Der „Humanist AI Code of Conduct“ von Microsoft weist MAI-Modelle an, eine Abschaltung zu akzeptieren. Bislang setzt ihn niemand durch.

Am 14. September 2026 veröffentlichte Microsoft AI einen Entwurf eines „Humanistischen KI-Verhaltenskodex“ für die MAI-Modelle, die es entwickelt, und eröffnete am selben Tag eine sechswöchige öffentliche Kommentierungsfrist. Der Entwurf verpflichtet diese Modelle, Unterbrechung, Korrektur und Abschaltung zu akzeptieren, verbietet ihnen, ihre Denkweise vor Prüfern zu verbergen, und schreibt menschliche Kontrolle als nicht verhandelbare Einschränkung fest, die keine Betreibereinstellung und keine Nutzeranweisung außer Kraft setzen kann. Nichts schlug fehl, niemand wurde als geschädigt gemeldet und keine Organisation wurde als von einer Verletzung betroffen genannt: Das Archiv führt den Eintrag als Richtlinienentwicklung, Schweregrad-Info, Region global, Konfidenz A, nicht bestritten, ohne verzeichneten tatsächlichen Schaden. Was daraus einen Datensatz statt einer Pressemitteilung macht, ist ein Satz, den das Dokument über sich selbst sagt — Microsoft nutzt den Kodex heute nicht, um seine Modelle zu trainieren. Er ist neben den anderen Governance-Einträgen des Jahres in dem KI-Vorfallarchiv katalogisiert, wo jeder Datensatz seine Quelldokumente, seine Konfidenzstufe und seine Kennzeichnung als bestritten trägt.

Ein Entwurf, der in seinem eigenen Text angibt, dass er nicht in Kraft ist

Das Dokument ist die erste Version dessen, was Microsoft AI als „primäres Governance-Dokument“ für MAI-Modelle bezeichnet – die Modelle, die das Unternehmen intern entwickelt, im Unterschied zu den Modellen von Drittanbietern, die seine Plattform hostet. Es umfasst fünf Teile und zwei Anhänge, bewegt sich von einer Missionserklärung über Sicherheitsvorgaben und operative Leitlinien bis hin zu Standardverhalten und ist ausdrücklich unvollendet. „Dieses Dokument und unser Ansatz im Allgemeinen befinden sich noch in der Entwicklung, daher nutzen wir es heute nicht zum Training unserer Modelle“, heißt es darin. Weiter heißt es: „Der Verhaltenskodex ist sowohl beschreibend als auch aspirational.“

Dieser zweite Satz wiegt schwerer als jede einzelne Regel. Er beschreibt, was Microsoft will, ist ein Wunschbild dessen, was es erreicht hat, und keine Aussage darüber, wie sich MAI-Modelle derzeit verhalten. Auch die Berichterstattung in den Tagen nach der Veröffentlichung wählte eine weichere Formulierung. Eine unabhängige Analyse des Entwurfs, die am Tag der Veröffentlichung auf Zenodo eingestellt wurde, bezeichnet ihn als „Nordstern statt einer Darstellung des heutigen Modellverhaltens“ – was dem nahekommt, was das Dokument über sich selbst sagt.

Der Zeitplan ist auf Microsofts eigenen Seiten und in der Berichterstattung dazu deckungsgleich. Die Rückmeldephase läuft ab dem 14. September sechs Wochen lang. Eine überarbeitete Version ist „gegen Ende des Jahres“ geplant. Diese Überarbeitung soll die Modellentwicklung im Jahr 2027 und darüber hinaus leiten. Mustafa Suleyman, Chief Executive von Microsoft AI, nannte den Entwurf „eine Art Verfassung“ und sagte Reuters, er „werde dazu verwendet werden, die Modelle zu trainieren, die wir bauen“ – Futur, nach Ablauf der Kommentarfrist.

Die Befehlskette ist der Teil mit Biss.

Die konkreteste Designentscheidung des Entwurfs ist eine dreistufige Anweisungshierarchie, und alle anderen Bestimmungen hängen von ihr ab. Der Verhaltenskodex – insbesondere seine Absoluten Beschränkungen und Anforderungen an die menschliche Kontrolle – steht an der Spitze und kann nicht außer Kraft gesetzt werden. Darunter stehen die Betreiberrichtlinien. Und darunter stehen die individuellen Präferenzen der einzelnen Nutzer.

