Rüstungskontrollverträge beginnen mit Definitionen. Die Chemiewaffenkonvention definiert eine chemische Waffe als jede toxische Chemikalie oder deren Vorläufer, die als Kriegsmethode eingesetzt wird. Der Atomwaffensperrvertrag definiert Kernwaffenstaaten als solche, die vor dem 1. Januar 1967 eine Kernwaffe hergestellt und gezündet haben. Die Strategic Arms Limitation Talks definierten ballistische Raketen nach Reichweite und Nutzlast. Diese Definitionen waren politisch nicht neutral: Jede spiegelte strategische Entscheidungen darüber wider, wer erfasst würde, welche Aktivitäten beschränkt würden und wie die Interessen der Parteien ausbalanciert würden.
Diese Fragen sind schwieriger, als sie scheinen, und wie sie beantwortet werden, bestimmt, ob ein daraus resultierender Vertrag tatsächlich das regeln kann, was er regeln soll.
ASI governance steht vor einem Definitionsproblem mit mehreren Merkmalen, die in der Rüstungskontrolle kein nahes Vorbild haben. Diese Merkmale zu verstehen, ist die Voraussetzung dafür, Definitionen zu entwerfen, die tatsächlich das regeln können, was sie regeln sollen.
Drei Ansätze zur Definition gefährlicher KI
Aktuelle Governance-Rahmenwerke haben drei unterschiedliche Ansätze verwendet, um zu definieren, welche KI-Systeme in ihren Geltungsbereich fallen. Jeder Ansatz hat Stärken und Einschränkungen, die ein rahmenvertragsbasiertes Modell adressieren müsste.
Compute-Schwellenwerte definieren gefährliche KI über die Rechenressourcen, die zum Trainieren eines Modells verwendet werden, gemessen in Gleitkommaoperationen oder FLOPs. Das EU AI Act definiert Frontier-KI-Modelle als solche, die mit mehr als 10 hoch 25 FLOPs trainiert wurden. Die US Executive Order on AI vom Oktober 2023 verlangte Meldungen an die Bundesregierung für Modelle, die mit mehr als 10 hoch 26 FLOPs trainiert wurden. Die Frontier AI Safety Commitments, die in Seoul unterzeichnet wurden, gelten für Modelle an oder nahe der Frontier-Fähigkeit, mit Compute als Proxy für den Frontier-Status.
Compute-Schwellenwerte bieten zwei wesentliche Vorteile für die Vertragsgestaltung. Erstens ist Compute beobachtbar. Die Hardware, die für das Training großer KI-Modelle benötigt wird – spezialisierte Chips, die von wenigen Herstellern produziert werden –, verbraucht charakteristische Energiemuster und erzeugt messbare Wärme. Die Lieferketten dieser Chips sind eng und führen durch Jurisdiktionen, die für Überwachung zugänglich sind. Zweitens ist Compute schwerer zu fälschen als Fähigkeitsbehauptungen, weil die Herstellung der Hardware und das Durchführen der Trainingsläufe beobachtbare Signaturen erzeugen, die sich in großem Maßstab nur schwer verbergen lassen.
Die Limitation von Compute-Schwellenwerten ist, dass sie obsolet werden, wenn Algorithmen sich verbessern. Ein Modell, das heute mit 10 hoch 26 FLOPs trainiert wird, hat wesentlich andere Fähigkeiten als ein Modell, das vor fünf Jahren mit demselben Compute trainiert wurde, weil algorithmische Verbesserungen pro Compute-Einheit im Laufe der Zeit fähigere Modelle hervorbringen. Ein heute festgelegter Compute-Schwellenwert wird entweder zu restriktiv sein, wenn effiziente Algorithmen leistungsstarke Modelle unterhalb des Schwellenwerts produzieren, oder zu permissiv, wenn die Frontier darüber hinausgeht.
Fähigkeitsbasierte Definitionen bestimmen gefährliche KI danach, was das System tun kann, und nicht danach, wie es trainiert wurde. Ein System, das autonom Cybersicherheitslücken über einem definierten Schweregrad identifizieren und ausnutzen kann, gilt unter einer fähigkeitsbasierten Definition als gefährlich, unabhängig davon, wie viel Rechenleistung für seine Erzeugung verwendet wurde. Ein System, das bei der Synthese von Biowaffen über einem definierten Spezifitätsgrad sinnvolle Unterstützung leisten kann, gilt als gefährlich, unabhängig von seinem Trainings-Compute.
