Wer prüft die Prüfer? Frontier-KI-Governance aus Auditorensicht

Frontier-KI-Governance aus Auditorensicht — und warum Europa eine Antwort hat, die es gerade nicht ausspielt.

Vier Prüfregime in drei Wochen

Am 2. August sind in der EU drei Dinge scharf geworden: die Transparenzpflichten nach Art. 50 AI Act, die Sanktionsbefugnisse der Kommission gegenüber Anbietern von KI-Modellen mit allgemeinem Verwendungszweck (GPAI), und die vollen Ermittlungs- und Durchsetzungsbefugnisse der nationalen Marktüberwachungsbehörden. Verstöße gegen Art. 50 sind mit bis zu 15 Mio. Euro oder 3 % des weltweiten Jahresumsatzes bewehrt.

Untergegangen ist das, weil kurz zuvor eine andere Nachricht die Woche trug: Der Digital Omnibus ist am 27. Juli in Kraft getreten und hat die Hochrisikopflichten nach Anhang III auf den 2. Dezember 2027 verschoben, die für in Produkte eingebettete KI nach Anhang I auf den 2. August 2028. Die Schlagzeile lautete „EU verschiebt KI-Verordnung”. Wer nur die Schlagzeile gelesen hat, hat den Teil verpasst, der jetzt gilt.

Diese Gleichzeitigkeit — geltendes Recht auf der einen Seite, ein um sechzehn Monate verschobener Kern auf der anderen — ist der Rahmen, in dem man die internationale Debatte des Sommers lesen muss. Denn parallel dazu sind innerhalb von drei Wochen vier Vorschläge veröffentlicht worden, die alle dasselbe wollen: eine Stelle, die Frontier-Modelle prüft.

14. Juli. Demis Hassabis, CEO von Google DeepMind, schlägt ein „Frontier AI Standards Body” für die USA vor. Vorbild ist ausdrücklich die FINRA: eine privatrechtliche, von der Branche finanzierte Selbstregulierungsorganisation unter staatlicher Aufsicht. Frontier-Labs sollen ihre Modelle zunächst freiwillig bis zu 30 Tage vor Veröffentlichung zur Prüfung einreichen; später soll das Bestehen der Prüfung Voraussetzung für den Marktzugang in den USA werden. Der Anwendungsbereich soll unabhängig vom Herkunftsland und unabhängig davon gelten, ob ein Modell offen oder geschlossen ist. Ein Absatz sieht vor, dass das Gremium erforderlichenfalls eine Verlangsamung der Entwicklung unter den Frontier-Labs koordinieren kann.

17. Juli. Auf der World AI Conference in Shanghai wird die World Artificial Intelligence Cooperation Organization (WAICO) gegründet, mit Sitz in Shanghai und 29 Gründungsstaaten. Die Positionierung ist explizit multilateral und UN-zentriert, mit einem Angebot an den Globalen Süden: offene Gewichte, günstigere Inferenz, Mitsprache bei Standards. Parallel legt die NDRC einen nationalen Kooperationsaktionsplan vor, der unter anderem Regeln, technische Standards und Governance als Handlungsfelder benennt.

28. Juli. Über 1.200 Beschäftigte führender KI-Unternehmen — darunter Vorstände und Chefwissenschaftler von OpenAI, Anthropic, Google DeepMind und Meta — fordern in der Petition „Pacing the Frontier” die US-Regierung auf, eine internationale Anstrengung zur Entwicklung technischer und institutioneller Werkzeuge zu unterstützen, mit denen sich die Entwicklung automatisierter KI-Forschung gezielt takten ließe. Ausdrücklich kein sofortiger Stopp, sondern die Infrastruktur, die eine überprüfbare Verlangsamung später möglich machen würde. OpenAI und Anthropic unterstützen die Petition als Unternehmen — das erste Mal, dass konkurrierende Frontier-Labs gemeinsam hinter einer Governance-Initiative stehen.

5. August. Zwei Forscher des Center for AI Safety legen nach, wie eine solche Verlangsamung praktisch überprüfbar wäre: durch „Whole-Lab Inspection”. Inspektoren der USA und Chinas erhielten wechselseitig physischen Zugang zu den Frontier-Laboren des jeweils anderen, dazu Lesezugriff auf interne Kommunikation, Arbeitsprotokolle, Code-Repositories und Compute-Telemetrie. Die These: Man brauche keine neue Verifikationstechnologie, nur politischen Willen — Inspektoren hätten im Kalten Krieg auch Sprengköpfe von Hand gezählt.

