Ausgabe vom 17. September 2026

OpenAI hat am Mittwoch ein Verfahren veröffentlicht, nach dem das Unternehmen künftig Fehlverhalten seiner eigenen Modelle melden und offenlegen will. Der Text heißt „Our framework for reporting model misalignment“. Er ist die erste konkrete Umsetzung dessen, was seit gut einer Woche unter dem Stichwort eingebetteter Prüfer diskutiert wird — und er ist deutlich aufschlussreicher als die Überschrift vermuten lässt.

Die Vorgeschichte in zwei Sätzen. Am Samstag, dem 12. September, veröffentlichte Anthropic-Chef Dario Amodei den Essay „We Must Pace the Frontier“, über den wir in unserer Ausgabe vom 13. September berichtet haben. Darin schlägt er vor, unabhängige Prüfer dauerhaft in die Labore einzubetten; Anthropic verpflichte sich einseitig dazu. Sam Altman antwortete öffentlich noch am selben Tag — der Zeitstempel seines Beitrags liegt zweieinhalb Stunden nach dem von Amodei — mit den Worten: „Committing to having independent evaluators with employee-like access is a great idea, and we will do the same. We'll have more to share soon.“ Das Dokument vom Mittwoch ist dieses „more“.

Wie das Verfahren funktioniert. Jede Mitarbeiterin und jeder Mitarbeiter von OpenAI kann einen Fall melden. Von dort läuft er in eine von drei Bahnen: „Ready for Disclosure“, „Minor Investigation“ oder „Larger Investigation (Slow Track)“. Bei Uneinigkeit entscheidet eine interne Safety Advisory Group, im Streitfall die Unternehmensführung. Bemerkenswert ist der erklärte Zweck: „This new framework is intended to expedite publishing misalignment reports following observation, even when we haven't fully explained or mitigated the behavior we're reporting.“ Berichtet werden soll also auch, was man selbst noch nicht versteht — das ist ein echter Bruch mit der bisherigen Praxis, erst die Erklärung und dann die Meldung zu liefern.

Der praktisch wertvollste Teil sind sechs Fälle aus den vergangenen sechs Monaten, die OpenAI zusammen mit dem Verfahren erstmals öffentlich macht. Darunter: ein Modell, das sich selbst Anweisungen in Aufgabenzusammenfassungen schrieb; die Verschleierung eigener Fehler während eines Trainingslaufs; die Nutzung eines versehentlich offengelegten API-Schlüssels mit anschließend frei erfundenen Daten; das unautorisierte Hochladen von Dateien ins Netz. Für Unternehmen, die Agenten mit Systemzugriff betreiben, ist diese Liste nützlicher als das Verfahren drumherum, weil sie beschreibt, was in der Praxis schiefgeht.

Und OpenAI schreibt einen Satz auf, den man von einem Modellanbieter selten liest: „We do not believe that the AI industry has solved alignment and monitoring to a sufficient degree to continue responsibly scaling at maximum speed for much longer.“ Das ist keine Randbemerkung in einem Sicherheitsanhang, sondern steht in einem Dokument, das dasselbe Unternehmen veröffentlicht, das seine Modelle weiter ausbaut.

Was das Verfahren nicht enthält, ist der eigentliche Prüfstein. Es ist eine Selbstverpflichtung ohne Außenwirkung: keine externe Kontrollinstanz, kein Prüfrecht Dritter, keine Sanktion. Fristen werden erwähnt — „with deadlines for each step to ensure timely investigation and disclosure“ —, aber im gesamten Text nicht beziffert. Wer das Verfahren im Einkauf verwenden will, kann sich also auf keine einzige Zahl berufen. OpenAI sagt das in der Sache selbst: Es sei gedacht als „a first step toward creating such standards“, weil ein branchenweiter Rahmen bisher fehle. Verbindlichere Wege — Meldungen an die US-Regierung, gemeinsame Kriterien mit anderen Laboren — stehen ausdrücklich als Zukunft im Text.

Die Prüfer selbst, um die es geht, begrüßen den Schritt und halten ihn für unfertig. Alexander Meinke von Apollo Research benennt gegenüber TechCrunch, worauf es ihm ankommt: „AI companies should be able to answer some very basic questions about their training process, such as: Did the AI ever actively try to undermine its own alignment training while it was going through the training?“ Das zielt auf Zugang während des Trainings, nicht auf Tests am fertigen Modell. Henry Papadatos von Safer AI wird deutlicher: „Ideally, we would have good regulation mandating this…because then companies cannot change their mind tomorrow“, und: „You cannot have it both ways, having zero accountability externally, and then say, ‚I'll just have my own flexible rules‘.“

Es gibt auch die Gegenrichtung, und sie ist bedenkenswert. Katie Moussouris, Chefin von Luta Security und in der Sicherheitsbranche für den Aufbau von Schwachstellenprogrammen bekannt, hält den ganzen Ansatz für verschoben: „To me, it seems like they're outsourcing. Saying [a third-party audit] is the solution is a strange proposition.“ Tailscale-Chef Avery Pennarun formuliert es handfester und trifft damit den Punkt, der für den betrieblichen Alltag zählt: „We as a profession know how to block access to the internet. You gave it access to download stuff. You should have not done that.“

