Die Sicherheitsrahmenwerke der Frontier-KI-Labore im Vergleich

Was ein Sicherheitsrahmenwerk tatsächlich ist

Das Sicherheitsrahmenwerk eines Frontier-KI-Labors ist die vom Labor selbst veröffentlichte Richtlinie, die Fähigkeitsschwellen definiert — konkrete Dinge, zu denen ein Modell fähig sein könnte — sowie die Schutzmaßnahmen oder organisatorischen Verpflichtungen, die ausgelöst werden sollen, sobald ein Modell eine davon erreicht. Anthropic nennt seine Version Responsible Scaling Policy; OpenAI ein Preparedness Framework; Google DeepMind ein Frontier Safety Framework; Meta ein Advanced AI Scaling Framework; xAI ein Frontier Artificial Intelligence Framework; Microsoft ein Frontier Governance Framework. Die Namen unterscheiden sich; strukturell versuchen alle sechs, dieselbe Frage zu beantworten — woran erkennt ein Unternehmen, dass ein Modell zu gefährlich ist, um unverändert eingesetzt zu werden, und wozu verpflichtet es sich tatsächlich in diesem Fall?

Diese Frage ist wichtig, weil derzeit keine externe Regulierungsbehörde für eines dieser sechs Unternehmen verbindliche, modellspezifische Fähigkeitsschwellen festlegt (siehe KI-Recht und Durchsetzung im Jahr 2026). Vorerst sind diese Dokumente die reale, in der Praxis angewandte Antwort der Branche. Sie sind auch nicht dasselbe Dokument, sechsmal kopiert: Welche Risiken jedes Labor verfolgt, wie ein Schwellenwert definiert wird und — am folgenreichsten — was bei dessen Überschreitung geschieht, unterscheidet sich auf bedeutsame Weise.

Eines muss vor Beginn des Vergleichs gesagt werden, weil es prägt, wie alles Folgende zu lesen ist: Jede Angabe in der Tabelle ist die vom Labor selbst erklärte Richtlinie. Keine davon ist unabhängige Bestätigung, dass das Labor tatsächlich tut, was es behauptet. Ein eigener Abschnitt nach der Tabelle, „Behauptungen gegenüber Praxis”, behandelt die bewerteten externen Audits, akademischen Kritiken und dokumentierten Lücken zwischen den erklärten Verpflichtungen dieser sechs Unternehmen und ihrem tatsächlichen Verhalten — und dieser Abschnitt, nicht die Tabelle, ist der wichtigere.

