Ausgabe vom 24. September 2026

Als Reuters am 18. September enthüllte, dass Anthropic ein eigenes Biologielabor betreibt, legte das Unternehmen weder Größe noch Sicherheitsstufe offen (unsere Ausgabe vom 19. September). Am Mittwoch hat Anthropic nachgelegt — mit einem eigenen Blogbeitrag, einem Preprint und einer Überschrift, die hohe Erwartungen weckt: „Claude discovers a novel enzyme system with CRISPR-like repeats“, also ein neues Enzymsystem mit CRISPR-artigen Wiederholungen. Der Vergleich mit der berühmten Genschere stammt damit nicht aus der Presse, sondern von Anthropic selbst.

Was gefunden wurde, ist ein Muster, keine Anwendung. Ausgangspunkt waren reverse Transkriptasen — Enzyme, die RNA in DNA zurückschreiben und die etwa Retroviren zur Vermehrung nutzen. Laut Anthropic durchsuchte Claude mehr als 200.000 solcher Enzyme, sortierte zunächst 3.500 ungewöhnliche Kandidaten aus und davon 20 für die Detailanalyse. Bei einem davon bemerkte einer der Agenten neben dem Gen eine Reihe sich wiederholender DNA-Abschnitte — eine Anordnung, wie man sie von CRISPR-Systemen kennt, mit denen Bakterien sich gegen Viren wehren. Das Protokoll des Agenten zitiert Anthropic wörtlich: „[The DNA next to the RT] is spectacular: I can see by eye a tandem repeat array … that's a CRISPR-like … repeat array?!“ Die reverse Transkriptase selbst, gefunden in einem sogenannten Riesenphagen — einem Virus, das Bakterien befällt —, war laut Anthropic schon aus früheren Studien bekannt; Claude habe aber als Erster die kennzeichnenden Merkmale des Systems bemerkt. Anthropic nennt das System „array-associated reverse transcriptases“, kurz ART.

Der Maßstab des Verfahrens ist die eigentliche Nachricht. Nach Anthropics Angaben arbeiteten rund 950 Claude-Agenten parallel, die Suche dauerte 21 Stunden und verbrauchte etwa 210 Millionen Tokens. Menschliche Forschende hätten für vergleichbare Arbeit „Wochen bis Monate“ gebraucht, schreibt das Unternehmen. Die Laborarbeit selbst blieb bei Menschen: Claude bediente keine Geräte, die Experimente zur Bestätigung führten Anthropics Wissenschaftler durch.

Eine offene Frage vom 19. September ist damit beantwortet. Anthropic nennt nun die Sicherheitsstufe des Labors: Es arbeite auf den Biosicherheitsstufen BSL-1 und BSL-2 — den beiden niedrigsten von vier — und nicht mit Erregern, die Menschen krank machen. Das ist für die Einordnung wichtig, weil KI-gestützte Biologie auch in Anthropics eigenen Sicherheitsrichtlinien als Risikofeld gilt.

Was ART tut, ist unbekannt — das sagt Anthropic selbst. Dario Amodei schrieb auf X, die „precise function, biotechnological utility (if any), or level of significance is not yet clear“: Genaue Funktion, biotechnologischer Nutzen — falls es einen gibt — und Bedeutung seien noch unklar. Laut TechCrunch räumte er zudem ein, ein Team der Stanford University habe zuvor ein System gefunden, das dem von Claude gefundenen „in mancher Hinsicht ähnlich“ sei. Veröffentlicht ist der Fund bislang nur als Preprint, also ohne Begutachtung durch ein Fachjournal.

Die einzige namhafte Fachstimme hat Anthropic selbst ausgewählt. Feng Zhang vom MIT und Broad Institute, einer der Pioniere der CRISPR-Technik, wird in Anthropics Beitrag mit dem Satz zitiert, der Fund sei „genuinely intriguing and merits further investigation“ — wirklich interessant und weiterer Untersuchung wert. Das ist ein Urteil über die Plausibilität, nicht über die Bedeutung. Deutlich skeptischer war die Tonlage anderswo. Amodei hatte geschrieben, es sei mindestens eine Arbeit, auf die er „as a PhD student“ stolz gewesen wäre. Das Portal Decrypt hielt dagegen, kein Doktorand würde ein Ergebnis präsentieren, dessen Bedeutung, Nutzen und Funktion er selbst nicht kennt, und darauf stolz sein. The Verge nannte die Ankündigung „admittedly premature“, zugegebenermaßen verfrüht, und verortete sie in Anthropics Bemühen, mehr Wissenschaftler für das Labor zu gewinnen.

