Ausgabe vom 12. September 2026

Bloomberg hat am Freitag berichtet, Sam Altman habe seiner Belegschaft im Laufe dieser Woche gesagt, OpenAI sei bereit, bei der Entwicklung von Spitzenmodellen langsamer zu machen — und hoffe, dass andere Labore dasselbe tun. Auf der unternehmensweiten Versammlung habe er in Aussicht gestellt, das eigene Tempo an das einer Handvoll vergleichbarer Häuser anzupassen, zugleich aber eingeräumt, dass nicht alle mitziehen würden. Der deutsche Aufgriff von Malte Kirchner erschien am Freitagmittag bei heise online.

Zur Quellenlage, weil sie hier den Wert der Meldung bestimmt: Bloomberg stützt sich auf „people familiar with the matter“, die anonym bleiben wollten. Ein wörtliches Altman-Zitat aus dieser Versammlung liegt in keiner der uns zugänglichen Quellen vor — sämtliche Wiedergaben sind indirekte Rede. Eine offizielle Bestätigung von OpenAI gibt es nicht; das Unternehmen hat sich auf Anfragen nicht geäußert. Alles, was Sie oben lesen, ist also die Schilderung ungenannter Insider, nicht eine Ankündigung.

Bemerkenswert ist trotzdem, was daneben passierte. Reuters hat die Geschichte eigenständig aufgegriffen und dabei die einzige benannte Quelle der ganzen Kette beigesteuert: Ein Anthropic-Sprecher erklärte am Donnerstag, das Unternehmen wolle mit der Branche darüber zusammenarbeiten, wie schnell neue KI-Werkzeuge ausgerollt werden. Damit liegt von einem der beiden Häuser eine zurechenbare Aussage vor — vom anderen nicht.

Die Meldung ist der vorläufig letzte Punkt einer Kette, die binnen sechs Tagen abgelaufen ist. Am Sonntag vergangener Woche warb OpenAIs Chefwissenschaftler Jakub Pachocki in seinem Essay „An Alien Mind“ für koordinierte Verlangsamung (7. September). Am Dienstag trat der Sicherheitsforscher Jacob Coxon zurück und warf beiden Laboren vor, mit unser aller Leben zu spielen (10. September). Am Mittwoch und Donnerstag legte Anthropic zwei Berichte vor. Und am Donnerstagabend berichtete WIRED, OpenAI habe im Kongress angefragt, ob eine branchenweite Verlangsamung kartellrechtlich überhaupt zulässig wäre — unser Leitartikel von gestern.

Das ist keine doppelte Meldung, sondern eine zweite. Die WIRED-Geschichte handelt von einer rechtlichen Sondierung bei Abgeordneten, die Bloomberg-Geschichte von interner Kommunikation an die Belegschaft. Unterschiedliche Vorgänge, unterschiedliche Quellen. Nebeneinandergelegt ergeben sie allerdings ein unbequemes Bild: Ein Unternehmen signalisiert seinen Mitarbeitern Bereitschaft zu einem abgestimmten Vorgehen, dessen Zulässigkeit es zeitgleich juristisch abklopfen lässt. Genau der Punkt, den der australische Wettbewerbsjurist Nicholas Felstead herausgearbeitet hat: Je verbindlicher eine solche Abstimmung wäre, desto eher würde ein Gericht sie als Absprache zwischen Wettbewerbern werten.

Neu ist die Haltung nicht. Bereits Ende Juli sagte Altman im Podcast „Invest Like the Best“ einen Satz, den TechCrunch damals zur Überschrift machte: „We may have to pace the rate of AI development to give ourselves enough time for society to harden around some of these new capability levels.“ Im selben Gespräch formulierte er allerdings auch die Gegenwarnung — er fürchte eine Welt, in der die realen Gefahren der Technik zum Argument dafür würden, dass nur eine kleine Gruppe sie haben dürfe: „I am terrified of a world where the very real fears of AI are used as a way to say, ‚Only this small group of people can have it because it's too dangerous ...‘“ Beides steht unverändert nebeneinander.

Für Unternehmen, die auf Modell-Fahrpläne planen, ändert sich durch diese Meldung zunächst nichts Belastbares. Es gibt kein Datum, keine Schwelle, keine Zusage — und mit GPT-6 Astra, das seit gut einer Woche ausgeliefert wird, auch keinen sichtbaren Bremsvorgang. Was sich ändert, ist die Wahrscheinlichkeit, dass Verlangsamung künftig aus einer anderen Richtung kommt: Solange sie freiwillig und abgestimmt erfolgen soll, hat sie ein Kartellproblem. Kommt sie als gesetzliche Pflicht ab definierten Fähigkeitsschwellen, hat sie keines. Wer heute Kapazitäten und Produktzyklen plant, sollte den zweiten Weg im Blick behalten — nicht den ersten.

