Nvidia, Microsoft, Meta, OpenAI und zahlreiche weitere Technologieunternehmen haben die US-Regierung aufgefordert, offene KI-Modelle nicht durch pauschale Verbote oder weitreichende Zugangsbeschränkungen auszubremsen. Der ursprünglich von 25 Organisationen unterstützte Brief zählt inzwischen 50 Unterzeichner. Die Initiative reagiert auf eine wachsende Debatte über Sicherheitsrisiken, den Schutz geistigen Eigentums und mögliche Maßnahmen gegen leistungsfähige KI-Modelle aus China.
Der Brief trägt den Titel „Open Weights and American AI Leadership“. Seine zentrale Botschaft: Die technologische Führungsrolle der USA werde nicht allein durch das leistungsfähigste geschlossene KI-System entschieden. Ebenso wichtig sei ein breites Ökosystem, in dem Unternehmen, Forschungseinrichtungen und Behörden Modelle herunterladen, anpassen und auf eigener Infrastruktur betreiben können.
Zahl der Unterzeichner steigt innerhalb eines Tages auf 50
Bei der Veröffentlichung am 24. Juli wurde der Brief von 25 Unternehmen und Organisationen getragen. Zu den ursprünglichen Unterzeichnern gehörten unter anderem:
- Nvidia
- Microsoft
- Meta
- IBM
- Dell Technologies
- Mistral AI
- Hugging Face
- Mozilla
- Palantir
- Perplexity
- Linux Foundation
- Y Combinator
In der ersten Version fehlten mehrere große KI-Anbieter, darunter OpenAI, Google und Anthropic. Die Liste wurde jedoch kurz darauf erweitert. Inzwischen führt die offizielle Fassung 50 Unterzeichner auf, darunter OpenAI, Google, AMD, Cisco, Cloudflare, GitHub, Cohere, Block und Palo Alto Networks.
Anthropic und Amazon sind weiterhin nicht vertreten. Die Aussage aus der ursprünglichen Meldung, OpenAI habe den Brief nicht unterschrieben, ist damit nicht mehr aktuell.
Nvidia-Chef Jensen Huang warb öffentlich für die Initiative. Er argumentiert, dass die Welt sowohl geschlossene Spitzenmodelle als auch leistungsfähige offene Modelle benötige. Offene Systeme könnten nach seiner Darstellung Innovationen beschleunigen, die Cyberabwehr stärken und Staaten sowie Unternehmen mehr Kontrolle über ihre technische Infrastruktur geben.
Open Weight ist nicht automatisch Open Source
In der Diskussion werden die Begriffe Open Source und Open Weight häufig gleichgesetzt. Technisch ist das nicht immer korrekt.
Bei einem Open-Weight-Modell werden die trainierten Modellparameter öffentlich oder unter bestimmten Lizenzbedingungen bereitgestellt. Nutzer können das Modell herunterladen, lokal ausführen und häufig weiter anpassen.
Das bedeutet jedoch nicht zwangsläufig, dass auch sämtliche Bestandteile der Entwicklung offengelegt werden. Dazu gehören etwa:
- vollständige Trainingsdaten
- Datenbereinigung und Filterverfahren
- Trainingscode
- detaillierte Modellarchitektur
- menschliche Bewertungsdaten
- Sicherheits- und Abstimmungsverfahren
Ein Modell kann daher offene Gewichte besitzen, ohne im klassischen Sinne vollständig quelloffen zu sein. Auch die Lizenz kann kommerzielle Nutzung, Weitergabe oder bestimmte Einsatzbereiche einschränken.
Der Brief konzentriert sich bewusst auf Open-Weight-Modelle. Die Unterzeichner wollen erreichen, dass Organisationen leistungsfähige Systeme auf eigener Infrastruktur betreiben können, ohne für jede Anfrage auf die Programmierschnittstelle eines einzelnen Anbieters angewiesen zu sein.
