Anthropic verliert gegen das Pentagon: Claude auszurichten heißt, es zu „manipulieren“

Zwei rote Linien und ein Ultimatum

Alles beginnt 2024, als das Pentagon und der Geheimdienst Claude über Subunternehmer auf ihren klassifizierten Systemen nutzen. Das kommerzielle Modell verweigert dann legitime Aufgaben: Zusammenfassungen von Bedrohungsanalysen, Bearbeitung klassifizierter Dokumente, Übersetzung von Abhörprotokollen, die Gewalt beschreiben.

Anthropic reagiert mit Claude Gov, im März 2025 gestartet, und einer speziellen Vertragsergänzung für die Regierung. Im Juli 2025 ist das Unternehmen Teil eines KI-Vertrags über 200 Millionen Dollar. Am Ende erlaubt es Waffendesign, die Analyse ausländischer Nachrichtendienste und offensive Cyberoperationen, behält aber zwei Verbote bei: autonome Kriegsführung mit Todesfolge und Massenüberwachung von Amerikanern.

Am 9. Januar 2026 veröffentlicht Pete Hegseth eine „AI-first“-Strategie, die Modelle „frei von Nutzungsbeschränkungen“ und eine „any lawful use“-Klausel fordert. Zur gleichen Zeit äußert eine Führungskraft von Anthropic Bedenken über den Einsatz von Claude in einer militärischen Auslandsoperation, die laut den zu den Akten gegebenen Presseberichten mit der Festnahme von Nicolás Maduro am 3. Januar in Verbindung steht. Hinzu kommt eine Ablehnung durch Claude gegenüber Anfragen der CDC zur Prävention von Infektionskrankheiten.

Am 24. Februar empfängt Hegseth Dario Amodei und setzt ein Ultimatum bis zum 27. Am 26. lehnt Amodei öffentlich ab, verspricht aber einen „sanften Übergang“. Am 27. prangern Trump und Hegseth Anthropic in den sozialen Medien an; die formelle Einstufung erfolgt am 3. März, und das Pentagon wendet sich OpenAI zu.

Der Kern des Urteils: Manipulation ohne böse Absicht

Das Gesetz definiert das „Supply Chain Risk“ als das Risiko, dass eine Person ein Computerprodukt „sabotieren, böswillig eine unerwünschte Funktion einbauen, Daten extrahieren oder anderweitig manipulieren“ kann, um seine Funktionsweise „zu überwachen, zu verweigern, zu stören oder anderweitig zu manipulieren“.

Anthropic argumentierte, dieser Wortlaut setze feindliche Absicht voraus. Richter Gregory Katsas hält sich an die übliche Bedeutung: Manipulieren heißt „mit Geschick arrangieren, betreiben oder kontrollieren“. Seiner Ansicht nach besteht nicht nur ein Risiko, sondern eine „Gewissheit“, dass Anthropic Claude so konfiguriert, dass es die Funktion der autonomen Kriegsführung oder der Massenüberwachung verweigert.

Die Mehrheit erkennt die „edlen Absichten“ von Anthropic an, sei es in Sachen Privatsphäre oder KI-Sicherheit, hält sie aber für irrelevant. Sie fügt hinzu, dass ein Gesetz zur nationalen Sicherheit im Bereich öffentlicher Beschaffung, ohne straf- oder zivilrechtliche Haftung, im Zweifel zugunsten der Exekutive ausgelegt werde.

Der Kontrast zu Kalifornien ist zentral. Am 27. August 2026 hatte ein Bundesgericht dort die auf 10 U.S.C. § 3252 gestützte Einstufung aufgehoben, deren Definition sich auf einen „Gegner“ und „Subversion“ bezieht. Das Berufungsgericht stellt weder diese Lesart noch die fehlende Böswilligkeit von Anthropic infrage, hält das Gesetz von 2018 aber für deutlich weiter gefasst.

Warum das Fehlen eines Kill-Switches nicht ausreicht

Anthropic erklärte, es könne nach der Auslieferung an klassifizierte Systeme weder auf ein Modell zugreifen, es ändern noch abschalten. Das Pentagon könne demnach jede neue Version testen und die alte behalten, falls sie nicht passe.

Das Gericht verwirft dieses Argument. Die umstrittenen Beschränkungen „definieren sich nicht von selbst“: Es gibt tausend Grade menschlicher Beteiligung an einer Zielentscheidung. Vize-Staatssekretär Emil Michael betont die Undurchsichtigkeit von Modellen mit seiner Schätzung nach „5 bis 10 Billionen“ Parametern, was jede rigorose Prüfung „mathematisch unmöglich“ mache. Anthropic selbst räumt ein, dass Claude je nach Formulierung einer Anfrage unterschiedlich antworten kann.