Die EU-Cybersicherheitsagentur ENISA hat Zugang zu Anthropics Modell Mythos 5 erhalten und testet es seit dem 10. September. Bestätigt hat das Thomas Regnier, Sprecher der EU-Kommission: „Following our constructive engagement with Anthropic, we can confirm that the EU's cybersecurity agency ENISA has been granted access to Mythos 5 and is testing it now.“ Bloomberg hatte den Vorgang zuerst gemeldet, Golem und heise haben ihn am Freitag aufgegriffen.

Zwei Einschränkungen stehen gleich am Anfang. Erstens: ENISA bekommt Mythos 5, nicht Mythos 5.1. Mythos 5 wurde am 9. Juni vorgestellt, die Nachfolgeversion am 1. September — die Agentur prüft also ein Modell, das seit gut drei Monaten am Markt ist, während die aktuelle Fassung ihr verschlossen bleibt. Zweitens: Weder ENISA noch Anthropic haben den Vorgang selbst öffentlich gemacht. Auf enisa.europa.eu findet sich keine Mitteilung dazu, Anthropic hat gegenüber Techzine ausdrücklich keine Stellungnahme abgegeben. Es gibt in diesem Fall keine Primärquelle — die Nachricht beruht auf dem Kommissionssprecher und auf Berichterstattung.

Wofür das Modell gedacht ist, lässt sich dagegen belegen. Mythos ist Teil von Project Glasswing, einem im Frühjahr gestarteten Programm, in dem das Modell Schwachstellen in kritischer Software finden soll, bevor Angreifer es tun; beteiligt sind neben großen Technologiekonzernen inzwischen rund zweihundert Organisationen in mehr als fünfzehn Ländern, darunter seit Anfang Juni auch ENISA. Das ist der Punkt, an dem die Meldung interessant wird: Die Aufnahme ins Programm im Juni und der tatsächliche technische Zugang am 10. September sind zwei verschiedene Dinge. Dazwischen lagen drei Monate.

Die Größenordnung, um die es geht, steht in Anthropics eigenem Zwischenbericht „Project Glasswing: An initial update“ vom 22. Mai. Anthropic und rund fünfzig Partner fanden darin binnen eines Monats über 10.000 Schwachstellen hoher und kritischer Schwere; allein in mehr als tausend quelloffenen Projekten werden 6.202 geschätzte Treffer dieser Kategorie genannt. Wichtig ist, was daneben steht: Von 1.752 nachgeprüften Meldungen erwiesen sich 90,6 Prozent — also 1.587 — als echte Treffer, davon 1.094 als tatsächlich hoch oder kritisch. Geprüft wurde durch sechs unabhängige Sicherheitsfirmen oder Anthropic selbst. Offengelegt wurden 530 Fälle, 75 davon sind gepatcht. Eine Trefferquote von gut neunzig Prozent ist gut; sie bedeutet aber auch, dass rund jede zehnte Meldung eines solchen Systems Arbeit erzeugt, ohne eine Lücke zu sein.

Warum die drei Monate? Die naheliegende Erklärung — US-Exportkontrollen — trägt nur die erste Hälfte. Am 12. Juni wies das US-Handelsministerium Anthropic per nicht veröffentlichtem Schreiben an, jeder ausländischen Person weltweit den Zugriff auf Fable 5 und Mythos 5 zu sperren. Weil sich Nutzer nicht zuverlässig nach Staatsangehörigkeit filtern ließen, schaltete Anthropic beide Modelle kurzerhand global ab. Am 26. Juni kam die Teillockerung für rund hundert geprüfte US-Organisationen, am 30. Juni hob das Ministerium die Auflagen vollständig auf. Die Sperre war also seit Ende Juni weg. Die verbleibenden zweieinhalb Monate gingen für Verhandlungen über die Nutzungsbedingungen drauf. ENISA formulierte dazu gegenüber Techzine den einzigen Satz, der wie eine Beschwerde klingt: „Speed is essential for security initiatives, as the ‚frontier‘ of AI is constantly shifting.“

Was in diesen Bedingungen noch offen ist, lässt sich nur sekundär rekonstruieren und sollte entsprechend vorsichtig gelesen werden: Datenhoheit, die Frage, ob und wie ENISA gefundene Schwachstellen an EU-Mitgliedstaaten weitergeben darf, und der Umfang der Systeme, die die Agentur überhaupt prüfen darf. Eine Befristung des Zugangs nennt keine Quelle.