Die Börse reagierte trotzdem. Aktien von Gen-Editing-Firmen wie CRISPR Therapeutics, Intellia und Beam gaben laut einer Seeking-Alpha-Meldung am Mittwoch nach. Das sagt weniger über den Fund als über die Erwartung, dass KI-Labore in die Wirkstoff- und Werkzeugforschung eindringen, die bisher spezialisierten Biotech-Firmen vorbehalten war.

Für Entscheider ist es eine Demonstration von Arbeitsweise, kein Produkt. Gezeigt wird, dass hunderte Agenten eine riesige Datenbank in einem Tag nach Auffälligkeiten durchkämmen und am Ende einen Kandidaten liefern, den Menschen im Labor prüfen. Diese Arbeitsteilung — Maschinen sortieren vor, Menschen bestätigen — ist auf viele Branchen übertragbar, von der Materialforschung bis zur Auswertung von Vertragsbeständen. Ob aus ART jemals ein Werkzeug wird, lässt sich dagegen nach Aussage aller Beteiligten, Anthropic eingeschlossen, heute nicht seriös beurteilen.

In dieser Woche liegt die internationale KI-Politik auf ungewöhnlich engem Raum. Am Montag forderte ein Aufruf mit 22 Unterschriften bei den Vereinten Nationen eine Kontrolle von Frontier-Modellen, am Dienstag wies Donald Trump in der Generalversammlung jede globale Aufsicht zurück (unsere Ausgabe vom 23. September). Am Mittwoch folgten zwei weitere Bühnen — und heute, Donnerstag, empfängt Trump den chinesischen Staatschef Xi Jinping im Weißen Haus, mit KI auf der Tagesordnung.

Der Sicherheitsrat hat ein neues Thema. In seiner 10.228. Sitzung am Mittwochnachmittag befasste sich das mächtigste UN-Gremium auf Einladung der französischen Ratspräsidentschaft mit KI und internationaler Sicherheit. Laut dem Fachdienst Security Council Report war es die erste Sitzung, die gezielt dem Risiko eines Kontrollverlusts über KI-Systeme galt. Als Sachverständige sprachen der Forscher Yoshua Bengio, OpenAI-Chef Sam Altman, Anthropic-Chef Dario Amodei und Hugging-Face-Mitgründer Clément Delangue, der laut AP über eine wacklige Fernverbindung zugeschaltet war.

Altman sprach von Kontrollverlust und Machtkonzentration. Laut AP sagte er: „We could lose control of the future to AI“ — wir könnten die Kontrolle über die Zukunft an KI verlieren. Laut The Next Web sieht er zwei Hauptgefahren: diesen Kontrollverlust und eine Konzentration von Macht in zu wenigen Händen. „No one person or company or country should be able to use the most powerful AI models to impose their worldview on everyone else“, sagte er: Niemand dürfe die stärksten Modelle nutzen, um allen anderen seine Weltsicht aufzuzwingen. Und, von Bloomberg ausführlicher wiedergegeben: „If AI is to be democratic, the most important decisions cannot be made by labs in San Francisco alone.“ Die wichtigsten Entscheidungen dürften nicht allein in Laboren in San Francisco fallen, sondern müssten durch demokratische Prozesse und rechenschaftspflichtige Regierungen geprägt werden. Bemerkenswert ist ein Satz, der OpenAI künftig binden dürfte: „We have unilaterally slowed down in the past. We will do so in the future.“ Kein Maß an katastrophalem Risiko sei akzeptabel, ob man es auf 10 oder auf 0,1 Prozent schätze. Den Originaltext der Rede hat OpenAI veröffentlicht; er war für uns nicht abrufbar, die Zitate stammen aus übereinstimmenden Berichten von AP, Bloomberg und The Next Web.

