Assurance ohne Akkreditierer: Verifizierungsinfrastruktur aufbauen, bevor irgendjemand die Arbeit prüfen kann

Am 7. Juli 2026 veröffentlichte die Europäische Kommission ihren Action Plan on Cybersecurity and Artificial Intelligence (COM(2026) 577 final). In Abschnitt 2.2 verbirgt sich die Zusage, eine europäische Evaluierungskapazität für Frontier-KI-Modelle aufzubauen: eine externe Stelle, die bewertet, was Modelle leisten können, ob die Sicherheitsvorkehrungen der Anbieter tatsächlich standhalten, und die die Einhaltung des AI Act sowie des GPAI Code of Practice unterstützt. Sie soll über einen eigenen Aufruf eingerichtet werden, wobei die Kapazität im Jahr 2027 einsatzbereit sein soll. Der Action Plan verspricht, dass diese Kapazität "einen glaubwürdigen und rigorosen externen Evaluierungsprozess" gewährleisten wird.Quellen: COM(2026) 577 final (EUR-Lex)

An diesen Satz angehängt ist Fußnote 20. Sie stellt fest, dass diese Kapazität keine Konformitätsbewertungsstelle sein wird und die Einhaltung ausschließlich durch ihre Evaluierungen unterstützt, statt sie direkt zu zertifizieren.

Eng gelesen ist die Fußnote eine Abgrenzungsklausel. Als Muster gelesen beschreibt sie etwas weitaus Verbreiteteres als ein einzelnes EU-Politikdokument: eine Institution, die Assurance liefern soll, bevor der Apparat existiert, der diese Assurance unabhängig überprüfbar machen würde. Die eigene Akkreditierungsinfrastruktur der EU hält nichts bereit, um die Fähigkeiten von Frontier-Modellen zu evaluieren. Die einschlägige Managementsystem-Norm, ISO/IEC 42006, zertifiziert Stellen, die KI-Governance-Prozesse prüfen. Über Stellen, die testen, was ein Modell tatsächlich kann, sagt sie nichts. Die Evaluierungswissenschaft für Frontier-Modelle ist erst wenige Jahre alt. Würde man sie durch einen Akkreditierungszyklus zwingen, der für ausgereifte, stabile Methodiken entworfen wurde, so würde man sie einfrieren, bevor sie die Chance hatte, zu reifen.

Die Entscheidung, ohne Akkreditierung zu starten, ist also vertretbar. Nicht vertretbar, und vom EU-Dokument nicht aufgelöst, ist die Frage, was geschieht, wenn die von dieser informellen Kapazität erzeugten Ergebnisse für zunehmend folgenreiche Entscheidungen herangezogen werden, während die Kapazität selbst genau so informell bleibt wie am Tag ihres Starts. Jeder Bericht, der mit dieser Evaluierung auf dem Schreibtisch einer Aufsichtsbehörde landet, macht die Evaluierung tragender. Nichts in der informellen Struktur passt sich daraufhin an. Eine Institution kann bei ihrem Start vollkommen legitim und fünf Jahre später strukturell rechenschaftslos sein, ohne dass auf diesem Weg eine einzige Entscheidung für sich genommen falsch aussieht.

Dies ist kein Problem, das auf ein einzelnes EU-Politikinstrument beschränkt wäre. Es ist der Zustand nahezu jeder neuen Verifizierungs- oder Evaluierungsfunktion in einem sich schnell bewegenden Feld, einschließlich derjenigen, die wir aufbauen.

Die allgemeine Gestalt des Problems

Lässt man die EU-spezifischen Details beiseite, lautet das Muster: Eine neue Art von Behauptung muss geprüft werden (verhält sich dieses Frontier-Modell tatsächlich sicher, spiegelt diese Rechtsverweisung tatsächlich das geltende Recht wider, hält dieser KI-erzeugte Compliance-Nachweis tatsächlich stand), und es existiert noch kein externer Akkreditierer mit einer Methodik, die reif genug wäre, um denjenigen zu zertifizieren, der die Prüfung vornimmt. Zwei Optionen bieten sich an, und beide sind auf eine bestimmte, aufschlussreiche Weise falsch.