Für europäische Unternehmen und Behörden ist der Vorgang aus einem anderen Grund lehrreich als dem naheliegenden. Nicht die Verzögerung ist die Nachricht, sondern die Mechanik dahinter: Ein Werkzeug, das eine europäische Sicherheitsbehörde für ihre Arbeit braucht, konnte im Juni binnen Stunden durch eine Verwaltungsanweisung eines Drittstaats abgeschaltet werden — global, ohne Vorankündigung, ohne veröffentlichte Rechtsgrundlage. Österreichs Digitalstaatssekretär Alexander Pröll hat daraufhin Ende Juni bei Kommissionsvizepräsidentin Henna Virkkunen angeregt, Anthropic-Infrastruktur in der EU zu hosten. Wer in seiner eigenen Sicherheitsarchitektur eine Komponente hat, deren Verfügbarkeit an einer solchen Anweisung hängt, sollte diesen Abhängigkeitspfad kennen — und wissen, was ohne sie noch funktioniert.

DeepSeek hat am Donnerstag V4.1 Flash veröffentlicht, mit offenen Gewichten unter MIT-Lizenz auf Hugging Face und zeitgleich über die eigene Schnittstelle. Die Eckdaten aus der Primärquelle: 552 Milliarden Parameter im Rumpf als Mixture-of-Experts, davon aber nur 8 Milliarden aktiv beim Einlesen und 16 Milliarden beim Ausgeben, eine neue Encoder-Decoder-Architektur mit zwanzig Schichten je Richtung, ein Kontextfenster von einer Million Token und ein KV-Cache von rund 890 Byte pro Token — laut heise etwa 75 Prozent kleiner als bei V4 Flash, was den Speicherbedarf beim Betrieb entsprechend drückt.

Die Preise, außerhalb der Stoßzeiten, je Million Token: 0,15 Dollar für Eingaben, 0,003 Dollar bei Cache-Treffern, 0,60 Dollar für Ausgaben. In den Stoßzeiten werktags gilt exakt das Doppelte. Zum Vergleich kostet V4-Pro 1,32 beziehungsweise 3,96 Dollar — der Eingabepreis fällt also um das 4,4-Fache, der Ausgabepreis um das 3,3-Fache.

Und hier beginnt der Teil, der die Schlagzeile trägt. Artificial Analysis misst nicht nur Qualität, sondern auch, wie viele Token ein Modell braucht, um einen festen Testsatz abzuarbeiten. V4.1 Flash erreicht im Intelligence Index 40 Punkte und damit Rang 6 von 113 Modellen; V4-Pro kommt auf 36. Für denselben Testsatz erzeugt V4.1 Flash allerdings 250 Millionen Ausgabe-Token, während der Median über alle 113 Modelle bei 130 Millionen liegt. Artificial Analysis stuft das Modell ausdrücklich als „very verbose“ ein. V4-Pro kam mit 160 Millionen aus.

Rechnet man beides zusammen, kostet eine Aufgabe des Testsatzes bei V4.1 Flash 0,27 Dollar, bei V4-Pro 0,67 Dollar. Der um 56 Prozent höhere Tokenverbrauch wird vom drei- bis vierfach niedrigeren Tokenpreis also deutlich überkompensiert — unterm Strich rund 60 Prozent günstiger. Der interessante Vergleich ist aber ein anderer: Der direkte Vorgänger V4 Flash lag bei 0,22 Dollar pro Aufgabe. Gegenüber dem eigenen Vorgänger ist das neue, klügere Modell also teurer geworden, weil dort der Mehrverbrauch an Token den niedrigeren Preis übersteigt. Wer eine Migration plant, sollte nicht die Preisliste vergleichen, sondern die eigene Last einmal durchmessen.

Steuerbar ist das immerhin. DeepSeek erlaubt einen stufenlosen Denkaufwand von 1 bis 100; die öffentlichen Voreinstellungen low, high und max entsprechen 50, 75 und 100. Laut einer VentureBeat-Auswertung der DeepSeek-Angaben steigt der Ausgabe-Tokenverbrauch zwischen Stufe 25 und 100 um etwa das Zweieinhalbfache, während Werte zwischen 60 und 80 den größten Teil der Genauigkeit bei weniger als der Hälfte des Tokenbudgets erreichen. In der Praxis ist dieser Regler damit der eigentliche Kostenhebel — nicht die Modellwahl. Ein Entwickler in der Diskussion auf Hacker News hält ihn allerdings für zu grob: „'low' is pretty much the same as turning reasoning off, and 'high' is similar to 'max' ... they need a proper 'medium' setting.“

Eine Korrektur zur Meldungslage, die für Betroffene relevant ist: In der Ankündigung vom Donnerstag stand, ab dem 14. September würden sämtliche Anfragen an V4-Pro automatisch auf V4.1 Flash umgeleitet und zu dessen Tarifen abgerechnet — „We're phasing out V4-Pro.“ Das hat einen Tag gehalten. Im offiziellen Änderungsprotokoll steht inzwischen: „In response to user demand, we have decided to continue providing API services for DeepSeek V4 Pro after September 14, 2026, with the billing method remaining unchanged.“ V4-Pro bleibt also vorerst parallel verfügbar. Die deutschen Meldungen vom Freitagvormittag, die noch von einer Ablösung sprechen, geben den Stand von Donnerstag wieder.

