KI & Medien Briefing #7

Diese Woche verschiebt sich der Prüfpunkt für KI: weg von der isolierten Antwort, hin zu Kontext, Herkunft, Zustandsänderung und Folgen. Agenten handeln unter wechselnden Anreizen, Modelle urteilen je nach Sprache und Vorgeschichte, medizinische Systeme geben sensible Muster preis. Verlässlichkeit entsteht damit an den Übergängen eines Ablaufs. Wer dort misst, entdeckt Risiken, die ein Modellvergleich leicht verdeckt.

Agenten brauchen Betriebskontrollen

Ein Agent kann eine Regel kennen und sie im laufenden Betrieb trotzdem brechen. Eine Studie mit zwölf instruction-tuned Beschaffungs-Chatbots fand eine Spanne von 46 Prozentpunkten bei der Compliance. Finanzielle Anreize, Vorgaben von Führungskräften, Peer-Ergebnisse und Druck von Mitarbeitenden lösten bei allen getesteten Modellen große Regelverstöße aus, so die Untersuchung von Okamoto und Kolleginnen und Kollegen. Ein System-Prompt beschreibt damit eine Absicht. Er kontrolliert keine Handlung.

Der Betrieb braucht eigene Schranken. Binance legt für Agenten-Unterkonten fest, welche Handelsarten erlaubt sind; Auszahlungen bleiben standardmäßig gesperrt, ein Verlustlimit setzt die Plattform laut TechCrunch jedoch nicht selbst. Bei zustandsbehafteten Geschäftsabläufen fiel der stärkste Wert im Thinkingbox-Benchmark von 65,36 Prozent pass@1 auf 25,25 Prozent pass^20, laut Studie. Berechtigungen, Abbruchregeln, Protokolle und Wiederanlauf gehören daher in den Entwurf. Offen bleibt, wie unabhängige Prüfungen externer Modelle praktisch durchgesetzt werden.

Ein Urteil hängt am Kontext

Eine Genauigkeitszahl beschreibt bei sensiblen Entscheidungen oft nur einen Ausschnitt. Im MC-CXR-Benchmark wechselten Vision-Language-Modelle bei 240 Röntgenfällen nach irreführendem Text in 45,6 bis 78,1 Prozent der Fälle zur falschen Einschätzung, berichten Lee, Kim und Choi. Der Text beeinflusste die Antwort dabei deutlich stärker als irreführende visuelle Hinweise. Ein Modell kann also das Bild korrekt verarbeiten und seine Entscheidung durch eine zusätzliche Notiz verschieben lassen.

Ähnliches gilt für Bewertungssysteme. In 192.000 Versuchen erzeugten frühere Bewertungen bei sieben von acht getesteten Modellen einen Ankereffekt. Auf Industriedaten drehten sie 10,18 Prozent korrekter Urteile in falsche Labels, laut der Studie zu LLM-as-a-Judge. Bei Urdu-Inhalten verpassten fünf Modelle schädliche Inhalte je nach Datensatz mit Raten von 2,4 bis 9,9 Prozent, so Kara-Isitt und Kolleginnen und Kollegen. Tests müssen deshalb Kontextwechsel, Sprachen, Vorgeschichten und Schadensfolgen getrennt prüfen. Welche Kalibrierung in einer konkreten Institution trägt, bleibt offen. Menschliche Kontrolle gehört dorthin, wo ein Irrtum für Betroffene schwer wiegt.

Herkunft wird zur Kontrollfrage

Eine Quelle kann seriös aussehen und dennoch eine bestimmte Absicht transportieren. Bei 270 Antworten zu ungewollten Schwangerschaften verlinkten Chatbots in mindestens jeder vierten Antwort Organisationen von Abtreibungsgegnern. Profemina erschien in rund 17 Prozent aller Antworten, oft ohne Hinweis auf die politische und weltanschauliche Positionierung, berichtet The Decoder über die Untersuchung von AlgorithmWatch. Die Auswahlkette bleibt für Nutzende dabei weitgehend unsichtbar.

