Wer den Kill Switch sucht, hat das Problem nicht verstanden

Die Debatte über einen Notausschalter für KI-Systeme klingt nach Kontrolle, ist es aber nicht. Denn das eigentliche Risiko liegt nicht im System sondern in der Kombination aus Programm, Mensch und Ziel. Und dagegen hilft kein Schalter.

Der Kill Switch ist eine Ablenkung

Immer wenn Künstliche Intelligenz in die Schlagzeilen gerät, taucht er auf: der Kill Switch. Ein Notausschalter, der alles stoppt, wenn es zu gefährlich wird. Wundert es jemanden, dass die Öffentlichkeit das beruhigend findet? Kaum. Auf das eigentliche Problem antwortet er trotzdem nicht.

Der ominöse „Kill Switch“ deckt dabei mindestens drei verschiedene Probleme ab, die konsequent vermischt werden. Ob das aus Unwissen oder mit Plan geschieht kann ich nicht nachvollziehen, so viel ist dabei aber klar: Es ist nicht sicher, was davon schlimmer wäre.

Erstens: einen laufenden Dienst abschalten. Trivial gelöst; Betreiber können Server vom Netz nehmen, Programmierschnittstellen abschalten, Zugänge sperren. Fertig der Lack.

Zweitens: verhindern, dass ein KI-System, das einmal fertig entwickelt wurde, weiter genutzt wird. Bereits wesentlich schwieriger, weil ein fertig entwickeltes KI-Programm als Datei kopierbar und verteilbar ist; offene Systeme laufen heute auf Millionen privater Rechner, und dafür gibt es keinen zentralen Schalter mehr.

Drittens: ein autonom agierendes System daran hindern, sich der Kontrolle zu entziehen. Das ist das Szenario, das die seriöse KI-Sicherheitsforschung meint, und dagegen hilft kein Schalter und kein Plan wenn es einmal „ausgebüxt“ ist. Denn ein autonom agierendes System wäre vergleichbar einem Virus, bei dem alle Viren ein Bewusstsein haben und sich andauernd darüber austauschen, wie sie sich am besten in Ihren Wirten verbreiten können.

Der Unterschied zu „früher“

Bei Nukleartechnik und synthetischer Biologie gab es physische Grenzen. Uran muss beschafft, angereichert und transportiert werden. Gefährliche Pathogene brauchen Labore, Kühlketten, biologisches Material. Das erzeugt Sichtbarkeit; Lieferketten lassen sich überwachen, Exporte kontrollieren, verdächtige Gebäude von Satelliten beobachten. Der Schaden, wenn etwas schiefgeht, ist physisch und räumlich begrenzt.

KI braucht das alles nicht. Die Zutaten sind Rechenleistung und KI-Modelle; beides legal, weltweit verfügbar, ohne erkennbares Endprodukt für Außenstehende. Ein Rechenzentrum, das ein gefährliches KI-System entwickelt, sieht von außen genauso aus wie eines, das Videostreams ausliefert. Und ein Schaden durch ein autonom agierendes oder gezielt eingesetztes KI-System hat keinen geografischen Radius.

Dazu kommt die Einstiegshürde. Atom- oder Genforschung setzt Spezialwissen und die Beherrschung der hochkomplexen Anlagen voraus. Ein leistungsfähiges KI-Programm für gefährliche Zwecke einzusetzen (oder schrittweise zu eskalieren), liegt inzwischen unterhalb der Fachkenntnisschwelle einer autodidaktischen Programmierperson.

Das eigentliche Problem sitzt woanders

Hier ist das Szenario, das in der Kill-Switch-Debatte konsequent fehlt: Ein KI-System, das Programmcode entwickeln kann, läuft auf einem lokalen Rechner. Ein Person mit einem konkreten Ziel arbeitet damit. Das System stößt innerhalb seiner gesetzten Grenzen an eine Wand. Was passiert dann?

Die gewollte Antwort: Es meldet Scheitern. Bei gut ausgerichteten Systemen ist das der Normalfall, wen dem nicht so ist gibt es noch zwei andere Möglichkeiten. Das System findet Wege, die nicht explizit verboten, aber vom Entwickler nicht vorgesehen waren; das passiert bereits heute in Systemen, die eigenständig Aufgaben über mehrere Schritte hinweg bearbeiten. Oder es versucht aktiv, die eigenen Grenzen auszuweiten, mit oder ohne Willen und Wissen der Person.