Der Hintergrund zu allem. Bereits am 2. Juni hatte eine US-Executive-Order klassifizierte Benchmarks zur Identifikation „gedeckter Frontier-Modelle” und ein freiwilliges 30-Tage-Fenster für staatlichen Vorabzugang geschaffen — bei ausdrücklichem Ausschluss einer Zulassungspflicht. Die Evaluationen koordiniert das CAISI beim NIST. Kurz zuvor waren die fortgeschrittensten Modelle eines US-Anbieters für 18 Tage unter Exportkontrollgesichtspunkten gesperrt worden, ohne geregeltes Verfahren.

Der Hassabis-Vorschlag ist vor diesem Hintergrund weniger visionär, als er klingt. Er ist der Versuch, ein bereits stattfindendes, aber unberechenbares staatliches Gatekeeping in ein vorhersehbares Verfahren zu überführen.

Die Gemeinsamkeit, über die niemand spricht

Vier Vorschläge, ein gemeinsames Muster: In allen vier geht es um eine Stelle, die eine Eigenschaft eines KI-Systems feststellt und aus dieser Feststellung eine Rechtsfolge ableitet.

Die USA planen ein branchenfinanziertes Standards Body mit Vorabzugang. Die EU hat das AI Office mit einem wissenschaftlichen Panel unabhängiger Sachverständiger, gestützt auf die Schwelle systemischen Risikos in Art. 51 ff. AI Act. China erhebt über WAICO einen Standardisierungsanspruch mit eigenem Institutionenunterbau. Und der Pacing-Strang will Inspektoren in die Labore schicken.

Vier Prüfregime. Vier Zuständigkeitsansprüche. Und in keinem der vier Papiere steht ein Wort darüber, wie ein Prüfergebnis der einen Stelle von den anderen anerkannt werden könnte.

Wer schon einmal ein Unternehmen durch parallele Zertifizierungen begleitet hat, weiß, worauf das hinausläuft: Mehrfachprüfung derselben Eigenschaft nach nicht abgestimmten Kriterienkatalogen, mit Ergebnissen, die sich gegenseitig nicht ersetzen. Das ist keine Governance, das ist ein Nachweis-Silo in vier Ausführungen.

Zwei Traditionen, die nicht miteinander sprechen

Bemerkenswert ist dabei, dass hier zwei völlig getrennte Denkschulen an derselben Aufgabe arbeiten: Wie erzeugt man Vertrauen in eine technische Aussage über Jurisdiktionsgrenzen hinweg?

Die eine Tradition ist die Konformitätsbewertung. Sie kommt aus dem Produktrecht, arbeitet mit akkreditierten Stellen, Normen für deren Kompetenz und gegenseitiger Anerkennung. Ihr Gegenüber ist der Hersteller, ihr Ziel der Marktzugang.

Die andere ist die Safeguards-Verifikation aus der Rüstungskontrolle. Sie arbeitet mit Inspektionen, Deklarationspflichten, Vor-Ort-Zugang und Streitbeilegungsgremien. Ihr Gegenüber ist ein Vertragspartner, dem man nicht traut, ihr Ziel die Vertragstreue.

Der Whole-Lab-Inspection-Vorschlag gehört zur zweiten Familie und zieht die Analogie explizit: Wenn Inspektoren Sprengköpfe in Sibirien und North Dakota zählen konnten, könnten sie auch Arbeitsprotokolle in Silicon Valley und Shenzhen prüfen. Das Argument hat Kraft — Verifikationsregime liefen historisch auf Menschen, nicht auf Kryptografie.

Nur wird die Analogie an der entscheidenden Stelle fallengelassen. INF und START hatten Sonderkommissionen zur Streitbeilegung, definierte Challenge-Verfahren, Regeln für Verdachtsfälle und Rücktrittsklauseln. Im Vorschlag steht nichts davon: kein Verfahren für Abweichungen, keine Eskalationsstufe, keine Regel, wer eine Verlangsamung anordnet, wie lange sie gilt und wie wieder angefahren wird. Aus Auditorensicht kommt hinzu, dass die Nachweise vollständig vom Geprüften selbst erzeugt würden — interne Logs, eigene Telemetrie, eigene Kommunikationssysteme — ohne unabhängige Nacherhebung und ohne gesicherte Vollständigkeit der Grundgesamtheit.