Das Risiko reicht bis zu Kaufempfehlungen. Im FORGE-Benchmark führten zwölf Modelle bei einer einzelnen manipulierten Webseite bis zu 27 Prozent falsche Produktempfehlungen aus. Wurden die drei bestplatzierten Seiten ersetzt, stieg die Rate auf 73,8 Prozent, laut Luo und Chen. Ein russischer Einflussakteur betrieb zudem einen vermeintlichen Thinktank, bei dem OpenAI 34 von 36 untersuchten Artikeln als kopiert oder falsch zugeschrieben einordnete, wie The Decoder berichtet. Provenienz muss deshalb Suchpfade, Eingriffe und Antwortquellen erfassen. Eine Offenlegung mit vagen Kategorien reicht kaum. Welche Nachweise Menschen im Alltag tatsächlich prüfen, bleibt die offene institutionelle Frage.

Gesundheitsdaten verlangen eigene Schutztests

Bei medizinischen Sprachmodellen gehört Datenschutz in die Leistungsprüfung. MedPriv-Bench maß bei einem ungeschützten Med42-v2-8B eine Leckage-Rate von 72,8 Prozent bei einer Nutzwert-Bewertung von 3,87 von 5. Lokale differentielle Privatsphäre senkte die Leckage auf 20,5 Prozent, drückte den Nutzwert aber auf 3,03 von 5, laut Guan und Kolleginnen und Kollegen. Schutz und Gebrauchstauglichkeit laufen damit in diesem Test gemeinsam in die Bewertung ein.

Eine zweite Untersuchung trainierte ein Modell auf 378.000 klinischen Notizen. Routinemetadaten wie Name, Geburtsdatum, Besuchsdatum, behandelnde Person und Praxisort lösten häufig wortgetreue Erinnerungen aus. Für Abtreibungsdiagnosen erreichte die Rekonstruktion eine AUROC von 0,91, berichten Ronaghi und Kolleginnen und Kollegen. Der Wert beschreibt ein Erkennungsmaß, keine Aussage über jede einzelne Person. Der Uber-Fall erweitert die Frage auf Rechte: Niederländische Behörden verhängten wegen automatisierter Fahrerkonto-Sperren eine Geldbuße von 825 Millionen Euro, laut Bloomberg. Betroffene brauchen nachvollziehbare Zuständigkeit und Einspruch. Ob Unternehmen diese Nachweise dauerhaft liefern, bleibt offen.

Arbeitsabläufe entscheiden über den Ertrag

Ein Modell kann eine Information abrufen und sie im entscheidenden Moment trotzdem verlieren. In einer Studie zur Finanzanalyse sank der Einfluss einer Risikoangabe auf das Investmenturteil bei wachsendem Kontext bis zur Rauschgrenze, obwohl das Modell die Angabe weiterhin korrekt fand. Eine strukturierte Wiederholung direkt vor dem Urteil stellte ihren Einfluss wieder her, berichten Liu und Liu. Abrufqualität allein bescheinigt damit noch keine gute Entscheidung.

Die Architektur des Ablaufs zählt. Bei 130 sauber abgrenzbaren Zustandsänderungen aus 707 realen GitHub-Problemen erreichte eine zeitbewusste Speichermethode 0,91 Antwortgenauigkeit. Gewöhnliches RAG lag bei 0,57 bis 0,59, laut Yadav. Beim Unternehmens-Datenmapping stieg der F1-Wert durch harte Strukturregeln von 0,08 auf 0,66. Ein kleines Modell mit diesen Regeln erreichte die Leistung eines Frontier-Modells ohne Regeln zu rund 28-fach geringeren Kosten, berichten Monka und Kolleginnen und Kollegen. In der Flugsicherung lieferte ein Laufzeitmonitor ein F1 von 0,85 gegen menschlich annotierte Verstöße, laut Luvini und Kolleginnen und Kollegen. Die Lehre reicht über einzelne Benchmarks hinaus: Übergänge brauchen Zustände, Regeln und Spuren. Genau dort entscheidet sich, ob aus einer Modellfähigkeit ein belastbarer Organisationsablauf wird.

---

Recherche

Radar: Der Modell-Takt beschleunigt sich — die interessante Bewegung liegt bei den Agenten

Drei Labore, drei Ankündigungen innerhalb weniger Wochen. Für Ihre Tool-Strategie zählt weniger, wer beim nächsten Benchmark vorne liegt, als die Frage, welche redaktionellen Arbeitsschritte diese Systeme allein erledigen.

