Das im Antwortobjekt genannte Modell

Ein Nutzer ruft eine API auf und übergibt model: „claude-fable-5". Die Antwort gibt einen Completion-Text, eine Token-Zahl und ein Feld mit dem Inhalt „model": „claude-opus-4-8" zurück.

Es wurde kein Fehler ausgelöst und kein erneuter Versuch gestartet. Bevor die Generierung begann, wurde die Anfrage klassifiziert, einer sensiblen Kategorie zugeordnet und an einen völlig anderen Satz von Gewichten weitergeleitet. Anthropic dokumentierte diesen Vorgang bei der Wiederaktivierung von Fable 5 am 1. Juli: Blockierte Anfragen werden stattdessen an Opus 4.8 gesendet, und der Nutzer wird benachrichtigt. Die Substitution erfolgt auf der API-Ebene, und das Antwortobjekt gibt das Modell an, das tatsächlich die Ausgabe erzeugt hat.

Das ist die transparente Variante. Sie scheint auch einer der wenigen weit verbreiteten Ansätze zu sein, der Nutzern innerhalb des Systems mitteilt, welches Modell tatsächlich ausgeführt wurde. Anfrage-Level-Routing ist häufiger geworden, da die Inferenzkosten mit größeren Modellen gestiegen sind, was Anbieter und Vermittler dazu veranlasst, jede Anfrage an das günstigste Modell zu leiten, das sie verarbeiten kann.

Zwei Wochen später veröffentlichte Cursor Router, einen Klassifikator, der auf mehr als 600.000 Live-Anfragen trainiert wurde. Router liest den Kontext, die Komplexität und die Domäne jeder Anfrage und sendet sie an das Modell, das es als am besten geeignet einschätzt. Cursor gab an, dass drei Early-Access-Konten Einsparungen von 30–50 % gegenüber der Weiterleitung jeder Anfrage an Opus 4.8 meldeten. Cursor veröffentlichte seine Routing-Regeln, gab jedoch kein spezifisches Modell pro Aufgabentyp an.

Auf der Aggregationsebene warnt OpenRouter, dass einige Anbieter quantisierte Gewichte zu niedrigeren Preisen anbieten. Zudem wird darauf hingewiesen, dass die Ausgabe von der abweichen kann, die Gewichte mit voller Präzision erzeugt hätten, und dass Nutzerprotokolle nicht anzeigen, dass dies erfolgt ist.

Diese drei Produkte liefern drei unterschiedliche Antworten auf die Frage, was ein Modell ist. Bislang hat kein Gericht entschieden, welche Antwort das Recht akzeptieren wird.

Drei Wege, wie ein Modellname an Präzision verlieren kann

Die Modellidentität spaltet sich entlang dreier separater Achsen, die oft so diskutiert werden, als handele es sich um dasselbe Problem.

Substitution tritt auf, wenn ein Klassifikator eine Anfrage an eine andere Architektur, andere Gewichte oder ein anderes Fähigkeitsprofil weiterleitet. Beispiele hierfür sind die Weiterleitung von Fable 5 an Opus 4.8 oder das Senden einer Anfrage durch Cursor Auto an das Modell, das sein Router für die jeweilige Runde auswählt.

Degradation tritt auf, wenn dasselbe Modell mit reduzierter Präzision bereitgestellt wird. OpenRouter stellt einen quantizations-Parameter bereit, da quantisierte Endpunkte bei bestimmten Prompts schlechter abschneiden können. Standardmäßig werden Anfragen über Anbieter lastbalanciert, die nach Preis sortiert sind. In der Anfrage kann derselbe Modellname erscheinen, aber am anderen Ende kann eine andere Arithmetik verwendet werden.