Fähigkeitsbasierte Definitionen sind gezielter auf die Schäden ausgerichtet, die sie verhindern sollen, schaffen aber ein erhebliches Messproblem. Fähigkeits-Evaluationen sind nicht standardisiert. Unterschiedliche Evaluationsmethoden liefern unterschiedliche Ergebnisse. Frontier-KI-Entwickler führen derzeit Fähigkeits-Evaluationen mit proprietären Methoden durch, die nicht öffentlich geprüft werden. Eine fähigkeitsbasierte Definition in einem Governance-Vertrag würde standardisierte, unabhängig verifizierbare Fähigkeits-Evaluationsmethoden erfordern, die in Formen, die alle großen KI-entwickelnden Staaten akzeptieren würden, noch nicht existieren.
Die Chemiewaffenkonvention verband ein allgemeines Kriterium mit Listen geplanter Chemikalien, um sowohl bekannte als auch unbekannte gefährliche Stoffe abzudecken. Das allgemeine Kriterium definiert chemische Waffen als jede toxische Chemikalie, die als Methode der Kriegsführung eingesetzt wird, unabhängig davon, ob sie auf einer Liste steht. Die Listen geplanter Stoffe legen dann abgestufte Verifikationsanforderungen für bestimmte Chemikalien fest. Dieser mehrschichtige Ansatz ermöglichte es dem Vertrag, Stoffe abzudecken, die zum Zeitpunkt der Verhandlungen noch nicht bekannt waren. ASI-Governance könnte eine analoge Struktur nutzen: ein allgemeines Kriterium, das gefährliche KI durch die Art ihrer Wirkungen definiert, kombiniert mit Listen geplanter Fähigkeiten für bekannte gefährliche Anwendungen.
Domänenbasierte Definitionen definieren gefährliche KI durch den Sektor, in dem sie eingesetzt wird, und nicht durch ihren Trainings-Compute oder allgemeine Fähigkeiten. Ein System, das für autonome tödliche Entscheidungen in militärischen Kontexten eingesetzt wird, ist gefährlich. Ein System, das in der Steuerung kritischer Infrastruktur eingesetzt wird, ist gefährlich. Ein System, das für groß angelegte Überzeugung mit dem Ziel demokratischer Wahlen eingesetzt wird, ist gefährlich.
Domänenbasierte Definitionen haben den Vorteil, die Governance-Verpflichtung klar mit dem Schaden zu verknüpfen, den sie verhindern. Sie sind auch politisch handhabbarer als allgemeine Fähigkeitsdefinitionen, weil Staaten Beschränkungen für KI in bestimmten Hochrisikodomänen akzeptieren können, ohne das Prinzip zuzugestehen, dass ihre KI-Programme generell internationaler Aufsicht unterliegen. Die wesentliche Einschränkung ist, dass domänenbasierte Definitionen einem hochfähigen System erlauben, ohne Governance-Verpflichtungen zu operieren, wenn es außerhalb der definierten Domänen eingesetzt wird, selbst wenn dasselbe System leicht zu gefährlichen Anwendungen umgelenkt werden könnte.
Das Problem der sich bewegenden Grenze
Rüstungskontrolldefinitionen werden typischerweise gegen eine stabile Technologie geschrieben. Die Reichweite und Sprengkraft einer ballistischen Rakete, die Toxizität einer gelisteten Chemikalie, die für eine Kernwaffe erforderliche Spaltmasse. Diese ändern sich über die Lebensdauer des Vertrags nicht wesentlich. KI-Fähigkeiten entwickeln sich rasch, was bedeutet, dass eine heute ausreichende Definition innerhalb weniger Jahre obsolet sein kann.
Dies schafft das, was man das Problem der sich verschiebenden Grenze nennen könnte: wie man Vertragsdefinitionen schreibt, die relevant bleiben, während sich die Technologie entwickelt, ohne dass der Vertrag selbst ständig neu verhandelt werden muss. Drei Mechanismen wurden in der Rüstungskontrolle eingesetzt, um vergleichbare Probleme zu lösen.
Delegierte Definitionsbefugnis: Der Vertrag richtet ein Gremium ein, das befugt ist, technische Definitionen innerhalb festgelegter Parameter zu aktualisieren, vorbehaltlich der Zustimmung durch die Konferenz der Vertragsparteien. Die Organisation für das Verbot chemischer Waffen nutzt dieses Verfahren für ihre Listen geplanter Chemikalien, die durch die Konferenz der Vertragsstaaten geändert werden können, ohne den zugrunde liegenden Vertrag neu zu verhandeln. Das geht schneller als eine vollständige Vertragsneuverhandlung, setzt aber voraus, dass die Parteien dem Gremium die Definitionsbefugnis anvertrauen.
Technologieneutrale Definitionen: Der Vertrag definiert gefährliche KI durch die Art ihrer Wirkungen statt durch spezifische technische Parameter. Eine Definition, die jedes KI-System abdeckt, das Massenopfer über einer definierten Schwelle verursachen kann, oder jedes System, das autonome Handlungen von ausreichender Tragweite ausführen kann, um kritische nationale Infrastruktur zu bedrohen, bliebe relevant, wenn sich die zugrunde liegende Technologie ändert, weil sie Ergebnisse und nicht Eingaben beschreibt. Die Einschränkung ist, dass ergebnisbasierte Definitionen schwerer zu verifizieren sind, weil der relevante Test darin besteht, was ein System tun könnte, nicht was es nachweislich tut.