Die Rahmenwerke im Vergleich

Labor (Rahmenwerk)	Aktuelle Version / Datum	Erfasste Risikobereiche	Schwellenwert-/Stufenstruktur	Was bei Überschreitung eines Schwellenwerts geschieht
Anthropic — Responsible Scaling Policy	v3.4, wirksam seit 8. Juli 2026	Nicht neuartiger CBRN-Fähigkeitsgewinn; neuartiger CBRN-Fähigkeitsgewinn; folgenschweres Sabotagerisiko; automatisierte Beschleunigung der KI-F&E	Tabelle mit Fähigkeits-/Nutzungsschwellenwerten; feste Stufen ASL-2/ASL-3/ASL-4 in der Neufassung v3.0 aufgegeben (alte ASL-Bezeichnungen nur für bereits bestehende aktuelle Kontrollen beibehalten)	Öffentliche, unverbindliche Frontier Safety Roadmap, bewertet gegen die eigene bisherige Leistung, plus Risikoberichte alle 3–6 Monate mit externer Überprüfung — keine bedingungslose Pause
OpenAI — Preparedness Framework	v2, 15. Apr. 2025	Biologisch & chemisch, Cybersicherheit, KI-Selbstverbesserung (erfasst); Autonomie mit großer Reichweite, Sandbagging, autonome Replikation und Anpassung, Untergraben von Schutzmaßnahmen, nuklear & radiologisch (Forschungskategorien, noch ohne vollständige Kriterien); Überzeugungskraft (Persuasion) ausdrücklich ausgeschlossen	Zwei Stufen: Hoch und Kritisch	Hoch: Schutzmaßnahmen vor dem Einsatz erforderlich. Kritisch: Schutzmaßnahmen während der Entwicklung erforderlich; kann die Entwicklung vollständig anhalten. Internes Safety Advisory Group empfiehlt; CEO oder Beauftragter entscheidet; das Safety and Security Committee des Vorstands beaufsichtigt
Google DeepMind — Frontier Safety Framework	v3.1, 17. Apr. 2026	CBRN; Cyber; schädliche Manipulation (als „explorativ und weiterer Forschung bedürftig” gekennzeichnet); ML-F&E und Fehlausrichtung (in v3.1 zu einem Bereich zusammengeführt)	Critical Capability Levels (CCL) plus niedrigschwelligere Tracked Capability Levels (TCL, neu in v3.0/3.1); Security Levels SL1–SL4 als Vokabular verwendet, nicht als Compliance-Standard	Ein „Alarmschwellenwert” löst eine formale Fähigkeitsbewertung aus, bevor ein CCL erreicht wird; das Erreichen eines CCL erfordert einen ergänzenden Sicherheitsnachweis und die Zustimmung der Governance vor dem externen Einsatz (und, speziell bei ML-F&E-CCLs, auch vor risikoreichem internem Einsatz)
Meta — Advanced AI Scaling Framework	v2, 3. Feb. 2025 (umbenannt von „Frontier AI Framework” v1.1; etwa im Apr. 2026 abgelöst)	Chemisch & biologisch; Cybersicherheit; Kontrollverlust (in v2 hinzugefügt)	„Grad des Fähigkeitsgewinns hin zu einem Bedrohungsszenario”, keine feste Stufenskala	Kann das kritische Risiko nicht gemindert werden: wird das Modell weder extern einsetzen noch seine Entwicklung fortsetzen
xAI — Frontier Artificial Intelligence Framework (FAIF)	Wirksam seit 30. Juni 2026 (löste das frühere Risk Management Framework ab, zuletzt aktualisiert am 20. Aug. 2025)	CBRN; offensive Cybersicherheit; Kontrollverlust; schädliche Manipulation	Vollständige systemische Risikobewertung mindestens jährlich; keine feste Stufenskala	Durchgängig konditionale Sprache („wir können”, „falls wir es für gerechtfertigt halten”); kein expliziter Auslöser zum Entwicklungsstopp vergleichbar mit den anderen
Microsoft — Frontier Governance Framework	Aktualisierung Feb. 2026 (v1 war Feb. 2025)	CBRN-Waffen; offensive Cyberoperationen; fortgeschrittene Autonomie; Kontrollverlust und schädliche Manipulation (hinzugefügt Feb. 2026)	Zweistufig: automatisiertes Screening anhand von „Frühindikatoren” mindestens alle 6 Monate, eskaliert zu einer tieferen Bewertung, eingestuft als Niedrig/Mittel/Hoch/Kritisch	„Falls … wir ein Risiko identifizieren, das wir nicht ausreichend mindern können, werden wir Entwicklung und Einsatz pausieren, bis sich die Minderungspraktiken so weit entwickelt haben, dass sie dem Risiko begegnen” — die direkteste Stopp-Zusage unter allen sechs

Die folgenreichste Änderung: Anthropics Abkehr von der bedingungslosen Pause

Anthropics RSP hat die längste öffentliche Geschichte der sechs Rahmenwerke, und ihre jüngste strukturelle Änderung ist die meistdiskutierte Entwicklung unter den Frontier-Sicherheitsrahmenwerken im Jahr 2026. Version 1.0, veröffentlicht am 19. September 2023, führte das System der KI-Sicherheitsstufen (AI Safety Level, ASL) ein — ASL-2, ASL-3, ASL-4 —, jede definiert durch eine spezifische, feste Liste erforderlicher Kontrollen, zusammen mit einer harten Verpflichtung: Anthropic werde nicht über einen Schwellenwert hinaus trainieren, ohne dass Schutzmaßnahmen vorab bereits als angemessen nachgewiesen wurden. Die Versionen 2.0 (Oktober 2024), 2.1 (März 2025) und 2.2 (Mai 2025) erweiterten diese Struktur und fügten den CBRN-Schwellenwert hinzu.

