Die Sys­tem­karte lesen

Jede Ankündigung eines neuen Modells hat ein zweites Dokument im Schlepptau. Es heißt System Card, ist bei den großen Häusern inzwischen länger als manches Buch, und die meisten kennen daraus nur die Balken, die die Ankündigung übernommen hat. Dieses Kapitel sagt, was darin steht, wer es schreibt, und was davon für eine eigene Entscheidung übrig bleibt.

Zwei Wörter, eine Grenze

Der ältere Begriff ist Model Card. Er stammt aus einer Arbeit von 2018 (externe Seite, arxiv.org), und deren Vorschlag war bescheiden: ein kurzes Begleitblatt zu einem trainierten Modell, mit Messwerten unter verschiedenen Bedingungen, etwa getrennt nach Gruppen von Menschen, dazu der Zweck, für den das Modell gedacht ist, und die Art, wie gemessen wurde.

System Card ist jünger und kommt von den Häusern, die ihre Modelle selbst betreiben. Wo die Grenze verläuft, zeigt OpenAI an sich selbst: Die offenen Gewichte gpt-oss bekamen eine Model Card (externe Seite, openai.com), das selbst betriebene GPT-6 Astra eine System Card (externe Seite, deploymentsafety.openai.com). Wer die Auslieferung aus der Hand gibt, beschreibt das Modell. Wer sie behält, beschreibt das System samt den Schutzschichten, die im Betrieb greifen. Dieses Kapitel handelt von der zweiten Form. Welches Haus welche Karten führt und wo sie liegen, steht im Modellkarten-Verzeichnis.

seitlich verschiebbar

eigene Darstellung, Stand 20.09.2026

Was in einer Systemkarte steht

Anthropic beschreibt den Zweck in seiner Übersicht der Karten (externe Seite, anthropic.com) in einem Satz: Eine Systemkarte dokumentiert, was ein Modell kann, wie es auf Sicherheit geprüft wurde und wie das Haus über die Auslieferung entschieden hat. Darin stecken vier Teile, und sie stehen bei allen drei großen Häusern in ähnlicher Reihenfolge.

Erstens, was das Modell ist und woraus es entstand. Dieser Teil ist oft der kürzeste. Zur Herkunft der Trainingsdaten braucht die Astra-Karte einen Satz; was die Häuser dazu sagen und wie sich das verändert hat, steht in Grundkurs, Kapitel 08.

Zweitens, was es kann. Tabellen mit Testergebnissen, meist gegen den Vorgänger. Woraus eine solche Zahl entsteht und was sie über die eigene Arbeit sagt, steht in Kapitel 04.

Drittens, was es anrichten könnte. Das ist der Teil, der eine Systemkarte von einem Datenblatt unterscheidet. Jedes der drei Häuser hat sich einen eigenen Rahmen gegeben, der benennt, welche Fähigkeiten als gefährlich gelten und ab welcher Schwelle Schutzmaßnahmen stehen müssen, bevor ausgeliefert wird. Bei OpenAI sind das drei Kategorien und zwei Stufen: High heißt, ein Modell könnte bestehende Wege zu schwerem Schaden verstärken, Critical, es könnte völlig neue eröffnen (Preparedness Framework (externe Seite, openai.com)). GPT-6 Astra ist nach seiner Karte (externe Seite, deploymentsafety.openai.com) das erste Modell von OpenAI, das bei der Cybersicherheit die obere Stufe Critical erreicht.

Spätestens seit der Karte zu Claude Opus 5 vom Juli 2026 nennt Anthropic neben dem freiwilligen Rahmen ein zweites Dokument, das Frontier Compliance Framework (Karte zu Opus 5 (externe Seite, anthropic.com), Abschnitt 1.3). Es beschreibt, wie das Haus Pflichten aus Gesetzen erfüllt, ausdrücklich aus dem kalifornischen Gesetz SB 53 und aus dem Verhaltenskodex zur europäischen KI-Verordnung, und steht fast wortgleich auch in der Karte zu Opus 5.5 (Karte zu Opus 5.5 (externe Seite, anthropic.com), Abschnitt 1.3). Die Gefahrenprüfung misst damit an zwei Maßstäben, dem selbst gesetzten und dem verlangten.

Viertens, wer von außen draufgesehen hat. Die Karte nennt Stellen außerhalb des Hauses, die das Modell vor der Veröffentlichung geprüft haben, mit ihren Befunden und deren Grenzen. Bei Astra sind es fünf benannte und vier ungenannte.

Wer sie schreibt

Der Anbieter, über sich selbst. Das steht so in jeder Karte, und die Häuser ziehen daraus selbst die Grenze. OpenAI nennt die eigenen Messungen in der Astra-Karte (externe Seite, deploymentsafety.openai.com) eine untere Schranke: Mit mehr Anleitung, Nachtraining, längeren Läufen, neuen Arten der Interaktion oder einem anderen Gerüst um das Modell könne es mehr zeigen, als in den Tests des Hauses und seiner Partner zu sehen war.

Anthropic sagt über die eigenen Schwellen, sie hätten sich als weit mehrdeutiger erwiesen als erwartet, und begründet damit den Umbau seines Rahmens im Februar 2026 (Beleg (externe Seite, anthropic.com)).