Sunset- und Erneuerungsklauseln: Vertragsdefinitionen werden mit einem festgelegten Überprüfungszyklus geschrieben, bei dem sie neu bewertet und aktualisiert werden. Der Vertrag tritt mit initialen Definitionen in Kraft, bleibt während der Überprüfungsperiode in Kraft und wird bei jeder Überprüfungskonferenz aktualisiert. Dies ist der Ansatz, den NPT für seine periodischen Überprüfungskonferenzen nutzt, obwohl sich die Definitionen von Nuklearwaffenstaaten durch diesen Mechanismus wegen der Interessen der P5 an ihrem privilegierten Status als unmöglich zu aktualisieren erwiesen haben.
Die Dimension des strategischen Interesses
Definitionelle Verhandlungen sind keine rein technischen Übungen. Jede Definitionsentscheidung hat strategische Implikationen dafür, welche Staaten die größten Compliance-Kosten tragen und welche die größte Handlungsfreiheit behalten. Diese Implikationen sind den verhandelnden Regierungen sichtbar und prägen ihre Positionen zu Definitionsfragen.
Staaten mit leistungsfähigeren KI-Programmen bevorzugen breite Definitionen, die Konkurrenten auf niedrigeren Entwicklungsstufen gleichermaßen einschränken. Eine Compute-Schwelle oberhalb der aktuellen Frontier der fortgeschrittensten Programme legt den führenden Staaten keine Beschränkung auf, während alle anderen dauerhaft unter der Schwelle bleiben müssen. Staaten mit weniger fortgeschrittenen Programmen bevorzugen enge Definitionen, die es ihnen erlauben, die aktuelle Frontier zu erreichen, bevor Governance-Pflichten greifen, und lehnen Definitionen ab, die sie dauerhaft gegenüber Staaten benachteiligen würden, die Frontier-KI zuerst entwickelt haben.
"Die definitorische Aushandlung ist der Ort, an dem der Großteil der eigentlichen Arbeit eines ASI-Governance-Vertrags stattfindet. Eine Definition, die politisch erreichbar, aber technisch unzureichend ist, erzeugt einen Vertrag, der etwas anderes regelt als das tatsächliche Risiko. Eine Definition, die technisch angemessen, aber politisch unerreichbar ist, erzeugt gar keinen Vertrag. Der einzige Weg durch dieses Problem führt über gemeinsame technische Evidenz, weshalb die AI Safety Institutes wichtiger sind, als die meisten Menschen ahnen."
Diese strategische Dimension ist der Grund, warum die empirische Arbeit, die vom UK's AI Security Institute und vom US Center for AI Standards and Innovation (beide als AI Safety Institutes gegründet) geleistet wird, grundlegend für Vertragsverhandlungen ist, obwohl diese Gremien nicht mit der Vorbereitung von Verträgen konzipiert wurden. Indem sie gemeinsame Evidenz darüber produzieren, was KI-Systeme auf verschiedenen Fähigkeitsniveaus können und nicht können, und welche Fähigkeiten mit welchen Risiken korrelieren, schaffen sie eine faktische Grundlage für definitorische Verhandlungen, die strategische Interessen schwerer einfach übergehen können. Einigkeit über Fakten führt nicht automatisch zu Einigkeit über Definitionen, aber sie verändert den Charakter der Uneinigkeit von einer rein strategischen zu einer teilweise technischen, in der gemeinsame Evidenz die Verhandlungspositionen aller Parteien diszipliniert.
Die Definitionsarbeit muss beginnen, bevor Verhandlungen beginnen. Wenn Rüstungskontrollverhandlungen ohne vorherige technische Konsens über Definitionen beginnen, neigen Verhandler dazu, Definitionen zu produzieren, die den kleinsten gemeinsamen Nenner politischer Übereinkunft widerspiegeln statt der technischen Anforderungen des Governance-Ziels. Je mehr technische Arbeit im Voraus geleistet wird, desto stärker ist die Grundlage, auf der Verhandler Definitionen aufbauen können, die tatsächlich das regieren, was sie regieren sollen.
Der stärkste Widerstand
Der fairste Einwand ist, dass Definitionen am Tag ihrer Niederschrift umgangen werden. Ja. Deshalb brauchen Definitionen Aktualisierungsautorität, Fähigkeitstests und Compute-Auslöser, keine statische Glossarliste. Gaming ist ein Designeingang. Es ist kein Grund, die Frontier unbeschriftet zu lassen.