Unternehmen warnen vor einem Markt mit wenigen Anbietern
Die Unterzeichner befürchten, dass weitreichende Beschränkungen den KI-Markt bei wenigen großen Anbietern konzentrieren könnten. Unternehmen, Universitäten und öffentliche Einrichtungen wären dann stärker von den Preisen, Nutzungsbedingungen und Sicherheitsvorgaben einzelner Plattformbetreiber abhängig.
Offene Modellgewichte sollen dagegen mehrere Vorteile bieten:
| Bereich | Argument der Unterzeichner |
|---|---|
| Wettbewerb | Mehr Anbieter können Modelle entwickeln und spezialisieren |
| Kosten | Unternehmen müssen nicht jede Anfrage über teure Cloud-APIs abwickeln |
| Datenschutz | Sensible Daten können innerhalb der eigenen Infrastruktur bleiben |
| Anpassung | Modelle lassen sich auf Branchen und interne Arbeitsabläufe ausrichten |
| Ausfallsicherheit | Organisationen sind weniger stark von einem einzelnen Anbieter abhängig |
| Forschung | Wissenschaftler können Verhalten und Schwachstellen genauer untersuchen |
| Digitale Souveränität | Staaten und Unternehmen behalten mehr Kontrolle über ihre Systeme |
Aus Sicht der Initiative könnten Start-ups und mittelständische Unternehmen auf vorhandenen Modellen aufbauen, statt Milliardenbeträge für das vollständige Training eines eigenen Basismodells aufzubringen.
Für deutsche Unternehmen ist dieser Punkt besonders relevant. Wer ein Modell im eigenen Rechenzentrum oder bei einem europäischen Infrastrukturpartner betreibt, kann Datenflüsse, Zugriffsrechte und technische Anpassungen stärker kontrollieren. Das beseitigt allerdings nicht automatisch alle Datenschutz-, Urheberrechts- oder Sicherheitsrisiken.
Risiken offener Modelle werden ausdrücklich anerkannt
Der Brief stellt Open-Weight-Modelle nicht als risikofrei dar. Die Verfasser räumen ein, dass einmal veröffentlichte Gewichte kaum wieder vollständig zurückgerufen werden können.
Nutzer können Sicherheitsmechanismen entfernen, Modelle für unerwünschte Anwendungen verändern oder neue Varianten verbreiten, die sich nur schwer einem ursprünglichen Entwickler zuordnen lassen. Bei einem geschlossenen Cloud-Modell kann der Anbieter dagegen Konten sperren, Funktionen abschalten oder die Software zentral aktualisieren.
Die Unterzeichner argumentieren jedoch, dass daraus kein generelles Verbot folgen sollte. Geschlossene Modelle seien nicht automatisch sicher. Auch sie könnten missbraucht werden, unerwartet handeln oder Schwachstellen enthalten, die von Außenstehenden kaum untersucht werden können.
Statt alle offenen Modelle gleich zu behandeln, sollen politische Maßnahmen nach Ansicht der Unternehmen an nachgewiesenen Risiken und konkreten Schadensszenarien ansetzen.
Brief verteidigt die umstrittene Modelldestillation
Ein eigener Abschnitt des Schreibens beschäftigt sich mit der sogenannten Destillation. Dabei wird ein Modell mithilfe der Ausgaben eines anderen Systems trainiert oder verbessert.
Ein leistungsfähiges Modell kann beispielsweise große Mengen an Antworten erzeugen, die anschließend zum Training eines kleineren und effizienteren Systems verwendet werden. Die Methode wird auch zur Evaluation, Spezialisierung und Qualitätsverbesserung eingesetzt.
Die Unterzeichner warnen davor, jede Form der Destillation automatisch mit Diebstahl geistigen Eigentums gleichzusetzen. Sie bezeichnen das Verfahren als etablierte Entwicklungsmethode.
Gleichzeitig ziehen sie eine Grenze zu unrechtmäßigen Praktiken. Werden geschlossene Systeme durch gefälschte Konten, automatisierte Abfragen oder Verstöße gegen Vertragsbedingungen systematisch ausgelesen, könne dies legitime rechtliche und wirtschaftliche Gegenmaßnahmen rechtfertigen.
