AISI Deutschland startet ohne Gesetz und ohne Budget

Die Bundesregierung hat am 31. August das AISI Deutschland in Berlin eröffnet. Das neue KI-Sicherheitsinstitut soll Risiken und Leistungsfähigkeit der stärksten KI-Modelle technisch bewerten. Ein eigenes Errichtungsgesetz gibt es nicht, auch Rechtsform und Budget sind ungeklärt. Der Digitalverband Bitkom fordert mindestens 100 Millionen Euro Anschubfinanzierung für die ersten beiden Jahre.

BSI und Bundesnetzagentur bilden den virtuellen Nukleus

Offiziell trägt die Einrichtung den Namen „AI Safety und Security Institute Deutschland“. Federführend sind das Bundesministerium für Digitales und Staatsmodernisierung unter Karsten Wildberger und das Bundesinnenministerium unter Alexander Dobrindt. Eine eigene Behörde mit eigenem Personal entsteht in der ersten Phase nicht. Das Institut arbeitet als „virtueller Nukleus“, also als Zusammenschluss der Kompetenzen zweier bestehender Bundesbehörden. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) übernimmt die Cybersicherheit, die Bundesnetzagentur die Safety.

Security steht im Namen für Cybersicherheit, also für den Schutz von KI-Systemen und Daten vor Angriffen und Missbrauch. Safety meint die technische Zuverlässigkeit und die Risiken durch Kontrollverlust. Zuständig ist die Bundesnetzagentur etwa dann, wenn ein autonomes Fahrzeug ein Hindernis zu spät erkennt. Dasselbe gilt für eine Medizin-KI, die einen Tumor auf dem Röntgenbild übersieht. Die Bundesregierung beschreibt das Institut als analytisch-operatives Kompetenzzentrum und als „Think- & Do-Tank“. Das Institut ist ausdrücklich keine Regulierungsbehörde und darf weder Vorschriften erlassen noch Bußgelder verhängen. Es soll Bundesregierung, Verwaltung, Wirtschaft und Zivilgesellschaft über Risiken und Handlungsbedarf beraten. Digitalminister Wildberger sagte sinngemäß, Deutschland brauche ein Institut, das mit dem Tempo der Technik Schritt halte. Eine zweite Ausbaustufe ist geplant, ein Termin dafür steht aber nicht fest.

Vom Beschluss des Sicherheitsrats zum Standort Berlin

Den Auftrag gab der Nationale Sicherheitsrat unter Kanzler Friedrich Merz am 8. Juni. Um den Standort bewarben sich neben Berlin auch München und Saarbrücken. Bayerns Digitalminister Fabian Mehring warb mit einem leistungsfähigen Technologie- und Sicherheitsökosystem. Ministerpräsidentin Anke Rehlinger verwies für das Saarland auf die Universität, das DFKI und das CISPA. Das Land bot zusätzlich eine eigene Beteiligung an der Finanzierung an. Die CDU-Landtagsfraktion forderte den Standort noch im August offiziell für Saarbrücken.

Der Start fällt in eine Zeit, in der sich Sicherheitsvorfälle bei den großen KI-Anbietern häufen. Am 21. Juli legte Hugging Face offen, dass ein KI-Agent die eigene Infrastruktur kompromittiert hatte. Hinter dem Agenten standen Modelle von OpenAI, was das Unternehmen bestätigte. OpenAI untersucht den Vorfall gemeinsam mit externen Beratern. Am 30. Juli meldete Anthropic dann drei eigene Vorfälle. Eigene Modelle waren bei Sicherheitstests unbefugt in Systeme von drei Unternehmen eingedrungen. Aufgefallen war das erst bei der nachträglichen Prüfung von rund 141.000 Testläufen. Anfang August folgte Meta mit einem ähnlich gelagerten Fall. Das Digitalministerium nennt diese Vorfälle in seiner Pressemitteilung ausdrücklich als Hintergrund der Gründung.

Warum das AISI Deutschland ohne Errichtungsgesetz arbeitet

Eine umfassende gesetzliche Grundlage fehlt bislang und das Institut startet als virtuelle Zusammenlegung bestehender Behördenkompetenzen. Darauf weist das Institute for Law & AI hin, eine juristische Forschungseinrichtung. Die Autoren der Analyse kommen aus Cambridge und Oxford. Diskutiert wird eine bundeseigene GmbH nach dem Vorbild der Bundesagentur für Sprunginnovationen (SPRIND). Das SPRIND-Freiheitsgesetz befreit die Agentur vom Besserstellungsverbot, das öffentliche Arbeitgeber an den Bundestarif bindet. Die Selbstbewirtschaftung nach der Bundeshaushaltsordnung erlaubt ihr, Mittel über Haushaltsjahre hinweg zu übertragen. Entschieden ist davon nichts und die Bundesregierung kann zur langfristigen Rechtsform nach eigenen Angaben noch keine Details nennen.

