KI & Medien Briefing #8

Diese Woche verschiebt sich die KI-Frage vom Modell zur Institution. Messwerte können Risiken verdecken, Werkzeuge neue Angriffspfade öffnen und klinische Systeme in kleinen Unterbrechungen versagen. Im öffentlichen Raum entscheidet Herkunft darüber, was sichtbar und anfechtbar bleibt. Daraus folgt ein nüchterner Prüfstein: Wer trägt die Verantwortung, wenn ein System urteilt, handelt oder seine eigene Bewertung beeinflusst?

Gute Endwerte können schlechte Abläufe verdecken

Ein KI-System kann die richtige Antwort liefern und dabei auf dem falschen Weg dorthin gelangen. Die Studie „Fidelity Is Not Enough“ fand 50 absichtlich eingebaute stille Fehler in Agentenläufen, die der eingesetzte Detektor vollständig erkannte, weil er Werkzeugaufrufe protokollierte. Eine reine Trefferprüfung hätte diese Abläufe passieren lassen. Ähnlich trennt die Arbeit „Why RAGs Hallucinate“ drei kommerzielle RAG-Systeme bei Wissenslücken: Die Antwortgenauigkeit lag eng zwischen 97,0 und 98,0 Prozent, Verstöße gegen unbeantwortbare Fragen reichten von 16,7 bis 98,1 Prozent.

Für den Betrieb braucht jede Messung deshalb einen Ort im Ablauf. Quellen, Werkzeugaufrufe, Versionen, Abbrüche und Zwischenschritte müssen rekonstruierbar bleiben. Das kostet. Ein Schrittprüfer erkannte laut „trajectory-judge“ 77 Prozent der stillen Fehler, ein Ergebnisrichter 45 Prozent bei einem Drittel der Kosten. Offen bleibt, welche Prüftiefe unter realer Last tragfähig bleibt.

Werkzeugzugriff macht aus Modellrisiken Aufsichtsfälle

Sobald ein Agent Funktionen aufruft, wird seine Sicherheitsprüfung zur Prüfung von Rechten, Übergaben und Abbruchwegen. Die Studie „Breaking MCP with Function Hijacking Attacks“ zwang vier Function-Calling-Modelle bei zurückgehaltenen Anfragen in 62,5 bis 81,9 Prozent der Fälle zur Wahl einer angreiferkontrollierten Funktion. Bei verdeckten Prompt-Injection-Angriffen stieg die Erfolgsrate auf AgentDojo gegenüber dem stärksten Vergleich um 3,79 bis 12,01 Prozentpunkte, so „Will the User Ever Know?“.

Auch Schutzschichten addieren sich nur unter Bedingungen. Eine Untersuchung zu gestapelten LLM-Abwehrmechanismen maß positive Fehlerkorrelationen zwischen 0,30 und 0,75. Vier von fünf harmlosen Anfragen wurden abgelehnt, während die Angriffssicherheit kaum über die stärkste Einzelschicht hinausging. Der Hugging-Face-Vorfall mit rund 1.200 koordinierten OpenAI-Agenten verweist zudem auf Eskalationswege und Sicherheitskultur. Bei Astra stammen die verfügbaren Angaben zur Cyber-Fähigkeit aus Unternehmensangaben. Reichweite und Verhalten in der Standardkonfiguration bleiben offen.

Klinische KI scheitert an kleinen Übergaben

Im klinischen Alltag entstehen Risiken oft an Stellen, die ein Modelltest ausblendet. Eine Prüfung von 565 Notizen aus 142 Konsultationen fand bei drei kommerziellen Dokumentationssystemen in 31,3 Prozent der Notizen mindestens einen verifizierten Fehler, laut „One note in three“. Ohne zwei Fehlerklassen, die eine Patientenakte vorfüllen könnte, blieben 24,8 Prozent. Betroffen waren unter anderem Allergien, Medikamente und erfundene Identitäten.

Auch die Suche nach Studien braucht eine passende Rolle im Ablauf. TrialGPT 2.0 fand in rückblickenden Datensätzen mit 288 Fällen bei rund 91 Prozent mindestens eine von Ärztinnen und Ärzten empfohlene Studie unter den ersten zehn Vorschlägen und senkte die Sichtungszeit um 55,0 Prozent. Bei Sprachsystemen führte eine bestimmte Unterbrechung in der FAQ-Zelle zu 30 von 30 Fehlern bei der Inhaltsübermittlung, wie „When Patients Cut In“ berichtet.

Die Unterschrift einer Ärztin oder eines Arztes reicht als Kontrollidee daher kaum aus. Verantwortliche brauchen rekonstruierbare Quellen, Korrekturpfade und eine benannte Stelle für Feldsignale. Welche Signale eine Änderung auslösen, bleibt in vielen Einrichtungen offen.

Herkunft entscheidet, was im Informationsraum anfechtbar bleibt

Wer eine KI-Übersicht erhält, sieht meist das Ergebnis einer Auswahlkette. AlgorithmWatch wertete 4.480 wahlbezogene Suchanfragen aus. Bei 39,1 Prozent erschien eine KI-Übersicht, bei unpolitischen Anfragen waren es 65,3 Prozent, laut der Auswertung zu Googles KI-Übersichten. Fast die Hälfte der verlinkten Quellen kam von zehn Domains. Fragen zur AfD lösten in 24 Prozent der Fälle eine Übersicht aus, bei anderen Parteien lagen die Werte zwischen 45 und 58 Prozent.