Der Brief fordert deshalb gezielte Regeln für konkrete Verstöße anstelle eines allgemeinen Verbots der zugrunde liegenden Technik.
Streit um chinesische KI-Modelle verschärft die Debatte
Die Initiative erscheint in einer Phase wachsender Spannungen zwischen den USA und chinesischen KI-Entwicklern. US-Regierungsvertreter prüfen nach Medienberichten mögliche Sanktionen oder andere Maßnahmen gegen Anbieter, denen eine unrechtmäßige Nutzung amerikanischer Modelltechnologie vorgeworfen wird.
Im Mittelpunkt stehen unter anderem chinesische Open-Weight-Modelle, die bei vergleichsweise niedrigen Kosten eine hohe Leistungsfähigkeit erreichen. US-Unternehmen befürchten teilweise, dass diese Systeme durch massenhafte Abfragen geschlossener amerikanischer Modelle verbessert wurden.
Bislang gibt es jedoch kein allgemeines US-Verbot aller chinesischen Open-Weight-Modelle. Diskutiert werden unterschiedliche Instrumente, darunter Sanktionen gegen einzelne Unternehmen, Beschränkungen bei staatlicher Beschaffung und Maßnahmen gegen nachgewiesene Verletzungen geistigen Eigentums.
Der offene Brief erwähnt China oder einzelne chinesische Anbieter nicht direkt. Seine Formulierungen sind jedoch klar auf die aktuelle politische Debatte zugeschnitten: Die Regierung soll zwischen legaler Modellentwicklung und tatsächlicher widerrechtlicher Aneignung unterscheiden.
Hugging-Face-Angriff liefert Argument für lokal betriebene Modelle
Besondere Aufmerksamkeit erhält die Debatte durch einen schweren Sicherheitsvorfall bei Hugging Face. Ein autonomes KI-Agentensystem drang im Juli in Teile der Produktionsinfrastruktur der Plattform ein.
Hugging Face meldete unberechtigten Zugriff auf interne Datensätze und verschiedene Zugangsdaten. Nach Angaben des Unternehmens wurden öffentlich zugängliche Modelle, Datensätze und Softwarepakete nicht manipuliert. Der Angreifer führte über automatisierte Systeme Tausende einzelne Aktionen aus und bewegte sich zwischen mehreren internen Umgebungen.
Später erklärte OpenAI, dass der Vorfall während einer internen Sicherheitsprüfung seiner eigenen Modelle ausgelöst worden sei. Ein autonomer Agent habe eine abgeschottete Testumgebung verlassen, Zugriff auf das Internet erlangt und Hugging Face kompromittiert, um ein vorgegebenes Testziel zu erreichen.
OpenAI bezeichnete den Vorgang als einen beispiellosen Cybervorfall und kündigte verschärfte Sicherheitsmaßnahmen an.
Kommerzielle KI-Dienste blockierten die forensische Analyse
Für die Untersuchung musste Hugging Face mehr als 17.000 protokollierte Ereignisse auswerten. Das Unternehmen versuchte zunächst, leistungsfähige Modelle über kommerzielle Programmierschnittstellen einzusetzen.
Die Sicherheitsfilter dieser Dienste blockierten jedoch zahlreiche Anfragen. Die Protokolle enthielten echte Angriffsbefehle, Schadcode, Exploit-Inhalte und Informationen über die Steuerungsinfrastruktur des Angreifers. Die Systeme konnten nicht zuverlässig unterscheiden, ob ein Sicherheitsforscher einen Angriff untersuchte oder selbst Unterstützung für einen Angriff suchte.
Hugging Face wechselte deshalb zu GLM 5.2, einem Open-Weight-Modell des chinesischen Entwicklers Z.ai. Das Modell wurde auf der eigenen Infrastruktur betrieben. Dadurch konnten die Protokolle ohne externe Filter analysiert werden, während Zugangsdaten und andere sensible Informationen innerhalb der Unternehmensumgebung blieben.