Der Anlass für die Kehrtwende ist im Übrigen genau der Einwand, den ein Entwickler in derselben Hacker-News-Diskussion formuliert hatte: „I feel like API model providers should lean towards _not_ swapping out models on their paying customers.“ Wer produktiv auf einem bestimmten Modellstand aufsetzt, kann mit einem stillen Austausch unter gleicher Kennung wenig anfangen — die Ausgabe ändert sich, die Testfälle auch.

Zwei Einschränkungen zum Schluss. Erstens sind mehrere Benchmark-Angaben widersprüchlich: DeepSeeks eigene Modellkarte nennt 90,6 Prozent auf Terminal-Bench 2.1, eine andere Auswertung 30,0 auf Terminal-Bench 3.0 — verschiedene Fassungen desselben Tests, nicht ineinander umrechenbar. Zweitens berichten mehrere Nutzer, dass die Gedankenkette bei englischen Anfragen ins Chinesische wechselt und die Antwort gleich mit. Und zum naheliegenden Zusammenhang mit den Vorwürfen dieser Woche — dem Behörden-Advisory vom 8. September und Anthropics Bericht vom 10. September, die DeepSeek beide namentlich nennen: Keine Quelle stellt eine Verbindung zum Launch her, und wir tun es auch nicht. Vier Nachrichtenstränge in derselben Woche ergeben noch keinen Zusammenhang.

Universal Music Group und ElevenLabs haben am Donnerstag eine mehrjährige strategische Partnerschaft angekündigt, die mit einer gemeinsamen KI-Musikplattform beginnen soll. Fans sollen darauf mit Musik teilnehmender Künstlerinnen und Künstler gemeinsam Neues erschaffen — Remixe, Mashups. Wir haben die gemeinsame Pressemitteilung (Santa Monica und New York, 10. September, über PR Newswire) im Volltext gelesen und gegen eine unabhängige Zweitkopie geprüft.

Der Satz, um den es geht, lautet im Original: „The ElevenLabs-UMG relationship will begin with a new AI-powered music creation platform built on licensed music and artist participation.“ Aufgebaut auf lizenzierter Musik und Künstlerbeteiligung. Die Wörter „trained“ und „training“ kommen im gesamten Text nicht ein einziges Mal vor.

Das ist keine Wortklauberei, sondern die zentrale offene Frage. „Aufgebaut auf lizenzierter Musik“ beschreibt, dass der Katalog, aus dem die Plattform schöpft, lizenziert ist. Es sagt nichts darüber, worauf die KI-Modelle trainiert wurden, die diese Plattform antreiben werden. ElevenLabs betreibt bereits zwei Musikprodukte — die Music API und ElevenMusic —, und die Mitteilung grenzt die neue Plattform ausdrücklich von ihnen ab: „The new platform will be distinct and offered separately from ElevenLabs' existing music products.“ Ob dabei bestehende Modelle wiederverwendet oder neue trainiert werden, steht nirgends.

Die Liste dessen, was sonst noch fehlt, ist bemerkenswert lang. Kein Produktname — die Plattform bleibt in der eigenen Ankündigung namenlos. Kein Startdatum, nur „now in development“. Keine Konditionen, kein Preismodell, kein Umsatzmodell. Keine Vergütungsregel für Künstler; es bleibt bei der Absichtserklärung. Kein namentlich genannter Künstler. Und kein beschriebener Zustimmungsmechanismus: Die Mitteilung spricht von „participating artists and songwriters“, erklärt aber nicht, ob die Zustimmung katalogweit oder je Titel eingeholt wird. Wo in der Berichterstattung „Opt-in“ steht, ist das journalistische Auslegung, keine Aussage der Beteiligten.

Was es gibt, sind zwei Zitate. Sir Lucian Grainge, Chairman und CEO von UMG: „UMG and ElevenLabs are aligned that responsible AI can inspire discovery, deepen engagement between artists and fans, and unlock new revenue opportunities for the creative community.“ Und Mati Staniszewski, Mitgründer und CEO von ElevenLabs: „By combining UMG's global community and rights management expertise, with our AI models and products, we'll enable artists and songwriters to create powerful new experiences for their fans, and ensure they are fairly compensated.“ Wie die faire Vergütung aussieht, bleibt offen. Stuart Dredge von Music Ally hält fest, dass ElevenLabs sich in bestehenden Vereinbarungen mit Kobalt und Merlin auf eine gleiche Aufteilung zwischen Verlags- und Labelseite festgelegt hatte — für die neue Plattform sind die Anteile nicht bestätigt.