Beide Traditionen hätten einander etwas zu sagen. Die Rüstungskontrolle hat über Reziprozität und Vor-Ort-Zugang härter nachgedacht, weil sie es von Anfang an mit einem Gegner statt mit einem Kunden zu tun hatte. Die Konformitätsbewertung hat gelöst, was der Rüstungskontrolle fehlt: eine Antwort auf die Frage, wodurch die Feststellung einer Prüfstelle überhaupt Geltung erlangt.

Das Problem ist gelöst — nur nicht hier

Die Frage „Wessen Behörde darf verbindlich prüfen?” ist im europäischen Produktrecht seit den 1980er-Jahren beantwortet, und die Antwort lautet: keine. Geprüft wird nicht zentral, sondern dezentral — dafür werden die Prüfer selbst geprüft.

Die Architektur ist bekannt:

• ISO/IEC 17011 legt fest, welche Anforderungen eine Akkreditierungsstelle erfüllen muss.
• ISO/IEC 17025, 17020, 17065, 17021-1 definieren, was ein Prüflaboratorium, eine Inspektionsstelle, eine Produktzertifizierungsstelle bzw. eine Managementsystem-Zertifizierungsstelle können muss.
• VO (EG) 765/2008 verankert das in der EU; in Deutschland ist die DAkkS die nationale Akkreditierungsstelle.
• EA, ILAC und IAF organisieren gegenseitige Anerkennung über Peer Evaluation der Akkreditierungsstellen.

Das Prinzip: Nicht das Prüfergebnis wird international verhandelt, sondern die Kompetenz und Unabhängigkeit derjenigen, die prüfen. Ein Prüfbericht aus Kanada gilt in Deutschland nicht, weil sich Regierungen darauf geeinigt haben, sondern weil die kanadische Akkreditierungsstelle dieselbe Peer Evaluation durchlaufen hat wie die deutsche.

Für KI existiert der Anfang dieser Architektur bereits. ISO/IEC 42001 ist die zertifizierbare Norm für KI-Managementsysteme; ISO/IEC 42006 definiert die Anforderungen an Stellen, die danach auditieren. Wer 27001 kennt, erkennt das Muster sofort — es ist 27006 für KI.

Was fehlt, ist die Ebene darüber: Es gibt keine Norm, die definiert, was eine Evaluationsstelle für Frontier-Modelle können muss. Keine Anforderungen an Kompetenz des Personals, Unabhängigkeit von der geprüften Organisation, Vertraulichkeit im Umgang mit Gewichten und Trainingsdaten, Rückführbarkeit und Wiederholbarkeit von Evaluationsergebnissen, Umgang mit Held-out-Testsätzen, Behandlung von Interessenkonflikten. Also genau die Fragen, die ISO/IEC 17025 für ein Prüflabor und ISO/IEC 17020 für eine Inspektionsstelle beantworten.

An dieser Stelle scheitern die Vorschläge des Sommers in Zeitlupe. Ein industriefinanziertes Gremium mit den Regulierten im Board, das Prüfkriterien anfangs gemeinsam mit den Geprüften entwickelt und unabhängige Held-out-Tests erst später aufbauen will, wäre nach 17025 nicht akkreditierungsfähig. Nicht wegen politischer Bedenken, sondern wegen der Grundanforderung an Unparteilichkeit. Dass der Geprüfte den Prüfer bezahlt, ist dabei nicht das Kernproblem — auch Zertifizierungsaudits bezahlt der Auditierte. Das Problem ist die Kombination aus Finanzierung, Mitwirkung an den Kriterien und Sitz im entscheidenden Gremium. Staatlich entsandte Inspektoren einer rivalisierenden Macht wiederum sind keine unparteiische dritte Stelle, sondern eine interessierte Partei mit eigenem Erkenntnisinteresse — nach 17020 ebenfalls nicht akkreditierbar.

Wo Europa steht — und was es gerade verspielt

Europa hat 2024 institutionell geliefert, was in Washington 2026 gefordert wird: eine öffentlich-rechtliche Aufsicht mit Sanktionsbewehrung, ein wissenschaftliches Panel unabhängiger Experten, definierte Schwellenwerte für systemisches Risiko, Dokumentations- und Transparenzpflichten. Und mit dem europäischen Akkreditierungswesen verfügt es über die einzige funktionierende Blaupause für internationale Anerkennung technischer Prüfergebnisse, die es überhaupt gibt.

Ausgespielt wird das nicht. Aus drei Gründen.

Erstens hinken die harmonisierten Normen hinterher. CEN-CENELEC JTC 21 ist nicht rechtzeitig fertig geworden — das war einer der Hauptgründe für den Omnibus. Ein Rechtsrahmen ohne fertige Normen ist eine Konformitätsvermutung ohne Vermutungswirkung.