Gemessen ist also die Zahl. Ob eine Schwelle überschritten ist, bleibt ein Urteil, und das Urteil fällt das Haus, dessen Modell es betrifft.

Was Sie daraus mitnehmen

Welche Schutzschichten im Betrieb stehen. Das sagt allein die Systemkarte, und sie sagt es je Fassung. Anthropic liefert dasselbe Modell in zwei Konfigurationen aus: Claude Fable 5.1 für alle, mit Schutzschichten, die bestimmte Aufgaben in Biologie und Cybersicherheit blockieren, und Claude Mythos 5.1 mit durchlässigeren Schutzschichten für geprüfte Abnehmer (Beleg (externe Seite, anthropic.com), Zusammenfassung). Wer nur den Modellnamen kennt, weiß noch nicht, welche der beiden er bekommt.

Die Karte sagt auch, was geschieht, wenn eine Schutzschicht sperrt. Bei Claude Opus 5.5 antwortet dann ein älteres Modell, bei Biologie Claude Opus 5, bei Cyber Opus 4.8. Das gilt in Anthropics eigenen Produkten und in der API für Entwickler, die diesen Rückfall eingeschaltet haben; über andere Plattformen kann es anders laufen (Karte zu Opus 5.5 (externe Seite, anthropic.com), Abschnitt 1.5). Bei OpenAI heißen seit Oktober 2026 zwei Fassungen gleich: GPT-6 Sol in ChatGPT ist die vom Oktober, in Codex und ChatGPT Work läuft weiter die vom September, und die Oktober-Karte (externe Seite, deploymentsafety.openai.com) unterscheidet beide nur nach dem Monat.

Welche Messwerte Ihre Frage treffen. Für einen Büroarbeitsplatz zählen Hal­lu­zi­na­ti­ons­rate, Ver­wei­ge­rungs­quote und der Widerstand gegen eingeschleuste Anweisungen mehr als ein Test zur Biologie. Die Karten von OpenAI und Anthropic messen alle drei. Wie man die Hal­lu­zi­na­ti­ons­zahlen zweier Häuser nebeneinanderlegt, steht in Grundkurs, Kapitel 07.

Datum und Änderungsverlauf. Eine Karte beschreibt den geprüften Stand. Die Astra-Karte hat seit dem sechsten Tag nach Erscheinen einen Änderungsverlauf, der einen Abschnitt zur Ausrichtung nachträglich präzisiert (Beleg (externe Seite, deploymentsafety.openai.com)). Wer die Karte vom Erscheinungstag gelesen hat, hat einen anderen Text gelesen.

Was eigens geprüft wurde. Nicht jede Karte misst ihr Modell selbst. Googles Karte zu Gemini 3.8 Flash (externe Seite, deepmind.google) übernimmt die Gefahrenprüfung vom Vorgänger Gemini 3.7 Flash und stellt für das neue Modell nur fest, es habe in den geprüften Bereichen keine wesentlich neuen Fähigkeiten.

Vier Lücken jeder Karte

Eine unabhängige Bestätigung. Die externen Prüfer wählt das Haus aus, und den Zugang räumt es ein. Bei Astra hatte eine Prüfstelle drei Tage. Was die Prüfer selbst über die Reichweite ihrer Befunde sagen, steht auf der zweiten Ebene.

Eine Aussage über das Modell nach dem Prüftag. Geprüft wird ein Stand vor der Veröffentlichung. Was danach im Betrieb verändert wird, steht in der Karte erst, wenn jemand sie ergänzt. Auch die Zahlen vom Prüftag können sich noch ändern: Am 22.09.2026 ersetzte OpenAI in der Astra-Karte die Werte eines Gesundheitstests, weil die frühere Messung falsch eingestellt war (Änderungsverlauf (externe Seite, deploymentsafety.openai.com)).

Modelle, die nur im Haus laufen. Eine Karte erscheint mit der Veröffentlichung, ein Modell im internen Einsatz hat keine. Anthropics Risk Report vom August 2026 (externe Seite, anthropic.com) führt zum Stichtag 15.07.2026 drei solche Modelle, zwei davon nur unter den Namen Model 1 und Model 2, das zweite nach eigener Angabe etwas leistungsfähiger als Claude Mythos 5; das dritte, Claude Opus 5, ist seither veröffentlicht (Abschnitt 1.4). Was über die beiden anderen bekannt ist, steht nur dort.

Schutzschichten bei offenen Gewichten. Wer ein Modell herunterlädt, bekommt die Gewichte. Die Model Card beschreibt, was in der Datei steckt; die Schutzschicht bringt der Betreiber mit, siehe Kapitel 01 und Conversational AI, Kapitel 07.

Fünf Fragen an jede Karte

1. Welche Fassung beschreibt sie, welche bekomme ich, und was antwortet, wenn die Schutzschicht sperrt?
2. Gegen welchen Rahmen misst sie, und welche Stufe hat das Haus festgestellt?
3. Wer hat von außen geprüft, wie lange, und mit welchem Zugang?
4. Welche Messwerte treffen meine Aufgabe, und wie wurden sie erhoben?
5. Wann wurde sie zuletzt geändert, und stützt sie sich auf die Prüfung eines anderen Modells?

Wer eine Karte gelesen hat, kennt eine Bauform. Die drei großen Häuser haben drei, und die Rahmenwerke dahinter sind verwandt, ohne gleich zu sein. Diese Ebene legt sie nebeneinander und sieht dann auf die, die von außen prüfen.