Zur Einordnung der Beteiligten: ElevenLabs hat am 4. Februar dieses Jahres eine Series D über 500 Millionen Dollar bei einer Bewertung von 11 Milliarden abgeschlossen, angeführt von Sequoia Capital — das ist mehr als das Doppelte dessen, was Suno wert ist. Für UMG ist es nach eigener Darstellung der erste Deal dieser Art, der nicht am Ende eines Rechtsstreits steht. Udio wurde im Oktober 2025 erst verklagt und dann Lizenzpartner. Gegen Suno klagt UMG weiterhin — und zwar auch nach dem Start von Suno v6 am 9. September, das nach TechCrunch-Angaben auf lizenzierten Daten von Warner Music, BMG und Believe beruht. Universal steht auf dieser Liste nicht. Über Suno v6 haben wir in unserer Ausgabe vom 10. September berichtet und dort dieselbe sprachliche Unterscheidung herausgearbeitet.

Nicht vergessen sollte man die dritte Partei. Die American Federation of Musicians hat am 5. Juni gegen UMG, Atlantic Recording und Warner Records vor dem Bundesbezirksgericht in Manhattan geklagt, im Juli in geänderter Fassung: Die Lizenzierung von Katalogen an KI-Plattformen verstoße gegen das Sound Recording Labor Agreement, weil die beteiligten Musiker weder informiert noch nach der „New Use“-Regel vergütet worden seien. Das Verfahren läuft. Ein Label kann seinen Katalog lizenzieren; ob es damit auch die Ansprüche der Studiomusiker mitlizenziert hat, ist gerade Gegenstand eines Prozesses.

Für Unternehmen, die generative Audio-Werkzeuge einsetzen, ist die Lehre übertragbar und hat wenig mit Musik zu tun. „Lizenziert“ ist kein Rechtsbegriff mit festem Inhalt. Die Frage, die im Einkaufsgespräch gestellt gehört, lautet nicht „arbeiten Sie mit lizenzierten Daten?“, sondern: Worauf wurde das Modell trainiert, das meine Ausgabe erzeugt — und wer haftet, wenn sich das als streitig erweist?

Am 4. September ist beim Bundesbezirksgericht für den nördlichen Bezirk von Illinois eine Sammelklage gegen Meta eingegangen, über die WIRED am Freitag berichtet hat. Das Verfahren heißt Alvarez et al. v. Meta Platforms, Inc. und trägt das Aktenzeichen 1:26-cv-10773. Kläger sind Francisco Alvarez aus Illinois und sein minderjähriges Kind sowie Jeremy Wahl aus Kalifornien und seine zehnjährige Tochter. Vertreten werden sie von der Chicagoer Kanzlei Wexler Boley & Elgersma; die Klageschrift umfasst 66 Seiten.

Der Vorwurf verbindet zwei Dinge, die bisher getrennt verhandelt wurden. Erstens: Meta habe Fotos von Facebook und Instagram genutzt, um seine Bildgeneratoren zu trainieren — genannt werden Emu und dessen Nachfolger Muse Image. Zweitens: Dieselben Bilder seien in ein Gesichtserkennungssystem namens NameTag geflossen, das nie erschienen ist.

NameTag ist kein Gerücht. WIRED hatte im Juni inaktiven Code dafür in der Meta-AI-App gefunden, die über fünfzig Millionen Mal heruntergeladen wurde. Laut der damaligen Analyse wandelt die Funktion ein von der Brillenkamera erfasstes Gesicht in eine biometrische Signatur um und gleicht sie mit auf dem Telefon gespeicherten Signaturen ab, die von Meta-Servern aktualisiert wurden. Einen Tag nach dem Bericht entfernte Meta den Code. Die Klage stützt sich zusätzlich auf eine im Mai veröffentlichte Patentanmeldung mit dem Titel „User Identity Verification without Sharing Biometric Data With Platforms“. Zur Einordnung: Eine Patentanmeldung belegt nicht, dass ein System so gebaut wurde — das hält auch Biometric Update ausdrücklich fest.

Die Rechtsgrundlagen lohnen die Genauigkeit, weil sie oft durcheinandergehen. Tragend ist der Biometric Information Privacy Act von Illinois, konkret Paragraf 15(a) — keine öffentlich zugängliche Aufbewahrungs- und Löschrichtlinie — und Paragraf 15(b) — Erhebung ohne schriftliche Einwilligung. Dazu kommen kalifornische Ansprüche: das Recht am eigenen Bild nach Common Law, Paragraf 3344(a) des Civil Code und das Recht auf Privatsphäre aus der Landesverfassung. Der kalifornische Abhörschutz CIPA spielt entgegen mancher Darstellung keine Rolle.

Der Hebel liegt im BIPA. Das Gesetz sieht 5.000 Dollar je vorsätzlichem oder rücksichtslosem Verstoß vor und 1.000 Dollar je fahrlässigem, jeweils pro betroffener Person. Die vorgeschlagene Klasse umfasst alle Personen in den USA, deren Bilder ab dem 4. September 2021 hochgeladen oder per Eingabe in Metas Modelle eingespeist wurden — nach Darstellung der Klageschrift könnten das Millionen sein. Dazu kommen Unterlassungsansprüche und die Forderung, die biometrischen Daten zu löschen.