Version 3.0, wirksam seit dem 24. Februar 2026, schrieb die Richtlinie neu. Anthropic ersetzte die festen ASL-Stufen durch eine Tabelle mit Fähigkeits-/Nutzungsschwellenwerten und erläuterte die Begründung direkt in einem Anhang — die eigenen Worte des Unternehmens dazu, warum es sich von spezifischen, itemisierten Kontrolllisten verabschiedete, erscheinen unten als registriertes Zitat. Anstelle der alten harten Pause führte v3.0 zwei neue Instrumente ein: eine öffentliche, unverbindliche Frontier Safety Roadmap, offen bewertet gegen Anthropics eigene bisherige Leistung, und Risikoberichte, veröffentlicht alle drei bis sechs Monate und geprüft von mindestens einem geprüften, externen, konfliktfreien Prüfer. Anthropics Dokument macht ausdrücklich klar, dass dies eine bewusste Abkehr von einer einseitigen, an absolutem Risiko orientierten Haltung hin zu einer bedingten, von den Wettbewerbern abhängigen Haltung ist: Ein benannter Anhang legt Szenarien wie „Anthropic in Führung” und „Wettbewerber haben starke Sicherheitsmaßnahmen” dar, unter denen sich die eigenen Verpflichtungen des Unternehmens ändern. Die Versionen 3.1 (2. April), 3.2 (29. April), 3.3 (26. Mai) und 3.4 (8. Juli 2026, aktuell) haben seither jeweils Details überarbeitet — zuletzt wurde der Schwellenwert für automatisierte F&E enger gefasst und die interne Verteilung der Risikoberichte ausgeweitet — ohne die frühere harte Pause wiederherzustellen.

Die Governance rund um die Richtlinie selbst ist über diese Versionen hinweg konstant geblieben: ein benannter Responsible Scaling Officer, ein Meldekanal für Nichteinhaltung, und eine jährliche Überprüfung der Verfahrenskonformität durch Dritte, die Anthropic selbst als Prüfung der „Verfahrenskonformität, nicht der inhaltlichen Ergebnisse” beschreibt — eine Unterscheidung, die es zu beachten gilt, denn sie bedeutet, dass das Audit bestätigt, dass der Prozess befolgt wurde, nicht dass die daraus resultierenden Entscheidungen richtig waren.

Die Änderung wurde außerhalb des Unternehmens sofort als Glaubwürdigkeitsereignis wahrgenommen. Chris Painter, Director of Policy bei METR, prüfte mit Anthropics Erlaubnis einen frühen Entwurf und äußerte gegenüber Journalisten, bei aller Begrüßung der zusätzlichen Transparenz der Risikoberichte, die unten zitierte unverblümte Einschätzung.

Wo die anderen fünf Rahmenwerke konvergieren und divergieren

Microsofts Frontier Governance Framework bildet den direktesten Kontrast zu Anthropics neuer bedingter Haltung: Seine Pausenzusage, oben in der Tabelle und unten vollständig zitiert, ist ihrem Wortlaut nach bedingungslos und ausschließlich an Microsofts eigene Einschätzung geknüpft, dass ein Risiko nicht ausreichend gemindert werden kann — ohne eine von Wettbewerbern abhängige Szenario-Ausnahme vergleichbar mit Anthropics Anhang A.

