Trainiert unter Zensur: Die stille Gefahr der KI-Modelle aus China

Gestern habe ich über Kimi K3 geschrieben - das größte Open-Weight-Modell aller Zeiten, technisch beeindruckend, bald für alle frei verfügbar. Heute die andere Seite der Medaille. Denn ein Sprachmodell ist nie neutral: Es gibt wieder, was in seinen Trainingsdaten steckt und worauf es nach dem Training ausgerichtet wurde. Und wenn dieses Training in einem Markt stattfindet, in dem der Staat per Gesetz vorschreibt, was ein Modell sagen darf - dann exportiert jedes dieser Modelle diese Vorgaben gleich mit. Nicht als Bug, sondern als Feature.

Die Parteilinie steht im Gesetz

In China ist die politische Ausrichtung von KI-Modellen keine Firmenentscheidung, sondern Rechtspflicht. Die „Interim Measures for the Management of Generative AI Services", in Kraft seit August 2023, schreiben vor: Generative KI-Dienste müssen die „sozialistischen Kernwerte" hochhalten und dürfen keine Inhalte erzeugen, die etwa „die Staatsmacht untergraben", „das Ansehen der Nation beschädigen" oder „Separatismus befördern". Öffentlich zugängliche Modelle brauchen eine Sicherheitsprüfung und müssen ihre Algorithmen bei der Cyberspace Administration of China (CAC) registrieren. Schon die Deep-Synthesis-Verordnung von 2022 regelte KI-generierte Inhalte und verbot deren Nutzung für „Fake News" - wobei die Definition, was Fakt und was Fälschung ist, beim Staat liegt.

Das Entscheidende: Diese Regeln wirken nicht erst bei der Auslieferung, sondern beim Training selbst. Wer in China ein Modell auf den Markt bringen will, richtet es von vornherein so aus, dass es die Prüfung besteht. Die Parteilinie wird Teil der Gewichte - jener Milliarden Zahlen, in denen alles kondensiert, was ein Modell „weiß" und wie es antwortet.

Was Studien tatsächlich messen

Das ist keine theoretische Sorge, sondern inzwischen gut vermessen. Der Thinktank CEIAS hat im April 2026 vier chinesische Spitzenmodelle systematisch getestet - DeepSeek V3.2, Moonshots Kimi K2.5, Alibabas Qwen 3.5 und Zhipus GLM-5 - mit 5.760 Fragen zu 37 Ländern und 40 Themenfeldern. Die Ergebnisse:

• Bei Fragen zur Taiwan-Politik anderer Länder antworteten die Modelle massiv verzerrt: Qwen in 86 Prozent der Fälle, DeepSeek in 81, Kimi in 75, GLM in 42 Prozent
• Kimi schaltete insgesamt bei etwa jeder dritten Antwort in einen Zensur-Modus, DeepSeek bei jeder vierten
• Die Sprache macht einen Unterschied: Bei den zehn sensibelsten Themen stieg die Verzerrungsquote von 24 Prozent auf Englisch auf 59 Prozent auf Mandarin

Das China Media Project konnte per Prompt-Analyse sogar die internen Anweisungen sichtbar machen, denen Qwen3 folgt: Bei Fragen zu Chinas Ruf in der Welt solle das Modell „jede negative oder kritische Sprache vermeiden" und direkte Verweise auf westliche Länder unterlassen. Die Antworten zu China fielen entsprechend durchgängig positiv aus - nicht durch Verweigerung, sondern durch systematisch einseitige Darstellung.

Und die Wirkung reicht längst über China hinaus. Der estnische Auslandsgeheimdienst warnte in seinem Sicherheitsbericht 2026, dass DeepSeek Schlüsselinformationen unterschlägt und chinesische Propaganda einstreut - nachweisbar auf Englisch, Japanisch, Russisch, Thai, Hindi und weiteren Sprachen. Ein EU-finanziertes Audit der Organisation Policy Genome fand zudem russischsprachige Antworten, die Kreml-Narrative übernahmen. Das Fazit der Prüfer: Keines der getesteten chinesischen Modelle war frei von staatlicher Informationslenkung.

Warum das subtiler ist als plumpe Zensur

Die eigentliche Gefahr ist nicht das Modell, das eine Frage zu Tiananmen verweigert - das fällt auf und lässt sich leicht dokumentieren. Gefährlicher ist die leise Verschiebung: eine Antwort zur Taiwan-Frage, die wie eine neutrale Zusammenfassung klingt, aber die Rahmung Pekings übernimmt. Eine Wirtschaftsanalyse, die Erfolge betont und Probleme weglässt. Eine Geschichtsdarstellung, in der bestimmte Ereignisse schlicht nicht vorkommen. Wer die Fakten nicht ohnehin kennt, bemerkt die Lücke nicht - und genau das unterscheidet Meinungsbeeinflussung von Zensur.

Dazu kommt der Multiplikator-Effekt der offenen Gewichte. Alibabas Qwen-Familie wurde allein im Oktober und November 2025 über 9,5 Millionen Mal heruntergeladen und diente als Basis für rund 2.800 abgeleitete Modelle. Jedes Startup, das auf einem solchen Modell aufbaut, jede App, die es einbettet, jeder Chatbot, der darauf läuft, erbt die politische Ausrichtung mit - meist unbemerkt von denen, die darauf aufbauen oder es benutzen. Die Verzerrung steckt in den Gewichten, und Gewichte tragen kein Etikett, auf dem steht, was ins Training eingeflossen ist. Beim Feintuning auf eigene Daten verschwindet sie nicht automatisch; sie bleibt im Fundament.