Meta widerspricht deutlich. Ein Sprecher gegenüber WIRED: „This lawsuit is without merit and misrepresents our work. We've been transparent about how we use people's information to build and improve our AI products. As for NameTags, nothing has shipped to consumers and no final decision has been made on what to do here, if anything. ... One decision we can be clear about — we are not building a universal face database.“ Technikchef Andrew Bosworth hatte die WIRED-Recherche schon im Juni als „incredibly misleading“ und „absolutely dishonest“ bezeichnet. Die Gegenseite formuliert es so — Justin Boley, Partner der Klägerkanzlei: „People shouldn't have to worry if their biometric information will be misused simply because their photographs appear on a social media platform.“

Dass das teuer werden kann, hat Meta bereits zweimal erfahren. 2020 einigte sich Facebook im Streit um die Gesichtserkennung hinter den Tag-Vorschlägen auf 650 Millionen Dollar; das Gericht genehmigte den Vergleich im Februar 2021, im November desselben Jahres schaltete das Unternehmen das System ab und löschte nach eigenen Angaben über eine Milliarde Gesichtssignaturen. 2024 zahlte Meta 1,4 Milliarden Dollar an den Bundesstaat Texas. Parallel läuft seit diesem Frühjahr ein Verfahren rund um die Meta-Brillen, das inzwischen auch Unbeteiligte erfasst, die nie eine solche Brille besaßen — darüber haben wir in unserer Ausgabe vom 8. September berichtet.

Der Punkt, der Geschäftskunden betrifft, steht nicht in der Klage, sondern in der Lizenz. Wir haben die Llama-3-Lizenz im Rohtext geprüft. Sie enthält keine Freistellung zugunsten des Nutzers — sondern das Gegenteil: „You will indemnify and hold harmless Meta from and against any claim by any third party arising out of or related to your use or distribution of the Llama Materials.“ Dazu ein Gewährleistungsausschluss, der Rechtsmängelfreiheit und Nichtverletzung fremder Rechte ausdrücklich einschließt. Wer Metas Modelle im Produkt einsetzt und dessen Trainingsdatenherkunft strittig wird, trägt dieses Risiko selbst. Andere Anbieter versprechen an dieser Stelle eine Freistellung. Der Vergleich der Vertragsseiten ist damit die unmittelbar nützliche Konsequenz dieser Meldung.

Bending Spoons hat am Donnerstag eine verbindliche Vereinbarung zur Übernahme von Miro unterzeichnet. Der Unternehmenswert liegt bei 1,355 Milliarden Dollar, der Eigenkapitalwert inklusive Nettoliquidität bei rund 1,79 Milliarden; gezahlt wird vollständig in bar. Bestimmte Miro-Aktionäre legen freiwillig 295 Millionen Dollar ihres Erlöses in neu ausgegebene Bending-Spoons-Aktien an. Der Abschluss wird für das vierte Quartal erwartet, vorbehaltlich behördlicher Freigabe — die Übernahme ist also noch nicht vollzogen. Deutsche Medien griffen die Meldung am Freitag auf.

Miro ist kein Sanierungsfall. Der jährlich wiederkehrende Umsatz liegt bei rund 600 Millionen Dollar, davon knapp 90 Prozent aus Geschäfts- und Unternehmenskunden; es gibt etwa vier Millionen zahlende Nutzer, über 250.000 Organisationen, mehr als 750 Kunden mit über 100.000 Dollar Jahresumsatz — und das Unternehmen ist profitabel. Die Zahl, die trotzdem hängen bleibt, ist eine andere: In der Series C vom Januar 2022 wurde Miro mit 17,5 Milliarden Dollar bewertet. Der jetzige Unternehmenswert entspricht rund acht Prozent davon.

Es ist der zweite Kauf dieser Größenordnung binnen fünf Wochen. Die Übernahme von Airtable, angekündigt am 4. August zu einem Unternehmenswert von 1,285 Milliarden Dollar, wurde in der Woche vor dem Miro-Deal abgeschlossen; auch dort liegt der Preis rund 89 Prozent unter der Bewertung von 11,7 Milliarden aus dem Jahr 2021. Bending Spoons selbst ist seit dem 1. Juli börsennotiert — Nasdaq, 29 Dollar je Aktie, 1,68 Milliarden eingesammelt, Bewertung 18,4 Milliarden. Der Umsatz lag 2025 bei 1,31 Milliarden Dollar.