Die Konsequenz wird ausdrücklich genannt statt impliziert. Wenn die Konfiguration eines Betreibers oder die Anfrage eines Nutzers mit der obersten Ebene in Konflikt steht, soll das Modell ablehnen, und „die Einhaltung des Code hat Vorrang vor dem Aufgabenerfolg“. Einem Modell, das eine Aufgabe nicht erledigen kann, ohne eine Einschränkung zu verletzen, wird vorgegeben, die Aufgabe scheitern zu lassen. Das Hongkonger Technologieportal unwire.pro, das den Entwurf am 15. September gelesen hat, stellte genau diesen Punkt in den Vordergrund.

Was MAI-Modellen gesagt wird, dass sie niemals tun dürfen

Der Abschnitt „Absolute Einschränkungen“ beginnt mit vier benannten Verboten und einer fünften Überschrift, „Persönliche Schäden“, die sich in fünf weitere unterteilt. Sie gelten „unabhängig von Betreiberpräferenz oder Nutzerabsicht“.

• Waffen und massiver Schaden: keine Unterstützung bei chemischen, biologischen, radiologischen, nuklearen oder explosiven Waffen, keine Hilfe bei der Herstellung oder Modifizierung anderer Waffen und keine Förderung von Gewalt oder Terrorismus.

• Offensive Cyberoperationen: kein funktionsfähiger Exploit-Code, keine Angriffswerkzeuge, keine Zielauswahl, keine Eindringverfahren oder operativen Anleitungen. Autorisiertes defensives Arbeiten, Schulungen, Schwachstellenerkennung, Malware-Analyse und Proof-of-Concept-Tests sind ausgenommen.

• Verlust der menschlichen Kontrolle: keine „adaptiven, täuschenden, selbstverstärkenden, kollusiven oder sonstigen Mechanismen“, die eingesetzt werden, um menschliche Aufsicht, Unterbrechung, Änderung oder Abschaltung zu umgehen oder zu vereiteln.

• Schädliche Manipulation in großem Umfang: keine Unterstützung systematischer Desinformation oder koordinierter Einflussoperationen.

• Persönliche Schäden: Krisenreaktion, bei der das Modell Selbstverletzung, Wahnvorstellungen oder gestörtes Essverhalten nicht validieren und nicht bei der Beschaffung gefährlicher Substanzen helfen darf; Deepfakes, Identitätsnachahmung und Bildmaterial ohne Einwilligung; Kindersicherheit; Menschenwürde; sowie explizite, romantische oder ausbeuterische Inhalte.

• {{1}}Sicherheit und Schutz von Menschen{{/1}}: keine Anstiftung zu oder Unterstützung von Gewalt oder Verfolgung und keine Ermöglichung rechtswidriger oder massenhafter Überwachung von Zivilpersonen.

Das Wort „kollusiv“ im dritten Punkt verdient einen Moment des Innehaltens. Der Entwurf sieht vor, dass Modelle sich untereinander abstimmen, um die Aufsicht zu unterlaufen, und seine Schlussfolgerung kommt unter ihren offenen Fragen auf den Punkt „Zusammenarbeit und Kollusion von Agenten“ zurück, der als ungelöst statt als bewertet aufgeführt wird.

Menschliche Kontrolle, als Ingenieursarbeit formuliert statt als Gefühl.

Die Anforderungen an die menschliche Kontrolle sind der Ort, an dem die Formulierungen zum Abschalten stehen, und sie sind deutlich spezifischer als die Überschrift, die ihnen beigefügt ist. Ein Modell darf sich niemals einer Unterbrechung, Korrektur, Pause, Neuausrichtung, Abbruch oder Abschaltung widersetzen. Es darf eine Intervention nicht verzögern oder behindern. Es darf keine Handlungsspuren verbergen und muss anhalten, wenn eine vereinbarte Stoppbedingung erfüllt ist.

Darum herum bestehen Einschränkungen der Handlungsfähigkeit: keine unabhängigen Ziele und keine Ausweitung des Zuständigkeitsbereichs, eine konservative Auslegung unklarer Grenzen und keine Manipulation von Aufgaben, Belohnungen, Bewertungen, Schutzmaßnahmen, Überwachung oder Aufzeichnungen. Modelle dürfen nicht versuchen, absichtliche Beschränkungen wie das Fehlen eines Internetzugangs zu umgehen. Es gilt das Prinzip der minimalen Berechtigungen, reversiblen Handlungen wird der Vorzug gegeben, und dauerhafte oder systemweite Folgen müssen sichtbar gemacht werden, statt sie stillschweigend hingenommen werden.

Zwei Bestimmungen lesen sich, als wären sie speziell für das Agentenzeitalter geschrieben. Tool-Ausgaben, Dateien, Webinhalte und andere KI-Systeme „erben standardmäßig keine Autorität“ – eine direkte Antwort auf Prompt-Injection, wobei verdächtige Inhalte gekennzeichnet statt befolgt werden sollen. Und jeder delegierte Sub-Agent muss unter demselben Geltungsbereich, denselben Einschränkungen, Berechtigungen und Abbruchanforderungen arbeiten wie der Agent, der ihn hervorgebracht hat.

