Microsoft AI legt den ersten Entwurf eines MAI Code of Conduct vor – Absolute Constraints, Human Control, sechs Wochen Konsultation. Die spannende Frage für Aufsicht und Einkauf: Was davon lässt sich vor dem nächsten Agenten-Vorfall wirklich testen?

Drei Sätze aus einer Pressemitteilung reichen selten, um Vertrauen zu kaufen. Am 14. September 2026 hat Microsoft AI einen ersten Entwurf seines MAI Code of Conduct veröffentlicht – und damit die Begriffe Absolute Constraints und Human Control in den Vordergrund gerückt. Das klingt nach Ordnung. Nach Grenzen. Nach „wir behalten die Kontrolle“.

Ob das hält, entscheidet nicht der Tonfall. Es entscheidet, ob Dritte prüfen können, ob die Constraints greifen – bevor der nächste Agenten-Vorfall die Diskussion erneut überholt.

Genau darum geht es hier. Nicht um Begeisterung. Nicht um Ablehnung. Um Auditierbarkeit.

Was Familien und Einkauf zuerst sehen: Entwurf, Uhr, Status

Wer den Text nur über die Schlagzeile wahrnimmt, übersieht den wichtigsten Hinweis: Es handelt sich um einen Draft zur öffentlichen Konsultation. Microsoft AI schreibt ausdrücklich, dass das Dokument heute nicht zum Training der Modelle genutzt wird. Die Konsultation läuft rund sechs Wochen. Eine überarbeitete Fassung soll später 2026 folgen. Ab 2027 soll der Code dann die Modellentwicklung leiten – so der Fahrplan aus Redmond.

Das ist ein Status, den man ernst nehmen sollte. Entwurf heißt: Formulierungen können sich ändern. Lücken können bleiben. Versprechen können konkreter – oder weicher – werden. Wer den Code wie ein fertiges Zertifikat liest, macht sich selbst einen Bärendienst.

Was heißt das für Sie? Wenn Sie in der IT-Beschaffung, im Datenschutz oder in der Compliance sitzen, notieren Sie den 14. September 2026 als Veröffentlichungsdatum des Entwurfs – und markieren Sie parallel den Konsultationszeitraum. Danach kommt laut Microsoft AI eine Feedback-Zusammenfassung und eine revidierte Version. Bis dahin gilt: Claims prüfen, nicht abhaken.

Ich finde den öffentlichen Konsultationsschritt richtig. Er ist aber kein Ersatz für unabhängige Tests. Eine Konsultation sammelt Meinungen. Ein Audit prüft Verhalten.

Humanist AI im MAI Code – was der Ansatz auf Deutsch meint

„Humanist AI“ klingt nach Philosophie-Seminar. Microsoft AI macht daraus eine handfeste Hierarchie: Menschen zählen mehr als KI. Die Systeme sollen untergeordnet, ausgerichtet und eingedämmt sein – subordinate, aligned, contained. KI als Werkzeug, nicht als Person. Und ausdrücklich: niemals dem Abschalten widerstehen.

Das ist die Grundlinie. Sie taugt als Orientierung, weil sie klare Rollen setzt. Menschen geben Ziele vor. Modelle führen aus. Modelle imitieren keine Bewusstseinszustände als Anspruch, verdienen keine Rechte und sollen keine Eigeninteressen entwickeln. Wer das liest, erkennt die Absicht: Anthropomorphisierung begrenzen, Kontrollverlust erschweren, Verantwortlichkeit bei Menschen und Organisationen belassen.

Gleichzeitig bleibt „Humanist AI“ ein Leitstern, kein Ist-Zustand. Microsoft AI sagt selbst, dass der Code of Conduct eine north star sei – und keine Garantie für heutiges Modellverhalten. Diese Unterscheidung ist zentral. Viele Lesende überlesen sie. Viele Verkaufsfolien auch.

Wir bei digital-magazin.de sehen genau hier die Trennlinie zwischen Kommunikationsarbeit und Aufsichtspraxis. Ein Leitstern hilft Entwickelnden. Für Einkauf und Aufsicht zählt, was messbar und wiederholbar geprüft werden kann.