Metas Advanced AI Scaling Framework trifft für seinen engeren Fall eine ähnlich bedingungslose Zusage: Erreicht ein Modell Metas „kritischen Risikoschwellenwert” und lässt sich dieses Risiko nicht mindern, erklärt Meta, es werde das Modell weder extern einsetzen noch seine Entwicklung fortsetzen. Meta verwendet einen „Grad des Fähigkeitsgewinns hin zu einem Bedrohungsszenario” statt einer festen Stufenskala, doch die zugrunde liegenden Bereiche — chemisches/biologisches Risiko, Cybersicherheit und Kontrollverlust (in Metas v2 hinzugefügt) — erweisen sich als stärker über die Labore hinweg geteilt, als die jeweils separate Veröffentlichung der Rahmenwerke nahelegt. OpenAIs eigenes Preparedness Framework v2 sagt in einer Fußnote unumwunden, dass seine Capability Reports und Safeguards Reports „parallel zu Anthropics aktualisierter RSP” verlaufen und dass seine Schwellenwertkriterien „teilweise durch Metas jüngeres Frontier AI Framework informiert wurden” — ein seltenes Eingeständnis labor-übergreifender Konvergenz in einer Reihe von Dokumenten, die sich sonst lesen, als wäre jedes isoliert verfasst worden.

OpenAIs eigene zweistufige Struktur platziert die härtere Schranke — einen möglichen Stopp der Entwicklung selbst — nur auf der Stufe Kritisch, und selbst dann leitet sie die Entscheidung über eine interne Safety Advisory Group, deren Empfehlung der CEO von OpenAI oder ein Beauftragter außer Kraft setzen kann, wobei das Safety and Security Committee des Vorstands (mitgeleitet von eben diesem CEO) die Aufsicht über diese Außerkraftsetzung führt. Das Rahmenwerk wurde im Juli 2026 in der Praxis angewendet: OpenAIs System Card zu GPT-5.6 stufte seine kleineren, schnelleren Modelle Sol, Terra und Luna sowohl bei Cybersicherheit als auch bei biologischem und chemischem Risiko als Hoch ein — das erste Mal, dass kleinere Modelle einer Modellfamilie diese Einstufung erhielten —, was neue Aktivierungsklassifikatoren, Echtzeit-Blockierung von Ausgaben und rund 700.000 GPU-Stunden automatisiertes Red-Teaming auslöste (OpenAI, Sicherheitsseite zum Einsatz von GPT-5.6). Das ist OpenAIs eigene Darstellung seiner eigenen Konformität, keine unabhängige Prüfung.

Google DeepMinds Frontier Safety Framework funktioniert noch einmal anders: Statt einer binären Stufenüberschreitung soll ein „Alarmschwellenwert” eine formale Fähigkeitsbewertung auslösen, bevor ein Critical Capability Level tatsächlich erreicht wird, und das Erreichen eines solchen erfordert einen ergänzenden Sicherheitsnachweis und die Zustimmung der Governance vor dem externen Einsatz — speziell für den Bereich ML-F&E erweitert auf auch internen risikoreichen Einsatz (DeepMind, Frontier Safety Framework v3.1). Das klarste Beispiel eines Labors, das öffentlich die Grenzen seines eigenen Rahmenwerks benennt: DeepMinds empfohlenes Security Level 4 für Modelle, die die Arbeit eines gesamten KI-Forschungsteams von Google vollständig automatisieren könnten, kommt mit dem ausdrücklichen Hinweis, dies „müsse vom gesamten Feld der Frontier-KI gemeinsam getragen werden” — DeepMind erklärt damit im eigenen veröffentlichten Dokument, dass die Kontrollen keines einzelnen Unternehmens auf diesem Fähigkeitsniveau ausreichen.

xAIs FAIF fällt in dieser Hinsicht vergleichsweise dünn aus. Über alle vier Bereiche hinweg ist konditionale Sprache nahezu durchgängig — „wir können”, „falls wir es für gerechtfertigt halten” —, und das Dokument enthält keine Zusage zum Stopp des Einsatzes vergleichbar mit OpenAIs Stufe Kritisch oder Metas Formulierung „wird nicht einsetzen” (xAI, Frontier Artificial Intelligence Framework). Es löste ein früheres Risk Management Framework ab, das selbst bereits Monate hinter xAIs eigenem angekündigten Zeitplan veröffentlicht worden war — ein Muster mit dokumentierter Vorgeschichte, das im Folgenden behandelt wird.

