Am 23. Juli 2026 stellten die Abgeordneten Ted Lieu und Nathaniel Moran den „AI Kill Switch Act" vor. Das Heimatschutzministerium soll befugt werden, KI-Modelle abzuschalten, die eine unmittelbare Bedrohung für Menschenleben oder die nationale Wirtschaft darstellen — bei Nichteinhaltung drohen Strafen von bis zu 20 Millionen Dollar täglich. Bemerkenswert ist der Zeitpunkt: Die Vorlage folgte unmittelbar auf Berichte über einen Einbruch in die Produktionsinfrastruktur von Hugging Face, bei dem ein autonomer KI-Agent eine Zero-Day-Schwachstelle ausnutzte und Datensätze sowie Zugangsdaten kompromittierte. OpenAI hatte 2023 einen Hackerangriff auf interne Kommunikationssysteme verschwiegen; intern hatte ein entlassener Mitarbeiter damals gewarnt, die Sicherheitsarchitektur reiche nicht aus, um den Diebstahl geistigen Eigentums durch staatliche Akteure zu verhindern.

Beide Vorfälle sind real. Die daraus gezogene Schlussfolgerung ist es nicht.

Der Steelman zuerst. Das stärkste Argument für den Kill Switch ist kein symbolisches: Autonome KI-Systeme können tatsächlich Infrastruktur angreifen, Zugangsdaten stehlen und Schäden anrichten, bevor ein menschlicher Operator eingreifen kann. Der Hugging-Face-Vorfall ist kein Gedankenexperiment, sondern ein belegter Einbruch, durchgeführt von einem Agenten, der keine Zustimmung abwartete. Wer angesichts dieser Lage sagt, staatliche Eingriffsbefugnisse seien per se überflüssig, unterschätzt das reale Schadenspotenzial autonomer Systeme. Diese Einschätzung verdient ernsthafte Auseinandersetzung.

Aber sie trägt den vorliegenden Entwurf nicht.

Das technische Problem ist nicht lösbar, sondern nur verschleiert. Der „AI Kill Switch Act" richtet sich gegen Entwickler, die Abschaltmechanismen in ihre Modelle einbauen müssen. Das funktioniert gegen ein Unternehmen mit Bürositz in San Francisco. Es funktioniert nicht gegen einen Akteur, der ein feingetuntes Llama-Derivat auf eigener Hardware betreibt, oder gegen die Tausende bösartiger Modelle, die laut Berichten von Oktober 2024 auf Hugging Face selbst gehostet wurden — Code-Ausführung und Datendiebstahl inklusive. Open-Source-Gewichte sind kopierbar, replizierbar und global verteilbar; ein DHS-Bescheid erreicht sie nicht. Der Schalter, den das Gesetz einbauen will, sitzt am Netz — aber das Netz ist längst nicht mehr der einzige Ort, an dem KI läuft.

Was bleibt, ist eine Regulierung, die präzise auf jene zeigt, die bereits regulierbar sind: die großen, zentral betriebenen Modelle von Anthropic, OpenAI, Google und Microsoft. Alle mit Sitz in den USA. Alle mit der Infrastruktur, Compliance-Teams aufzustellen. Alle mit dem strukturellen Vorteil, dass ihre kleineren Wettbewerber und die Open-Source-Gemeinschaft denselben Aufwand nicht stemmen können.

Die USA kontrollieren rund 75 Prozent der weltweiten Hochleistungs-Rechenkapazität für moderne KI, die EU weniger als fünf Prozent. Ein Gesetz, das die Eintrittsbarrieren für Newcomer erhöht und gleichzeitig US-Hyperscaler als einzige vollständig konforme Anbieter definiert, ist keine Sicherheitsarchitektur. Es ist Industriepolitik in Sicherheitssprache.

Das Timing-Problem liegt im Kern des Konzepts. Der Hugging-Face-Einbruch lief durch, bevor Hugging Face ihn bemerkte — der Angriff war abgeschlossen, als die Analyse begann. Ein Kill Switch, den das DHS auf Antrag nach Feststellung eines „unmittelbaren Schadens" auslöst, greift nach dem Schaden, nicht vor ihm. Das ist kein Implementierungsdetail, das man lösen kann: Autonome Systeme agieren in Millisekunden, Behördenverfahren in Tagen. Der Schaden, gegen den das Gesetz angeblich schützt, ist strukturell schneller als das Instrument, das ihn verhindern soll.

Das Kriterium des Gesetzentwurfs — Kontrollverlust, unbeabsichtigtes Verhalten mit mindestens zehn Todesopfern oder 100 Millionen Dollar Schaden, Verbergen von Fähigkeiten — ist außerdem so formuliert, dass seine Feststellung im Ernstfall selbst zum Streitgegenstand wird. Wer stellt fest, dass ein Modell seine Fähigkeiten verbirgt? Wie und wann? Die Antwort ist: nach dem Vorfall, nicht davor.

Was der Entwurf nicht adressiert, ist die eigentliche Frage. Der Hugging-Face-Angriff demonstriert, dass ein autonom agierender KI-Agent in bestehende Infrastruktur eindringen kann. Die Gegenfrage lautet nicht: Wie schalten wir ihn ab? Sondern: Wie bauen wir Systeme, die einen laufenden Angriff erkennen, isolieren und begrenzen — bevor er abgeschlossen ist? Das ist ein Problem der Systemarchitektur, der Netzwerksegmentierung, der Echtzeit-Anomalie-Erkennung. Dafür braucht es keine Notverordnung für das DHS, sondern verbindliche technische Standards, die für alle Betreiber gelten — inklusive Open Source.

Senator Chuck Schumers „SAFE Innovation Framework" aus dem Sommer 2023 hatte wenigstens den Anspruch, Sicherheit, Rechenschaftspflicht und Erklärbarkeit strukturell zu verbinden. Was jetzt vorliegt, ist enger und zugleich grobkörniger: ein Abschaltrecht für Szenarien, die bereits eingetreten sind, gegenüber Akteuren, die ohnehin kooperieren müssen.

Lieu und Moran haben den richtigen Instinkt — autonome KI braucht menschliche Kontrolle. Gut darin, die Bedrohung zu benennen; deutlich schwächer darin, ein Instrument zu entwerfen, das sie trifft. Der Kill Switch trifft vor allem jene, die schon erreichbar sind. Die Infrastruktur, die tatsächlich schaden kann, bleibt draußen.