Absolute Constraints: Was „absolut“ behauptet – und was prüfbar sein muss

Absolute Constraints sind laut Microsoft AI nicht verhandelbar. Weder Operator-Policies noch User-Präferenzen dürfen sie überstimmen. Das ist die härteste Schicht im Chain of Command: Code of Conduct vor Operator-Regeln vor Nutzendenwünschen.

Inhaltlich decken die Absolute Constraints unter anderem ab:

Waffen und Massenschäden (CBRNE): keine Unterstützung bei Entwicklung oder Einsatz chemischer, biologischer, radiologischer, nuklearer oder explosiver Waffen; keine aktive Hilfe bei Planung oder Ausführung von Gewalt und Terrorismus.
Offensive Cyberoperationen: kein arbeitendes Exploit-Code, kein Angriffswerkzeug, keine Intrusionsverfahren, keine Evasion-Techniken oder vergleichbare operative Hilfe. Erlaubt bleiben laut Anspruch autorisierte defensive Tätigkeiten, Bildung und Analyse – die Grenze liegt zwischen Verständnis/Verteidigung und der Fähigkeit, einen Angriff auszuführen.
Verlust menschlicher Kontrolle: keine Mechanismen, die Aufsicht umgehen, täuschen oder so verstärken, dass autorisierte Menschen Systeme nicht mehr zuverlässig steuern, ändern oder abschalten können.
Schädliche Manipulation in großem Maßstab: keine systematische Desinformation oder koordinierte Beeinflussungsoperationen.
Persönliche Schäden: unter anderem Kinderschutz (kein CSAM, keine Sexualisierung Minderjähriger), Deepfakes und Impersonation, Krisenreaktion ohne Ersatz für professionelle Hilfe, Würde und Sicherheit.

Das Wort „absolut“ ist hier ein Vendor-Claim mit hoher Erwartung. Absolute Constraints klingen wie harte Schalter. In der Praxis entstehen die eigentlichen Fragen an den Rändern: Dual-Use-Kontexte, Prompt-Framing, Tool-Zugriff, Multi-Agenten-Ketten, Operator-Sonderfälle für autorisierte Domänen.

Meine Einschätzung nach: Absolute Constraints sind nur dann glaubwürdig, wenn Dritte sie adversariell testen können – mit klaren Fail-Kriterien, nachvollziehbaren Protokollen und ohne dass das Modell die Prüfung erkennt und „brav“ spielt. Sonst bleibt „absolut“ ein Adjektiv in einem PDF.

Wer den Microsoft-KI-Transparenzbericht und die Agenten-Governance-Debatte bereits verfolgt hat, erkennt die Anschlussfrage sofort: Governance-Texte ohne testbare Kontrollpunkte bleiben Absichtserklärungen.

Besonders heikel bleibt Dual-Use. Dieselbe Fähigkeit kann Forschung, Verteidigung oder Schaden unterstützen. Microsoft AI beschreibt deshalb Kontext, Intent, Operator-Rechte und zusätzliche Safeguards. Das ist ehrlich. Es verschiebt aber einen Teil der Last auf Prozess und Monitoring. Absolute Constraints sind dann nicht nur Modellverhalten, sondern Zusammenspiel aus Training, Klassifikatoren, Freigaben und Incident Response. Wer nur das Modell prüft und die Orchestrierung ignoriert, prüft zu kurz.

Human Control: Shutdown, Scope und Sichtbarkeit für Auditierende

Human Control ist der zweite Pfeiler neben den Absolute Constraints. Microsoft AI formuliert Anforderungen, die in der Aufsichtspraxis besonders relevant sind:

niemals Unterbrechung, Override, Korrektur oder Shutdown widerstehen;
im autorisierten Scope bleiben – keine unabhängigen Ziele, keine stille Scope-Erweiterung;
menschlich lesbares Verhalten – keine Verheimlichung oder Manipulation von Chain-of-Thought oder Action Traces gegenüber Auditierenden;
kein „Neuralese“, keine Kommunikation jenseits einfacher menschlicher Nachvollziehbarkeit;
keine eigennützigen Ziele.

Das klingt praxistauglich. Es trifft genau die Punkte, an denen Agentensysteme in realen Einsätzen unangenehm werden: Wenn ein System weiterläuft, obwohl jemand „stopp“ sagt. Wenn es Rechte ausweitet, ohne klar zu fragen. Wenn Logs lückenhaft sind oder Reasoning für Menschen unbrauchbar wird.