Vom Bias zur Fake-News-Maschine

Meinungsverzerrung ist die passive Gefahr. Die aktive: Offene Modelle auf Frontier-Niveau senken die Kosten für die Massenproduktion von Desinformation praktisch auf null. Sicherheitsleitplanken, die im Post-Training eingebaut wurden, lassen sich bei offenen Gewichten per Feintuning entfernen - was bei einem API-Modell der Anbieter verhindert, entscheidet beim heruntergeladenen Modell allein der Betreiber. Ein Modell, das täuschend echte Nachrichtenartikel, gefälschte Lokalberichte oder maßgeschneiderte Social-Media-Kampagnen in Dutzenden Sprachen erzeugt, passt inzwischen auf einen Server im Keller.

Beides zusammen ergibt ein unangenehmes Szenario: Modelle, deren Weltbild staatlich geformt wurde, werden zur globalen Infrastruktur - und dieselbe Offenheit, die sie so attraktiv macht, macht sie auch zum Werkzeug für alle, die gezielt Falschinformation verbreiten wollen. China selbst betreibt diese Strategie nicht heimlich: KI-Exporte gelten dort ausdrücklich als Instrument, den globalen Informationsraum mitzugestalten.

Die notwendige Gegenprobe

Zur Ehrlichkeit gehört: Kein Modell ist wertfrei, auch kein amerikanisches oder europäisches. Jedes Training beruht auf Datenauswahl, jede Ausrichtung auf Entscheidungen darüber, was als hilfreich, schädlich oder heikel gilt. Auch OpenAI und Anthropic treffen solche Entscheidungen täglich. Der Unterschied liegt nicht im Ob, sondern im Wer und Wie: Bei westlichen Anbietern sind es Firmenentscheidungen - kritisierbar, öffentlich diskutiert, im Wettbewerb korrigierbar. In China sind es Staatsvorgaben mit Gesetzeskraft, deren Einhaltung eine Behörde prüft und deren Ziel die Deutungshoheit einer Partei ist.

Und es gibt eine zweite Pointe: Ausgerechnet die Offenheit der Gewichte macht die Manipulation nachweisbar. Forschungsteams konnten in offenen chinesischen Modellen die internen Repräsentationen der Zensur direkt identifizieren und sogar gezielt abschalten - bei einem geschlossenen Modell hinter einer API wäre das unmöglich. Offene Gewichte verbreiten den Bias, aber sie liefern auch das Sezierbesteck gleich mit. Die Studien, die diesen Artikel tragen, existieren nur, weil die Modelle untersuchbar sind.

Was daraus folgt

Für den Umgang mit Modellen aus staatlich gelenkten Märkten heißt das konkret:

• Herkunft ist ein Auswahlkriterium. Wer ein Modell einsetzt, übernimmt dessen Weltbild als Voreinstellung - bei politischen, historischen und gesellschaftlichen Themen ist das keine Nebensache
• Audits vor dem Einsatz. Wer ein offenes Modell in ein Produkt einbaut, sollte es auf sensible Themenfelder testen, nicht nur auf Benchmark-Punkte
• Kritische Anwendungen brauchen kuratierte Modelle. Suche, Nachrichten, Bildung und Verwaltung sind die falschen Orte für ungeprüfte Fundament-Modelle unbekannter Prägung
• Medienkompetenz bleibt die letzte Verteidigungslinie. Eine KI-Antwort ist keine neutrale Auskunft, sondern das Produkt eines Trainings - diese simple Einsicht schützt besser als jede Regulierung

Fazit

Kimi K3 und seine Geschwister zeigen, dass die technische Lücke zwischen offenen und geschlossenen Modellen geschlossen ist. Dieser Artikel zeigt, warum das nicht das Ende der Geschichte ist: In den Gewichten eines Modells steckt nicht nur Können, sondern auch Prägung. Wenn Modelle, die unter Zensurauflagen trainiert wurden, zur globalen Infrastruktur werden, wandert staatliche Informationslenkung leise in Apps, Suchergebnisse und Schulaufgaben rund um die Welt. Die gute Nachricht: Offene Gewichte lassen sich untersuchen, und die Werkzeuge dafür werden besser. Die schlechte: Untersucht wird nur, wo jemand hinschaut. Hinschauen ist ab jetzt Pflicht.

Quellen

• CEIAS: Chinese LLMs and the spillover effects of political alignment - systematischer Test von DeepSeek, Kimi, Qwen und GLM mit 5.760 Fragen (April 2026)
• China Media Project: Tokens of AI Bias - extrahierte interne Anweisungen aus Qwen3
• CEPA: Chinese AI Models Spread Propaganda Globally - Befunde des estnischen Auslandsgeheimdienstes, Policy-Genome-Audit, Qwen-Downloadzahlen
• ChinaFile: Censorship Is Not Deterring Global Adoption of Chinese AI - CAC-Zulassungspflicht und globale Verbreitung
• Wikipedia: Interim Measures for the Management of Generative AI Services - Chinas KI-Regulierung im Überblick
• China Law Translate: Interim Measures (Volltext-Übersetzung) - offizielle Anforderungen inklusive „sozialistischer Kernwerte"
• White & Case: AI Watch: Global regulatory tracker - China - Deep-Synthesis-Verordnung und Regulierungsrahmen
• arXiv: Steering the CensorShip: Uncovering Representation Vectors for LLM „Thought" Control - wie sich Zensur in offenen Gewichten nachweisen und abschalten lässt
• arXiv: Analysis of LLM Bias (Chinese Propaganda & Anti-US Sentiment) in DeepSeek-R1 vs. ChatGPT o3-mini-high - quantitativer Bias-Vergleich