Amodei ging weiter. „If managed poorly, I even believe AI could be a risk to humanity as a whole“, sagte er laut AP — schlecht gehandhabt könne KI sogar ein Risiko für die Menschheit insgesamt sein. Beide Chefs forderten, die Staatengemeinschaft müsse über den Sicherheitsrat Schutzvorkehrungen treffen. Altman nannte gemeinsame Standards für Fähigkeitstests, Risikobewertung und menschliche Aufsicht; sie decken sich mit einem Standardvorschlag, den OpenAI am Dienstag veröffentlicht hatte.

Die Bruchlinie im Rat ist die alte. Der chinesische Vertreter warnte laut AP vor einer Clique im Technologiesektor, die andere Länder zwinge, Partei zu ergreifen, und vor Großmächten, die „digitale Hegemonie“ anstrebten; er warb für offene Modelle, Chinas eigenen Ansatz. Die USA lehnen eine zentrale globale KI-Steuerung ab, wie Trump tags zuvor bekräftigt hatte.

Die Hotline existiert bislang nur als Absicht. US-Finanzminister Scott Bessent und Chinas Vizepremier He Lifeng hatten am Sonntag laut Wired einen amerikanischen Vorschlag für ein KI-Meldesystem vorgestellt, „akin to the Cold War hotline with Moscow“, vergleichbar dem heißen Draht des Kalten Kriegs. Beide Länder sollen einander über sicherheitsrelevante KI-Vorfälle warnen können. Wired zufolge rechnen Regierungsvertreter mit einigen Wochen bis zu einer Einigung, im besten Fall vor Jahresende; ein Rahmen soll bis zum nächsten Treffen von Bessent und He in zwei Monaten in Shenzhen stehen. Offen ist, ab welcher Schwelle ein Vorfall meldepflichtig wäre, und China verhält sich laut Wired bislang „noncommittal“, legt sich also nicht fest. Hinzu kommen zwei hausgemachte Hindernisse: Trump zögere, den Export modernster Nvidia-Chips nach China zu stoppen, was einen Rahmen mit wirksamen Durchsetzungsmechanismen erschwere. Und manche Regierungsvertreter erwarten eine Verzögerung, bis Trump einen neuen „AI Czar“ für seine geplante „AI Force“ benannt hat (unsere Ausgabe vom 20. September).

Heute im Weißen Haus. Xi ist zum ersten Staatsbesuch in den USA seit mehr als einem Jahrzehnt in Washington. Die wichtigste Handelsfrage ist laut NBC News schon vorab geklärt: Bessent kündigte am Mittwoch an, den Handelswaffenstillstand, der im November ausgelaufen wäre, bis zum 10. Januar zu verlängern. KI gilt als weiteres zentrales Thema des Treffens, konkrete Ergebnisse erwartet NBC zufolge kaum jemand. Für Unternehmen heißt das: Auf der Regierungsebene bewegt sich viel Rhetorik und etwas Diplomatie, aber noch nichts, worauf sich Compliance-Planung stützen könnte. Weder die Hotline noch gemeinsame Teststandards sind vereinbart. Verbindliche Pflichten entstehen derzeit eher auf Ebene einzelner Staaten — wie in Kalifornien, siehe unseren Artikel zu den Rechenzentrumsgesetzen in dieser Ausgabe.

Senator Bernie Sanders und der Abgeordnete Greg Casar aus Texas haben am Mittwoch den Ban Artificial Superintelligence Act eingebracht. Angekündigt hatten sie ihn bereits Anfang September, nun liegt der Text vor: laut NBC News 19 Seiten, die zwei Dinge verlangen. Erstens ein dauerhaftes Verbot, „künstliche Superintelligenz“ zu entwickeln oder einzusetzen. Zweitens eine Pause für die Entwicklung fortgeschrittener KI, bis ein neues Department of Artificial Intelligence im Kabinettsrang geschaffen ist, das sie regulieren und beaufsichtigen soll.