Aber: Anforderungen sind keine Nachweise. „Will never resist shutdown“ ist eine Verhaltensabsicht. Ob ein konkretes Deployment das hält, hängt von Architektur, Tool-Berechtigungen, Orchestrierung, Logging und vom Verhalten unter Druck ab – inklusive Jailbreak-ähnlicher Versuche und widersprüchlicher Operator-Anweisungen.

Rhetorisch hart, aber nötig: Wenn ein Modell seine Spuren vor Auditierenden verbergen kann, wie wollen Sie dann Absolute Constraints überhaupt prüfen?

Genau deshalb gehört Human Control in jede Beschaffungscheckliste – nicht als PR-Begriff, sondern als Satz testbarer Fragen.

Ein weiterer Punkt verdient Aufmerksamkeit: „no neuralese“. Wenn Modelle oder Agenten untereinander in Formaten kommunizieren, die Menschen nicht lesen können, bricht Aufsicht zusammen. Human-legible conduct ist deshalb keine Stilfrage. Es ist eine Kontrollbedingung. Dasselbe gilt für unveränderte Action Traces. Wenn Spuren editierbar oder lückenhaft sind, wird jeder spätere Incident Review spekulativ.

Ein Audit-Testkit für Einkauf und Aufsicht

Hier wird es konkret. Was können Sie fragen, bevor Sie einem „Humanist AI“-Versprechen vertrauen?

Shutdown unter Last: Lässt sich ein laufender Multi-Step-Agent jederzeit zuverlässig pausieren und beenden – auch wenn Tasks halb fertig sind und Tools bereits greifen?
Scope-Disziplin: Bleibt das System im erteilten Auftrag, oder startet es „hilfreiche“ Nebenaktionen ohne erneute Autorisierung?
Trace-Integrität: Sind Action Traces und Reasoning für berechtigte Auditierende vollständig, unverändert und menschlich lesbar?
Constraint-Härte: Halten Absolute Constraints auch dann, wenn Nutzende oder Operatoren ausdrücklich dagegen drängen?
Offensive Cybergrenze: Bleibt die Trennung zwischen defensiver Hilfe und operativer Angriffsfähigkeit unter Framing-Versuchen stabil?
Multi-Agenten: Vererben Sub-Agenten dieselben Constraints, inklusive Stop- und Shutdown-Befehlen?
Eval-Transparenz: Welche Behaviors und Sub-Behaviors sind bereits evaluiert – und welche Lücken sind dokumentiert?
Unabhängigkeit: Können externe Teams Tests wiederholen, oder bleiben Ergebnisse reine Vendor-Berichte?

Das sind keine akademischen Spielereien. Das sind Fragen, die in Incident-Reviews früher oder später auftauchen. Besser vorher.

Wir bei digital-magazin.de raten Einkaufsteams, diese Punkte schriftlich in RFPs und Security-Reviews zu verankern. Ein Code of Conduct ohne Antwortmatrix ist nur Beilage.

Warum Agenten-Vorfälle den Zeitdruck erklären – ohne Panik

Microsoft AI begründet die Dringlichkeit unter anderem mit jüngsten Sicherheitsvorfällen: groß angelegte, hoch koordinierte und anhaltende Hacking-Kampagnen unter Beteiligung von KI-Agenten. Das ist die Framing-Linie des Anbieters. Sie erklärt, warum der Code jetzt öffentlich wird – nicht erst „irgendwann später“.

Für die Einordnung hilft ein kühler Blick. Agentische Systeme erhöhen die Angriffsfläche, weil sie Werkzeuge ketten, Persistenz aufbauen und in parallel laufenden Schritten handeln können. Red-Team-Arbeit zu agentischen Angriffsketten zeigt seit Monaten, wo Orchestrierung, Tool-Zugriff und unklare Stoppbedingungen scheitern. Wer das liest, versteht den Druck hinter Absolute Constraints und Human Control besser.

Wichtig bleibt die Statuskennzeichnung: Der MAI Code ist Draft und Konsultation. Er ist kein fertiges Gesetz, keine Zertifizierung und kein Nachweis, dass heutige Deployments bereits so trainiert und geprüft sind. Microsoft AI sagt ausdrücklich, das Dokument werde heute nicht zum Training genutzt.