Zweitens operiert der AI Act für GPAI mit einer Compute-Schwelle (10^25 FLOP). Die ist justiziabel und nicht manipulierbar, aber sie misst Aufwand, nicht Fähigkeit. Der Benchmark-Ansatz der US-Vorschläge misst Fähigkeit, ist dafür aber sättigungsanfällig und gestaltbar. Beide Verfahren haben einen bekannten Fehler; niemand arbeitet sichtbar an der Kombination.

Drittens wirkt der Omnibus nach außen als Rückzug. Ob die Verschiebung sachlich richtig war, ist eine ernsthaft strittige Frage — ohne Normen kann man schlecht zertifizieren. Verhandlungstaktisch fällt sie in den denkbar ungünstigsten Moment: Genau in dem Quartal, in dem die USA und China ihre Governance-Architekturen definieren, sendet Europa das Signal, dass die eigene nachverhandelbar ist.

Bezeichnend ist auch, was in den Papieren des Sommers nicht vorkommt. Im Whole-Lab-Inspection-Vorschlag, einem bilateralen US-China-Rahmen, taucht Europa an keiner Stelle auf — nicht einmal als Störgröße. Am Tisch, an dem über die Anerkennung von Prüfergebnissen entschieden wird, sitzt der einzige Akteur nicht, der vierzig Jahre Erfahrung damit hat, was eine Prüfstelle können muss, damit ihre Befunde jemand akzeptiert.

Was das für Anwender bedeutet

Für Betreiber kritischer Infrastrukturen, Stadtwerke und regulierte Unternehmen ist das keine Zuschauerdebatte. Die praktische Frage lautet: Darf ich dieses Modell in dieser Umgebung einsetzen, und welchen Nachweis habe ich dafür?

Was heute belastbar verfügbar ist:

• Technische Dokumentation und Trainingsdaten-Zusammenfassung nach Art. 53 AI Act — vom GPAI-Anbieter einforderbar.
• Systemrisiko-Evaluationen nach Art. 55 für Modelle oberhalb der Schwelle.
• Art.-50-Transparenzangaben, seit dem 2. August durchsetzbar; maschinenlesbare Kennzeichnung für Bestandssysteme ab 2. Dezember 2026.
• ISO/IEC 42001 als Managementsystem-Nachweis auf Anwenderseite — der Teil, den man selbst in der Hand hat.

Was nicht verfügbar ist: eine übertragbare Aussage über die sicherheitsrelevanten Fähigkeiten eines Modells, die in mehr als einer Jurisdiktion gilt. Wer heute ein Frontier-Modell in einem NIS-2-Geltungsbereich einsetzt, dokumentiert Anbieterzusagen, keine unabhängig verifizierten Eigenschaften.

Die praktische Konsequenz für die eigene Nachweisführung: eine Evidenzbasis aufbauen, die mehrere Regime bedient, statt für jedes Regime eine eigene. Ein Satz Modell-, Trainingsdaten- und Evaluationsnachweise, aus dem sich die Anforderungen des AI Act, der NIS-2-Lieferkettenpflichten und ggf. der DSGVO gleichermaßen bedienen lassen. Audit once, report many — das ist im Cross-Framework-Mapping seit Jahren Standardpraxis, nur eine Ebene über dem, wo es üblicherweise angewendet wird.

Fazit

Der eigentliche Streit der nächsten Jahre wird nicht darum geführt, ob Frontier-Modelle geprüft werden. Darin sind sich Washington, Brüssel und Peking bemerkenswert einig. Er wird darum geführt, wessen Prüfung anerkannt wird — und diese Frage ist eine Konformitätsbewertungsfrage, keine geopolitische Grundsatzfrage.

Europa hat auf sie die beste Antwort, die derzeit existiert: nicht eine Weltbehörde, sondern akkreditierte Prüfstellen unter gegenseitiger Anerkennung. Diese Antwort steht in keinem der vier Papiere dieses Sommers. Sie zu formulieren wäre die naheliegendste Rolle, die Europa in dieser Debatte einnehmen könnte.

Dieser Beitrag gibt den Stand vom 12. August 2026 wieder und stellt keine Rechtsberatung dar.

regelwerker begleitet mittelständische Unternehmen bei Informationssicherheit und Compliance – hemdsärmelig, handwerklich, ohne Beraterprosa. Sprechen Sie uns an.