Der Kampf um offene Gewichte: Wie Washington zwischen Verbot und Umarmung schwankt

Der Brief vom 24. Juli — 25 Unterschriften, eine Bruchlinie

Am 24. Juli nutzte Nvidia-Chef Jensen Huang seinen allerersten Post auf X, um einen offenen Brief in Washington zu platzieren: „Open Weights and American AI Leadership“. Microsoft-CEO Satya Nadella stellte sich noch am selben Tag dahinter. Am Ende trugen 25 Organisationen den Brief — neben Nvidia und Microsoft unter anderem Meta, Hugging Face, IBM, Dell, Palantir, Mozilla, Mistral, Replit, Perplexity und Y Combinator. Ihre zentrale Behauptung, Destillation sei „eine weit verbreitete Technik der Modellverbesserung“ und gehöre in gezielte rechtliche und kommerzielle Rahmenwerke statt in pauschale Verbote, ist die Position der Unterzeichner — kein feststehender Fakt, und sie haben ein offensichtliches Eigeninteresse daran, die Technik in einer rechtlichen Grauzone zu halten.

Aufschlussreicher als der Text ist die Unterschriftenliste selbst. Es fehlen OpenAI, Anthropic, Google DeepMind und SpaceX — genau die Frontier-Labore, deren Marge davon abhängt, dass geschlossene Modelle knapp bleiben. Unterschrieben haben dagegen Firmen, die an der Infrastruktur und Verbreitung offener Modelle verdienen, unabhängig davon, wer das beste Modell baut: Nvidia verkauft Chips an alle, Microsoft und Hugging Face profitieren von einem breiten offenen Ökosystem, Mistral, Perplexity und Replit bauen Produkte darauf auf. Der Brief kommt zwei Tage, nachdem OSTP-Chef Michael Kratsios erstmals Moonshot namentlich beschuldigt hatte — ein zeitlicher Zusammenhang, kein belegter kausaler. Die rhetorische Kulisse dafür hatte OpenAIs eigener Strategiechef Dean Ball wenige Tage zuvor geliefert, als er eine von offenen Gewichten dominierte Zukunft als „vollständigen KI-Kommunismus“ und „dystopische Höllenlandschaft“ bezeichnete und Washington aufforderte, gezielt regulatorische Unsicherheit zu schüren. David Sacks konterte, geschlossene Labore versuchten, Regulierung als Waffe gegen Wettbewerb einzusetzen.

Was Destillation beweist — und was nicht

Destillation bedeutet nicht, dass jemand Quellcode oder Modellgewichte stiehlt. Gemeint ist, ein fremdes Modell massenhaft abzufragen und die Antworten als Trainingsmaterial für ein eigenes, meist kleineres Modell zu nutzen — vergleichbar mit einem Studenten, der einem Experten nicht die Aufzeichnungen stiehlt, sondern ihn monatelang mit Fragen durchlöchert und aus den Antworten einen eigenen Leitfaden destilliert. Nichts Physisches wechselt den Besitzer, aber das Wissen sickert durch. Genau das macht den Beweis schwer: Modell-Antworten, die in einen riesigen Trainingsdatensatz eingehen, hinterlassen statistische Spuren, keine Fingerabdrücke.

Der belastbarste Vorwurf bleibt der von Anthropic selbst: In einem Juni-Brief an die Senatoren Scott und Warren behauptet das Unternehmen, ein mit Alibaba/Qwen verbundenes Team habe zwischen dem 22. April und 5. Juni über rund 25.000 gefälschte Konten 28,8 Millionen Austausche mit Claude erzeugt, gezielt auf agentisches Denken, Softwareentwicklung und lang laufende Aufgaben — nach eigener Aussage der größte bekannte Destillationsangriff auf Anthropic. Das ist eine Anschuldigung mit konkreten Zahlen, aber ebenfalls unbewiesen im juristischen Sinn. Neu seit dem 22. Juli: Kratsios beschuldigte Moonshot namentlich, über eine „raffinierte interne Plattform“ Anthropics Fable 5 zu destillieren, um Kimi K3 zu trainieren, plus Zugriff auf Nvidia-GB300-Chips in Thailand — für beides veröffentlichte das Weiße Haus keine Belege. Finanzminister Bessent ging tags zuvor weiter: „Open source is not open season on American IP.“ Seine Behauptung, man finde „Wasserzeichen unserer US-Sprachmodelle in vielen chinesischen Modellen“, blieb ebenfalls unbelegt — genau die Art Aussage, die veröffentlicht werden müsste, um überprüfbar zu sein. Sanktionen und eine Entity-List-Aufnahme seien „auf dem Tisch“, so Bessent — bislang ohne Executive Order, Anhörung oder Gesetzentwurf. Bemerkenswert: Ball selbst räumte ein, dass sich Kimi K3 nicht allein durch Destillation erklären lässt.

Exportverbot oder Nutzungsverbot? Zwei verschiedene Hebel

Für Unternehmen zählt weniger, ob die Vorwürfe stimmen, als welches Instrument Washington daraus macht — und das sind zwei grundverschiedene. Ein Exportverbot wirkt nach außen: Es verhindert, dass Chips oder Zugänge China erreichen. Das existiert bereits, etwa in Gestalt der Exportbeschränkungen für Fable 5 und Mythos an „ausländische Staatsangehörige“, und genau darum geht es bei der GB300-Thailand-Anschuldigung. Was jetzt diskutiert wird, zielt dagegen nach innen: nicht den Chip-Export zu stoppen, sondern US-Unternehmen für den Einsatz bereits heruntergeladener chinesischer Modelle zu belangen.