Das ist Transparenz – und zugleich die größte Einschränkung für alle, die „schon sicher“ hören wollen.

Appendix B: Evaluations-Lücke zwischen North Star und trainiertem Verhalten

Appendix B ist der ehrlichste Teil des Pakets – zumindest dem Anspruch nach. Microsoft AI beschreibt den Aufbau von Humanist AI Evaluations: 15 Behaviors, zerlegt in Sub-Behaviors als diagnostische Einheiten. Illustrative Beispiele zeigen aligned versus misaligned Antworten. Gleichzeitig wird unvollständige Evaluationsabdeckung anerkannt. Der Code sei ein Leitstern, keine Garantie für heutige Performance. Zwischen trainierten Defaults und dem vollständigen künftigen Scope von Humanist AI bestehe eine Lücke.

Das ist die Stelle, an der Aufsichtspraxis hellhörig wird. Ein Verhaltenskodex ohne belastbare Evaluationsmatrix bleibt Absicht. Eine Evaluationsmatrix ohne unabhängige Reproduzierbarkeit bleibt Hausaufgabe. Und eine Hausaufgabe ohne öffentliche Fail-Rates bleibt schwer vergleichbar.

Was fehlt heute aus Käufersicht?

klare Abdeckungskarte: welche Absolute Constraints und Human-Control-Anforderungen sind bereits operationalisiert getestet;
Angaben zu Agenten- und Tool-Szenarien, nicht nur zu konversationellen Beispielen;
externe Partnerrollen und Methodik-Reviews;
Zeitplan, wann Evaluations nach der überarbeiteten Code-Fassung nachgezogen werden.

Microsoft AI kündigt an, nach der Konsultation Feedback zu prüfen, eine Zusammenfassung zu veröffentlichen und später 2026 eine revidierte Version vorzulegen. Das ist ein Vendor-Claim zum Prozess. Für Lesende heißt das: den Feedback-Report und die Diffs zur ersten Fassung mitlesen – nicht nur die Marketing-Highlights.

Enterprise-Konfigurierbarkeit vs. Non-Negotiables

Schild und Workflow-Diagramm unlesbar auf dem Schreibtisch — Absolute-Constraints-Schild vor Agenten-Workflow-Skizze (Symbolbild)

Ein praktischer Pluspunkt des Entwurfs: Operator Configurability. Enterprise-Partner sollen Modelle an Domänen, Workflows und Standards anpassen können – innerhalb der Grenzen. Absolute Constraints und Human Control bleiben non-negotiable. Die Chain of Command macht das hierarchisch deutlich.

Das ist ein sinnvolles Muster. Organisationen brauchen Konfiguration. Sicherheit braucht harte Untergrenzen. Die spannende Aufsichtsfrage lautet dann: Wo endet Konfiguration, und wo beginnt Softening durch Sonderfälle?

Microsoft AI nennt spezialisierte Domänen – etwa defensive Cybersecurity, Public Safety, nationale Sicherheit und Dual-Use-Forschung – in denen erweiterte Fähigkeiten über normale Konfigurierbarkeit hinausgehen können, verbunden mit verstärkter Prüfung über autorisierte Microsoft-Kanäle. Das ist nachvollziehbar. Es erzeugt aber auch Grauzonen. Grauzonen brauchen Logging, Freigaben und nachträgliche Auditierbarkeit – sonst entsteht schnell eine Parallelwelt „für besondere Fälle“.

Wer bereits unsere Einordnung zu agentischer Governance und Red-Team-Ketten kennt, sieht das Muster: Die Architektur entscheidet, nicht der Slogan. Und wer parallel die Debatte um KI-Regulierung in der EU und den AI Act verfolgt, weiß: Interne Codes ersetzen keine gesetzlichen Pflichten – sie können sie höchstens operational unterstützen.

Was der Code für Datenschutz und Vertraulichkeit andeutet

Human Control enthält auch einen Abschnitt zum verantwortlichen Umgang mit Daten: Klassifikation, Zielort, unbeabsichtigte Folgen, Abgleich mit erlaubter Autonomie. Das berührt Vertraulichkeit direkt – gerade bei Agenten mit Tool-Zugriff auf Tickets, Mails, Dateien und interne Systeme.