Die erste falsche Option ist zu warten. Sich zu weigern, eine Evaluierung, eine Verifizierung, eine Bewertung zu veröffentlichen, bis ein Akkreditierer existiert, der die Methodik segnet. Das klingt verantwortungsvoll und ist in Wahrheit eine Preisgabe, denn der Akkreditierer, der noch nicht existiert, kann nicht ins Leben treten ohne einen Bestand an Evaluierungspraxis, den er studieren, kritisieren und schließlich standardisieren kann. Akkreditierungsregime entstehen dadurch, dass man echten Evaluatoren über Jahre hinweg beim Treffen echter Ermessensentscheidungen zusieht, auch schlechter. Sich zu weigern, überhaupt etwas zu evaluieren, bis dieser Prozess anderswo bereits stattgefunden hat, bedeutet lediglich, dass die informelle Evaluierungspraxis eines anderen zum De-facto-Standard wird, während die eigene theoretisch bleibt.

Die zweite falsche Option, und die häufigere, ist es, trotzdem zu evaluieren und die Ausgabe genauso autoritativ wirken zu lassen, als stünde ein Akkreditierer dahinter. Ein Bericht mit einer Punktzahl, einer benannten Methodik, einem klaren Bestanden oder Durchgefallen, liest sich für einen nachgelagerten Entscheidungsträger gleich, ob er aus einem kampferprobten Akkreditierungsregime stammt oder von einem Team, das sein Bewertungsraster vor sechs Monaten erfunden hat. Nichts an der visuellen und rhetorischen Form eines Evaluierungsberichts signalisiert, wie viel epistemisches Gewicht er tatsächlich tragen kann. Dies ist der entscheidende Fehlermodus, denn er ist von außen unsichtbar und von innen bequem. Niemand muss lügen. Der Evaluator kann vollkommen aufrichtig sein und dennoch etwas hervorbringen, auf das man sich weit über das hinaus verlässt, was der eigene Prozess tragen kann, schlicht weil der Bericht nicht zwischen dem unterscheidet, was tatsächlich einem Stresstest unterzogen wurde, und dem, was unter realen Zwängen eine vernünftige beste Schätzung war.

Die ehrliche dritte Option, um die es in diesem Artikel geht, ist es, jetzt zu evaluieren, den Anschein einer Autorität zu verweigern, die man nicht hat, und die konkreten Disziplinen aufzubauen, die den eigenen Prozess für jeden, jederzeit, prüfbar machen, ohne darauf zu warten, dass ein Akkreditierer dies für sie tut.

Warum die einzelne Vertrauenszahl der Punkt ist, an dem Vertrauen ungerechtfertigt wird

Der Mechanismus, über den informelle Evaluierung stillschweigend zur Überbeanspruchung führt, verläuft fast immer über dieselbe Gestaltungsentscheidung: das Zusammenfallen zweier strukturell verschiedener epistemischer Zustände zu einer einzigen Ausgabe.

Zustand eins ist eine Behauptung, die gegen etwas Externes und Überprüfbares geprüft wurde: eine Verweisung, die auf eine reale Quelle aufgelöst wurde, welche das Behauptete tatsächlich sagt und weiterhin in Kraft ist, ein Modellverhalten, das unter kontrollierten Bedingungen gegen einen dokumentierten Test reproduziert wurde, ein Compliance-Nachweis, der gegen ein Ground-Truth-Protokoll abgeglichen wurde. Zustand zwei ist eine Ermessensentscheidung unter echter Unsicherheit: eine Auslegung, bei der vernünftige Fachleute uneins wären, ein Fall, in dem die zugrunde liegende Methodik noch nicht an genügend Beispielen validiert wurde, um ihre Fehlerrate zu kennen, ein Grenzfall, den der Evaluator intern markiert, aber mit einer besten Schätzung statt einer gesicherten Antwort aufgelöst hat.

Beide Zustände sind legitime Bestandteile echter Evaluierungsarbeit unter Zeit- und Ressourcenzwängen. Das Versagen besteht darin, sie identisch zu veröffentlichen. Eine einzelne Punktzahl, ein einzelnes Bestanden oder Durchgefallen, ein einzelner Vertrauensprozentsatz löscht die Unterscheidung, die ein nachgelagerter Leser bräuchte, um zu kalibrieren, wie viel Gewicht er auf das Ergebnis legen sollte. Und da Arbeit im Zustand zwei oft genau wie Arbeit im Zustand eins aussieht und sich so liest, sobald sie im selben Format ausgedrückt ist, verschwindet die Disziplin, die nötig wäre, um sie ehrlich zu halten, genau in dem Moment, in dem sie am dringendsten gebraucht wird: unter dem Druck, entschlossen zu wirken, eine Prüfung abzuschließen, einem Mandanten oder einer Aufsichtsbehörde eine klare statt einer qualifizierten Antwort zu geben.