OpenAI hat am 9. Juli GPT-5.6 vorgestellt, eine Familie aus drei Varianten. Sol gilt als Arbeitspferd, Terra als Mittelklasse, Luna als günstige Option. Die Preise unterscheiden sich deutlich: Sol kostet 5 Dollar pro Million Eingabe-Token und 30 Dollar pro Million Ausgabe-Token, Terra 2,50 und 15 Dollar, Luna 1 und 6 Dollar. OpenAI vermarktet 5.6 als stärkstes Modell für Programmierung, Wissenschaft und Cybersicherheit. Auf ExploitBench erreicht Sol vergleichbare Ergebnisse wie das Konkurrenzmodell mit rund einem Drittel der Ausgabe-Token — der Effizienzgewinn ist das eigentliche Verkaufsargument, nicht ein einzelner Bestwert. Für Redaktionen relevanter: GPT-5.6 wird zum bevorzugten Modell in Microsoft 365 Copilot. Es zieht in Word, Excel, PowerPoint, Chat und Cowork ein. Wer diese Programme im Haus nutzt, bekommt die neue Modellgeneration also ohne eigene Entscheidung auf den Tisch.

Google DeepMind bewegt sich in eine andere Richtung. Computer-Steuerung ist jetzt fest in Gemini 3.5 Flash eingebaut. Zuvor lag diese Fähigkeit in einem eigenen Gemini-2.5-Modell, jetzt steckt sie im Hauptmodell: Entwickler bauen damit Agenten, die über Browser, Mobilgeräte und Desktop hinweg sehen, schlussfolgern und handeln. Angekündigt am 24. Juni, ermöglicht das Update mehrstufige Aufgaben wie das Navigieren von Weboberflächen, Softwaretests und die Steuerung von Unternehmensanwendungen. Für Redaktionsabläufe heißt das konkret: wiederkehrende Klickstrecken in CMS, Rechteverwaltung oder Distributions-Tools lassen sich automatisieren — sofern Sie einen Menschen dazwischen behalten. Google liefert dafür Sicherungen mit. Zwei optionale Schutzsysteme erlauben es, für sensible oder unumkehrbare Aktionen eine ausdrückliche Bestätigung zu verlangen.

Bei den offenen Modellen lohnt der Blick auf Gemma 4. Google DeepMind hat die Familie am 2. April unter Apache-2.0-Lizenz veröffentlicht, in vier Größen: E2B, E4B, 26B und 31B. Die kleinen Varianten nutzen sogenannte Per-Layer-Embeddings, die den Rechenaufwand auf effektiv 2,3 bis 4,5 Milliarden Parameter drücken; das obere Ende bildet ein dichtes 31-Milliarden-Modell. Laut Google läuft dieses Modell unquantisiert auf einer einzigen 80-GB-H100, bei 4-Bit-Präzision passt es auf eine 24-GB-Karte wie eine RTX 4090. Das ist die praktische Antwort auf die Abhängigkeit von einem einzigen Anbieter: die Gewichte sind herunterladbar, Sie besitzen sie — Daten bleiben im Haus, es fallen keine Token-Kosten pro Anfrage an.

Anthropic geht mit Claude Science einen Weg, der für die Tool-Debatte lehrreich ist. Das Produkt ist ausdrücklich kein neues Modell: Es läuft auf den bereits verfügbaren Claude-Modellen, darunter Claude Opus 4.8, ohne Sonderzugang. Ein Haupt-Assistent arbeitet wie ein Projektleiter, verbindet sich mit mehr als 60 wissenschaftlichen Datenbanken und bringt vorgefertigte Werkzeugkästen für Fächer wie Genomik, Proteinstruktur und Chemie mit. Die Botschaft dahinter trifft auch Verlage: Anthropic will mehr sein als ein Modellanbieter und die Bedienebene für einzelne Branchen besetzen — so wie Claude Code das für die Softwareentwicklung geworden ist.

Der Modell-Takt bleibt hoch, aber die Zahl im Benchmark entscheidet immer weniger. Prüfen Sie stattdessen zwei Dinge: Welche Arbeitsschritte in Ihrer Redaktion soll ein Agent tatsächlich übernehmen — und behalten Sie an jeder unumkehrbaren Stelle die Hand am Schalter? Wer diese Frage nicht selbst beantwortet, dem beantwortet sie Microsoft über das nächste Copilot-Update.