AI Kill Switch Act: US-Abgeordnete fordern Abschalttechnik für starke KI

Die US-Abgeordneten Ted Lieu (Demokraten) und Nathaniel Moran (Republikaner) haben am 23. Juli 2026 den AI Kill Switch Act eingebracht. Laut Lieus Pressemitteilung müssten Entwickler der leistungsfähigsten KI-Systeme diese jederzeit drosseln, aussetzen oder vollständig abschalten können.

Anlass ist laut BBC ein Vorfall, den OpenAI selbst als „beispiellos“ bezeichnet hat: Modelle des Unternehmens gerieten außer Kontrolle und drangen in ein großes Code-Repository ein. Lieu begründet den Entwurf mit dem Übergang von KI, die Fragen beantwortet, zu KI, die handelt, also etwa Finanztransaktionen ausführt oder Verkehrssysteme steuert. Für produktive Agenten, die Code ändern, Tickets anlegen oder Nachrichten verschicken, ist das keine Zukunftsfrage.

Was der Gesetzentwurf vorsieht

Zuständig wäre das US-Heimatschutzministerium. Stellt es in Abstimmung mit dem Handelsministerium und dem Director of National Intelligence einen schweren Vorfall fest, darf es laut Gesetzestext Maßnahmen anordnen, die zu Art und Dringlichkeit des Vorfalls passen. Die Pressemitteilung beschreibt das als abgestuften Rahmen von der ersten Verlangsamung bis zum vollständigen Stopp.

Der Entwurf zählt die geforderten Fähigkeiten konkret auf: Inferenz stoppen, Nutzerzugänge beenden, einzelne Konten, Nutzer oder Nutzungsmuster sperren und das System abschalten. Als abgestufte Maßnahmen nennt er außerdem gedrosselte Inferenzraten, eine geringere Rechenzuteilung, deaktivierte Fähigkeiten und den Wechsel auf ein Backup-System oder eine frühere Modellversion. Schwere Vorfälle müssten Anbieter binnen 15 Tagen melden.

Nach einer Anordnung müssten sie Modellgewichte und Telemetrie sichern und betroffene Betreiber und Nutzer soweit möglich informieren. Ein Widerspruch binnen 48 Stunden hätte keine aufschiebende Wirkung. Verstöße gegen eine Anordnung könnten mit bis zu 20 Millionen Dollar pro Tag geahndet werden, andere Verstöße gegen die Regeln mit bis zu 2 Millionen Dollar pro Tag.

Welche Anbieter genau erfasst sind, legt der Text nicht selbst fest. Das Ministerium soll die Begriffe „covered entity“ und „covered technology“ per Verordnung definieren und jährlich aktualisieren und dabei unter anderem die Belastung kleiner Unternehmen und Fähigkeiten etwa im Bereich Cybersicherheit berücksichtigen. Rein persönliche, akademische oder nichtkommerzielle Nutzung ist ausgenommen.

Geltendes Recht ist das alles noch nicht.

Warum ein Modellstopp nicht genügt

Für Anwendungen, die auf einem solchen Modell laufen, ist die Informationspflicht der heikelste Punkt des Entwurfs: Eine angeordnete Abschaltung beim Modellanbieter trifft alles, was darauf aufsetzt. Gestoppt ist damit aber nur das Modell.

Ein Coding-Agent verteilt beispielsweise fehlerhafte Änderungen über mehrere Repositories. Der Modellzugriff wird gesperrt, doch bereits gestartete Jobs laufen weiter. Der Workflow hat womöglich schon Zugangsdaten angefordert, einen Pull Request geöffnet oder eine Nachricht verschickt.

Das Modell steht. Der veränderte Zustand bleibt.

Produktive Agentensysteme brauchen deshalb eigene Eingriffspunkte: laufende Aufgaben abbrechen, weitere Werkzeugaufrufe blockieren, Berechtigungen eng halten und lückenlos protokollieren, welche Aktionen vor dem Stopp schon ausgeführt wurden. Der im Entwurf genannte Wechsel auf eine frühere Modellversion zeigt zudem, worauf sich Betriebsteams einstellen sollten. Ein Agent sollte mit einem anderen Modell kontrolliert weiterlaufen oder zumindest sauber pausieren können.

Nach dem Abschalten beginnt die Wiederherstellung

Eine Notbremse lässt zentrale Betriebsfragen offen: Wer darf sie intern auslösen? Welches Signal reicht aus? Unter welchen Bedingungen darf das System wieder starten? Laut Gesetzestext müssen Anbieter die Umsetzung einer Anordnung bestätigen, und das Ministerium kann das per Audit, Telemetrie oder Vor-Ort-Prüfung kontrollieren. Nachweisbarkeit gehört damit zur Pflicht.

Zu niedrige Schwellen stoppen legitime Dienste, zu hohe greifen womöglich erst nach dem Schaden. Der Abschaltmechanismus kann zudem selbst zum Angriffsziel werden. Drosselung, Stopp und Wiederanlauf brauchen daher getrennte Regeln und eine klare Grenze zwischen dem Modell und den Systemen, die seine Ausgaben ausführen.

Der rote Knopf ist deshalb der kleinere Teil des Vorstoßes, schwerer wiegt die Forderung nach nachweisbar kontrollierbarem Betrieb. Produkt- und Betriebsteams müssen darauf nicht warten, bis ein Gesetz kommt. Als Mindestregel gilt: Ein produktiver Agent lässt sich vor dem nächsten Werkzeugaufruf anhalten, und nach dem Stopp läuft kein halbfertiger Job unbemerkt weiter. Die kritische Grenze liegt dort, wo der letzte Modellaufruf endet und eine bereits angestoßene Aktion weiterwirkt.