IAPS fordert von den USA, Cloud-Schlupfloch beim Zugang Chinas zu KI-Chips zu schließen

Die Lücke in den bestehenden Exportkontrollen

Das BIS untersagt den Export fortschrittlicher KI-Rechenleistung in Länder, die als problematisch gelten, um die nationale Sicherheit zu schützen. Laut dem IAPS-Bericht, verfasst von Cassia King und mitverfasst von Onni Aarne, steht dennoch eine erhebliche und wachsende Menge in den USA entwickelter Rechenleistung legal zur Miete bereit, und zwar auch für Kunden, die sie nicht kaufen dürfen.

Der Bericht verweist auf Medienberichte, wonach chinesische Modellentwickler und Hyperscaler über Cloud-Dienstleister (Cloud Service Providers, CSPs) außerhalb Chinas aus der Ferne auf die modernsten US-Halbleiter zugreifen. In einem Fall soll Tencent einen fünfjährigen Mietvertrag über rund 100.000 fortschrittliche KI-Chips in Oracle-Rechenzentren in Südostasien unterzeichnet haben. Einer Fußnote zufolge soll der Vertrag etwa 7 Milliarden US-Dollar wert sein, davon rund 30 Prozent als Vorauszahlung. Weder Tencent noch Oracle hätten den Bericht bestätigt.

IAPS erklärt, man habe bereits zuvor geschätzt, dass gemietete US-Rechenleistung allein im Jahr 2026 mindestens 60 Prozent zu der Rechenleistung hinzukommt, die China erwirbt.

Warum IAPS ein Risiko für die nationale Sicherheit sieht

Der Bericht argumentiert, dass der fortgesetzte Cloud-Zugang für chinesische KI-Unternehmen voraussichtlich die größte Quelle an Rechenleistung sein wird, um Chinas erstes Modell auf Mythos-Niveau zu trainieren. IAPS schätzt, dass es etwa im Februar 2027 entwickelt sein wird. Derzeit liegen Chinas leistungsstärkste Frontier-Modelle je nach Modell und Anwendungsbereich rund vier bis acht Monate hinter den führenden US-Modellen.

Diesen Vorsprung zu halten sei wichtig, so IAPS, damit die USA und ihre Verbündeten kritische Infrastrukturnetze härten und Abwehrmaßnahmen aufbauen können, bevor Gegner mit Zugang zu neuen Modellen Schwachstellen ausnutzen. Solche Angriffe könnten von der Volksrepublik China oder von anderen ausländischen Gegnern ausgehen, die chinesische Modelle nutzen. Der Cloud-Zugang ermögliche zudem den breiten Einsatz der führenden chinesischen Modelle. Das vergrößere Nutzerzahl, Umsatz und Trainingsdaten, die wiederum in die Modellentwicklung zurückfließen, heißt es in dem Bericht.

Das vierstufige Modell

Dem Bericht zufolge könnte sich das BIS auf neue Befugnisse aus dem Remote Access Security Act stützen, sollte das Gesetz in Kraft treten, oder bei Bedarf auf seine bestehenden gesetzlichen Befugnisse.

• Stufe 1: Eine Meldepflicht. Auf Grundlage der Befugnisse des Defense Production Act für Branchenerhebungen könnte das BIS die CSPs verpflichten zu melden, wie viel KI-Rechenleistung von Unternehmen in der Volksrepublik China oder anderen sanktionierten Ländern bzw. unter deren Rechtshoheit gemietet wird, etwa die Zahl der Kundenkonten und die Gesamtzahl der innerhalb eines Jahres gemieteten KI-Chips.
• Stufe 2: Ein Verbot, fortschrittliche US-Rechenleistung oberhalb festgelegter Schwellenwerte zu mieten. Die Schwellen betreffen die Cluster-Kapazität pro Instanz, die kumulierte Rechenleistung (FLOP) pro Kunde, Datenzufluss und -abfluss sowie die Kundenausgaben. Kunden, die sie überschreiten, müssen sich verschärften Know-Your-Customer-Prüfungen (KYC) unterziehen, darunter Live-Gespräche mit Vertriebsmitarbeitern und Untersuchungen der wirtschaftlich Berechtigten. Kunden unterhalb der Schwellen könnten ohne Einschränkungen mieten.
• Stufe 3: Ein Verbot jeglichen Fernzugriffs auf KI-Rechenleistung für sanktionierte Länder, mit verschärftem KYC nur für auffällige Kunden. Alle übrigen Kunden würden das Verifizierungsverfahren durchlaufen, das die CSPs bereits nutzen. Das ist eine Antwort auf Umgehungsversuche, bei denen Workloads auf viele Konten unterhalb der Schwellenwerte verteilt werden.
• Stufe 4: Dasselbe Verbot, mit verschärftem KYC für jeden Kunden. IAPS zufolge könnte das als die robusteste Variante erscheinen, würde aber für CSPs und legitime Kunden spürbare Zusatzkosten bedeuten.

Was IAPS empfiehlt

IAPS argumentiert, es gebe bereits genügend öffentliche Berichte, um zu handeln. Das BIS solle daher nicht auf die Ergebnisse einer Erhebung nach Stufe 1 warten und jetzt eine Cloud-Kontrollregel vorbereiten. Mindestens solle das BIS Stufe 2 einführen, um Chinas Modellentwickler und Hyperscaler vom Training von Frontier-Modellen und vom Betrieb großskaliger Inferenz auf US-Rechenleistung abzuschneiden.

Zu Stufe 3 mahnt der Bericht, die Politik solle eskalierende Effekte abwägen. Zivilisten würden den Zugang zu US-Rechenleistung für Forschung etwa in Medizin und Umweltwissenschaften verlieren, und der Ausschluss gewöhnlicher Unternehmen würde faktisch zur wirtschaftlichen Eindämmung Chinas beitragen. Dennoch wäre der Schritt zu Stufe 3 laut IAPS sinnvoll, wenn das BIS feststellt, dass chinesische Unternehmen großskalige Inferenz auf viele kleine Konten unterhalb der KYC-Schwelle auslagern.

Stufe 4 ist aus Sicht von IAPS derzeit voraussichtlich nicht praktikabel, angesichts des Compliance-Aufwands und der Gefahr Tausender falsch-positiver und falsch-negativer Treffer. Sobald CSPs Compliance-Teams aufbauen und neue KI-Werkzeuge zur Kundenverifizierung einführen, könnte das BIS die Schwellen für das verschärfte KYC mit der Zeit senken, um mehr Kunden in das Verfahren einzubeziehen.

Was das für Cloud-Anbieter und die Politik bedeutet

Der Bericht rückt Cloud-Anbieter ins Zentrum jeder künftigen Regelung, da sie die Verifizierungsarbeit leisten müssten. Das abgestufte Design soll es den Regulierern ermöglichen, die Kontrollen erst dann zu verschärfen, wenn Hinweise auf Umgehung auftauchen, und zugleich die Belastung für legitime Kunden zu begrenzen. Für die Politik lautet die Botschaft: Die Kernfrage ist nicht mehr, ob der Fernzugriff eine Lücke darstellt, sondern wie weit eine Regel reichen soll und wie viele Nebenwirkungen für zivile Nutzer hinnehmbar sind.