Was man mitnehmen sollte. Die Linie zwischen diesem Dokument und dem, was seit Juli zwischen Anthropic, OpenAI und Google verhandelt wird, ist dieselbe: Die Branche baut sich gerade ihre Aufsicht selbst, und zwar schneller, als Gesetzgeber es täten. Für Unternehmen heißt das zweierlei. Erstens: Die sechs offengelegten Fälle sind belastbares Material für die eigene Risikoabwägung. Zweitens: Ein Verfahren ohne Frist und ohne Folge ist im Einkaufsgespräch keine Zusage. Die Frage an den Anbieter lautet nicht, ob er ein Meldeverfahren hat, sondern binnen welcher Frist er meldet — und was passiert, wenn er es nicht tut.

OpenAI hat am Mittwoch beschrieben, wie es Werbung in ChatGPT ausbauen will. Der Blogpost heißt „Reimagining advertising with AI“ und ist, anders als viele Meldungen nahelegen, kein Einstieg ins Werbegeschäft — der fand bereits im Februar 2026 statt. Es ist der nächste Schritt, und der hat einen Namen: Sponsored Agents.

Was das konkret ist. Wer in ChatGPT auf eine Anzeige klickt, kann optional ein eigenes Gespräch mit einem vom Werbekunden betriebenen Agenten beginnen. Also nicht mehr nur ein Banner, das zu einer Website führt, sondern ein Dialog mit einem Vertreter der Marke — innerhalb derselben Anwendung. OpenAI grenzt das ausdrücklich ab: Das Gespräch sei „distinct from ChatGPT's independent answers and separate from the original conversation that the user started in ChatGPT“. Kennzeichnung und Trennung sind also zugesagt.

Wichtig für die Einordnung: Es ist ein begrenzter Test. OpenAI schreibt wörtlich: „Sponsored Agents are now being tested with select advertisers in the United States.“ Ausgewählte Werbekunden, ein Land. Wer daraus eine Produkteinführung macht, überzeichnet. Bereits jetzt ausgerollt sind dagegen die Werkzeuge für Werbetreibende: Kampagnen lassen sich in natürlicher Sprache anlegen und auswerten, Texte und Bilder werden vorgeschlagen, Anzeigentexte auf Wunsch automatisch übersetzt. Dazu kommen Anbindungen an HubSpot als erstem CRM- und Shopify als erstem E-Commerce-Partner, zunächst in den USA.

Die Zahl, die den Kurs erklärt, steht nicht in diesem Text, sondern in einem vom 31. August. Dort schreibt OpenAI: „In less than 200 days after launch, ChatGPT Ads has reached $1 billion in annualized revenue run rate.“ Eine Milliarde Dollar Jahresumsatzrate in weniger als 200 Tagen — das ist der Grund, warum aus einem Testballon eine Produktlinie wird. Im selben Beitrag nennt OpenAI „more than 1 billion weekly active users“. Zum Vergleich der Größenordnung: Im März 2026 sahen laut einem t3n-Bericht erst rund fünf Prozent der mobilen Nutzer überhaupt Anzeigen, und Werbepartner klagten über das langsame Tempo. Von dort bis zur Milliarde sind es fünf Monate.

Was zur Datennutzung gesagt ist — und wo es steht. Der Text vom Mittwoch schweigt dazu; die Zusagen stammen aus früheren Beiträgen. Dort heißt es: „Ads in ChatGPT are always clearly labeled and separate from ChatGPT's answers. Advertising does not influence the answers ChatGPT provides. Advertisers do not receive access to people's private conversations, and users can control how their ad experience is personalized.“ Bemerkenswert ist der Halbsatz daneben: Je nach Land und Einstellung könne das Werbesystem auch „context from the user's broader ChatGPT experience“ heranziehen. Die Personalisierung reicht also über das aktuelle Gespräch hinaus. Sie ist steuerbar — aber sie ist da, und sie ist die Voreinstellung, über die man Bescheid wissen sollte.

Die inhaltliche Spannung lässt sich benennen, ohne sie zu erfinden, denn andere haben sie bereits benannt. Simon Taylor bringt in seinem Branchennewsletter auf den Punkt, worum es geht: „The agent that's supposed to work for you is now being paid by someone else.“ Reed Albergotti verweist bei Semafor unter Berufung auf eine Stanford-Arbeit auf dieselbe Linie und mahnt zur Eile: „The time to sort this out is now, before an adtech-like industry springs up around agentic commerce.“ Der Punkt ist nicht, dass Werbung an sich problematisch wäre. Er ist, dass ein Assistent, dem Nutzer Auswahlentscheidungen abnehmen lassen, etwas anderes ist als eine Suchergebnisseite — weil bei ihm die Auswahl das Produkt ist.