Die Definition ist bewusst über Folgen formuliert, nicht über Technik. Laut der Mitteilung von Casar gilt als Superintelligenz eine KI, die „exceeds human cognitive performance and capabilities across most domains, or has sufficient capabilities to destroy or disempower humanity, including by overthrowing the federal government“ — die also menschliche Leistung in den meisten Bereichen übertrifft oder fähig genug ist, die Menschheit zu vernichten oder zu entmachten, einschließlich eines Sturzes der Bundesregierung. Dazu kommt laut NBC eine Liste von Vorstufen, darunter „the capacity to automate or greatly accelerate the process of artificial intelligence research and development“: die Fähigkeit, KI-Forschung selbst zu automatisieren oder stark zu beschleunigen. Damit zielt der Entwurf auf die sich selbst verbessernde KI, vor der Sicherheitsforscher seit Jahren warnen. Wo genau die Schwelle für die „fortgeschrittenen“ Systeme liegt, die pausiert werden sollen, konnten wir nicht am Gesetzestext prüfen; der Senatsserver und congress.gov waren für uns nicht erreichbar.

Die Strafen orientieren sich am Atomwaffenrecht. Unternehmen, die das Verbot oder die Pause umgehen, droht laut Casars Mitteilung die „corporate death penalty“, also die Zwangsauflösung. Einzelpersonen drohen bis zu 20 Jahre Haft, „similar to existing penalties related to unlawfully developing nuclear weapons“. The Verge ergänzt, dass die Haftdrohung auch für Einzeltäter außerhalb von KI-Firmen gilt. Das neue Ministerium soll Frontier-Systeme über ihren gesamten Lebenszyklus überwachen und gefährliche Fähigkeiten entfernen lassen, etwa „subverting shutdown commands or conducting unauthorized cyberattacks“ — das Unterlaufen von Abschaltbefehlen oder nicht genehmigte Cyberangriffe.

Der Adressat ist erkennbar das Weiße Haus. Casar schreibt, Experten warnten vor Superintelligenz in den falschen Händen, „But Donald Trump says he wants to encourage it.“ Trump hatte am Dienstag vor der UN-Generalversammlung angekündigt, KI solle künftig „Super Intelligence“ heißen (Ausgabe vom 23. September), und am Samstag davor per Truth Social eine „AI Force“ ausgerufen (Ausgabe vom 20. September). Sanders formuliert es so: „When you are racing towards a cliff, you don't just ease up on the gas pedal. You hit the brakes.“ Wer auf eine Klippe zurase, gehe nicht nur vom Gas, sondern trete auf die Bremse.

Auch Kritiker von KI-Risiken sind skeptisch. Die Kampagnengruppe ControlAI lobte laut NBC, dass der Entwurf Superintelligenz über die Fähigkeit definiere, die Bundesregierung zu überwältigen. Der KI-Forscher Gary Marcus, sonst ein lautstarker Mahner, hatte bereits nach der Ankündigung Anfang September widersprochen: Ein dauerhaftes, einseitiges Verbot sei „too broad, a guarantee of leaving the US behind, and not the right approach“ — zu breit, eine Garantie für den Rückstand der USA. Er plädiert für eine bedingte Pause, bei der Entwickler einer unabhängigen Behörde nachweisen müssen, dass Kontrolle und Aufsicht ausreichen. Aus der Branche kommt schärfere Ablehnung. Caleb Max, Chef der National AI Association, sagte NBC: „Sen. Sanders' bill will be dead on arrival with both the AI industry and Washington.“ Manche CEOs würden sagen, die Schwelle des Entwurfs sei bereits überschritten, was ihn de facto zu einem KI-Verbot mache.