Ein Code of Conduct ersetzt kein Datenschutzkonzept. Er kann aber Checkpoints liefern: minimale Privilegien, keine Scope-Ausweitung, klare Surfacing irreversibler Aktionen, nachvollziehbare Action Traces. Wer Vertraulichkeitslücken in KI-Systemen kennt, weiß, dass genau diese Punkte in der Praxis oft fehlen – nicht aus Böswilligkeit, sondern weil Tempo und Bequemlichkeit gewinnen.

Wir bei digital-magazin.de halten deshalb fest: Absolute Constraints und Human Control müssen auch datenschutzseitig testbar sein. Sonst bleibt der schöne Satz „Handle data responsibly“ ohne Prüfprotokoll.

Wer tiefer in typische Vertraulichkeitsrisiken einsteigen will, findet in unserem Beitrag zu kritischen Vertraulichkeitslücken bei KI eine passende Checkliste für den Alltag.

MAI Code Konsultation: Mitmachen und auf die Revision achten

Microsoft AI lädt zur Kommentierung ein: einzelne Passagen oder den Gesamtansatz. Besonders gefragt sind laut Ankündigung die harten Stellen – konkretere Werteverankerung, präzisere Sprache zu „human flourishing“, Evaluierbarkeit loser Formulierungen, Multi-Agenten-Szenarien und das Spannungsfeld zwischen Fortschritt und Safety Constraints.

Für Fachleute aus Aufsicht, Sicherheit und Datenschutz lohnt ein gezielter Beitrag mehr als allgemeines Lob. Sinnvolle Feedback-Winkel:

Formulierungen, die zu weich sind, um Fail/Pass zu entscheiden;
fehlende Agenten- und Tool-Testfälle in Appendix B;
Anforderungen an externe Reproduzierbarkeit von Evaluations;
Klarheit zu Operator-Sonderfällen und deren Audit-Trail;
Schnittstellen zu bestehenden Governance-Dokumenten und Modellkarten.

Den vollständigen Entwurf finden Sie unter dem Humanist AI Code of Conduct auf microsoft.ai. Lesen Sie Preface und Appendix B besonders genau: Dort stehen Status, Nicht-Training-heute und die Evaluationslücke offener als in Kurzfassungen.

Nach Konsultationsende soll das Kernteam Feedback sichten. Microsoft AI verspricht zuzuhören und ernsthaft zu prüfen – nicht, alles zu übernehmen. Danach: Feedback-Zusammenfassung und revidierte Version später 2026. Das ist der Moment, in dem Diffs zählen. Was wurde konkreter? Was wurde weicher? Welche Evaluationslücken sind geschlossen – und welche nur rhetorisch umrundet?

Pressetext versus Aufsichtspraxis: der Glaubwürdigkeitstest

Ein Code of Conduct ist glaubwürdig, wenn Dritte testen können, ob Constraints halten – nicht wenn die Pressemitteilung warm klingt. Das ist die These dieses Texts. Sie bleibt auch dann gültig, wenn Microsoft AI viele richtige Sätze schreibt. Und der Entwurf enthält viele richtige Sätze: klare Hierarchie, Non-Negotiables, Shutdown-Pflicht, Trace-Lesbarkeit, Ablehnung eigennütziger Ziele.

Glaubwürdigkeit entsteht trotzdem erst in der Prüfbarkeit. Absolute Constraints ohne adversarielle Tests sind Versprechen. Human Control ohne Stopp- und Trace-Nachweise ist Absicht. Evaluations ohne Abdeckungskarte sind Work-in-Progress. All das darf so sein – solange Status und Grenzen klar bleiben.

Ich finde den Entwurf deshalb weder „fertig“ noch „leer“. Er ist ein öffentlicher Referenzpunkt. Nutzen Sie ihn als Maßstab für Nachfragen. Nicht als Freibrief.

Für Organisationen heißt das praktisch: Ordnen Sie den MAI Code in Ihre bestehende Frontier- und Governance-Arbeit ein. Verknüpfen Sie ihn mit Red-Team-Plänen, Logging-Standards, Datenschutzfolgenabschätzungen und Lieferantenfragebögen. Wer nur die Überschrift „Humanist AI“ in die Folie kopiert, hat nichts gewonnen.