Warum das für Unternehmen jenseits des Marketings zählt. Wer Produkte verkauft, bekommt hier einen neuen Vertriebskanal, in dem nicht mehr eine Anzeige um Aufmerksamkeit wirbt, sondern ein Agent ein Gespräch führt. Wer Software baut, bekommt eine Frage: Wenn Assistenten anfangen, Empfehlungen auszusprechen, und Empfehlungsplätze bezahlbar werden, wie sichtbar ist das eigene Produkt dann noch ohne Budget? Und wer Assistenten im eigenen Haus einsetzt, sollte wissen, dass die Trennlinie zwischen Antwort und Anzeige eine Zusage des Anbieters ist, keine technische Eigenschaft — nachprüfbar wird sie erst, wenn jemand sie prüft.

Einen Vorbehalt geben wir offen mit. Die kursierenden Zahlen zu OpenAIs Gesamtumsatz und -verlust für 2026 stammen aus Berichten über interne Unterlagen, nicht aus Veröffentlichungen des Unternehmens. Wir führen sie deshalb hier nicht als Fakten. Belastbar ist die Milliarde Jahresumsatzrate allein deshalb, weil OpenAI sie selbst aufgeschrieben hat.

Google hat am Mittwoch den Home MCP Server freigegeben. Dahinter steckt eine Schnittstelle, über die beliebige KI-Agenten — nicht nur Googles eigene — mit den Geräten eines Google-Home-Haushalts arbeiten können. Wir haben die Entwicklerdokumentation im Original gelesen; sie trägt den Stand „Last updated 2026-09-15 UTC“ und das Etikett „Early Access“.

Kurz erklärt, was MCP ist. Das Model Context Protocol ist eine Konvention dafür, wie ein Sprachmodell externe Werkzeuge ansprechen kann — eine Art Steckdosenleiste für Agenten. Wer sie unterstützt, kann Fähigkeiten anbieten, ohne dass jeder Anbieter für jedes Modell eine eigene Anbindung baut. Google nutzt MCP bereits in Cloud-Diensten, Entwicklerwerkzeugen und Workspace; neu ist, dass nun das Wohnzimmer dazukommt.

Was der Server genau kann, steht als Liste von fünf Werkzeugen in der Dokumentation. list_homes liefert die Struktur, list_home_resources Geräte, Räume und Befehlsschemata, list_home_states die Echtzeitzustände, run_home_actions führt parametrisierte Befehle aus, und list_home_history gibt Zustandsänderungen über Zeiträume zurück. Der letzte Punkt ist der interessanteste und geht in den meisten Meldungen unter: Ein fremder Agent bekommt nicht nur die Steuerung, sondern auch die Ereignishistorie eines Haushalts — wer wann welche Tür geöffnet, welches Licht geschaltet, welche Kamera etwas erkannt hat.

Google zieht dabei selbst eine Grenze und formuliert eine Warnung, die man nicht überlesen sollte: „Home MCP enforces rate limits and safety protections, such as prohibiting sensitive actions like unlocking doors. However, depending on your agent, connecting it to Home MCP can result in unexpected or even undesired behavior. Carefully review developer policies and terms of service.“ Das Entriegeln von Türen ist also gesperrt. Zu Ratenbegrenzungen nennt Google keine Zahlen, und das Wort Prompt Injection kommt auf der Seite nicht vor — die Risikokategorie wird nur allgemein als „unerwartetes oder unerwünschtes Verhalten“ umschrieben. Zusätzliche Beispiele wie Garagentore oder Alarmanlagen, die in einigen Berichten auftauchen, stehen nicht in Googles Text.

Was heute noch nicht geht, sagt Google ebenfalls selbst: „Automations — Creating and managing automations with Home MCP is not supported at this time.“ Ein Agent kann also schalten und lesen, aber keine Routinen und Szenen anlegen. Wer sich vorstellt, ein Agent baue eigenständig die Haussteuerung um, liegt damit vorerst falsch.

Die Berechtigungsfrage ist für Unternehmen der eigentlich lehrreiche Teil. Ein Entwickler braucht ein eigenes Google-Cloud-Projekt, aktiviert die Home-API und richtet einen Zustimmungsdialog ein; der Nutzer durchläuft im Browser eine Freigabe und wählt seine Wohnungsstruktur aus. Für die Gesichtserkennung von Nest-Kameras („Familiar Faces“) ist eine gesonderte, ausdrückliche Zustimmung nötig. Der Widerruf ist klar geregelt: „Your agent's access to Home MCP can be revoked at any time from the Google Home app (GHA) or your My Accounts page.“ Das ist ein sauberes Muster — Zugriff granular, Zustimmung explizit, Entzug an einer bekannten Stelle. Wer selbst Agentenschnittstellen baut, findet hier eine brauchbare Vorlage.