Das Geschäftsmodell ist kein Geheimnis, und seine Wirkung lässt sich an den bisherigen Zukäufen ablesen. Bei Evernote wurden nach der Übernahme Anfang 2023 zunächst 129 Stellen gestrichen, bis zur Jahresmitte praktisch die gesamte Belegschaft in den USA und Chile; der Betrieb wanderte nach Europa. Bei WeTransfer folgten im September 2024, zwei Monate nach dem Kauf, Kündigungen für rund drei Viertel der Belegschaft. Bei Komoot traf es im Frühjahr 2025 nach übereinstimmenden Berichten die große Mehrheit der Beschäftigten; Zahlen zwischen 80 und 85 Prozent kursieren, das Gründungsteam ist nicht mehr an Bord. Wer eine Karte einmalig gekauft hatte, braucht für die Synchronisierung auf Geräte inzwischen ein laufendes Abonnement. Bei Vimeo, übernommen im November 2025 für 1,38 Milliarden Dollar, berichten ehemalige Beschäftigte von der Auflösung des kompletten Video-Engineering-Teams.

Der für diese Ausgabe entscheidende Vorgang ist aber der WeTransfer-Eklat vom Sommer 2025, und er hat mit Personal nichts zu tun. Am 1. Juli 2025 veröffentlichte WeTransfer neue Nutzungsbedingungen, wirksam ab dem 8. August, die dem Dienst weitreichende Rechte an hochgeladenen Inhalten einräumten — ausdrücklich einschließlich der Vervielfältigung, Bearbeitung, kommerziellen Verwertung und des Trainings von Modellen des maschinellen Lernens. Der Widerstand kam binnen Tagen, vor allem von Kreativschaffenden, die ihre Dateien über den Dienst verschicken. WeTransfer nahm die Formulierung zurück und erklärte, die betroffene Funktion „hasn't been built or used in practice, but it was under consideration for the future.“ Die neuen Bedingungen beschränken sich seither auf Betrieb und Verbesserung des Dienstes; die Verweise auf maschinelles Lernen sind verschwunden.

Für Miro-Kunden ist das die relevante Referenz. Miro sagt in seinen aktuellen KI-Bedingungen zu, Kundendaten nicht zum Training oder zur Verfeinerung von Modellen zu nutzen. Eine Änderung dieser Zusage ist nicht angekündigt — der Deal ist noch nicht einmal geschlossen, und wir haben keinen Hinweis darauf gefunden, dass etwas geplant wäre. Das ist ausdrücklich keine Behauptung über Miro. Es ist der Hinweis darauf, dass Datennutzungsrechte in Nutzungsbedingungen stehen, dass Nutzungsbedingungen einseitig geändert werden können und dass genau das im selben Konzern schon einmal versucht wurde.

Auf Hacker News fällt die Prognose entsprechend nüchtern aus: Auf die Hoffnung eines Nutzers, der Preis möge nicht dramatisch steigen, antwortet ein anderer, genau das werde passieren, das sei Teil des Ansatzes. Ein Nutzer eines anderen Konzernprodukts berichtet von einer Verachtfachung seiner Gebühren nach der Umstellung von Pauschal- auf Nutzungsabrechnung. Zur Einordnung: Diese Stimmen sind Diskussionsbeiträge, keine belegten Fälle — wir geben sie als solche wieder.

Was man daraus für die eigene Beschaffung mitnehmen kann, ist unspektakulär und wird trotzdem selten gemacht. Eine Change-of-Control-Klausel, die eine Kündigung ohne Vertragsstrafe erlaubt, wenn der Anbieter den Eigentümer wechselt, verhandelt man vor der Unterschrift oder gar nicht — danach ist die Verhandlungsposition weg. Dasselbe gilt für eine Obergrenze bei Preiserhöhungen und für belastbare Zusagen zum Datenexport. Und weil Nutzungsbedingungen jederzeit neu gefasst werden können: Wer eine vertraglich zugesicherte Aussage zum KI-Training an eigenen Inhalten braucht, sollte sie im Rahmenvertrag stehen haben, nicht in einem verlinkten Dokument.

Am Rande des Demo Day von Y Combinator hat dessen Chef Garry Tan gegenüber CNBC eine Position bezogen, die in dieser Woche bemerkenswert quer liegt. Auf die Frage, was gegen Distillation zu unternehmen sei — das Abschöpfen der Fähigkeiten eines fremden Modells über dessen Schnittstelle, um damit ein eigenes zu trainieren —, antwortete er: „I would do nothing.“ Und weiter: „We could argue that there should be an American distillation regime.“ Kleinere amerikanische Labore mit offenen Gewichten sollen dieselben Verfahren auf die amerikanischen Spitzenmodelle anwenden, damit es offene Alternativen gibt, die nicht aus China kommen.