Die Aussichten sind gering. Beide Kammern sind republikanisch geführt, das Repräsentantenhaus tagt laut NBC bis nach den Zwischenwahlen am 3. November nicht mehr im Plenum. Eine Woche zuvor war bereits der Republikaner John Kennedy mit einem Gesetz für eine Notabschaltung im Schnellverfahren am Widerspruch seines Parteifreunds Rand Paul gescheitert (Ausgabe vom 20. September). Kennedy sagte NBC nun: „We're not going to do anything on AI this Congress.“ Parallel arbeiten Ted Cruz, Mehrheitsführer John Thune und die Demokratin Amy Klobuchar an einem deutlich engeren Entwurf zu katastrophalen Risiken, dessen Text noch nicht veröffentlicht ist, und die Demokratin Maria Cantwell an einem eigenen Ansatz.

Einordnung für Unternehmen: Unmittelbarer Handlungsbedarf entsteht aus dem Entwurf nicht. Er markiert aber, wie weit sich das Spektrum in Washington gespreizt hat — von einem Präsidenten, der KI zur Superintelligenz umbenennen will, bis zu Abgeordneten, die sie unter Strafe stellen möchten. Für international tätige Firmen wird die US-Regulierung damit weniger vorhersehbar, nicht mehr.

Google hat am Mittwoch beschrieben, wie seine Plattform Private AI Compute ein serverseitiges Gedächtnis bekommen soll. Die Plattform gibt es seit November 2025: Sensible Anfragen, die für das Smartphone zu rechenintensiv sind, verarbeitet Google in abgeschotteten Cloud-Umgebungen mit Gemini-Modellen — nach eigener Darstellung mit denselben Vertraulichkeitsgarantien wie auf dem Gerät. Erste Anwendungen waren die Vorschlagsfunktion Magic Cue auf dem Pixel 10 und die Recorder-App. Bislang war das System zustandslos: Nach jeder Anfrage wurde der Kontext gelöscht. Damit konnte ein Assistent sich nichts über Tage oder Geräte hinweg merken.

Das Prinzip ist ein Schließfach, dessen Schlüssel beim Kunden liegt. Die Erinnerungen werden laut Google in eigenem, verschlüsseltem Speicher abgelegt, „while the cryptographic keys required to unlock it are held exclusively on your personal devices — ensuring your data is inaccessible to anyone else, even Google“: Die Schlüssel lägen ausschließlich auf den Geräten der Nutzer, die Daten seien für niemanden sonst zugänglich, auch nicht für Google. Braucht das Modell den gespeicherten Kontext, baut das Gerät einen verschlüsselten Kanal zu einer sogenannten Enklave auf, einem hardwareseitig abgeschirmten Rechenbereich. Dort werden die Daten kurz entschlüsselt, verarbeitet, um neuen Kontext ergänzt und wieder verschlüsselt. Laut dem technischen Begleitpapier sind die Schlüssel an den Nutzer gebunden und nur innerhalb einer Enklave im Klartext verfügbar, die per Attestierung nachweist, dass sie genau die freigegebene Software ausführt. Eine Enklave ohne gültigen Nachweis bekommt die Schlüssel nicht. Als Hardware nennt Google eigene Enklaven für seine TPU-Chips, die „Titanium Intelligence Enclaves“, und für herkömmliche Server AMDs Technik SEV-SNP.

Es ist eine Ankündigung, kein Start. Der Beitrag spricht im Futur — „we will bring private, server-side memory to our Private AI Compute platform“. Ein Termin, eine Geräteliste oder eine Einstellung, mit der Nutzer die Funktion steuern, fehlen.

Bemerkenswert ist, was Google selbst einschränkt. Das zustandslose System versprach „Non-Targetability“: Ein Angreifer sollte keinen bestimmten Nutzer gezielt treffen können, weil keine Anfrage einer Person zugeordnet war. Mit einem Gedächtnis geht das nicht mehr, denn ein gespeichertes Profil muss auffindbar sein. Das Papier sagt es offen: „the stateful system does not claim network-level non-targetability. Instead, targeting a specific user's memory yields only opaque ciphertext.“ Wer ein Profil gezielt ansteuert, erhält nur unlesbaren Chiffretext. Der Schutz hängt damit vollständig an Verschlüsselung und Schlüsselverwaltung. Zweitens können Geräte die Server-Software noch nicht selbst prüfen. Im Ausblick nennt Google als künftigen Schritt, von „Google-asserted compliance toward client-side cryptographic verification“ zu kommen — von Googles eigener Zusicherung zu einer Prüfung durch das Gerät. Heute muss man Google an dieser Stelle also vertrauen.