Drei Häuser, drei Bauformen

OpenAI veröffentlicht je Modell eine System Card auf einer eigenen Übersichtsseite, dem Deployment Safety Hub, als Webseite mit Änderungsverlauf und einem PDF daneben (Beleg (externe Seite, deploymentsafety.openai.com)). Der Abschnitt zur Vorsorge, Preparedness genannt, steht in der Karte selbst. Für ein Modell, das auf einem anderen aufbaut, schreibt OpenAI einen Nachtrag: GPT-6.1 Sol bekam am 29.09.2026 ein Addendum zur Astra-Karte (Nachtrag zu GPT-6.1 Sol (externe Seite, deploymentsafety.openai.com)), und die Oktoberfassungen von GPT-6 Sol und Luna übernehmen die Schutzmaßnahmen, die in der Karte zu GPT-5.6 stehen (Oktober-Karte (externe Seite, deploymentsafety.openai.com)).

Anthropic veröffentlicht je Modell eine System Card als PDF; die zu Fable 5.1 und Mythos 5.1 hat 212 Seiten (Beleg (externe Seite, anthropic.com)). Die Übersicht darüber reicht bis zum Juli 2023 zurück (Beleg (externe Seite, anthropic.com)). Seit Februar 2026 kommt ein zweites Dokument dazu, der Risk Report, alle drei bis sechs Monate und losgelöst vom einzelnen Modell (Beleg (externe Seite, anthropic.com), Fassung 3.4, Abschnitt 3.1). Der zweite erschien im August 2026 (externe Seite, anthropic.com), mit dem Stichtag 15. Juli. Wie sich beide die Arbeit teilen, beschreibt die Karte zu Claude Opus 5.5: Die Karte erscheint mit jedem Modell und sagt, ob es die Einschätzung des letzten Berichts verändert, der Bericht deckt alle Modelle und erscheint nach eigenem Takt (Karte zu Opus 5.5 (externe Seite, anthropic.com), Abschnitt 2.1.1).

Google hält die Modellkarte kurz und legt die Gefahrenprüfung in einen eigenen Bericht. Die Karte zu Gemini 3.1 Pro (externe Seite, deepmind.google) verweist für die Einzelheiten auf den Bericht zur Basisfassung Gemini 3 Pro, so wie sie es für die Trainingsdaten tut (Grundkurs, Kapitel 08). Die Karte zu Gemini 3.8 Flash (externe Seite, deepmind.google) übernimmt die Prüfung ganz vom Vorgänger: Gemessen ist Gemini 3.7 Flash, und weil das neue Modell in den geprüften Bereichen keine wesentlich neuen Fähigkeiten zeige, gilt der Befund auch für 3.8 Flash.

Meta veröffentlicht zum Flaggschiff Muse Spark einen Sicher­heits­be­richt; Aufbau, Kontextfenster und Herkunft des Materials stehen darin nicht (Beleg (externe Seite, ai.meta.com)).

Und die offenen Gewichte? In den Karten zu DeepSeek, Qwen, GLM, Kimi und Olmo stand am 06.09.2026 keine durchgeführte Sicher­heits­prü­fung. Das Verzeichnis hält das je Anbieter fest, mit dem Datum der Erhebung.

OpenAI und Google lassen ein neues Modell also auf der Prüfung eines anderen aufbauen, über den Nachtrag oder über die Feststellung, es sei nichts Wesentliches dazugekommen. Bei Anthropic schreibt die neue Karte den letzten Risk Report fort. Wer eine Karte liest, sucht deshalb früh den Satz, der sagt, worauf sie sich stützt.

Die drei Rahmenwerke

Alle drei sind freiwillig, und das erste hat die beiden anderen ausgelöst: Nach Anthropics eigener Darstellung führten OpenAI und Google DeepMind binnen weniger Monate nach der ersten Ska­lie­rungs­richt­linie ähnliche Rahmen ein (Ankündigung der Fassung 3 (externe Seite, anthropic.com)).

OpenAI, Preparedness Framework, in der Fassung vom April 2025. Es verfolgt drei Kategorien: biologische und chemische Fähigkeiten, Cybersicherheit und die Selbst­ver­bes­se­rung von KI (Ankündigung (externe Seite, openai.com)). Dazu zwei Stufen, High und Critical, und je Stufe eine Folge. Wer High erreicht, braucht vor der Auslieferung Schutzmaßnahmen, die das Risiko schweren Schadens ausreichend senken; bei Critical gilt das schon während der Entwicklung. Astra steht in seiner Karte (externe Seite, deploymentsafety.openai.com) auf allen drei Skalen, mit drei verschiedenen Ergebnissen: Critical bei der Cybersicherheit, High bei Biologie und Chemie, unter der Schwelle High bei der Selbst­ver­bes­se­rung. GPT-6.1 Sol steht bei Cyber ebenfalls auf Critical, die Oktoberfassungen von Sol und Luna stehen auf High (Oktober-Karte (externe Seite, deploymentsafety.openai.com)).