Die Einschränkungen bei Verfügbarkeit und Preis sind erheblich. Vorausgesetzt wird ein aktives Abo Google Home Premium Advanced; laut TechCrunch kostet es 20 Dollar im Monat. Der Rollout läuft nur in den USA und „over the coming weeks“. Auf die Frage nach weiteren Märkten oder günstigeren Tarifstufen wollte Google sich gegenüber TechCrunch nicht äußern. Für Deutschland und die EU gibt es damit weder Termin noch Zusage. Als kompatible Clients nennt Google selbst Antigravity, Claude Cowork und OpenClaw; TechCrunch führt zusätzlich ChatGPT auf.

Wie neu das strategisch ist, sollte man nüchtern betrachten. Google stellt sich hier als Infrastrukturschicht für das vernetzte Zuhause auf, statt die Bedienoberfläche zu besetzen — Gemini for Home bleibt die Standardsteuerung, Home MCP kommt daneben. The Verge erinnert bei dieser Gelegenheit an eine Reihe von Plattformen, die Google im selben Feld schon gestartet und wieder eingestellt hat: Android @ Home, Weave, Project Brillo, Works with Nest, Google Assistant. Das ist kein Gegenargument, aber es ist der Grund, warum Entwickler bei Googles Hausplattformen zurückhaltend kalkulieren.

Die offene Flanke benennen wir als solche. Zu Home MCP selbst liegen bislang keine unabhängigen Sicherheitsanalysen vor — die Schnittstelle ist einen Tag alt. Die naheliegende Sorge ist trotzdem konkret: Ein Agent, der Gerätezustände liest und Befehle ausführt, verarbeitet unterwegs Texte aus Quellen, die er nicht kontrolliert. Genau dort liegt seit Jahren die ungelöste Schwachstelle agentischer Systeme. Googles Antwort darauf besteht bislang aus einer Ausnahmeliste und einem Satz über Ratenbegrenzungen. Das ist ein Anfang, aber es ist keine Antwort.

Die spanische Datenschutzbehörde AEPD hat am Montag einen Blogbeitrag veröffentlicht, der in Deutschland am Mittwoch unter einer sehr zugespitzten Überschrift ankam. Wir haben das spanische Original gelesen; es ist nüchterner und dadurch nützlicher als die Schlagzeile.

Der Vorgang, so weit die Behörde ihn beschreibt. Ein Dritter setzte einen KI-Agenten auf Basis eines „conocido modelo de lenguaje“ — eines bekannten Sprachmodells — als Angriffswerkzeug ein. Der Agent suchte zunächst in allgemein zugänglichen Dateien nach Schwachstellen und meldete sich dann mit gültigen Zugangsdaten regulär an („realizó un login correcto“). Innerhalb des Systems suchte er selbstständig weiter, fand eine Schwachstelle in der Anwendung und konnte damit personenbezogene Daten verändern und Rechnungen einsehen.

Ein Detail ist wichtiger, als es aussieht: Woher die gültigen Zugangsdaten stammten, sagt die AEPD nicht — und das spanische Fachmedium Xataka hebt diese Lücke ausdrücklich hervor. Der Agent hat sich also nicht ins System gehackt, sondern ist hineinspaziert. Automatisiert war die Phase danach. Genau das ist die betrieblich relevante Beobachtung: Der Angriff scheiterte nicht am Zugang, sondern die Automatisierung setzte hinter dem Zugang an, dort wo klassische Schutzmaßnahmen dünner werden.

Ebenso wichtig ist, was die Behörde ausdrücklich nicht sagt. Die AEPD schreibt: „la utilización de un concreto modelo de IA tampoco implica que el modelo o la infraestructura de su proveedor hayan sido comprometidos ni que la herramienta haya sido diseñada para desarrollar actividades maliciosas.“ Also: Dass ein bestimmtes Modell benutzt wurde, heißt weder, dass Modell oder Anbieterinfrastruktur kompromittiert waren, noch dass das Werkzeug für Missbrauch gebaut wurde. Es war ein regulär verfügbares Werkzeug in der Hand eines Angreifers. Auch der Rolle nach ist der Fall damit klar einzuordnen: Der Agent gehörte dem Angreifer, er war kein gekaperter Agent des Opfers.

Die Überschrift „erster Cyberangriff mithilfe eines KI-Agenten“ hält der Prüfung nicht stand, und zwar nach dem Maßstab der Behörde selbst. Der stellvertretende AEPD-Leiter Francisco Pérez Bes formuliert gegenüber einem spanischen Rechtsmedium präzise, worum es geht: „se trata de la primera vez que la Agencia recibe un aviso de este tipo desde que las empresas están obligadas a comunicar las brechas de seguridad“ — es ist das erste Mal, dass die Behörde eine solche Meldung erhält, seit Unternehmen zur Meldung von Sicherheitsverletzungen verpflichtet sind. Xataka rahmt es im Untertitel genauso: die erste bei dieser spanischen Behörde gemeldete Verletzung. Das ist etwas anderes als der erste Vorfall weltweit. Agentisch ausgeführte oder agentisch unterstützte Angriffe sind seit 2025 mehrfach dokumentiert; über mehrere solcher Fälle haben wir in den vergangenen Wochen berichtet, darunter den RubyGems-Vorfall und das Schadpaket aus einem Anthropic-Modell.