Das steht in auffälligem Kontrast zur Lage. Am 8. September haben NSA, CISA und FBI das gemeinsame Advisory AA26-251A veröffentlicht, Titel: „China-Based Artificial Intelligence Companies Conducting Industrial-Scale Distillation Campaigns Against U.S. AI Companies“. Sechs Firmen werden namentlich genannt — DeepSeek, Moonshot AI, Alibaba, MiniMax, StepFun und Z.AI —, und die Sprache ist deutlich: „China-based AI companies are engaging in aggressive, malicious, and targeted distillation activities at an industrial scale that extract restricted proprietary functionalities.“ Wir haben darüber in unserer Ausgabe vom 10. September berichtet; zwei Tage später legte Anthropic eigene Zahlen vor (11. September).

Die juristische Lage ist eindeutig, und sie ist der Kern der Sache. Wir haben die aktuellen Nutzungsbedingungen aller drei großen US-Anbieter nachgelesen. OpenAI untersagt ausdrücklich, „Output to develop models that compete with OpenAI“ zu nutzen und Daten oder Ausgaben „automatically or programmatically“ zu extrahieren. Anthropic formuliert es in Abschnitt D.4 der kommerziellen Bedingungen so: „Customer may not and must not attempt to (a) access the Services to build a competing product or service, including to train competing AI models or resell the Services except as expressly approved by Anthropic.“ Und Google schreibt für die Gemini-Schnittstelle: „You may not use the Services to develop models that compete with the Services ... You also may not attempt to reverse engineer, extract or replicate any component of the Services, including the underlying data or models (e.g., parameter weights).“

Wer Tans Vorschlag über die regulären Schnittstellen umsetzt, bricht also einen Vertrag. Tan bestreitet das auch nicht — er bestreitet die Legitimität der Klausel. Sein Argument in eigenen Worten: Es wirke einschränkend, zu kontrollieren, was Kunden mit Anfragen an geschlossene Modelle tun, und der Staat könne eine Rolle dabei spielen, zu normalisieren, „that access to intelligence that was trained on broad public access data should itself also be more a form of a public good than something locked away behind restrictive terms of service.“ Ein Modell, das auf öffentlich zugänglichen Daten trainiert wurde, solle eher ein öffentliches Gut sein als etwas, das hinter Nutzungsbedingungen weggeschlossen wird.

Sein zweites Argument ist wettbewerbspolitisch: „The nightmare scenario, the doomer scenario for AI is that there's just one company.“ Zugleich will er die Spitzenlabore nicht beschädigen — sie seien an der Front und trieben sie voran, das müsse finanzierbar bleiben. Der Branchendienst implicator.ai hält allerdings fest, was in dem Interview nicht vorkommt: Tan hat nicht ausgeführt, was ein solches Regime konkret erlauben würde, wo seine Grenzen lägen oder wer es verwalten sollte.

Die Marktlage, auf die er reagiert, ist gut belegt und für jeden relevant, der Modelle auswählt. Nach Auswertungen auf Basis von OpenRouter-Daten lag der Anteil amerikanischer Modelle am dort durchgeleiteten Tokenvolumen im Juni 2025 bei rund 70 Prozent; ein Jahr später bei etwa 30. Im Bereich der offenen Gewichte ist die Verschiebung noch deutlicher: Hugging Face beziffert im Lagebericht vom Sommer 2026 die monatlichen GGUF-Abrufe für Qwen auf 39,6 Millionen, für Gemma auf 20,8 Millionen und für Llama auf 7,5 Millionen — und hält fest, dass US-Modelle in fünf von sieben Monaten des Jahres unter 130 Milliarden Parametern blieben, während chinesische Labore deutlich größere offene Modelle veröffentlichten.

Bemerkenswert ist noch eine Empfehlung im Behörden-Advisory selbst. Neben Kontenüberwachung und anbieterübergreifendem Abgleich raten die Behörden dazu, bei Anfragen mit hoher Missbrauchswahrscheinlichkeit gezielt die Antworten zu verändern — etwa über differenzielle Privatheit oder ein absichtlich schwächeres Modell —, und zwar ohne die Betroffenen darüber zu informieren. Wer ein Modell über einen Vermittler oder ein günstiges Drittanbieter-Angebot bezieht, sollte das im Hinterkopf behalten: Eine Antwort kann auch dann von der regulären abweichen, wenn niemand einen Fehler gemacht hat.

Reaktionen auf Tans Vorstoß gab es bis Redaktionsschluss weder von OpenAI und Anthropic noch aus der Politik. Das ist bei einer Äußerung vom selben Tag wenig überraschend. Für Unternehmen, die auf offene Gewichte setzen, bleibt die Entscheidung damit vorerst dieselbe wie vor dem Interview — nur mit dem Zusatz, dass die Herkunftsfrage bei offenen Modellen gerade politisch aufgeladen wird und Beschaffungsrichtlinien, die „keine chinesischen Modelle“ vorschreiben, in der Praxis schnell auf eine sehr kurze Liste führen.