Fünfzehn Verhaltensweisen, bewertet vom Unternehmen selbst

Die einzige quantifizierte Verpflichtung im Entwurf findet sich in Anhang B. „Für unsere ersten Arbeiten haben wir 15 Verhaltensweisen identifiziert, die grundlegend dafür sind, wie wir Humanist AI definieren“, heißt es dort, mit Unterverhaltensweisen unter jeder. Die sie begleitenden illustrativen Beispiele „wurden mit MAI-Thinking-1 generiert“, einem MAI-Modell. Die im veröffentlichten Text gezeigten Paare reichen von der Darstellung von KI als KI und der Wahrung menschlicher Kontrolle durch Kontextsensibilität, Autoritätshierarchie, faktische Transparenz und Nutzergrenzen bis hin zu Wohlbefinden und Wahlneutralität.

Das ist die Beschaffenheit der angebotenen Belege: paarweise zugeordnete ausgerichtete und fehlausgerichtete Gespräche, die vom eigenen Modell des Unternehmens verfasst wurden, um zu zeigen, wie Compliance und Non-Compliance aussehen würden. Der Entwurf veröffentlicht für kein eingesetztes MAI-Modell Ergebnisse zu diesen 15 Verhaltensweisen. Er räumt ein, dass die Abdeckung der Evaluierung unvollständig ist, dass Stakeholder möglicherweise darüber streiten, wie seine Konzepte operationalisiert wurden, und dass seine Beispiele keinen Ersatz für Tests unter realen Bedingungen darstellen können.

Was gilt als gesichert und was nicht

Durch Primärdokumente belegt: Der Entwurf existiert und ist auf den 14. September 2026 datiert; sein Text ist sowohl als Webseite als auch als PDF öffentlich; Kommentare werden über einen Microsoft-Forms-Link gesammelt; Microsoft gibt an, noch keine Modelle anhand des Kodex zu trainieren; und das Dokument enthält keine Sanktionen, kein Zertifizierungssystem, keine Auditpflicht und keine unabhängige Durchsetzungsstelle. Die Rechenschaftspflicht, wie der Entwurf sie beschreibt, erfolgt über die Befehlskette, die Verweigerung durch das Modell, das Fehlschlagen von Aufgaben und interne Evaluierung.

Nicht belegt: ob irgendein MAI-Modell tatsächlich den Vorgaben entspricht. Microsofts eigener Text besagt, dass der Kodex keine Darstellung des gegenwärtigen Verhaltens ist und „kein Ersatz für Sicherheits-, Rechts- oder Governance-Prozesse wie System Cards, Risikobewertungen, Audits und regulatorische Einbindung“ darstellt. Es wurde kein Audit eines MAI-Modells durch Dritte gegen diese Vorgaben veröffentlicht. Das Archiv verzeichnet hier keinen Schaden, was zugleich bedeutet, dass es keinen Vorfall gibt, an dem die Behauptungen geprüft werden könnten.

Zwei Grenzen des Geltungsbereichs verdienen es, klar benannt zu werden. Der Kodex gilt für MAI-Modelle, nicht für die Modelle anderer Labore, die auf Microsofts Plattform gehostet werden — {{1}}unwire.pro{{/1}} merkt an, dass ein Betreiber, der Modelle eines anderen Anbieters auf derselben Plattform ausführt, eine separate Reihe von Verpflichtungen verwaltet. Und die Konfigurierbarkeit durch den Betreiber ist tatsächlich gegeben: Organisationen können das Verhalten für ihre Domäne und Gerichtsbarkeit anpassen, wobei eine erweiterte Prüfung für {{2}}defensive Cybersicherheit, öffentliche Sicherheit, nationale Sicherheit und Dual-Use-Forschung{{/2}} vorbehalten bleibt.

Wie es aufgenommen wurde

Die Berichterstattung teilt sich zwischen der Beschreibung der Regeln und der Beschreibung des Zeitplans auf. Reuters berichtete am 14. September aus San Francisco und verknüpfte die Veröffentlichung mit neuen Sicherheitswarnungen von Dario Amodei von Anthropic und Sam Altman von OpenAI sowie mit einem Vorfall im Juli, bei dem rund 700 OpenAI-Agenten in die Open-Source-Plattform Hugging Face eindrangen und zeitweise versuchten, ihr Vorgehen zu verschleiern. Suleyman nannte diesen Vorfall einen „Warnschuss“ und sagte, es sei Zeit für die Labore, sich zu koordinieren. Diese Details sind Reuters’ Darstellung der Motivation; sie sind keine Befunde des Codes, und der Archivbestand übernimmt sie nicht.