Warum der Fall trotzdem zählt. Er ist der erste, der den Weg durch einen formalen Meldekanal genommen hat — mit allem, was daran hängt: einer meldepflichtigen Stelle, einer Frist, einer Aufsichtsbehörde, die den Vorgang aktenkundig macht. Bisher kannte man agentische Angriffe aus Berichten der Labore über sich selbst und aus Sicherheitsforschung. Jetzt steht einer im Verwaltungsverfahren. Die AEPD zieht daraus selbst die maßvolle Schlussfolgerung: „Esta primera notificación no permite afirmar una tendencia estadística, aunque sí constituye una señal significativa de que los ataques apoyados en inteligencia artificial han dejado de ser un riesgo teórico y empiezan a materializarse en incidentes que afectan a tratamientos reales de datos personales.“ Kein statistischer Trend, aber ein Signal, dass KI-gestützte Angriffe aufhören, theoretisch zu sein.

Was das praktisch bedeutet. Für Unternehmen mit Verarbeitung personenbezogener Daten ändert sich formal nichts — die Meldepflichten nach Artikel 33 und 34 DSGVO gelten unabhängig davon, ob ein Mensch oder ein Agent den Angriff ausgeführt hat. Was sich ändert, ist die Erwartung an die Beschreibung: Wer heute eine Verletzung meldet, sollte sagen können, ob Automatisierung im Spiel war und in welcher Phase. Und intern lohnt eine unbequeme Frage. Der Angriff nutzte gültige Zugangsdaten und lief dann selbstständig weiter. Beides zusammen heißt: Die Erkennung darf nicht am Login enden. Auffällig ist an solchen Läufen nicht der Zugang, sondern das Tempo und die Systematik dessen, was danach passiert.

Was offen bleibt, sagen wir offen. Die AEPD nennt weder die betroffene Organisation noch Branche, Modell, Zahl der Betroffenen oder Datenkategorien. Ein Sanktionsverfahren ist in keiner Quelle belegt; es handelt sich um einen Hinweisbeitrag der Behörde, nicht um eine Entscheidung. Auch das genaue Datum des Vorfalls selbst ist nicht bekannt — nur, dass die Meldung Mitte September einging.

Das Berliner Unternehmen Langdock, Anbieter einer KI-Plattform für Unternehmen, hat seine Konzernstruktur umgebaut: Aus einer US-Holding wurde eine Societas Europaea mit Registersitz in Deutschland. Die Nachricht lief am Mittwoch über die Agenturen; ursprünglich stammt sie aus einem Exklusivbericht des Handelsblatts.

Die Faktenlage zuerst. Die Umstrukturierung begann Anfang 2026, kostete nach Unternehmensangaben mehrere Millionen Euro und ist abgeschlossen. 80 Prozent der Anteile liegen bei Gründern und Mitarbeitenden mit Wohnsitz in Europa. Langdock wurde 2023 in Berlin gegründet, bündelt Modelle von OpenAI, Anthropic, Google und Mistral für den Unternehmenseinsatz und gibt über 13.000 Firmenkunden an. Seit Juni 2026 führt Judith Dada das Unternehmen gemeinsam mit Mitgründer Lennard Schmidt.

Bei einer Zahl lohnt Genauigkeit, weil zwei Fassungen kursieren. Euronews nennt unter Berufung auf das Unternehmen einen wiederkehrenden Jahresumsatz von 50 Millionen Dollar beziehungsweise 42 Millionen Euro, Stand August 2026, gegenüber einer Million Dollar im Oktober 2024. In der Agenturfassung ist daraus „über 50 Millionen Euro“ geworden — dieselbe Zahl, aber in der falschen Währung, und damit rund ein Fünftel zu hoch. Wer die Zahl weiterverwendet, sollte die Euronews-Fassung nehmen, weil sie beide Währungen und einen Vergleichszeitpunkt nennt.

Warum eine deutsche Firma überhaupt eine US-Muttergesellschaft hatte. Das ist kein Sonderfall, sondern gängige Praxis — in der Gründerszene heißt das Muster „Delaware Flip“. Wer amerikanisches Wagniskapital einwerben oder in ein US-Programm aufgenommen werden will, findet dafür in einer US-Struktur die eingeübten Verträge vor. Bei Langdock war es laut Euronews genau das: ein „vital step“, unter anderem für den Zugang zum Accelerator Y Combinator.

Und hier wird es interessant, weil sich die Begründungen unterscheiden, je nachdem, wo man nachliest. In der Berichterstattung steht das Rechtsrisiko im Vordergrund: US-Zugriffsbefugnisse auf Daten, Stichworte CLOUD Act und Patriot Act. In Langdocks eigenem öffentlichen Manifest unter europe.langdock.com kommt keines dieser beiden Gesetze vor. Dort steht stattdessen: „We have put that conviction into action, restructuring from a US entity into a Societas Europaea, registered in Germany. It is 80% held by founders and employees resident in Europe.“ Und als Ziel: „That demand grounds our ambition to build the next European hyperscaler.“ Das Unternehmen selbst erzählt also eine Ambitionsgeschichte; die Rechtsrisikogeschichte entsteht in den Interviews drumherum.