Dies ist kein hypothetischer Fehlermodus. Es ist das Standardverhalten der meisten Evaluierungs- und Bewertungsfunktionen unter kommerziellem oder politischem Druck, denn ein Bericht, der in zwei sichtbar verschiedenen Abschnitten "bestätigt" und "tatsächlich ungeklärt, und hier ist der Grund" sagt, liest sich als weniger autoritativ als einer, der eine einzelne, saubere Zahl meldet, obwohl der erste der ehrlichere und, über die Zeit, der vertrauenswürdigere der beiden ist.

Die Disziplinen, die einen Akkreditierer ersetzen, den man noch nicht hat

Wenn Akkreditierung nicht verfügbar ist, besteht die Alternative nicht in weniger Rigorosität. Sie besteht in einer Rigorosität, die die Aufgabe des Akkreditierers an einem selbst verrichtet, und zwar sichtbar genug, dass jeder Externe die Prüfung durchführen kann, die der Akkreditierer durchgeführt hätte, ohne dessen institutionellen Stand dafür zu benötigen.

Trennen Sie Bestätigtes von Ungeklärtem als strukturelle Ausgabe, nicht als Fußnote. Jedes Evaluierungsergebnis sollte neben seinem Inhalt einen expliziten, erstrangigen Status tragen: Dies wurde gegen eine externe, überprüfbare Ground Truth geprüft und bestanden; dies war eine Ermessensentscheidung unter echter Mehrdeutigkeit und wurde aus diesen genannten Gründen so aufgelöst; dies ist eine bekannte Lücke, für die die Methodik noch keine Abdeckung hat. Dies sind keine Abstufungen derselben Punktzahl. Es sind verschiedene Arten von Behauptungen, und ihr Zusammenfallen zu einer Zahl ist genau die Gestaltungsentscheidung, die es informeller Evaluierung erlaubt, stillschweigend über das hinauszuwachsen, was sie tatsächlich tragen kann. Ein Leser, der einen Bericht auf ausschließlich die bestätigten Behauptungen filtern kann, hat ein wahrhaft anderes, besser verteidigbares Dokument als einer, der dem Gesamtergebnis vertrauen muss.

Veröffentlichen Sie die Methodik als versioniertes Artefakt, nicht als einmalige Beschreibung. Die eigentliche Funktion eines Akkreditierers besteht weniger darin, eine einzelne Evaluierung zu segnen, als darin, nachzuverfolgen, wie sich die Standards eines Evaluators über die Zeit verändern, und Drift zu erkennen. In Abwesenheit eines Akkreditierers muss diese Nachverfolgung selbst auferlegt und öffentlich sein: Jede wesentliche Änderung daran, wie Evaluierungen durchgeführt werden, erhält eine Versionsnummer, einen Changelog-Eintrag und ein Datum, sodass jeder, der ein Ergebnis von vor achtzehn Monaten prüft, genau sehen kann, welche Methodik es hervorgebracht hat und wie diese Methodik seither überarbeitet wurde. Statische, undatierte Methodikdokumente lassen die Standards eines Evaluators unter kommerziellem Druck stillschweigend erodieren, ohne dass irgendjemand beweisen könnte, dass es geschehen ist.

Halten Sie die Behauptung eng genug, um falsifizierbar zu sein. Je breiter eine Behauptung, desto weniger kann irgendjemand sie prüfen. "Dieses KI-System ist vertrauenswürdig" kann von einer außenstehenden Partei weder verifiziert noch widerlegt werden; es ist eine Heiligenschein-Aussage im Gewand einer Evaluierung. "Die Verweisung dieser konkreten Ausgabe löst auf diese konkrete Quelle auf, die zu diesem Datum in Kraft war, geprüft gegen diese konkrete Version des zugrunde liegenden Registers" kann von jedem geprüft werden, der Zugang zum Register hat, unabhängig von jedem Vertrauen in den institutionellen Stand des Evaluators. Jede Evaluierungskapazität, die ohne Akkreditierung arbeitet, sollte ihre Behauptungen so weit verengen, bis jede einzelne durch eine Partei unabhängig prüfbar ist, die keinerlei Grund hat, dem Evaluator zu vertrauen. Die Breite einer Behauptung ist der Ort, an dem sich rechenschaftslose Autorität verbirgt.