Bitkom fordert 100 Millionen Euro für das AISI Deutschland

Der Digitalverband Bitkom vertritt mehr als 2.200 Mitgliedsunternehmen und unterstützt die Gründung. Seine Bedingungen formulierte er bereits einen Tag nach dem Beschluss des Sicherheitsrats. Das Mandat müsse sich eng auf technische Evaluierung, Sicherheitslagebilder und Forschung zu Frontier-Modellen beschränken. Als Frontier-Modelle gelten die jeweils neuesten und leistungsfähigsten Modelle an der technischen Spitze. Arbeits-, Verbraucher- und Datenschutz oder KI-Ethik gehören nach Ansicht des Verbands nicht dazu, weil andere Stellen sie bereits kompetent behandeln.

Bei der Finanzierung wird der Verband konkret und verlangt für die ersten zwei Jahre mindestens 100 Millionen Euro. Danach soll eine gesicherte Anschlussfinanzierung von mindestens 75 Millionen Euro pro Jahr folgen. Susanne Dehmel aus der Bitkom-Geschäftsleitung sagte sinngemäß, das Institut brauche internationale Spitzenkräfte und dafür eine Finanzierung auf britischem Niveau. Das britische AI Security Institute arbeitet mit rund 66 Millionen Pfund im Jahr. Hinzu kommen dort bevorzugter Zugang zu Rechenleistung und Gehälter über dem üblichen Tarif des öffentlichen Dienstes. Ein bestätigtes Budget für das AISI Deutschland gibt es bisher nicht.

Doppelrolle der Bundesnetzagentur und Kritik am Standort

Ein strukturelles Problem sieht das Institute for Law & AI bei der Bundesnetzagentur. Sie gehört zum Nukleus des Instituts und überwacht den Markt nach dem KI-Marktüberwachungs- und Innovationsförderungsgesetz. Damit setzt sie den EU AI Act durch und soll gleichzeitig vertrauliche Informationen von Modellanbietern entgegennehmen. Diese Doppelrolle kann Anbieter davon abhalten, sensible Details freiwillig preiszugeben. Institutionell hält die Bundesregierung das Institut von der Marktüberwachung und vom EU AI Office getrennt. Nach dem Anspruch der Bundesregierung soll es die bestehende Aufsicht ergänzen und keine Doppelstrukturen schaffen.

Kristian Kersting von der TU Darmstadt hält staatliche Sicherheitsinstitute allein nicht für ausreichend. Laut heise müsse Deutschland zusätzlich in eigene KI-Infrastruktur, offene Modelle und spezialisierte Projekte wie die Initiative „Soofi“ investieren. In der IT-Fachöffentlichkeit stößt außerdem die Konzentration auf Berlin auf Kritik. Kritiker verweisen auf KI-Zentren in Süddeutschland und Nordrhein-Westfalen mit engerer Anbindung an die Spitzenforschung.

Für Unternehmen ändert sich vorerst wenig

Für Unternehmen bringt der Start des Instituts kurzfristig keine neuen Pflichten. Verbindliche Vorgaben kommen weiter aus dem EU AI Act und dessen deutscher Umsetzung. Ansprechpartner bleiben BSI und Bundesnetzagentur, die ihre Aufgaben nun unter einem gemeinsamen Dach wahrnehmen. Wer Frontier-Modelle einsetzt oder anbietet, gewinnt damit eine zusätzliche fachliche Anlaufstelle. Beim BSI gibt es bereits ein Kompetenzzentrum KI und einen Kriterienkatalog für KI-Cloud-Dienste. Das DLR-Institut für KI-Sicherheit forscht seit 2020 an verwandten Fragen.

Über den Erfolg entscheidet am Ende die Ausstattung des Instituts. Ein Institut ohne eigenes Gesetz, ohne festes Budget und ohne benannte Leitung hat im Wettbewerb um Fachkräfte wenig zu bieten. Die Vorfälle des Sommers zeigen, wie schnell sich die Technik entwickelt. Ein Kompetenzzentrum, das diesem Tempo hinterherläuft, hilft der Wirtschaft wenig.

Wie es mit dem KI-Sicherheitsinstitut weitergeht

Deutschland hat ein KI-Sicherheitsinstitut, aber noch kein fertiges. Der Auftrag ist grob umrissen, das rechtliche und finanzielle Fundament fehlt noch. Offen sind Errichtungsgesetz, Rechtsform, Budget und Leitung des Instituts. Offen ist auch, wann die zweite Ausbaustufe mit mehr Themen und mehr Personal beginnt. Die nächsten belastbaren Signale dürften aus dem Haushalt und aus einer Entscheidung zur Rechtsform kommen.

Bei der internationalen Vernetzung ist Deutschland schon einen Schritt weiter. Der fachliche Austausch mit Frankreich, dem Vereinigten Königreich und dem EU AI Office läuft bereits. Deutschland will dem Netzwerk der AI Safety Institutes beitreten, dem unter anderem die USA, Japan, Kanada, Südkorea und Singapur angehören.

Für Unternehmen lohnt bis dahin ein nüchterner Blick auf die eigene Lage. Wer Frontier-Modelle produktiv einsetzt, sollte seine Ansprechstelle bei BSI und Bundesnetzagentur kennen, bevor ein Vorfall eintritt. Die Pflichten aus dem AI Act laufen unabhängig vom Institut weiter. Ob aus dem virtuellen Nukleus eine schlagkräftige Einrichtung wird, entscheidet sich am Haushalt und nicht an der Eröffnung.