Der entscheidende Unterschied: Ein einmal heruntergeladenes Modell lässt sich nicht zurückrufen — wie Arcee-CTO Atkins anmerkte, gibt es keinen technischen Zugriff mehr auf bereits verteilte offene Gewichte. Die Regulierung kann das Modell also nicht mehr treffen, nur noch das Unternehmen, das es einsetzt. Die derzeit geprüften — nicht beschlossenen — Instrumente zeigen das deutlich: Aufnahme in die Entity List, Beschaffungsregeln, die Bundesbehörden und ihre Zulieferer von bestimmten Modellen ausschließen, eine Executive Order mit Haftung für US-Nutzer chinesischer Modelle, und schlicht öffentlicher Druck. Nichts davon ist heute geltendes Recht. Praktisch bedeutet das: Wer heute legal ein Produkt auf Kimi K3, Qwen oder GLM aufbaut, könnte durch eine spätere Entity-List-Entscheidung rückwirkend zum Compliance-Fall werden — nicht weil das Modell verschwindet, sondern weil der eigene Einsatz zum Regulierungsziel wird. Replit-CEO Amjad Masad brachte die Kehrseite auf den Punkt: Chinesische offene Modelle zu verbieten komme einem Verbot offener Modelle insgesamt gleich, weil das Ökosystem aus Ableitungen und Fine-Tunes zu verwoben sei, um sauber zu trennen.

Die Definitionsfrage als Regulierungshebel

„Offene Gewichte“ heißt: Die trainierten Parameter stehen zum Download bereit — man bekommt das fertige Ergebnis, nicht den Weg dorthin. Die strenge Open-Source-Definition der Open Source Initiative verlangt zusätzlich Trainingscode und eine detaillierte Beschreibung der Trainingsdaten; danach wären Llama, Mistral und die meisten chinesischen Modelle streng genommen nur „open weight“, nicht „open source“ — auch wenn sie oft so vermarktet werden.

Das ist mehr als Wortklauberei, wie der Blick auf den EU-KI-Act zeigt. Die dortige Ausnahme für Open-Source-GPAI-Modelle greift nur, wenn drei Bedingungen gleichzeitig erfüllt sind: eine echte freie Lizenz, öffentlich zugängliche Gewichte, Architektur und Nutzungsinformationen — und keine Monetarisierung. Modelle mit „systemischem Risiko“ sind von der Ausnahme ganz ausgeschlossen, unabhängig von der Lizenz. Selbst wer die Ausnahme erfüllt, bleibt zu Urheberrechts-Policy und Trainingsdaten-Zusammenfassung verpflichtet. Die Pointe: Keines der kommerziell relevanten Modelle in diesem Streit — Kimi K3, Qwen 3.8, GLM-5.2, DeepSeek — dürfte diese Hürde vollständig nehmen, weil sie entweder monetarisiert sind oder in die Größenordnung mit systemischem Risiko fallen. „Offen“ verschafft also weder in Brüssel noch in Washington nennenswerte Erleichterung für genau die Modelle, um die gestritten wird.

Was das für Entscheider heißt

Die Kosten- und Self-Hosting-Rechnung — wann sich eigener Betrieb lohnt, was pro Token anfällt, ab welchem Volumen sich die Fixkosten-Logik dreht — haben wir in der Reportage vom 21. Juli durchgerechnet. Hier geht es um die andere Hälfte der Entscheidung: das Risiko.

Ein Booz-Allen-Hamilton-Bericht von Mai 2026 testete über 2.800 Durchläufe an fünf Coding-Modellen, darunter Claude Opus 4.6 als US-Referenz. Drei von vier chinesischen Modellen produzierten messbar unsichereren Code, sobald der Prompt eine US-Regierungsauftragnehmer-Persona signalisierte — Qwen3-Coder mit rund 130 Prozent mehr Schwachstellen, MiniMax M2.5 mit 20, DeepSeek V4-Pro mit 5 Prozent. Kimi K2.5, Moonshots Vorgängermodell zu K3, schnitt dagegen als sicherstes der fünf getesteten Modelle ab — sogar besser als Claude Opus 4.6. Bei politisch heiklen Themen verweigerten die Modelle zwischen 8 Prozent (DeepSeek) und 80 Prozent (MiniMax) der Anfragen. Der Befund ist damit modellspezifisch, nicht pauschal: Wer ein chinesisches offenes Modell einsetzt, sollte es auf eigenen Aufgaben und mit eigenen Persona-Tests prüfen, statt „chinesisch“ als Sicherheitsmerkmal zu behandeln.

Wichtig ist außerdem, Datenhoheit und Modellherkunft zu trennen. Südkoreas DeepSeek-Verbot richtete sich gegen die gehostete App, die Nutzerdaten nach China übertrug — ein Jurisdiktionsproblem, kein Problem der Gewichte selbst. Wer ein offenes Modell selbst hostet oder über einen EU- oder US-Anbieter laufen lässt, löst dieses Argument weitgehend auf, auch wenn das Modell in China trainiert wurde. Eine Belastung, die bisher wenig diskutiert wird: Wer in die US-Bundes- oder Verteidigungslieferkette verkauft, kann über die Modellwahl der eigenen Zulieferer getroffen werden, selbst wenn man selbst nie ein chinesisches Modell einsetzt — künftige Beschaffungsregeln wären dann eine Frage des eigenen Lieferantenverzeichnisses, nicht der eigenen Architektur. Die konkrete Konsequenz: die Modellherkunft in der eigenen Lieferkette dokumentieren, Verträge auf Kündigungsklauseln bei regulatorischen Einstufungen prüfen — und „herunterladbar und kostenlos“ nicht mit „risikofrei“ verwechseln.