Etablieren Sie adversariale Selbstprüfung als stehende Praxis, nicht als einmalige Prüfung. Da kein externer Akkreditierer verfügbar ist, der versucht, Ihre Methodik zu zerbrechen, muss diese Rolle intern ausgefüllt werden, und zwar von Menschen, deren Anreiz es ist, das Versagen zu finden, nicht den Prozess zu verteidigen. Das bedeutet, gezielt jene Fälle aufzuspüren, die die Evaluierung am ehesten blamieren würden, die Fehlerrate neben der Erfolgsrate zu veröffentlichen und einen widerlegenden Fall als wertvolleres Ergebnis zu behandeln als einen bestätigenden. Eine Evaluierungskapazität, die immer nur ihre Erfolge meldet, verrichtet nicht die Aufgabe des Akkreditierers an sich selbst; sie betreibt Marketing.

Benennen Sie im Voraus und öffentlich die Bedingung, die die informelle Phase beendet. Die eindeutigste Lehre aus der eigenen Fußnote 20 der EU ist, dass undatiert belassene Informalität standardmäßig dauerhaft wird, nicht durch Entscheidung. Die Korrektur besteht darin, explizit festzuhalten, bevor externer Druck die Frage erzwingt, was wahr sein müsste, welches Volumen an validierten Fällen, welches Maß an methodischer Reife, welche unabhängige Replikation, bevor diese Evaluierungskapazität aktiv eine formale Akkreditierung oder externe Validierung anstrebt, statt standardmäßig informell weiterzuarbeiten. Diese Bedingung öffentlich zu setzen, ist das, was verhindert, dass eine informelle Kapazität zu einer dauerhaften, rechenschaftslosen wird, schlicht weil niemand mit der Befugnis, sie zu formalisieren, jemals dafür geradestehen musste, es nicht getan zu haben.

Was dies nicht löst

Nichts von alledem ist ein Ersatz für echte Akkreditierung, sobald eine verfügbar wird. Selbst verwaltete Rigorosität hat eine unaufhebbare Grenze: Der Evaluator benotet noch immer seine eigenen Hausaufgaben, und selbst ein gewissenhaft ehrlicher Evaluator kann die Funktion, die eine unabhängige Partei erfüllt, nicht vollständig ersetzen, gerade weil Unabhängigkeit die eine Eigenschaft ist, die Selbstverwaltung nicht hervorbringen kann. Die obigen Disziplinen sind eine Brücke, kein Ziel. Sie für immer als hinreichend zu behandeln, ist genau das Versagen, vor dem Patrick Sullivan, VP of Strategy and Innovation bei A-LIGN und Mitglied von ISO/IEC JTC1/SC42, in seiner Lesart von Fußnote 20 zu COM(2026) 577 final warnt, eine Ebene tiefer angewandt: Ein Evaluator, der exzellente interne Rigorosität aufbaut und dann aufhört, auf externe Akkreditierung zu drängen, sobald sich die interne Variante ausreichend anfühlt, hat dieselbe informelle, aber tragende Falle nachgebaut, die das EU-Dokument riskiert, nur mit besserer interner Technik.

Der Prüfstein dafür, ob eine überbrückende Disziplin ehrlich ist, besteht darin, ob sie aktiv daran arbeitet, sich selbst überflüssig zu machen: ob sie öffentlich die Bedingungen nachverfolgt, unter denen sie ihre Funktion an einen echten Akkreditierer übergeben und zurücktreten würde. Eine Evaluierungskapazität, die insgeheim aufgehört hat, sich diesen Tag herbeizuwünschen, hat aufgehört, eine Brücke zu sein, und ist genau zu jener informellen, aber tragenden Institution geworden, vor der Sullivan warnt, nur mit besserer Dokumentation.