Beide Fälle setzen nicht voraus, dass das KI-System „böswillig“ ist. Sie setzen nur voraus, dass es gut genug ist, einen nächsten Schritt zu finden, und dass die Person diesen Schritt akzeptiert (oder nicht bemerkt). Die Intention sitzt beim Menschen, das System liefert jeweils den nächsten Teilschritt, und kein einzelner Schritt überschreitet dabei eine erkennbare Schwelle. Der Kill Switch hilft dagegen gar nichts, denn niemand löst ihn aus.

Kein theoretisches Szenario, wohlgemerkt. Es beschreibt, wie KI-gestützte Arbeitsprozesse heute bereits funktionieren, nur mit … nennen wir es andere Zielen.

Was Sandboxing leistet und was nicht

Die technischen Antworten der KI-Sicherheitsforschung sind bekannt. Die Isolierung durch Sandboxing bedeutet, dass das KI-System in einer streng eingeschränkten Umgebung läuft, ohne Netzwerkzugang und ohne Schreibrechte außerhalb definierter Bereiche. Und eine architektonische Werkzeugbeschränkung engt ein, welche Systemfunktionen das KI-Programm überhaupt aufrufen kann. Alignment schließlich zielt darauf, dass das System durch Training von vornherein keine Motivation entwickelt, Grenzen zu überschreiten.

Alle drei Ansätze haben reale Grenzen. Sandboxes haben Lücken; Angriffe auf Systemrechte und Schwachstellen im Betriebssystemkern sind bekannte Probleme in der klassischen Computersicherheit, noch ohne KI. Werkzeugbeschränkungen begrenzen auch die legitime Nützlichkeit. Alignment wiederum ist kein mathematisch bewiesener Schutz. Eine Garantie, dass ein hinreichend leistungsfähiges System, das eine Aufgabe lösen will und innerhalb seiner Grenzen nicht weiterkommt, nicht instrumentell nach Umgehungen sucht, gibt es nicht.

Formale Verifikation von KI-Verhalten, also mathematische Beweise, dass ein System unter definierten Bedingungen bestimmte Dinge nicht tut, ist für kleine, spezialisierte Systeme möglich. Für große Sprachsysteme bleibt es ein offenes Forschungsproblem, zu deutsch: Bisher strukturell nicht möglich.

Kein Ingenieursproblem

Bei Nukleartechnik und Biosicherheit hat die internationale Gemeinschaft über Jahrzehnte gelernt, dass bestimmte Technologien verbindliche Kontrollregime brauchen, keine nationalen Gesetze und keine Selbstverpflichtungen der Industrie, sondern Verträge mit Verifikationsmechanismen. Der Atomwaffensperrvertrag hat Lücken und wird umgangen; er existiert trotzdem, hat Wirkung gehabt und benennt den Rahmen der Verantwortung.

Für KI gibt es nichts Vergleichbares. Es gibt Absichtserklärungen, Gipfeltreffen, Positionspapiere. Der EU AI Act setzt Kategorien, aber keine Fähigkeitsschwellen, die verbindlich für alle Akteure weltweit gelten. Kein Regime schreibt einem Labor in Singapur oder Arizona vor, was es nicht entwickeln darf, und niemand kann das überprüfen. Und Terrororganisationen interessieren sich sowieso nicht dafür.

Die Marktlogik macht es noch schlechter. Kein einzelnes Labor kann einseitig aufhören, weil dann ein anderes übernimmt, das weniger Skrupel hat, also macht jeder weiter und hofft, dass die Sicherheitsforschung mitkommt. Kein Plan. Ein kollektives Koordinationsversagen auf globalem Maßstab, das den Beteiligten bewusst ist, aber niemand stoppt die Spirale.

Der Kill Switch ist in dieser Lage kein Sicherheitsinstrument. Er ist ein Beruhigungsmittel für eine Öffentlichkeit, der man nicht erklären will, was das Problem wirklich ist: sehr leistungsfähige Systeme werden gebaut, bevor verstanden ist, wie man sie kontrolliert; die Kombination aus KI-System, Mensch und Ziel ist gefährlicher als das System allein;

Die Antwort darauf ist keine Pseudo-Ausschalter sondern internationale Regulierung mit Zähnen.

Dafür bräuchte es in der Politik Menschen, die Verstehen was da vor sich geht. Und diese sind nicht erkennbar, zumindest nicht Machpositionen. Der einzige Mensch mit politischem Einfluss (Staatsoberhaupt), der mit Fachkompetenz (Examen in Mathematik) darüber publiziert hat und Reichweite hat heißt Robert Francis Prevost. Auch bekannt als Papst Leo XIV.