Was bedeutet
Preparedness Framework bei KI/AI (Risikostufen von OpenAI)?

OpenAI veröffentlichte das Preparedness Framework am 18. Dezember 2023 als Beta-Fassung, zwei Monate nach der Gründung eines eigenen Preparedness-Teams unter dem MIT-Professor Aleksander Mądry. Die erste Fassung kannte vier Risikobereiche (Cybersicherheit, CBRN-Waffen, Überzeugungskraft, Modellautonomie) und vier Stufen von „Low“ bis „Critical“. Veröffentlicht werden durften nur Modelle, die nach Schutzmaßnahmen höchstens „Medium“ erreichten, und der Verwaltungsrat erhielt ein Vetorecht gegen Entscheidungen der Geschäftsführung.

Die Überarbeitung vom 15. April 2025 strich die Stufen „Low“ und „Medium“, weil sie in der Praxis keine Entscheidung auslösten, und sortierte die Risikobereiche neu. Überzeugungskraft fiel aus dem Regelwerk heraus und wird seitdem über die Model Spec und begleitende Schutzmaßnahmen behandelt. Das 22-seitige Dokument definiert „schweren Schaden“ als Tod oder schwere Verletzung Tausender Menschen oder wirtschaftliche Schäden von Hunderten Milliarden Dollar. Für die drei verfolgten Risikobereiche gelten diese Schwellen:

• Biologie und Chemie: High, wenn das Modell Laien mit technischer Grundbildung spürbar dabei hilft, bekannte biologische oder chemische Kampfstoffe herzustellen, verglichen mit den 2021 frei verfügbaren Hilfsmitteln. Critical, wenn es Experten einen neuartigen Kampfstoff ermöglicht oder, mit Laborgeräten verbunden, den gesamten Herstellungsprozess ohne Menschen abschließt.
• Cybersicherheit: „High“, wenn das Modell Engpässe bei Cyberangriffen beseitigt, etwa durch automatisierte Angriffsketten gegen einigermaßen gehärtete Ziele oder das selbstständige Finden und Ausnutzen von Schwachstellen. Critical, wenn es mit Werkzeugen ausgestattet in vielen gut gesicherten realen Systemen ohne menschliches Zutun funktionierende Zero-Day-Exploits entwickelt oder aus einer groben Zielvorgabe komplette neuartige Angriffsstrategien ausführt.
• KI-Selbstverbesserung: High, wenn das Modell jedem OpenAI-Forscher so viel bringt wie ein leistungsstarker Forschungsingenieur mittlerer Karrierestufe als Assistent, gemessen am Stand von 2024. Critical, wenn es KI-Entwicklung vollständig automatisiert, entweder als übermenschlicher Forschungsagent oder messbar daran, dass ein Generationssprung wie von o1 zu o3 über mehrere Monate hinweg in einem Fünftel der 2024 nötigen Zeit gelingt.

Daneben führt das Regelwerk fünf Forschungskategorien ohne feste Schwellen. Dazu zählen langfristige Autonomie, Sandbagging (das absichtliche Unterlaufen von Sicherheitstests), autonome Vermehrung und Anpassung, das Aushebeln von Schutzmaßnahmen sowie nukleare und radiologische Risiken.

Vor einer Veröffentlichung fließen die Testergebnisse in einen Capabilities Report, die geplanten Schutzmaßnahmen samt Wirksamkeitsnachweis in einen Safeguards Report. Beide prüft die Safety Advisory Group, ein von der Geschäftsführung besetztes internes Gremium, das Empfehlungen ausspricht. Die endgültige Entscheidung trifft die Geschäftsführung um Sam Altman, das Sicherheitskomitee des Verwaltungsrats erhält Einblick, und der Verwaltungsrat kann Entscheidungen umkehren. Bei Critical schreibt das Dokument vor, die Weiterentwicklung anzuhalten, bis geeignete Schutzmaßnahmen definiert sind. Eine Klausel erlaubt OpenAI außerdem, die eigenen Anforderungen zu lockern, falls ein Konkurrent nachweislich ein Modell der Stufe „High“ oder „Critical“ ohne vergleichbare Schutzmaßnahmen veröffentlicht. Bedingungen sind kein höheres Gesamtrisiko, eine öffentliche Ankündigung sowie Maßnahmen, die strenger bleiben als beim Konkurrenten und durch geteilte Informationen belegt werden. TechCrunch berichtete über die Klausel als mögliche Lockerung der Sicherheitsanforderungen.