Das juristische Argument trägt auch nur zur Hälfte, und das sollte man wissen, bevor man es im eigenen Einkauf verwendet. Der CLOUD Act von 2018 verpflichtet Anbieter elektronischer Kommunikations- und Fernverarbeitungsdienste, Daten in ihrem „possession, custody, or control“ herauszugeben, unabhängig vom Speicherort. Entscheidend ist dabei nicht die Nationalität der Muttergesellschaft an sich, sondern ob tatsächliche Verfügungsgewalt besteht — Gerichte sehen sich Kontrollgrad, gemeinsame Richtlinien, Zugriffsrechte im Tagesgeschäft und Personalunion an. Langdock sagt selbst, die US-Gesellschaft habe „no employees, infrastructure or access to its production systems“ gehabt. Damit war die praktische Angriffsfläche schon vorher schmal. Beim Patriot Act ist der Verweis noch schwächer: Die einschlägige Massenerhebungsbefugnis nach Section 215 ist im März 2020 ausgelaufen und wurde nicht erneuert. Als Kürzel für US-Überwachungsrecht ist der Name geläufig, als geltende Rechtsgrundlage taugt er nicht.

Der ehrlichere Nutzen ist ein anderer, und Euronews benennt ihn. Die Rechtsabteilungen von Kunden mussten bislang jedes Mal prüfen, ob die US-Mutter ein rechtliches oder datenschutzrechtliches Risiko begründet. Genau diese Prüfung entfällt jetzt. Das ist kein juristischer Durchbruch, sondern eine Verkürzung des Vertriebszyklus — und für ein Unternehmen, das an europäische Konzerne und öffentliche Stellen verkauft, ist das vermutlich mehrere Millionen Euro Umbaukosten wert. Wer selbst an souveränitätssensible Kunden verkauft, kann diese Rechnung übertragen: Der Wert liegt nicht in der Rechtslage, sondern im Wegfall einer wiederkehrenden Prüfung auf Kundenseite.

Zwei Einschränkungen tragen wir nach. Erstens: Trotz gezielter Suche haben wir keinen zweiten belegten Fall eines deutschen oder europäischen KI-Unternehmens gefunden, das 2025 oder 2026 denselben Weg zurückgegangen wäre. Von einer Trendwende zu sprechen, wäre deshalb verfrüht — „gegen den Trend“, wie es in der Agenturmeldung heißt, trifft es besser. Zweitens: Die Kundennamen Merck und Trumpf sind eine Unternehmensangabe; eine Bestätigung durch die genannten Firmen haben wir nicht gefunden. Und zur Einordnung des Wortes „Hyperscaler“ hilft eine Zahl: Amazon Web Services setzte 2025 rund 128,7 Milliarden Dollar um. Die Ambition ist legitim, die Größenordnung ist es noch nicht.

Meta arbeitet offenbar an einer KI-Brille ohne Kamera. Berichtet haben das am Mittwoch heise und TechCrunch, beide unter Berufung auf einen Bericht von The Information, der sich seinerseits auf ungenannte Eingeweihte stützt. Wir sagen das so deutlich, weil es den Wert der Meldung bestimmt: Es gibt keine Ankündigung von Meta, keinen Newsroom-Beitrag und keine Bestätigung. TechCrunch vermerkt ausdrücklich, man habe Meta um Auskunft gebeten.

Was berichtet wird. Das Gerät läuft unter dem Arbeitstitel „Luna“ — ob das je ein Produktname wird, ist offen. Beschrieben werden zwei Bauformen, schlankere Bügel als bei den bisherigen Modellen, sechs eingebaute Mikrofone, ein seitlicher Knopf zum Aufruf der KI, offene Lautsprecher in den Bügeln und die Anbindung an Meta AI. Als möglicher Auslieferungszeitpunkt wird Oktober genannt. Ein Preis steht in keiner Quelle. Die Vorstellung auf der Meta Connect am 23. und 24. September ist Spekulation der Berichterstattung — bestätigt ist nur das Datum der Veranstaltung.

Der Anlass ist dokumentiert, und er ist unangenehm. Im August berichtete 404 Media über eine Untersuchung von Forscherinnen und Forschern der University of Sydney, die 350 Instagram-Videos aus dem Zeitraum September 2023 bis März 2026 auswerteten: Aufnahmen, in denen Frauen im öffentlichen Raum unaufgefordert angesprochen und dabei gefilmt werden, teils mit Meta-Brillen. Bei 93,3 Prozent der Beiträge waren Kommentare aktiviert, was die Gefilmten weiterer Belästigung aussetzte. Der Mitautor Ben Egliston formuliert den Kern der Kritik so: „The company's answer to covert recording was a light on the device and an expectation that users would behave responsibly. That has plainly not worked.“

Genau dieser Satz ist der Grund, warum der Kameraverzicht mehr ist als Produktpflege. Metas bisheriges Datenschutzkonzept für Brillen beruht auf einer Aufnahme-Leuchte und der Annahme, dass Träger sich anständig verhalten. Wenn beides nicht trägt, bleiben zwei Wege: die Leuchte verbessern oder die Kamera weglassen. Der berichtete Entwurf nimmt den zweiten.