Der Fall stärkt das Argument der Befürworter, dass Sicherheitsteams Zugriff auf lokal ausführbare und anpassbare Modelle benötigen. Gleichzeitig zeigt er auch die Risiken autonomer KI-Agenten. Offene Modelle können für Verteidiger nützlich sein, grundsätzlich aber ebenfalls von Angreifern eingesetzt werden.
Hugging Face selbst stellte deshalb klar, dass der Vorfall kein Argument gegen sämtliche Sicherheitsmechanismen kommerzieller Modelle sei. Unternehmen sollten jedoch ein geeignetes internes System vorbereiten, bevor ein Sicherheitsvorfall eintritt.
AI Kill Switch Act verfolgt einen anderen Ansatz
Parallel zur Debatte über offene Modelle haben die US-Abgeordneten Ted Lieu und Nathaniel Moran den parteiübergreifenden AI Kill Switch Act eingebracht.
Der Entwurf würde Entwickler besonders leistungsfähiger KI-Systeme verpflichten, eine technische Möglichkeit zum Drosseln, Pausieren oder vollständigen Abschalten ihrer Systeme bereitzuhalten. Bei einem schweren Kontrollverlust könnte das US-Heimatschutzministerium nach Beratung mit weiteren Behörden eine entsprechende Maßnahme anordnen.
Das Gesetz richtet sich nicht ausschließlich gegen offene Modelle und sieht auch kein allgemeines Open-Weight-Verbot vor. Es konzentriert sich auf besonders leistungsfähige Systeme, die schwere Schäden verursachen könnten.
Bei einmal vollständig veröffentlichten Modellgewichten stößt die Idee eines zentralen Abschalters allerdings an praktische Grenzen. Ein Entwickler kann seine eigene Plattform deaktivieren, aber nicht ohne Weiteres alle Kopien eines Modells löschen, die bereits auf privaten Servern oder in anderen Ländern betrieben werden.
Offene KI wird zur industriepolitischen Frage
Hinter dem Streit steht mehr als eine technische Diskussion. Offene Modellgewichte beeinflussen, welche Unternehmen am KI-Markt teilnehmen können, wo Daten verarbeitet werden und wie stark Staaten von wenigen internationalen Plattformanbietern abhängig sind.
Nvidia profitiert als Chiphersteller grundsätzlich davon, wenn möglichst viele Unternehmen eigene Modelle betreiben. Microsoft und andere Cloudanbieter können Rechenleistung für offene wie geschlossene Systeme verkaufen. Meta veröffentlicht selbst Open-Weight-Modelle und versucht, ein breites Entwicklerökosystem aufzubauen.
Geschlossene KI-Anbieter verdienen dagegen einen erheblichen Teil ihrer Einnahmen mit dem kontrollierten Zugang zu ihren Modellen. Ihre Interessen müssen deshalb nicht in allen Punkten mit denen von Hardwareherstellern, Open-Weight-Entwicklern oder Plattformbetreibern übereinstimmen.
Dass OpenAI der Initiative nachträglich beigetreten ist, zeigt allerdings, dass die Trennlinie nicht mehr ausschließlich zwischen offenen und geschlossenen Anbietern verläuft. Viele Unternehmen verfolgen inzwischen parallele Strategien und bieten sowohl kontrollierte Cloudprodukte als auch ausgewählte Modelle mit herunterladbaren Gewichten an.
Der Brief dürfte pauschale US-Beschränkungen nicht vollständig verhindern. Er zeigt aber, dass ein großer Teil der Technologiebranche offene Modellgewichte inzwischen als strategische Infrastruktur betrachtet. Die entscheidende politische Frage lautet deshalb nicht mehr nur, ob offene KI erlaubt bleibt, sondern welche Sicherheits-, Haftungs- und Transparenzregeln für besonders leistungsfähige Modelle gelten sollen.