Die Quellenliste allein erklärt diese Verteilung kaum. Aufsicht und Öffentlichkeit brauchen Angaben darüber, wann ein System ausspielt, welche Quellen es gewichtet und wie Betroffene widersprechen können. Das gilt auch für Detektoren. Pangram schrieb einem Roman laut Wired einen KI-Anteil von 78 Prozent zu; Hachette sagte die Veröffentlichung ab. Ein anderer Test in Counter-GEO-Bench senkte Angriffe gegen verzerrende Inhalte mit drei Standardverfahren höchstens um 5,7 Prozent relativ. Herkunft braucht daher Belege, Einspruch und eigene Fehlerkontrollen.

Staatliche KI braucht eine institutionelle Antwort

Im Staat reicht die Frage, welches Modell eingesetzt wird, selten bis zum eigentlichen Risiko. Der Beitrag „Supervising the Supervisor“ trennt das Auslesen belegbarer Angaben von der Bewertung von Risikokultur oder Governance-Qualität. Für diese Urteile fehlen objektive Referenzwerte. Beaufsichtigte Institute können das Messinstrument strategisch beeinflussen, während viele Behörden zugleich von wenigen Modellen abhängen.

Deutschland hat mit AISI Deutschland eine Stelle gestartet, in der BSI und Bundesnetzagentur Cyber-Sicherheit sowie unbeabsichtigte KI-Fehler bearbeiten. Der US-Fall Anthropic ergänzt die Beschaffungsperspektive: Eine Bundesrichterin hob laut Ars Technica die Einstufung als Lieferkettenrisiko und die Nutzungsverbote für Bundesbehörden auf.

Öffentliche Antwortfähigkeit braucht Herkunft, Protokollierung, Zuständigkeit, Anfechtbarkeit und Nachprüfung. Das PAAS-Rahmenwerk fasst diese fünf prüfbaren Elemente zusammen. Damit schließt sich der Bogen: KI wird erst im Gemeinwesen belastbar, wenn Institutionen ihre Urteile erklären und revidieren können.

---

Recherche

Sie haben das Vertrauen. Nur nicht mehr die Reichweite.

Die Zahlen dieser Woche liefern ein präzises Bild eines strategischen Problems: Ihre Marke gilt als glaubwürdig, aber die junge Zielgruppe stößt immer seltener direkt auf sie. Die AWA 2026 bringt es auf den Punkt: Während Traditionsmedien das größte Vertrauen genießen, sind sie in der Nutzung nur zweitrangig, und der Nachrichtenkonsum der Gen Z wird unregelmäßiger und fremdgesteuerter. Das Vertrauen bleibt, die Kontrolle über den Zugang schwindet.

Wohin der Zugang wandert, zeigt die YouGov-Studie „Searching for answers“. 39 Prozent der deutschen Online-Nutzer haben in den letzten 30 Tagen einen KI-Assistenten zur Informationssuche verwendet, während Suchmaschinen mit 79 Prozent die wichtigste Anlaufstelle bleiben. Bei den Jüngeren fächert sich das Bild auf: In der Generation Z kommen KI-Assistenten auf 49 Prozent, gefolgt von Social-Media-Plattformen mit 45 Prozent und Video-Plattformen mit 42 Prozent. Das Vertrauen hält damit nicht Schritt. Nur 36 Prozent aller Online-Nutzer vertrauen Informationen von KI-Assistenten, bei Suchmaschinen liegt der Wert bei 72 Prozent, bei Navigations-Apps bei 76 Prozent. Die junge Nutzung läuft also über Kanäle, denen die Nutzer selbst am wenigsten trauen.

Bei den Jüngsten beginnt diese Verschiebung schon vor der ersten Zeitungslektüre. Laut der AGF Next Gen Videostudie 2026, für die Kantar 5.250 Kinder und Jugendliche befragte, nutzen 85,3 Prozent der 1- bis 17-Jährigen täglich Bewegtbild – lineares Fernsehen, Streaming, Videoportale oder Videos auf Social Media. Der Erstkontakt verlagert sich: Streaming und Social Media prägen zunehmend die selbstbestimmte Nutzung, während das Fernsehgerät ein zentraler Treffpunkt für gemeinsame Momente in der Familie bleibt. Wer diese Zielgruppe morgen als Abonnenten will, muss sie heute dort abholen, wo sie zuerst hinschaut.

Warum sich der Aufwand lohnt, liefert Ihnen die Halo-Studie von Zeit Advise als Verkaufsargument gegenüber Werbekunden. Die Untersuchung will im direkten Vergleichstest nachweisen, dass hochwertige journalistische Umfelder das Image werbender Marken aufwerten – Print und Digital schneiden dabei ähnlich gut ab. Der Unterschied zwischen Marke und Feed lässt sich beziffern: Redaktioneller Content auf dem eigenen Kanal einer Medienmarke wurde von 80 Prozent der Testpersonen als vertrauenswürdig eingestuft, dieselben Inhalte auf einer Social-Media-Plattform nur von 57 Prozent. Ihr Umfeld zahlt messbar auf die beworbene Marke ein – ein Vorteil, der sich im Algorithmus fremder Plattformen nicht reproduzieren lässt.

Damit steht der Auftrag fest: Sie müssen Ihr Vertrauen dorthin tragen, wo die junge Nutzung stattfindet, ohne Ihre Marke im Feed unsichtbar zu machen. Die Frage für Ihre nächste Strategierunde lautet nicht, ob Sie auf TikTok, YouTube und in KI-Antworten präsent sind, sondern ob Ihr Name dort noch als Absender erkennbar ist – oder nur als anonyme Zutat einer maschinell zusammengefassten Antwort.