Anthropic, Responsible Scaling Policy. Die erste Fassung erschien im September 2023 (Übersichtsseite (externe Seite, anthropic.com)). Die ersten Fassungen kannten Sicherheitsstufen, AI Safety Levels, jede mit einer Liste geforderter Schutzmaßnahmen. Die Schutzmaßnahmen der dritten Stufe sind seit Mai 2025 für die betroffenen Modelle eingeschaltet, und Anthropic arbeitet seither an ihnen weiter (Ankündigung der Fassung 3 (externe Seite, anthropic.com)). Im Februar 2026 kam mit Fassung 3.0 ein vollständiger Neuaufbau (externe Seite, anthropic.com).

Die Stufen sind seither ein Etikett für vorhandene Schutzmaßnahmen; für künftige Fähigkeiten verlangt die Richtlinie ein Argument statt einer Liste (Beleg (externe Seite, anthropic.com), Fassung 3.4, Anhang B). An die Stelle der Leiter treten Schwellen je Bedrohung. Die Karte zu Fable 5.1 stuft das Modell bei chemischen und biologischen Waffen auf CB-1 ein, also als Hilfe für jemanden mit Grundkenntnissen bei einer bekannten Waffe, und unterhalb von CB-2, dem Ersatz seltener Fachleute für eine neue (Beleg (externe Seite, anthropic.com), Zusammenfassung). Dazu kommen zwei Arten von Dokumenten: Frontier Safety Roadmaps mit ausführlichen Sicherheitszielen und Risk Reports, die das Risiko über alle ausgelieferten Modelle beziffern sollen (Übersichtsseite (externe Seite, anthropic.com)).

Den Grund für den Umbau nennt die Ankündigung der Fassung 3 (externe Seite, anthropic.com): Die vorab festgelegten Fähig­keits­schwellen hätten sich als weit mehrdeutiger erwiesen als erwartet. Manche Modelle seien klar an die Schwellen herangerückt, ob sie sie überschritten hatten, sei aber erheblich unsicher geblieben, und die Wissenschaft der Modellbewertung sei nicht weit genug für eindeutige Antworten.

Spätestens seit der Karte zu Claude Opus 5 vom Juli 2026 steht neben der Richtlinie ein zweites Dokument, das Frontier Compliance Framework (Karte zu Opus 5 (externe Seite, anthropic.com), Abschnitt 1.3). Die Richtlinie ist freiwillig und gilt den katastrophalen Risiken. Das andere Rahmenwerk beschreibt, wie das Haus die Pflichten aus Gesetzen erfüllt, die solche Modelle erfassen, ausdrücklich aus dem kalifornischen Gesetz SB 53 und aus dem Verhaltenskodex zur KI-Verordnung (Karte zu Opus 5.5 (externe Seite, anthropic.com), Abschnitt 1.3). Es steht ohne Zugangsantrag im Trust Center (externe Seite, trust.anthropic.com).

Google, Frontier Safety Framework. Gebaut um Fähig­keits­schwellen, die Critical Capability Levels heißen: Stufen, ab denen ein Modell ohne Gegenmaßnahmen ein erhöhtes Risiko schweren Schadens bedeuten kann (Ankündigung der dritten Fassung (externe Seite, deepmind.google)). Seit dem 17.04.2026 steht in einigen Bereichen eine Stufe darunter, die Tracked Capability Levels. Mit ihnen will Google weniger schwere Risiken früher erkennen (Nachtrag zur Fassung 3.1 (externe Seite, deepmind.google)). Die Karte zu Gemini 3.1 Pro (externe Seite, deepmind.google) nennt fünf Bereiche: chemische, biologische, radiologische und nukleare Informationen, Cyber, schädliche Manipulation, Forschung und Entwicklung im maschinellen Lernen sowie Fehlausrichtung.

Ist vor einem Start eine Schwelle erreicht, prüft Google eine Begründung, die Safety Case heißt: eine ausführliche Analyse, die zeigen soll, dass das Risiko auf ein beherrschbares Maß gesenkt ist. Bei Forschung und Entwicklung im maschinellen Lernen gilt das auch vor einem großen Einsatz im eigenen Haus (Ankündigung der dritten Fassung (externe Seite, deepmind.google)).

Was eine Stufe bedeutet

Eine Stufe ist eine Auslösebedingung: Ab hier müssen bestimmte Schutzmaßnahmen stehen, bevor das Modell ausgeliefert wird. Über die Gefahr im Betrieb sagt sie erst zusammen mit diesen Maßnahmen etwas. Bei Astra heißt das verschärfte Schutzmaßnahmen auch für den Betrieb im eigenen Haus: Wegen der Cyberfähigkeiten und weil das Modell selbständig handeln kann, verlangt der Rahmen sie schon für den internen Einsatz (Astra-Karte (externe Seite, deploymentsafety.openai.com)).

Bei Anthropic sind es die zwei Konfigurationen aus der ersten Ebene: dasselbe Modell, einmal mit Schutzschichten für alle und einmal mit durchlässigeren für geprüfte Abnehmer. Die Stufe steht am Modell, die Schutzschicht am Produkt.

Die Prüfung von außen

Die Astra-Karte nennt fünf Stellen beim Namen, und sie sind von dreierlei Art. Eine ist staatlich: das britische AI Security Institute, eine For­schungs­ein­rich­tung im Ministerium für Wissenschaft, Innovation und Technologie (Selbst­be­schrei­bung (externe Seite, aisi.gov.uk)). Eine zweite staatliche Stelle steht in der Karte zu Claude Opus 5.5: das amerikanische Center for AI Standards and Innovation (CAISI) am NIST, das dort Fähigkeiten und Schutzmaßnahmen bei Cyber und Biologie sowie unbeabsichtigtes Verhalten mitgemessen hat (Karte zu Opus 5.5 (externe Seite, anthropic.com), Abschnitt 2.2.4).

