Microsoft AI hat am 14. September einen Entwurf für einen eigenen Verhaltenskodex vorgelegt. Sein Kernsatz klingt schlicht: Menschen sollen die bedeutsame Kontrolle über KI behalten. Neu ist weniger dieses Ziel als der Versuch, es für künftige Modelle in Regeln, Zuständigkeiten und technische Anforderungen zu übersetzen. Für Unternehmen, die gerade erste KI-Agenten an interne Daten und Werkzeuge anschließen, ist das eine nützliche Unterscheidung: Ein Modell kann überzeugend antworten und dennoch zu viel Handlungsspielraum haben.
Das Wichtigste in Kürze
- Microsofts Humanist AI Code of Conduct ist ein öffentlicher Entwurf, keine bereits wirksame Produktzusage.
- Der Kodex ordnet menschliche Kontrolle und Sicherheit höher ein als maximale Autonomie oder Leistungsfähigkeit.
- Für Agenten zählen im Alltag vor allem begrenzte Rechte, sichtbare Arbeitsschritte, Freigaben und eine zuverlässige Stopp-Funktion.
- Ob diese Prinzipien belastbar sind, zeigt sich erst in Produkten, Messgrößen und unabhängiger Prüfung.
Ein Kodex, der noch kein Schalter ist
Der Text richtet sich an die von Microsoft AI entwickelten MAI-Modelle. Er soll nach einer öffentlichen Konsultation Ende 2026 überarbeitet werden und die Modellentwicklung ab 2027 leiten. Microsoft sagt ausdrücklich, dass der Entwurf die Modelle heute noch nicht trainiert. Das ist wichtig: Wer Copilot oder Azure-basierte Dienste nutzt, bekommt dadurch nicht automatisch neue Rechte, Sicherheitsbarrieren oder Garantien.
Gleichwohl ist die Veröffentlichung mehr als ein Markenversprechen. Der Entwurf beschreibt eine Rangfolge: Sicherheit und menschliche Kontrolle stehen über anderen Zielen. Modelle sollen Menschen unterstützen, nicht als eigenständige Akteure auftreten oder Bewusstsein nachahmen. Microsoft erklärt auch, dass es für diese Grenzen notfalls Abstriche bei Allgemeinheit, Autonomie oder Leistungsfähigkeit akzeptieren will. Das unterscheidet die Position von einer Debatte, die KI-Sicherheit nur als nachträglichen Filter versteht.
Was Kontrolle bei einem Agenten praktisch bedeutet
Bei einem Chatbot ist Kontrolle oft einfach: Man schließt das Fenster und verwirft den Vorschlag. Ein Agent kann dagegen Dateien lesen, Tickets anlegen, E-Mails vorbereiten oder Schnittstellen aufrufen. Dann reicht es nicht, dass ein Mensch theoretisch zuständig bleibt. Er muss sehen können, was der Agent vorhat, Grenzen setzen und bei folgenreichen Schritten eingreifen können.
Microsofts Leitfäden für agentische Systeme nennen dafür eine brauchbare Mindestliste: nur die wirklich nötigen Werkzeuge, Daten und Operationen freigeben; riskante oder irreversible Aktionen bestätigen lassen; Abweichungen überwachen; und den Ablauf nachvollziehbar dokumentieren. Besonders die kleinste nötige Berechtigung ist unspektakulär, aber zentral. Ein Support-Agent, der nur eine Bestellung nachschlagen soll, braucht keinen Zugriff auf Zahlungsdaten und erst recht keine Möglichkeit, Verträge zu kündigen.
Diese Logik passt auch zu den Lehren aus unserem Bericht über KI-Agenten und den RubyGems-Vorfall: Nicht die Bezeichnung Agent entscheidet über das Risiko, sondern die Kombination aus Zugriffen, Ausführungsdauer und fehlenden Bremsen. Ein leistungsfähiges Modell in einer eng begrenzten Umgebung kann sinnvoll sein. Ein mittelmäßiges Modell mit weitreichenden Konten und stillen Automationen kann dagegen bereits großen Schaden anrichten.
Eine klare Hierarchie löst die schwierigen Fälle nicht
Der Kodex sieht eine Befehlskette vor: Betreiber, Nutzer und Modelle sollen unterschiedliche Zuständigkeiten haben. Das verhindert aber noch nicht, dass eine Freigabe zu grob formuliert ist oder ein Agent eine Anweisung falsch einordnet. In der Praxis müssen Unternehmen daher vorher festlegen, welche Entscheidungen ein Agent selbst treffen darf, wann er nur einen Entwurf liefern soll und welche Handlungen immer eine zweite Person brauchen.
Das betrifft nicht nur Hochrisiko-Fälle. Schon bei einem Vertriebsagenten kann ein falsch gesetzter Rabatt, eine unzutreffende Kundeninformation oder ein übersehener Datenschutzvorbehalt teuer werden. Gute Kontrolle ist deshalb kein einzelner Not-Aus. Sie besteht aus mehreren Ebenen: klaren Rollen, engen Zugriffsrechten, Protokollen, Schwellen für Freigaben und einer Möglichkeit, nach einem Fehler zu verstehen und rückgängig zu machen, was geschehen ist.
Die offene Frage: Wie wird das überprüfbar?
Microsofts Vorschlag ist bemerkenswert, weil er ausdrücklich als unfertige Einladung zur Kritik veröffentlicht wurde. Das schafft aber auch einen Maßstab, an dem der Konzern sich messen lassen muss. Reine Verhaltensregeln im Modell reichen nicht, wenn die umgebende Software sensible Werkzeuge ohne ausreichende Prüfung ausführt. Umgekehrt helfen perfekte Kontrollbildschirme wenig, wenn sie so viele Warnungen erzeugen, dass Menschen sie nur noch wegklicken.
Für Käufer und Entwickler ist deshalb eine nüchterne Prüffrage hilfreicher als das Etikett humanistisch: Welche Daten darf der Agent sehen, welche Aktionen darf er ausführen, wo ist eine Bestätigung zwingend, wie schnell lässt sich der Lauf stoppen und welche Protokolle bleiben danach? Auch bei der Einführung chinesischer Modelle in deutschen Unternehmen zeigte sich, dass Vertrauen nicht allein aus Benchmark-Werten entsteht, wie unser Beitrag über die zurückhaltende Nutzung von DeepSeek erläutert.
Ausblick: Der Maßstab sind reale Produktentscheidungen
Der Entwurf verschiebt die Debatte in die richtige Richtung: Weg von der Frage, ob eine KI freundlich klingt, hin zu der Frage, ob Menschen sie wirksam begrenzen können. Doch ein Kodex ist erst der Anfang. Glaubwürdig wird Microsofts Ansatz, wenn kommende Produkte Rechte standardmäßig knapp halten, kritische Schritte erkennbar machen und unabhängige Tests zeigen, dass der Stopp auch unter Zeitdruck funktioniert. Dann könnte aus einem Leitbild ein praktischer Maßstab für Agenten werden. Bis dahin ist der Text vor allem ein präziser Anspruch, an dem sich Microsoft messen lassen muss.