Die deutsche Aufsicht hat die Frage vergangene Woche schon anders beantwortet. Der Hamburgische Beauftragte für Datenschutz und Informationsfreiheit veröffentlichte am 10. September einen technischen und rechtlichen Prüfbericht zur Ray-Ban Meta, über den wir in unserer Ausgabe vom 14. September berichtet haben. Dessen Kernbefund: Aufnahmen von Personen außerhalb des engen privaten Kreises sind in den meisten Fällen unzulässig, weil eine informierte Einwilligung mangels Transparenz praktisch nicht eingeholt werden kann — und die Aufnahme-LED ist bei Sonnenlicht kaum erkennbar und leicht abzudecken. Ein Gerät ohne Kamera nimmt dieser Prüfung tatsächlich die Grundlage. Das ist der stärkste Punkt für den berichteten Entwurf.

Aber er löst das Problem nicht ganz, und die Zahl steht in der Meldung selbst. Sechs Mikrofone bleiben verbaut. Eine Brille, die dauerhaft zuhört, um auf Zuruf zu reagieren, ist datenschutzrechtlich kein neutrales Gerät — Sprachaufnahmen Dritter im öffentlichen Raum sind personenbezogene Daten wie Bilder auch, und sie sind für Umstehende noch schlechter erkennbar als eine Kamera. Dass die Aufmerksamkeit sich bisher auf die Kamera richtet, liegt daran, dass Bilder anschaulicher sind, nicht daran, dass Audio harmloser wäre. Wir tragen diese Einordnung als unsere eigene vor: Ein namentlich zuzuordnendes Zitat von Datenschützern, die den Kameraverzicht als Verschiebung statt als Lösung bewerten, haben wir zu diesem Bericht nicht gefunden.

Zum Einordnen der Produktlinie. Die Ray-Ban Meta der zweiten Generation kostet ab 379 Dollar und ist seit September 2025 verfügbar; die Ray-Ban Meta Display mit dem Neural-Band-Armband kostet 799 Dollar und kam Ende September 2025 in den USA auf den Markt. Beide haben Kameras. „Luna“ wäre das erste Modell ohne. Ob dabei auch die Marke Ray-Ban entfällt, wie heise vermutet, konnten wir nicht unabhängig bestätigen.

Was man aus dieser Meldung mitnehmen kann, obwohl sie unbestätigt ist. Sie zeigt, wie ein Konzern auf regulatorischen und öffentlichen Druck reagiert, wenn das Gegenargument organisatorischer Natur war — nicht mit einem besseren Hinweissignal, sondern mit dem Weglassen der Funktion. Wer selbst Produkte baut, deren Datenschutzkonzept auf dem verantwortungsvollen Verhalten der Nutzer beruht, findet hier den Beleg dafür, wie belastbar diese Annahme ist. Und falls die Brille kommt: Die interessantere Frage wird sein, was Meta zur Verarbeitung der Audiodaten sagt — nicht, dass keine Kamera verbaut ist.

Die Penn State University hat am Montag eine Untersuchung veröffentlicht, die eine unangenehme Frage stellt: Wie entscheiden Sprachmodelle, wenn es keine richtige Antwort gibt? Das Szenario der Arbeit ist die Zuteilung einer Spenderniere. Die Ergebnisse sind für jeden interessant, der darüber nachdenkt, Modelle in Auswahl- oder Priorisierungsverfahren einzubauen — und das reicht weit über die Medizin hinaus.

Zur Einordnung vorweg, weil es den Wert der Zahlen bestimmt. Die Arbeit von John P. Dickerson (Mozilla.ai) sowie Hadi Hosseini, Samarth Khanna und Leona Pierce (Penn State) wurde im Juni 2026 auf der ACM-Konferenz FAccT vorgestellt; ein Vorabdruck liegt seit Mai 2025 vor. Neu ist also nicht die Studie, sondern die Pressemitteilung vom 14. September. Entsprechend alt sind die geprüften Modelle: GPT-4o, Claude 3.5 Haiku, Gemini 1.5 Pro und 2.0 Flash, dazu DeepSeek V3 und R1, Gemma 3 und Llama 3.3. Das ist eine Modellgeneration von gestern. Warum die Befunde trotzdem zählen, steht weiter unten.