Auch das Verweigern von Updates ist laut den Richtern keine Option. Anthropic hat 2025 drei Versionen von Claude Gov ausgeliefert, und Amodei selbst spricht von Schwärmen autonomer Drohnen, die eine „unschlagbare Armee“ bilden. Das Pentagon könne keine KI-Systeme nutzen, die „in Bernstein eingeschlossen“ bleiben, entscheidet das Gericht.

Dringlichkeit, Verfahren und Erster Verfassungszusatz

Zu weniger einschneidenden Maßnahmen beklagte Anthropic einen Reputationsschaden. Das Gericht zweifelt daran unter Verweis auf das Wall Street Journal, wonach das Unternehmen Investitionsangebote erhalten hat, die es mit über 900 Milliarden Dollar bewerten. Die Idee, den Ausschluss auf sensible Systeme zu beschränken, wird als unzureichend begründet und für ein Modell, das in andere Anwendungen integriert ist, als undurchführbar eingestuft.

Zur Dringlichkeit entscheidet das Gericht die Sachfrage nicht und wendet die Regel des unschädlichen Fehlers an. Anthropic konnte bereits am 19. März antworten, und sein Antrag auf Überprüfung wurde am 3. Juni abgelehnt: Eine frühere Ankündigung hätte nichts geändert. Auch im Hinblick auf das Due-Process-Prinzip reicht ein nachträgliches Verfahren aus, zumal Angriffe gegen den Iran, bei denen laut WSJ Claude eingesetzt wurde, zwei Tage nach der Ablehnung durch Anthropic begannen.

Zur Meinungsfreiheit räumt das Gericht ein, dass Anthropics Eintreten für eine sichere KI geschützt ist und dass der Ausschluss eine echte Sanktion darstellt. Es sieht jedoch keinen kausalen Zusammenhang: Das Pentagon hat trotz dieser Äußerungen jahrelang mit Anthropic zusammengearbeitet. Hegseths Formulierungen über „moralisierende Rhetorik“ und „virtue-signaling“ ändern nichts, denn der Kern des Streits bleibt die Verweigerung eines „Vetorechts“ über militärische Entscheidungen.

Das abweichende Votum Henderson: ein besorgniserregender Blankoscheck

Richterin Karen LeCraft Henderson vertritt die enge Bedeutung von „manipulieren“: auf „subtile, hinterlistige oder unlautere“ Weise beeinflussen. Sie berufe sich auf die Auslegungsgrundsätze noscitur a sociis und ejusdem generis: Ein Wort wird durch die es umgebenden Begriffe verständlich, und „sabotieren“ oder „böswillig einbauen“ prägen den Rest der Liste.

Sie illustriert dies mit einer fiktiven Bibliotheksordnung: „nicht schreien, nicht laut telefonieren, keine Musik hören oder anderweitig stören.“ Niemand würde darin ein Verbot sehen, Musik mit Kopfhörern zu hören. Die Mehrheit antwortet, dieses Beispiel funktioniere aus einem anderen Grund, und das Adverb „böswillig“ modifiziere nur das darauf folgende Verb.

Ihr stärkstes Argument betrifft die Konsequenzen. Mit der übernommenen Lesart wird jeder Anbieter, der ehrlich und offen bereits von der Regierung akzeptierte Beschränkungen umsetzt, zu einer potenziellen Bedrohung. Sein Nachfolger hätte dieselbe Wahl: nachgeben oder als nationales Sicherheitsrisiko eingestuft werden. Sie erinnert schließlich daran, dass das Gesetz laut seinen Gesetzgebungsmaterialien auf feindliche Staaten und Unternehmen zielte, die „ausländischen Regierungen rechenschaftspflichtig“ sind.

Das letzte Wort hat die Exekutive

Das Fazit der Mehrheit erkennt die Schwierigkeit an. Auf der einen Seite zu stark eingeschränkte Modelle, die mitten in einer Operation aufhören könnten zu funktionieren. Auf der anderen Seite Modelle ohne Leitplanken, die für einen tödlichen Angriff Ziele „halluzinieren“ könnten.

Beide Risiken betreffen die nationale Sicherheit, meint das Gericht. Aber „in unserer Republik“ sei es Aufgabe des Präsidenten und des Secretary of War, zwischen ihnen zu entscheiden. Die Klagen werden abgewiesen.