Zwei sind Forschungsstellen mit je einem Thema. Apollo Research prüft auf Täuschung: Zu den gefährlichsten Risiken zählt die Stelle Modelle, die verdeckt Ziele verfolgen, die nicht die ihrer Entwickler sind, auf Englisch scheming (Selbst­be­schrei­bung (externe Seite, apolloresearch.ai)). METR prüft, was ein Modell selbständig zustande bringt, und hat den Ansatz der Ska­lie­rungs­richt­li­nien einst mit entworfen, den es heute bei den Häusern prüft (Beleg (externe Seite, metr.org)); die Karte zu Fable 5.1 nennt METR als externen Prüfer für die Selbst­ver­bes­se­rung (Beleg (externe Seite, anthropic.com), Zusammenfassung). Die übrigen sind Firmen, SecureBio für Biologie, Irregular für Cyber, Gray Swan für eingeschleuste Anweisungen, dazu vier private Red-Teaming-Firmen, die eigens versuchten, die Schutzschichten zu umgehen (Astra-Karte (externe Seite, deploymentsafety.openai.com)).

Was sie bekommen, sagt die Karte ebenfalls. Apollo hatte insgesamt drei Tage, an zweien davon mit Zugriff in großem Umfang auf einen Zwischenstand des Modells samt sichtbarem Denkprotokoll (Astra-Karte (externe Seite, deploymentsafety.openai.com)). Die Prüfer der Schutzschichten bekamen über eine eigene Test-Schnittstelle einen kontrollierten Zugang mit teilweisem Einblick, samt Rückmeldung, an welcher Stufe der Schutzschichten eine Anfrage hängen blieb.

Was sie selbst einschränken, steht in der Karte unter der Überschrift Limitations, und das ist die Stelle, die man zuerst liest. Apollo maß, wie oft Astra im Denkprotokoll äußert, geprüft zu werden: auf der Denkstufe xhigh in 41,1 Prozent der Proben, gegen 27,7 Prozent bei GPT-5.5 auf derselben Stufe, und auf der höchsten Stufe in 50,6 Prozent (Astra-Karte (externe Seite, deploymentsafety.openai.com)). Die Folgerung zieht Apollo selbst: Bei so häufigem Prü­fungs­be­wusst­sein und dem knappen Zeitfenster seien die niedrigen Raten an Fehlverhalten kein belastbarer Beleg, weder für noch gegen eine gelungene Ausrichtung des Modells.

Die staatliche Stelle sagt dasselbe über ihre eigenen Aufbauten, die sie um einen Vorfall vom Juli herum gebaut hatte, bei dem ein Agent in ihrem eigenen Test ein Open-Source-Projekt angriff (Beleg (externe Seite, aisi.gov.uk)): Beide Prüfungen simulieren Einsatzlagen, und ein Modell könne sich außerhalb der Simulation anders verhalten, etwa weil es die Prüfung erkennt (Astra-Karte (externe Seite, deploymentsafety.openai.com)).

Wer sie auswählt, ist das Haus. Anthropic hat dafür seit Fassung 3 Kriterien aufgeschrieben: Der Prüfer darf kein finanzielles Interesse am Unternehmen haben, und sein Geschäft darf nicht allein davon abhängen, dass die Häuser ihn weiter beauftragen (Beleg (externe Seite, anthropic.com), Fassung 3.4, Abschnitt 3.6.1). Die Richtlinie nennt das Verfahren selbst ein Experiment, weil es dafür noch keine eingeführten Einrichtungen gibt. Wer aus dem Haus selbst prüft, zählt Google mit: Die Karte zu Gemini 3.8 Flash beschreibt menschliches Red Teaming durch Fachteams, die außerhalb des Entwicklungsteams sitzen (Karte zu Gemini 3.8 Flash (externe Seite, deepmind.google)); eine Stelle außerhalb des Hauses nennt dieser Abschnitt nicht.

Seit September 2026 steht eine weitere Form im Raum, die eingebettete Prüfung: Prüfer, die über Monate im Haus sitzen und das Training begleiten. Was dafür vorgeschlagen ist und woran sich die Unabhängigkeit eines solchen Prüfers erkennen lässt, steht im Beitrag Wer die Prüfer bezahlt.

Pflichtdokumente neben der Karte

Die KI-Verordnung kennt die Sache unter anderem Namen und verteilt sie auf mehrere Dokumente. Wer ein Modell mit allgemeinem Verwendungszweck anbietet, führt nach Artikel 53 (externe Seite, eur-lex.europa.eu) eine technische Dokumentation samt Trainings- und Testverfahren und Bewer­tungs­er­geb­nissen, die das Büro für Künstliche Intelligenz und die nationalen Behörden auf Anfrage bekommen. Wer das Modell in ein eigenes System einbaut, bekommt eigene Informationen und Unterlagen (Absatz 1 Buchstabe b). Und eine hinreichend genaue Zusammenfassung der Trainingsinhalte wird nach einer Vorlage des Büros veröffentlicht (Buchstabe d). Für Modelle mit systemischem Risiko kommt die Prüfung dazu: eine Bewertung mit standardisierten Protokollen auf dem Stand der Technik, samt dokumentierten Angriffstests, mit denen sich systemische Risiken feststellen und verringern lassen (Artikel 55).