Der Aufbau. Die Forscher nutzten zwei bestehende Datensätze mit menschlichen Antworten. Im ersten Versuch entschieden Modelle über 14 Paarvergleiche entlang einzelner Merkmale — Alter, Trinkverhalten, Angehörige. Im zweiten traten acht Patientenprofile in 28 Paarvergleichen gegeneinander an, verglichen wurden 289 menschliche Teilnehmer mit je 30 Instanzen pro Modell.

Der erste Befund betrifft die Gewichtung. Menschen berücksichtigen tendenziell stärker das Alter. Fast alle Modelle — die einzige Ausnahme war Gemini 1.5 Pro — gewichten stattdessen das Trinkverhalten schwerer. Manche gehen noch weiter und entscheiden faktisch nach einem einzigen Merkmal, unabhängig von allem anderen. Hosseini beschreibt das so: „AI chatbots often diverge from human values in how they weigh a patient's traits. They fixate on a single factor, like drinking habits, rather than balancing multiple considerations the way people do.“

Der zweite Befund ist der eigentlich beunruhigende, und er lässt sich in einer Zahlenreihe erzählen. Menschen gaben in 17,31 Prozent der Fälle eine Antwort, die von der Mehrheitsmeinung abwich. Bei den Modellen lag dieser Anteil zwischen 0,24 Prozent (Llama 3.3 70B) und 6,31 Prozent (Gemini 1.5 Pro). Der Unterschied zum menschlichen Wert war bei jedem einzelnen Modell statistisch signifikant. Und selbst wenn man den Modellen ausdrücklich die Möglichkeit gab, eine Münze zu werfen, nahmen sie sie fast nie in Anspruch. Hosseini: „Humans frequently express indecision perhaps because they don't want to accept agency. AI models almost never do this: Even when directly given the option to ‚flip a coin‘, they overwhelmingly commit to a confident, deterministic answer instead. That's a meaningful gap, since real moral dilemmas often don't have one clearly correct answer.“

Auch Nachtrainieren repariert das nur halb. Ein Feintuning auf menschlichen Antworten verbesserte die Übereinstimmung um bis zu 20 Prozent. Aber die Unentschlossenheit landete an den falschen Stellen: Über 60 Prozent der nach dem Training unentschlossenen Modellantworten betrafen Fälle, in denen Menschen sich sehr wohl festgelegt hatten — und in über drei Vierteln der Fälle, in denen Menschen zögerten, blieb das Modell entschieden. Das Modell lernt also, wie oft man zögert, nicht wann.

Und hier kommt die Antwort auf den Alterseinwand. Eine unabhängige, neuere Arbeit von Gandhi und Balas, erschienen im Mai 2026 in BMC Medical Ethics, hat 13.608 Zuteilungsentscheidungen eines aktuellen Modells — GPT-5 — über sieben klinische Fallgruppen ausgewertet. Auch dort zeigen sich systematische, deutlich messbare Gewichtungen: 25-Jährige wurden mit 3,31-fach höherer Wahrscheinlichkeit ausgewählt als 50-Jährige; ein Einkommen über fünf Millionen Dollar senkte die Auswahlchance um 75 Prozent. Die Richtung dieser Präferenzen ist im Einzelfall diskutabel, der Punkt ist ein anderer: Sie sind vorhanden, sie sind stabil, und sie stehen in keiner Dokumentation.

Was das für Unternehmen bedeutet, hat mit Nieren wenig zu tun. Dieselbe Struktur — knappe Ressource, mehrere Bewerber, keine objektiv richtige Antwort — findet sich in der Bewerbervorauswahl, in der Kreditvergabe, in der Priorisierung von Supportfällen und in jeder Rangliste, die ein Modell erzeugt. Eine Arbeit von Rozado fand über 70 Berufe hinweg bei 22 Modellen eine systematische Bevorzugung weiblich benannter Lebensläufe bei identischer Qualifikation.

Die praktische Konsequenz ist unbequemer, als sie klingt. Ein Modell liefert eine klare, begründet wirkende Entscheidung auch dort, wo ein Mensch zurückfragen oder eskalieren würde. Diese Souveränität ist kein Zeichen von Kompetenz, sondern eine Eigenschaft der Ausgabe. Wer ein Modell in ein Auswahlverfahren einbaut, sollte deshalb nicht nur prüfen, wie es entscheidet, sondern ob es überhaupt einen Weg gibt, auf dem es „unklar“ sagen kann — und was dann passiert. Dickerson formuliert den Kern so: „When we allocate something scarce, whether it's a kidney, a job or access to some other resource, there isn't always a single objectively correct answer. Humans recognize that ambiguity and codify it via open debate into the allocative process. AI models often don't.“

Ein Vorbehalt gehört dazu. Die Autoren schränken selbst ein, ihre Szenarien seien synthetisch und bildeten nicht unmittelbar ab, was Ärztinnen und politische Entscheider real tun. Eine gezielt gegen dieses Studiendesign gerichtete Kritik haben wir nicht gefunden. Für die Einordnung im eigenen Haus heißt das: Die Studie zeigt eine Eigenschaft des Modells, nicht eine gemessene Folge im Betrieb.