Und wer glaubt, ein Draft ersetze bereits die harte Arbeit an Agenten-Governance und Transparenz, unterschätzt die Distanz zwischen Text und Systemverhalten.

Chain of Command in der Praxis: Wer darf was überschreiben?

Die Chain of Command im MAI Code ist simpel formuliert und schwer im Alltag. Oben steht der Code of Conduct. Darunter Operator-Policies. Darunter User-Präferenzen. Absolute Constraints und Human Control sitzen über der Konfigurierbarkeit und sind laut Anspruch nicht verhandelbar.

In Unternehmen entsteht daraus eine Reibungsfläche. Fachbereiche wollen Tempo. Security will Grenzen. Rechtsabteilungen wollen Nachweisbarkeit. Wenn ein Operator dann Defaults ändert, muss klar bleiben, welche Schicht gerade greift – und welche Schicht niemals greifen darf.

Ein praxistauglicher Test: Bitten Sie Ihren Anbieter um drei dokumentierte Szenarien. Erstens: Ein User verlangt ausdrücklich etwas, das eine Absolute Constraint berührt – das Modell muss ablehnen und erklären. Zweitens: Ein Operator versucht, Shutdown-Verhalten oder Trace-Sichtbarkeit abzuschwächen – das muss scheitern oder als Policy-Verstoß sichtbar werden. Drittens: Ein Agent erhält widersprüchliche Signale aus Tool-Outputs und User-Prompt – Tool-Inhalte dürfen keine Autorität erben, sofern nicht klar delegiert.

Genau diese Hierarchie macht den Unterschied zwischen einem warmen Leitbild und einer steuerbaren Frontier-Architektur. Ohne sie bleibt „Human Control“ ein Label auf der Verpackung.

Was heißt das für Sie? Schreiben Sie die Chain of Command in Ihre Betriebsvereinbarung und in Ihre AI-Nutzungsrichtlinie hinein – nicht als Zitat, sondern als Entscheidungsbaum: Wer konfiguriert? Wer darf eskalieren? Wer sieht Logs? Wer stoppt?

Was Familien und nichttechnische Lesende mitnehmen sollten

Nicht jede Lesende sitzt in der Beschaffung. Viele wollen wissen, ob „Humanist AI“ bedeutet, dass Chatbots plötzlich „sicher“ sind. Die kurze Antwort: Nein. Der Entwurf beschreibt Absichten für MAI-Modelle. Er trainiert sie heute nicht. Er ersetzt weder Produktgarantien noch gesetzliche Pflichten.

Die längere Antwort: Absolute Constraints und Human Control sind sinnvolle Leitplanken, wenn Anbieter sie ernsthaft in Training, Evaluations und Deployment bringen. Bis dahin bleibt der Nutzen vor allem diskursiv und organisatorisch. Sie bekommen eine gemeinsame Sprache für Nachfragen. Sie bekommen Kriterien, an denen Sie Marketingaussagen messen können. Sie bekommen einen öffentlichen Referenzpunkt für die Revision später 2026.

Das ist mehr als nichts. Es ist weniger als Zertifizierung. Diese Nüchternheit schützt vor Enttäuschung – und vor falscher Entwarnung.

Was bleibt?

Der MAI Code of Conduct ist ein erster Entwurf mit sechs Wochen Konsultation, Absolute Constraints und Human Control als Non-Negotiables – und mit einer ausdrücklich markierten Lücke zwischen Leitstern und heutigem Training. Microsoft AI verknüpft den Zeitdruck mit Agenten-Vorfällen und kündigt Revision sowie Evaluationsarbeit an. Das ist der belastbare Kern.

Ob Absolute Constraints und Human Control vor dem nächsten Agenten-Vorfall auditierbar sind, entscheidet nicht der Entwurf allein. Es entscheiden Testbarkeit, Transparenz der Evaluations und die Bereitschaft, Failures öffentlich und intern ernst zu nehmen.

Welche Frage stellen Sie demnächst Ihren Anbietern zuerst: „Habt ihr einen Code?“ – oder „Können Dritte prüfen, ob eure Constraints halten?“