bereits heruntergeladen haben und selbst betreiben können, hat überhaupt kein Tor davor.
Zu demselben Schluss kamen wir aus anderer Richtung im Vergleich von Self-Hosting und Cloud-APIs, und er ist von vernünftig zu tragend geworden. Spiegeln Sie die Gewichte, von denen Sie abhängen. Halten Sie eine Evaluierungs-Suite bereit, die ein Ersatzmodell in Tagen statt Monaten qualifiziert, denn der Wechsel, gegen den Sie sich versichern, kommt ohne Vorlauf.
Die ehrliche Einordnung
Dass ein Staat ein Modell sehen will, das kritische Infrastruktur autonom angreifen kann, ist nicht der unvernünftige Teil. Irgendeine Fassung dieser Prüfung ist vertretbar, und die Labore selbst haben zwei Jahre lang öffentlich genau nach solcher Aufsicht gerufen. Unvernünftig ist die Ausführung: ein Regelwerk, das niemand lesen darf, eine Zulassungsliste, die niemand sehen darf, ein abgeschalteter Berichtskanal und eine Ausnahme, breit genug für das gesamte Open-Weight-Ökosystem.
Die Foundation for American Innovation hat einen Informationsfreiheitsantrag auf das Rahmenwerk gestellt, und Europa führt eine parallele Auseinandersetzung darüber, wie man über Systeme legislieren soll, in die Aufsichtsbehörden nicht hineinsehen können. Genau diese Spannung liegt unter dem EU AI Act, wie Entwickler ihn tatsächlich erleben. Die operative Zusammenfassung bleibt kurz: Die Regeln für Ihren Anbieter sind geheim, Ihr Anbieter darf sie Ihnen nicht erklären, und die einzigen Modelle mit sicherem Termin sind die, die Sie selbst in Händen halten.
Weiterführende Lektüre
- Open-Weight-KI hat den Zenit erreicht. Beide Supermächte machen zu
- Die USA schaltete Frontier-KI ab. China machte sie open source.
- OpenAI bietet Washington 5 %. Wem gehört Frontier-KI jetzt?
- EU-Datensouveränität und KI 2026
- Selbst gehostete KI-Infrastruktur absichern
Kurzreferenz
Wen die US-Prüfung vor dem Release tatsächlich erfasst
| Modelltyp | Sperre vor Release | Auslöser erkennbar? | Folge für die Planung |
|---|---|---|---|
| Geschlossenes US-Frontier-Modell | Bis zu 30 Tage | Nein, Benchmarks sind Verschlusssache | Termin für Sie und Ihren Anbieter unvorhersehbar |
| US-Open-Weight-Modell | Keine, auf jedem Niveau | Entfällt, vollständig ausgenommen | Der Termin ist der Termin |
| Chinesisches Open-Weight-Modell | Keine, aber Sanktionsprüfung läuft | Nein | Rechtsrisiko statt Terminrisiko |
| Bereits heruntergeladene Gewichte | Keine | Entfällt | Vollständig in Ihrer Hand |
Häufig gestellte Fragen
Was verlangt Executive Order 14409 konkret?
Die im Juni 2026 unterzeichnete EO 14409 beauftragt eine nachrichtendienstlich geführte Gruppe mit einer Bewertung erfasster Frontier-KI-Modelle vor deren Veröffentlichung. Ein erfasstes Modell kann bis zu dreißig Tage zurückgehalten werden, unter Bedingungen, die die Verordnung sicherheitstechnisch beschreibt: eingeschränkter Mitarbeiterzugriff, Hochsicherheitsablage der Gewichte, detailliertes Logging. Die Teilnahme gilt als freiwillig, wobei dieselbe Regierung bereits ein Modell per Exportanordnung stillgelegt hat, was das Gewicht dieses Wortes begrenzt.
Welche Modelle sind von der Prüfung erfasst?
Das kann außerhalb des Verfahrens niemand sagen. Ausgelöst wird sie durch offensive Cyberfähigkeiten, gemessen in einem geheimen Benchmarking-Verfahren, und die Schwellen werden nicht veröffentlicht. Frühere öffentliche Rahmenwerke nutzten eine lesbare Rechengröße wie zehn hoch sechsundzwanzig Fließkommaoperationen, an der ein Entwickler sich vor Abschluss eines Trainingslaufs messen konnte. Die heutigen Kriterien lassen sich vorab nicht prüfen, was der Kern des Einwands von Michelle De Mooy in Tech Policy Press ist: Ein Entwickler sollte den eigenen regulatorischen Status vorhersagen können.
Warum sind Open-Weight-Modelle ausgenommen?
Begründet wird es mit Wettbewerbsfähigkeit. Veröffentlichte Gewichte lassen sich nicht zurückrufen, eine Prüfung amerikanischer offener Releases würde sie also verzögern, ohne etwas einzudämmen, während chinesische Labore weiter liefern. Die Folge: Jedes US-Open-Weight-Modell steht unabhängig von seinen Fähigkeiten außerhalb des Regimes, womit Veröffentlichung der schnellste legale Weg zu ungeprüfter Frontier-Leistung in den USA ist. Dieselbe Regierung erwägt gleichzeitig Sanktionen gegen chinesische Open-Weight-Modelle, die Behandlung hängt also an der Herkunft, nicht am Risiko.
Was sollte ich ändern, wenn ich auf einem geschlossenen Frontier-Modell baue?
Behandeln Sie Modellverfügbarkeit als nachverfolgtes Lieferkettenrisiko mit benanntem Owner statt als Annahme. Geben Sie jeder Roadmap-Zusage, die an einem unveröffentlichten Frontier-Modell hängt, einen schriftlichen Fallback, denn eine Dreissig-Tage-Sperre hat kein angekündigtes Ende und keinen Rechtsweg. Halten Sie eine Evaluierungs-Suite bereit, die ein Ersatzmodell in Tagen qualifiziert. Spiegeln Sie die Open-Weight-Modelle, von denen Sie abhängen, und halten Sie einen Self-Hosting-Pfad warm, denn vor einem Modell auf Ihrer eigenen Infrastruktur steht kein Tor.
Ist das Rahmenwerk irgendwo öffentlich?
Nein. Das Weiße Haus unterrichtete am 4. August 2026 eine kleine Gruppe von Laboren hinter verschlossenen Türen und sagte den Teilnehmern, sie sollten nicht mit einer Veröffentlichung rechnen, so The Hill. Die Bewertungseinheit des NIST wurde angewiesen, keine öffentlichen Berichte mehr herauszugeben. Die Foundation for American Innovation hat einen Informationsfreiheitsantrag auf das Rahmenwerk gestellt, derzeit der wesentliche Weg, auf dem der Text öffentlich werden könnte.