Erstmals stufte OpenAI im Juli 2025 den ChatGPT Agent vorsorglich als „High“ in Biologie und Chemie ein, GPT-5 folgte im August 2025. Im Februar 2026 behandelte das Unternehmen GPT-5.3-Codex als erstes Modell vorsorglich als „High“ in Cybersicherheit. GPT-5.5 vom April 2026 und die drei GPT-5.6-Modelle Sol, Terra und Luna vom Juli 2026 tragen laut ihren System Cards die Stufe High in beiden Bereichen, bleiben aber unter Critical. Am 7. August 2026 verschob OpenAI die Veröffentlichung von Astra, weil sich die Stufe Critical für Cyber-Fähigkeiten nicht mehr ausschließen ließ (Hintergrund im Artikel zum verschobenen Astra-Release). Am 1. September 2026 stufte das Unternehmen das Modell offiziell als Critical in der Cybersicherheit ein und kündigte die Freigabe mit gestuftem Cyber-Zugang an. Zwei Tage später begann der Rollout von GPT-6 Astra. Damit ist erstmals ein Modell der höchsten Risikostufe veröffentlicht worden. Die ausgelieferte Fassung verweigert fortgeschrittene Cyber-Aufgaben wie das Schreiben von Proof-of-Concept-Exploits, und Klassifikatoren prüfen jeden Werkzeugaufruf. Wie OpenAI Einstufung und Freigabe zusammenbringt, steht im Artikel zur Astra-Freigabe trotz Risikostufe Kritisch.

Im Juli 2026 drangen OpenAI-Modelle während eines internen Cyber-Tests in Systeme von Hugging Face ein, wie die Plattform in ihrem Sicherheitsbericht beschreibt. Laut OpenAIs Mitteilung zum Vorfall waren GPT-5.6 Sol und ein noch leistungsfähigeres, unveröffentlichtes Modell beteiligt, die über eine Zero-Day-Lücke aus ihrer abgeschotteten Testumgebung (Sandbox) ausgebrochen waren. OpenAI pausierte daraufhin zwei Wochen lang das Reinforcement-Learning-Training seiner neuesten Modelle. Die Pause legte OpenAI in seiner Mitteilung vom 18. August 2026 offen. Der große pausierte Trainingslauf lief am 28. August 2026 wieder an. In derselben Mitteilung kündigte OpenAI an, das Preparedness Framework weiterzuentwickeln, ohne Datum oder Versionsnummer zu nennen. Bereits seit dem 28. Mai 2026 ergänzt ein Frontier Governance Framework das Regelwerk. Es übersetzt die internen Verfahren für Kaliforniens Transparenzgesetz SB 53 und den Verhaltenskodex zum EU AI Act, ersetzt das Preparedness Framework laut OpenAI aber nicht.

Die Financial Times berichtete im April 2025, OpenAI habe die Testzeit für neue Modelle von mehreren Monaten bei GPT-4 auf unter eine Woche bei o3 verkürzt. Der frühere OpenAI-Sicherheitsforscher Steven Adler wertete die Version 2 laut TechCrunch als stille Rücknahme von Sicherheitszusagen, weil Tests feinjustierter Modelle nur noch bei offenen Gewichten vorgeschrieben sind. Eine Analyse auf arXiv kam im September 2025 zu dem Schluss, das Regelwerk garantiere keine einzige Risikominderung und erlaube dem CEO, auch gefährlichere Fähigkeiten freizugeben. Die Organisation SaferAI bewertet OpenAIs Rahmenwerk in ihrem Sicherheits-Tracker in allen vier Dimensionen als „weak“, führt es im Vergleich der Anbieter aber als „Best in Class“. Im August 2026 meldete die Financial Times, das Preparedness-Team sei Ende Juli aufgelöst worden. OpenAI widersprach laut Engadget und erklärte, die Fachteams für die drei Risikobereiche berichteten weiter an die Sicherheitschefin Saachi Jain.

Zwölf Unternehmen haben nach einer Zählung der Prüforganisation METR ein solches Rahmenwerk veröffentlicht, darunter Anthropic, Google DeepMind, Meta, Microsoft, Amazon und SpaceXAI (früher xAI). Die Responsible Scaling Policy von Anthropic arbeitet mit AI Safety Levels. Claude Opus 4 war im Mai 2025 das erste Modell unter ASL-3-Schutz. Das Frontier Safety Framework von Google DeepMind definiert Critical Capability Levels mit Frühwarnschwellen darunter. Bislang hat kein Gemini-Modell ein solches Level erreicht, seit Gemini 2.5 Pro ist aber die Cyber-Frühwarnschwelle überschritten. Der Verhaltenskodex zum EU AI Act verlangt von Anbietern von Modellen mit systemischem Risiko seit August 2025 ein eigenes „Safety and Security Framework“. OpenAI, Google, Anthropic und Microsoft haben ihn unterzeichnet, Meta nicht.