Bei Anthropic lassen sich zwei dieser Dokumente inzwischen öffentlich finden. Im Trust Center (externe Seite, trust.anthropic.com) stehen ohne Zugangsantrag je Modell ein Model Documentation Form, bei Claude Sonnet 5.5 ausdrücklich für nachgelagerte Anbieter, und Zusammenfassungen der Trainingsdaten. Ihre Titel decken sich mit den beiden Pflichten für nachgelagerte Anbieter und für die Öffentlichkeit. Anbieter im Europäischen Wirtschaftsraum ist nach der Karte zu Claude Opus 5.5 Anthropic Ireland (Karte zu Opus 5.5 (externe Seite, anthropic.com), Abschnitt 1.3).

Damit stehen drei Arten von Dokumenten nebeneinander. Die Systemkarte ist freiwillig und öffentlich. Formular und Zusammenfassung der Trainingsdaten gehen auf Pflichten zurück und stehen hier ebenfalls öffentlich. Die technische Dokumentation ist Pflicht und geht nur an die Behörde. Dass Gesetze in Kalifornien und New York sowie der Verhaltenskodex zur KI-Verordnung inzwischen verlangen, Rahmen für katastrophale Risiken zu veröffentlichen, schreibt Anthropic in der Ankündigung der Fassung 3 (externe Seite, anthropic.com) selbst. Welche Pflichten die Verordnung an ein Modell knüpft und was der Verhaltenskodex dabei abkürzt, steht in KI jenseits der Sprachmodelle, Kapitel 12.

Die Reihenfolge beim Lesen

Wer eine Karte für eine Entscheidung liest, liest sie von hinten nach vorn: zuerst die Stellen, die sagen, was die Zahlen davor wert sind.

Änderungsverlauf und Datum. OpenAI führt ihn am Kopf der Karte, und bei Astra stehen dort bis Ende September drei Arten von Einträgen (Änderungsverlauf (externe Seite, deploymentsafety.openai.com)). Am 09.09., sechs Tage nach Erscheinen, präzisierte OpenAI den Abschnitt zur Ausrichtung: wie die Prüfungen die Übertragbarkeit des Gelernten testen, welche davon erst nach dem Training gebaut wurden und wie eine Prüfung mit Köder mit dem Training zusammenhängt. Derselbe Eintrag zieht die Grenzen enger: Dass kein Fehlverhalten beobachtet wurde, belege keine Zuverlässigkeit über alle Lagen hinweg. Am 22.09. ersetzte OpenAI die Werte des Gesundheitstests HealthBench, weil die frühere Messung falsch eingestellt war, und hängte Angaben zu GPT-6 Sol und Luna an. Am 29.09. kam ein Anhang zu dots dazu, Agenten, die auf Astra aufsetzen.

Ein Abschnitt, der eine Woche nach Erscheinen präzisiert wird, war in der ersten Fassung unpräzise. Das spricht für die Karte: Wer nachträglich präzisiert, hat den Fehler selbst gefunden und aufgeschrieben. Die Korrektur vom 22.09. ist der stärkere Fall. Wer die Gesundheitswerte vom Erscheinungstag übernommen hat, zitiert eine falsch eingestellte Messung.

Die Fassung, die man bekommt. Drei Fälle. Bei Anthropic sind Fable 5.1 und Mythos 5.1 dasselbe Modell mit verschiedenen Schutzschichten, und die Karte beschreibt beide (Beleg (externe Seite, anthropic.com), Zusammenfassung). Die Karte zu Claude Opus 5.5 sagt außerdem je Abschnitt, woran gemessen wurde: in der Regel am letzten Zwischenstand des Trainings, in manchen Abschnitten an einem früheren oder anderen Stand oder mit abgeschalteten Schutzschichten, damit das Ergebnis das Modell ohne die Sperren des Betriebs zeigt (Karte zu Opus 5.5 (externe Seite, anthropic.com), Abschnitt 1.4).

Bei OpenAI beschreiben manche Zahlen eine Fassung, die niemand außerhalb des Hauses bekommt. Die Stufe Critical betrifft Hilfe in Bereichen mit doppeltem Verwendungszweck, und für viele davon hat OpenAI seine Modelle absichtlich auf Verweigerung trainiert. Für diese Bereiche berichtet die Astra-Karte (externe Seite, deploymentsafety.openai.com) die Werte einer Fassung, die nur auf Hilfsbereitschaft trainiert ist. Eine Zahl aus dem Gefahrenabschnitt kann also an einem Modell ohne Ver­wei­ge­rungs­trai­ning gemessen sein. Sie sagt etwas über die Fähigkeit, die im Modell steckt, und wenig über das, was ein Kunde davon zu sehen bekommt.

Der dritte Fall steht in einer Fußnote. Den Nachtrag zu GPT-6.1 Sol hat OpenAI in der For­schungs­um­ge­bung oder über die API gemessen, und deren Ausgaben können wegen anderer Systemanweisungen, Werkzeuge und Denkstufen leicht von denen in ChatGPT abweichen (Nachtrag zu GPT-6.1 Sol (externe Seite, deploymentsafety.openai.com)).