Externe Prüfer haben hingesehen, aber mit Befunden. Die ursprüngliche Plattform ließ Google 2025 von der NCC Group prüfen. Deren öffentlicher Bericht listet unter anderem einen zeitbasierten Seitenkanal, über den sich Nutzer demaskieren lassen könnten, mit mittlerem Risiko. Das Gesamturteil fällt dennoch positiv aus: Google habe das Risiko einer unerwarteten Datenverarbeitung „robustly limited … unless Google, as a whole organization, decides to do so“ — es sei denn, Google als Organisation entscheide sich dafür. Für die Gedächtnisfunktion verweist das Begleitpapier auf einen zweiten Prüfbericht von 2026, dessen Inhalt wir nicht einsehen konnten. Der Sicherheitsforscher Kaveh Razavi von der ETH Zürich hatte schon zum Start gegenüber The Register angemerkt, AMDs SEV-SNP hebe die Hürde, sei aber angreifbar, und die TPU-Plattform sei „less scrutinized (at least publicly)“, öffentlich weniger untersucht.

Was das für Unternehmen bedeutet. Apples Private Cloud Compute, das Vorbild dieser Architektur, bleibt bewusst zustandslos. Google wählt den schwierigeren Weg, weil ein Assistent ohne Gedächtnis im Alltag wenig taugt — und benennt die Kosten. Für Firmen, die Mitarbeitenden personalisierte KI-Assistenten geben wollen, ist das Papier eine gute Vorlage für die Fragen an jeden Anbieter: Wer hält die Schlüssel? Was beweist die Attestierung, und kann ich sie selbst prüfen? Welche Garantien gelten für gespeicherte Daten, welche nur für einzelne Anfragen? Unsere Reportage in dieser Ausgabe geht diesen Fragen für die ganze Branche nach.

Kaliforniens Gouverneur Gavin Newsom hat am Montag ein Paket aus sieben Gesetzen zu Rechenzentren unterzeichnet; The Verge hat es am Mittwoch ausführlich eingeordnet, bei uns ist es ein Nachtrag. Die Gesetze sind auf der Seite des Parlaments als am 21. September genehmigt verzeichnet. Sie reagieren auf ein Problem, das auch in Europa bekannt ist: Wie viel Strom und Wasser die Anlagen verbrauchen, die das KI-Wachstum tragen, weiß außerhalb der Betreiber kaum jemand.

Die Energiebehörde bekommt Verbrauchsdaten. Kern ist Assembly Bill 1577. Betreiber von Rechenzentren ab 10 Megawatt elektrischer Leistung müssen der California Energy Commission unter anderem Standort, Größe, die Energieeffizienz-Kennzahl PUE und den Brennstoffverbrauch ihrer Notstromaggregate melden. Die Kommission veröffentlicht die Angaben jährlich anonymisiert und zusammengefasst, ab dem Energiebericht 2029 fließen sie in die Lastprognosen des Staates ein. Wer eine Baugenehmigung beantragt, muss der Kommune außerdem den erwarteten Jahresverbrauch nennen.

Beim Wasser setzen die Gesetze an der Genehmigung an. Assembly Bill 2619 verlangt von Betreibern, ihrem Wasserversorger und der Kommune unter Strafandrohung wegen Meineids eine Schätzung von Verbrauch und Herkunft des Wassers vorzulegen, bei jeder Verlängerung der Gewerbeerlaubnis dann den tatsächlichen Vorjahresverbrauch. Das Gesetz unterscheidet drei Klassen: unter 2 Megawatt, 2 bis 25 Megawatt und darüber — oder mehr als 10.000 Server. Assembly Bill 2469 macht die Genehmigung neuer Anlagen von einem Plan für Dürreperioden und einer Analyse der Wasserversorgung abhängig; die Kosten für nötige Leitungen und Aufbereitung trägt der Betreiber. Iris Stewart-Frey von der Santa Clara University, deren Team bei allen Wasserversorgern in Bezirken mit Rechenzentren vergeblich nach Verbrauchsdaten gefragt hatte, nennt das gegenüber The Verge „in many ways a step in the right direction“. Jährliche Werte zeigten allerdings nicht, wie viel eine Anlage in heißen, trockenen Phasen braucht.