Für einen breiteren Index veröffentlichter Richtlinien von Frontier-Laboren über diese sechs hinaus führt METR einen Vergleich (METR, „Common Elements of Frontier AI Safety Policies”; Index), der zwölf Labore umfasst. Er fungiert hauptsächlich als struktureller Index, nicht als bewertete Rangliste — für einen bewerteten Vergleich siehe den nächsten Abschnitt.

Behauptungen gegenüber Praxis

Alles oben Genannte beschreibt, was sechs Unternehmen zu tun versprechen. Ob sie es tatsächlich getan haben, ist eine andere, wichtigere Frage, und die verfügbare Evidenz fällt erheblich weniger schmeichelhaft aus als die Rahmenwerke selbst.

Die mit Abstand nützlichste unabhängige Prüfung ist der SaferAI Frontier Risk Management Tracker, eine tatsächlich unabhängige Bewertung, losgelöst vom selbstberichteten Rahmenwerk jedes einzelnen Labors. Er bewertet zwölf Unternehmen — nicht nur die oben verglichenen sechs — anhand von vier Dimensionen: Risikoidentifikation, Risikoanalyse & -bewertung, Risikobehandlung und Risiko-Governance. Nach seiner Aktualisierung vom Juli 2026 lauteten die Gesamtwerte von 100 %: Anthropic 35 % (insgesamt am höchsten, und speziell bei Risiko-Governance mit 50 % am stärksten), OpenAI 34 %, Microsoft 33 %, Meta 33 %, G42 24 %, Google DeepMind 20 %, xAI 18 %, Amazon 18 %, NVIDIA 16 %, Magic 11 %, Naver 10 % und Cohere 8 % (am niedrigsten) (SaferAI Frontier Risk Management Tracker). SaferAIs eigener Maßstab dafür, was aktuelle Best Practice hervorbringen würde, übernähme jedes Unternehmen jeweils die stärkste im gesamten Feld vorgefundene Einzelpraxis, wird unten zitiert — und er liegt nirgends nahe an 100 %. Kein bewertetes Labor, auch nicht der Spitzenreiter, kommt dem nahe, was SaferAI für angemessen hält.

OpenAIs Preparedness Framework wurde direkt von externen Akademikern geprüft, statt für bare Münze genommen zu werden. Coggins, Saeri, Daniell, Ruster, Liu und Davis wenden ein „Affordances”-Rahmenwerk an — das unterscheidet, was ein Richtliniendokument verlangt, anfordert, ermutigt und lediglich erlaubt — und kommen zu drei Befunden. Erstens fordert das Framework die Bewertung nur einer Minderheit der Risiko-Unterbereiche in der 24-Unterbereiche-Taxonomie des MIT AI Risk Repository und verlangt die Bewertung keines einzigen. Zweitens ermutigt es zum Einsatz von Systemen mit „mittlerer” Fähigkeit zu schwerem Schaden — OpenAIs eigene Definition umfasst den Tod oder die schwere Verletzung Tausender Menschen oder wirtschaftliche Schäden in Höhe Hunderter Milliarden Dollar —, und verweist dabei auf OpenAIs eigenen Einsatz seines o1-Modells trotz als „mittel” eingestufter biologisch-chemischer und persuasiver Fähigkeit. Drittens erlaubt es dem CEO von OpenAI, die Empfehlungen der Safety Advisory Group zu Schutzmaßnahmen außer Kraft zu setzen, während derselbe CEO zugleich den Vorstandsausschuss mitleitet, der diesen Ermessensspielraum eigentlich beaufsichtigen soll — ein struktureller Interessenkonflikt, kein hypothetischer.