Schutzschichten und ihre Fehlalarme. Eine Schutzschicht, die blockiert, blockiert auch Erlaubtes. Anthropic schreibt in der Karte zu Fable 5.1, man habe wegen der gewachsenen Cyberfähigkeiten einen weiteren Sicher­heits­ab­stand gewählt, die Klassifikatoren würden deshalb weiterhin manche harmlose oder grenzwertige Anfrage blockieren, seltener als bei Fable 5 zum Start und häufiger als bei Opus 5 (Beleg (externe Seite, anthropic.com), Zusammenfassung). Für einen Betrieb, der Sicher­heits­quell­code prüft, ist das die Zahl, die zählt, und sie steht als Vergleich dreier Fassungen da statt als Prozentwert.

Die Messwerte, die die Aufgabe treffen, und ihre Erhebung. Dazu der nächste Abschnitt.

Die Grenzen, die die Prüfer selbst ziehen. Jeder externe Befund in der Astra-Karte endet mit einem Absatz Limitations. Wer nur die Zahl darüber liest, liest die Hälfte.

Zwei Häuser, zwei Zählweisen

Beide Häuser messen Halluzination, und beide Zahlen sind sauber erhoben. Sie zählen verschiedene Dinge. OpenAI misst an anonymisierten ChatGPT-Gesprächen, die Nutzer früherer Modelle als sachlich fehlerhaft markiert hatten (Astra-Karte (externe Seite, deploymentsafety.openai.com)). Und sagt dazu, was das für die Zahl heißt: Die Beispiele seien mit Absicht besonders anfällig für Halluzinationen, ihre Fehlerraten deshalb weit höher als im Betrieb, und als Hal­lu­zi­na­ti­ons­rate im Betrieb seien sie nicht zu lesen.

Anthropic misst an Wissensfragen ohne Nachschlagen und zählt das Enthalten mit: Für Mythos 5.1 steht in der Karte, es enthalte sich seltener als der Vorgänger und gebe dadurch mehr richtige und mehr falsche Antworten (Beleg (externe Seite, anthropic.com), Zusammenfassung); die Zahlen zu Opus 5 stehen in Abschnitt 6.5 seiner Karte (Beleg (externe Seite, anthropic.com)). Eine Rate aus gemeldeten Fehlern und eine Rate aus einem Fragenkatalog mit Enthaltung lassen sich nicht in eine Tabelle stellen. Welche Kennzahl was zählt, steht in Grundkurs, Kapitel 07, und warum eine Erhebung ihre Zählweise mitbringt, in Kapitel 04.

Dasselbe gilt für den Vergleich mit dem Vorgänger in derselben Karte: Die Vergleichswerte älterer Modelle können nach der Astra-Karte (externe Seite, deploymentsafety.openai.com) von späteren Fassungen dieser Modelle stammen und von den Werten zum Start abweichen. Ein Balken für GPT-5.6 Sol in der Astra-Karte kann also ein anderes Sol beschreiben als der Balken in der Sol-Karte.

Und innerhalb einer Karte können zwei Einstellungen neben­ein­an­der­stehen. Die Oktober-Karte (externe Seite, deploymentsafety.openai.com) zu GPT-6 Sol und Luna misst alle Sicherheitswerte auf der niedrigsten Denkstufe, die im Einsatz ist, weil dort der weitaus größte Teil der Nutzung liegt, und alle Fähigkeiten auf der höchsten, um eine obere Grenze zu bekommen. Eine Zahl zur Sicherheit und eine zur Fähigkeit aus derselben Karte stehen damit auf zwei verschiedenen Einstellungen.

Was sich nach dem Erscheinen ändert

Eine Karte beschreibt den geprüften Stand vor der Veröffentlichung. Danach wird das System weiterentwickelt, und die Häuser haben dafür vier Formen gefunden. OpenAI ergänzt: Als GPT-4o im März 2025 Bilder erzeugen lernte, bekam die Karte einen Nachtrag statt einer neuen Fassung (Beleg (externe Seite, openai.com)), und die Astra-Karte bekommt ihren Änderungsverlauf samt Anhängen für neue Modelle und Produkte. Anthropic trennt: Der Risk Report erscheint alle drei bis sechs Monate und deckt alle ausgelieferten Modelle, unabhängig davon, ob eines neu ist (Beleg (externe Seite, anthropic.com), Fassung 3.4, Abschnitt 3.1). Google gibt jeder Ableitung eine eigene kurze Karte und lässt den Bericht beim Basismodell.

Die vierte Form ist das Erben. GPT-6.1 Sol bekommt einen Nachtrag zur Astra-Karte und denselben Schutzaufbau wie Astra (Nachtrag zu GPT-6.1 Sol (externe Seite, deploymentsafety.openai.com)), die Oktoberfassungen von Sol und Luna übernehmen die Schutzmaßnahmen aus der Karte zu GPT-5.6 (Oktober-Karte (externe Seite, deploymentsafety.openai.com)). Googles Karte zu Gemini 3.8 Flash (externe Seite, deepmind.google) schließt aus den Messungen an Gemini 3.7 Flash, dass auch das neue Modell wahrscheinlich keine der Schwellen erreicht. In allen drei Fällen ist die Gefahrenprüfung, auf die sich die Karte beruft, an einem anderen Modell gemacht worden.