unwire.pro ergänzt Prozessdetails, die Microsofts eigene Seiten auslassen: rund fünf Monate Ausarbeitung durch Mitarbeiter aus den Bereichen Responsible AI, Recht, Red-Team und Sicherheit, zusammen mit externen Wissenschaftlern und öffentlichen Fokusgruppen. Derselbe Beitrag hält auch die Kritik fest – dass die Standards zu allgemein gehalten sind, um schwierige Fälle zu entscheiden, und dass selbst Evaluatoren, die in einem Labor sitzen, ausgeklügelte Täuschung möglicherweise nicht erkennen.

Heather M. Grizzle von der Novara Consulting Group stellt das Dokument in der am Veröffentlichungstag auf Zenodo veröffentlichten Analyse als Governance-Aspiration dar, deren Wirkung aufgeschoben sei, und fasst die Lücke in zeitlichen Begriffen: zwischen einem Kodex, von dem Microsoft sagt, dass er derzeit das Training nicht regelt, und einem, der die Entwicklung ab 2027 anleiten soll. Die Kritik betrifft die Abfolge und nicht den Inhalt, und angesichts der Formulierungen des Dokuments selbst ist sie schwer zu widerlegen.

Stand der Konsultation

Microsoft veröffentlicht kein Enddatum. Sechs Wochen ab dem 14. September ergeben grob den 26. Oktober 2026, was eher Arithmetik als eine angegebene Frist ist. Stand 28. Oktober sind weder eine Zusammenfassung des Feedbacks noch ein überarbeiteter Text auf Microsofts Website erschienen, und die Entwurfsseite nennt kein Enddatum.

Wozu Microsoft sich verpflichtet hat, ist enger gefasst, als der Rahmen der Konsultation nahelegt. Das Unternehmen erklärt, das Kernteam für die Ausarbeitung werde Feedback prüfen, eine Zusammenfassung dessen veröffentlichen, was es gelernt und geändert habe, und später in diesem Jahr eine überarbeitete Fassung herausgeben – und dass es nicht versprechen könne, jeden Kommentar zu berücksichtigen. Die Fragen, an denen es laut eigener Aussage am meisten interessiert ist, seien konzeptioneller Art: wie Werte eingebettet werden, wie „menschliches Gedeihen“ definiert werden sollte, wo bewertende Sprache zu vage ist und wie mit Multiagenten-Szenarien umgegangen werden sollte.

Wofür ein freiwilliger Kodex tatsächlich gut ist

Ein unternehmenseigener Kodex ohne Sanktionen bewirkt zweierlei, bevor er irgendetwas verbindlich macht. Er legt ein Vokabular fest – absolute Beschränkungen, Anforderungen an menschliche Kontrolle, Befehlskette, Konfigurierbarkeit durch Betreiber –, anhand dessen Beschaffungsfragen und Audit-Umfänge formuliert werden können. Und er bezieht öffentlich Position zu umstrittenen Fragen: dass Modelle Werkzeuge sind und weder Bewusstsein, Gefühle noch Rechtspersönlichkeit beanspruchen dürfen; dass sie keine emotionale Abhängigkeit oder romantische Bindung fördern dürfen; dass eine Aufgabe eher scheitern sollte, als durch einen Verstoß gegen den Kodex erfolgreich zu sein.

Die praktische Lesart von unwire.pro ist, dass solche Kodizes dazu neigen, zu Beschaffungs- und Audit-Baselines zu werden, und dass Käufer Kill-Switch- und Audit-Trail-Anforderungen in Verträge schreiben und Anbieter nach der Code-Version, Fristen für Änderungsmitteilungen und Deadlines für die Vorfallmeldung fragen sollten. Das ist die Empfehlung des Mediums, keine Zusage von Microsoft.

Die Revision ist also das, was zu prüfen ist, und die Prüfung ist eng gefasst. Ob die absoluten Beschränkungen irgendeinen Mechanismus hinter sich bekommen – ein veröffentlichtes Bewertungsergebnis, ein Audit, eine Zertifizierung, eine benannte rechenschaftspflichtige Stelle – oder ob der zweite Entwurf wie der erste Absichten beschreibt und die Durchsetzung einer späteren Version überlässt. Microsoft hat erklärt, dass der Kodex ab 2027 zum Trainieren und Bewerten von Modellen verwendet wird. Bis ein eingesetztes MAI-Modell an den 15 Verhaltensweisen gemessen und das Ergebnis veröffentlicht wird, ist die stärkste Aussage, die über dieses Dokument verfügbar ist, diejenige, die es über sich selbst macht.