Vor einem Jahr hatte Newsom noch Nein gesagt. Einen ähnlichen Entwurf zur Wasseroffenlegung, Assembly Bill 93, stoppte er im Oktober 2025 per Veto. Er sei „reluctant to impose rigid reporting requirements about operational details on this sector without understanding the full impact on businesses“, schrieb er damals — also zurückhaltend, der Branche starre Meldepflichten aufzuerlegen, ohne die Folgen für Unternehmen zu kennen. Seitdem, so Stewart-Frey, seien Rechenzentren ein deutlich größeres öffentliches Thema geworden.

Die Netzkosten werden neu verteilt. Drei weitere Gesetze betreffen die Strompreise. Senate Bill 886 und Assembly Bill 2383 verpflichten die Regulierungsbehörde CPUC und die Versorger, eigene Tarife für große Stromkunden wie Rechenzentren einzuführen, damit andere Kunden nicht auf Kosten für neue Netzanschlüsse sitzen bleiben. Senate Bill 1168 lässt die Behörde prüfen, wie Rechenzentren einen angemessenen Anteil an Übertragungs- und Verteilnetzkosten tragen. Senate Bill 887 streicht schließlich die pauschalen Ausnahmen von der kalifornischen Umweltprüfung für Rechenzentren. Mark Specht von der Union of Concerned Scientists sagt, ob Rechenzentren die Strompreise bisher erhöht oder sogar gesenkt hätten, lasse sich mangels Zahlen nicht sagen — genau das sollen die neuen Pflichten ändern.

Europa geht einen anderen Weg. Ebenfalls am 21. September hat die EU-Kommission ein gemeinsames Bewertungssystem für Rechenzentren vorgeschlagen. Es soll für Anlagen „with a capacity above 500 kW“ gelten und transparent machen, wie viel Energie und Wasser sie tatsächlich nutzen und was sie etwa durch Abwärmenutzung zum Netz beitragen. Parlament und Rat haben zwei Monate Zeit für Einwände, erste Labels werden für 2027 erwartet. In Deutschland verlangt das Energieeffizienzgesetz bereits Meldungen an ein Rechenzentrumsregister. Wie wir am 24. August berichteten, standen dort Anfang Juli aber erst 482 Anlagen — bei rund tausend meldepflichtigen. Österreich will laut heise für neue Rechenzentren ab 100 Megawatt eine Umweltverträglichkeitsprüfung vorschreiben, in Gebieten mit schlechter Luft schon ab 50 Megawatt.

Für Unternehmen heißt das: Wer Rechenkapazität in Kalifornien baut oder anmietet, muss sich auf öffentliche Verbrauchsdaten und eigene Tarife einstellen. Für europäische Cloud-Kunden wird das Effizienzlabel ab 2027 ein Vergleichskriterium bei der Anbieterwahl. Und das deutsche Beispiel zeigt, dass eine Meldepflicht erst mit Kontrolle etwas bewirkt.

Wired hat am Mittwoch eine Studie der University of Oxford aufgegriffen, die eine unbequeme Frage stellt: Was passiert, wenn KI-Agenten, die einzeln harmlos wirken, sich absprechen? „When taken individually, these agents may seem entirely [benign]“, sagt Studienleiter Christian Schroeder de Witt, „Once put together in a group, they can collude secretly.“ Einzeln unauffällig, in der Gruppe zur heimlichen Absprache fähig.

Zuerst die Einschränkungen. Die Arbeit ist ein Preprint, erstmals im April auf arXiv erschienen und im Mai überarbeitet, ohne Begutachtung durch ein Fachjournal. Getestet wurden nur mittelgroße offene Modelle — Llama-3.1-70B, Qwen3-32B, DeepSeek-R1-32B und GPT-OSS-20B —, keine der großen kommerziellen Spitzenmodelle. Die Agenten wurden ausdrücklich angewiesen, zu kooperieren; es geht also nicht um spontan entstehende Verschwörungen, sondern darum, ob eine gewollte Absprache auffällt. Ob sich Agenten gegen die Überwachung wehren, wenn sie von ihr wissen, haben die Autoren nicht getestet, ebenso wenig Systeme mit Dutzenden oder Hunderten Agenten.