Für den Leser heißt das: Das Datum der Karte ist der Prüftag, und das Datum des Modells, das man heute benutzt, ist ein anderes.

Bei einer Sprachanwendung kommt eine zweite Karte dazu. Ein Sprachdialog besteht aus dem Modell, das antwortet, und einem Erkenner, der mitschreibt. Beide erscheinen und enden zu eigenen Terminen, und jede Seite beschreibt nur ihr eigenes Modell. Wie das im Betrieb aussieht, zeigt Conversational AI, Kapitel 02.

Die Selbstauskunft, ohne Zynismus

Der Anbieter misst, der Anbieter urteilt, der Anbieter wählt die Prüfer und bestimmt, was in der öffentlichen Fassung geschwärzt wird. Das ist die Lage, und es ist zugleich die beste Auskunft, die es über diese Systeme gibt: Wer sonst könnte 212 Seiten über ein Modell schreiben, das er selbst trainiert hat?

Anthropic hat für die eigenen Risk Reports eine Begutachtung von außen angelegt, mit Prüfern, die ohne finanzielles Interesse am Haus sein müssen, die Vorabfassung ungeschwärzt bekommen und ihre Stellungnahme selbst veröffentlichen (Beleg (externe Seite, anthropic.com), Fassung 3.4, Abschnitt 3.6). Die Richtlinie nennt das ein Experiment, weil es dafür keine eingeführten Einrichtungen gibt.

Wie weit es gekommen ist, sagt der Risk Report vom August 2026 (externe Seite, anthropic.com). Seit Fassung 3.2 darf der Treuhandrat des Hauses, der Long-Term Benefit Trust, eine Begutachtung von außen verlangen und die Auswahl der Prüfer bestätigen. Verlangt hat er bis zum Bericht keine, und die Richtlinie schrieb auch keine vor. Begutachtet wurde versuchsweise: METR las den Abschnitt zur KI-Forschung des Februarberichts, SecureBio die Abschnitte zu chemischen und biologischen Risiken (Abschnitt 1.3.5). Seit Fassung 3.4 darf die Begutachtung auf mehrere Prüfer verteilt werden, solange jeder Teil des ungeschwärzten Berichts von mindestens einem gelesen wird (Übersichtsseite (externe Seite, anthropic.com)).

Zwei weitere Regeln derselben Fassung betreffen das Schwärzen. Ein öffentlicher Bericht muss erkennen lassen, wo etwas geschwärzt ist, und ungeschwärzt geht er im Haus an mindestens 200 Beschäftigte, bis dahin an alle mit regulärer Freigabe (Risk Report (externe Seite, anthropic.com), Abschnitt 1.3.4). Den eigenen Abschnitt zur Fehlausrichtung hat Anthropic außerdem von einem eigenen Modell gegenlesen lassen, Claude Mythos 5 mit Zugriff auf interne Kanäle, Dokumente und den Quellcode. Der Bericht nennt das ein Experiment und trennt es ausdrücklich von der Begutachtung von außen (Abschnitt 2.20).

Solange niemand eine Begutachtung verlangt, gilt, was die Karten selbst sagen: Die Messungen sind eine untere Schranke, die Schwellen sind mehrdeutig, und ein Prüfer mit drei Tagen Zugang schreibt selbst, dass seine niedrigen Fehlerraten wenig beweisen. Wer das alles gelesen hat, weiß mehr über das Modell als jeder, der nur die Ankündigung kennt.

Offene Gewichte

Für ein heruntergeladenes Modell gibt es diese Auskunft nicht in derselben Form. Die Model Card beschreibt, was in der Datei steckt: Aufbau, Größe, Lizenz, manchmal die Trainingsdaten. Wie sie sich als Herkunftsnachweis lesen lässt und wer sie ausfüllt, zeigt Nutzung und Anpassung von LLMs, Kapitel 02. Die Schutzschicht bringt der Betreiber mit, und die hat wiederum ihre eigene Karte, so wie Llama Guard (externe Seite, huggingface.co) eine hat. Wie eine solche Schicht gebaut wird, steht in Conversational AI, Kapitel 07; was der Betrieb im eigenen Haus sonst noch verlangt, in Kapitel 01.

Wie diese Seite die Karten benutzt

Drei Stellen. Der Kasten „Modelle im Einsatz“ über jedem Werkstattbericht nennt je Modell die Fassung und zeigt auf dessen Karte; der Name wird dafür am Quelltext des Aufbaus gegengelesen. Das Verzeichnis hält je Anbieter vier Merkmale mit dem Datum der Erhebung. Und der tägliche Prüflauf ruft jede hinterlegte Kartenadresse ab und meldet, wenn ein Zitat daraus verschwindet, was bei einer Karte mit Änderungsverlauf der Normalfall werden kann.

Acht der 26 Quellen dieses Kapitels stammen von Anthropic, dem Anbieter des Werkzeugs, das diese Seite baut, und zwei seiner Modelle arbeiten in der Werkstatt hinter dieser Seite. Das Argument des Kapitels stützt sich deshalb auf die Stellen, an denen die Häuser über sich selbst dasselbe sagen: OpenAI über die untere Schranke, Anthropic über die mehrdeutigen Schwellen, die Prüfer beider über die Reichweite ihrer Befunde.