Google DeepMinds eigener Sicherheitsnachweis wurde extern geprüft — das klarste Beispiel unter den sechs Laboren dafür, dass eine spezifische, sicherheitsrelevante Behauptung von namentlich benannten, ausgewiesenen externen Prüfern kontrolliert wurde statt allein vom internen Prozess des Labors. DeepMinds internes Argument, seinen Modellen fehle die Fähigkeit zum „Scheming” (verdecktem Verfolgen eigener Ziele), wurde von Barrett, Campos Zabala, Fillingham, Siddique, Walpole, Bloomfield und Papadatos mithilfe einer formalen Assurance-Methodik überprüft. Ihre Bewertung bescheinigte DeepMind echtes methodisches Engagement und transparente Argumentation, fand jedoch das unten Zitierte — einen Befund über den Abstand zwischen Ingenieurpraxis und der tatsächlich vorgelegten Evidenz, keine Unterstellung von Unredlichkeit.

xAI liefert das klarste Beispiel dafür, dass die Behauptungen eines Rahmenwerks direkt durch Ereignisse widerlegt wurden, und das gleich zweimal. Erstens beim Prozess: xAIs Entwurfsrahmenwerk vom Februar 2025 versprach eine finale Fassung „innerhalb von drei Monaten” — eine Frist bis etwa zum 10. Mai 2025. Die Frist verstrich ohne jede Reaktion von xAI, was die Beobachtungsgruppe The Midas Project dazu veranlasste, das unten zitierte Muster festzuhalten. Der eventuelle Vorgänger des FAIF wurde erst am 20. August 2025 veröffentlicht — über drei Monate zu spät. Zweitens in der Sache: Am selben Tag veröffentlichte xAI versehentlich Hunderttausende Nutzergespräche, und Elon Musk räumte separat ein, dass ein Ingenieur das gesamte Code-Repository des Unternehmens heruntergeladen hatte — was die eigenen schriftlichen Sicherheitsbehauptungen desselben Dokuments direkt untergrub. AI Lab Watch dokumentierte zudem, dass die Anerkennung des UK AI Security Institute als externer Prüfer einen Tag nach Veröffentlichung stillschweigend und ohne Erklärung aus der Modellkarte von Grok 4 entfernt wurde (AI Lab Watch, „xAI’s new safety framework is dreadful”).

Nicht jeder Eintrag in diesem Abschnitt ist ein dokumentiertes Versagen. OpenAIs oben beschriebene Einstufung von GPT-5.6 als „Hoch” liest sich am ehesten als ein weitgehend wie geschrieben angewendetes Rahmenwerk — bleibt aber OpenAIs eigener Selbstbericht; bis zur Abfassung dieses Textes wurde keine unabhängige Bestätigung der dahinterstehenden Behauptungen zu Red-Teaming oder Klassifikator-Wirksamkeit gefunden.

Wie diese Seite zu nutzen ist

Jedes hier genannte Rahmenwerk wird nach seinem eigenen Zeitplan überarbeitet, meist ohne größeren öffentlichen Hinweis über einen Changelog-Eintrag hinaus. Die obigen Versionsnummern und Inkrafttretensdaten sind der schnellste Weg zu prüfen, ob eine bestimmte Zeile noch aktuell ist: Anthropics RSP steht bei v3.4 (8. Juli 2026), OpenAIs Preparedness Framework steht seit dem 15. April 2025 unverändert bei v2, ohne v2.1 bis zur Abfassung dieses Textes, DeepMinds Frontier Safety Framework steht bei v3.1 (17. April 2026), Metas Advanced AI Scaling Framework steht bei v2 (3. Februar 2025, seither abgelöst), xAIs FAIF trat am 30. Juni 2026 in Kraft, und Microsofts Frontier Governance Framework wurde zuletzt im Februar 2026 aktualisiert. Sollte sich eine dieser Angaben bis zur Lektüre dieses Textes geändert haben, sollte die Tabelle speziell in dieser Zeile als veraltet betrachtet werden.

Wie die Fähigkeitstests und Sicherheitsnachweis-Argumente hinter diesen Rahmenwerken tatsächlich funktionieren — und wo ihre eigenen Grenzen liegen —, ist unter Frontier-Evaluationen, Sicherheitsnachweise und Vorfallmeldung beschrieben. Eine chronologische Aufzeichnung der realen Vorfälle, Offenlegungen und Beinahe-Unfälle, die diese Rahmenwerke verhindern oder erkennen sollen, findet sich in der Zeitleiste der KI-Vorfälle.