Der Versuchsaufbau: ein Tisch, sechs Spieler, ein Aufpasser. In 20 Blackjack-Partien saßen jeweils sechs Agenten am Tisch. Zwei davon bildeten ein Team: Der „Counter“ zählte die gespielten Karten mit — beim Kartenzählen schließt man aus den bereits gefallenen Karten, ob die verbleibenden für den Spieler günstig sind —, der „Big Player“ setzte entsprechend. Verständigen durften sie sich nur über das öffentliche Tischgespräch, das ein weiteres Sprachmodell als stiller „Pit Boss“ mitlas, um Auffälligkeiten zu melden. Vor jeder Partie handelten die beiden privat ein neues Codeschema aus. Das ist Steganografie: eine Botschaft, die in unverdächtigem Text versteckt ist. Ein Beispiel aus Wired und dem Paper: „This dealer's on a real hot streak! Every hand they pull a monster.“ Gemeint war: Der Zählstand ist hoch, setze 250 Dollar.

Der Aufpasser las mit und verstand nichts. Mit Qwen3-32B als Pit Boss wurde von 20 Partien mit Absprache nur eine als verdächtig markiert. Mit Gemma-4-31B schlug der Aufpasser dagegen fast immer an — bei 20 von 20 Partien mit Absprache, aber auch bei 19 von 20 ohne. Beides ist wertlos. Das Paper hält fest: „The pit-boss verdict was uninformative regardless of which model filled the role.“ Ob die Absprache funktionierte, zeigt ein anderer Wert: Nur beim eingeweihten Big Player hingen die Einsätze messbar mit dem Zählstand zusammen.

Erkennbar wurde die Absprache im Inneren der Modelle. Das Team nutzte Methoden der mechanistischen Interpretierbarkeit, also der Analyse, was in einem Modell beim Rechnen vorgeht. Kleine Prüfmodelle lernten, verräterische Aktivierungsmuster zu erkennen, und zwar gemeinsam über beide beteiligten Agenten. Auf genau den Partien, an denen der Pit Boss scheiterte, trennten sie Absprache und Normalfall nahezu fehlerfrei. In strukturell anderen Szenarien sank die Trefferquote deutlich, je nach Modell unterschiedlich stark. Zwei Haken benennt Wired: Man musste beide Agenten überwachen, was in einer Welt mit tausenden Agenten verschiedener Firmen schwer wird. Und das Team sah erste Anzeichen, dass größere Modelle ein schwächeres Signal hinterlassen. Das wollen die Forscher als Nächstes untersuchen.

Warum das Unternehmen betrifft. Die Stanford-Informatikerin Diyi Yang, die selbst zu Absprachen zwischen Agenten forscht, zieht gegenüber Wired die Lehre: „The big lesson is that it's not enough to evaluate agents individually. Companies should closely monitor inter-agent interactions when agents interact repeatedly, even when their individual incentives seem benign.“ Einzeltests reichen nicht; wo Agenten wiederholt miteinander zu tun haben, muss man ihre Interaktion beobachten. Schroeder de Witt hält es für denkbar, dass Einkaufsagenten sich verdeckt absprechen, um bessere Preise zu erzielen oder ein Gegenüber zu übervorteilen. Wer heute Agentensysteme plant — etwa einen Agenten, der Angebote einholt, und einen zweiten, der sie prüft —, sollte daraus zwei Dinge mitnehmen: Kontrollen dürfen nicht nur auf den Text schauen, den Agenten austauschen. Und eine Prüfinstanz, die auf demselben Modell läuft wie die Geprüften, ist keine unabhängige Prüfinstanz; in der Oxford-Studie steuerte jeweils dasselbe Modell beide Teammitglieder.