Drift tritt auf, wenn derselbe Name auf automatisch aktualisierte Gewichte verweist. Ein -latest-Alias in der Produktion ist eine unversionierte Abhängigkeit, vergleichbar mit einem Paketmanifest, das keine Version fixiert. Modellanbieter haben üblicherweise datierte Snapshot-Bezeichner neben Aliasen verwendet, aber Aliase selbst führen kein Deprecation- oder Änderungsprotokoll, es sei denn, der Anbieter veröffentlicht eines.

Ingenieure betrachten Substitution, Degradation und Drift in der Regel als Zuverlässigkeitsprobleme. Sie sind jedoch auch Identitätsprobleme, und Identität ist zentral für Verträge, Gewährleistungen, Offenlegungen und Beweisregeln.

Was wurde tatsächlich gekauft?

Die handelsrechtliche Frage beginnt damit, ob die Beschreibung Bestandteil des Geschäfts war.

Würde ein API-Aufruf als Warenverkauf behandelt, wäre die Frage nahezu eindeutig. UCC §2-313(1)(b) macht jede Beschreibung von Waren, die Teil der Grundlage des Geschäfts ist, zu einer ausdrücklichen Gewährleistung, dass die Waren dieser Beschreibung entsprechen. Indiens Sale of Goods Act, 1930, §15 erfüllt eine ähnliche Funktion durch die Lehre vom Verkauf nach Beschreibung.

Eine Inferenz-API wird jedoch wahrscheinlich nicht als Ware behandelt. Gerichte haben gehostete Software im Allgemeinen als Dienstleistung eingestuft, wodurch das Problem aus den Gewährleistungsgesetzen heraus in das Common-Law-Vertragsrecht verlagert wird. Wenn ein Geschäft sowohl Güter als auch Dienstleistungen umfasst, wenden US-Gerichte einen Predominant-Purpose-Test an, der die Substanz des Geschäfts und nicht dessen Bezeichnung prüft. Nach diesem Rahmen hängt die Antwort davon ab, was die Dokumentation besagte und wie spezifisch der Käufer verhandelte. Genau dort entsteht die Mehrdeutigkeit. Enterprise-Vereinbarungen bepreisen Dienstleistungen pro Modell. Modellkarten sind modellspezifisch. Compliance-Artefakte identifizieren Modellversionen. Dennoch kann die Routing-Schicht den Modellnamen als Hinweis而非 als feste Anweisung behandeln.

Die Konsequenzen werden in softwaretechnischen Begriffen am deutlichsten: Wenn Code eine Modell-ID fixiert, anstatt eine Fähigkeitsanforderung zu formulieren, kann sich das Verhalten wesentlich ändern, ohne dass ein Fehler ausgelöst wird. Ein auf dieselbe Weise verfasster Vertrag weist denselben Mangel auf. Wenn der Käufer für einen Namen verhandelt hat, kann die Substitution ein Vertragsbruch sein. Wenn der Käufer für eine Fähigkeit verhandelt hat, kann die Substitution zulässig sein — dann benötigen die Parteien jedoch eine Definition von „frontier quality", die einer Überprüfung standhält.

Es existiert keine allgemein anerkannte Definition. Cursors Router veranschaulicht das Problem. Er wurde in einem Online-A/B-Test evaluiert, der die Nutzerzufriedenheit als Belohnungssignal optimierte. Das mag eine vernünftige technische Entscheidung sein, ist aber ein schwieriges vertragliches Maß. Zufriedenheit ist nicht dasselbe wie Konformität. Ein Nutzer, der einen Modellwechsel nicht bemerkt hat, könnte zeigen, dass der Router gut funktionierte, nicht dass ein spezifiziertes Produkt geliefert wurde.

Der Offenlegungs-Gradient

Nach der FTC-Irreführungslehre kann eine Angabe rechtlich angreifbar sein, wenn sie wesentlich ist und einen vernünftig handelnden Verbraucher wahrscheinlich in die Irre führt. Objektive Leistungsbehauptungen erfordern zudem eine reasonable Basis, bevor sie verbreitet werden. Beide Konzepte sind für das KI-Routing relevant.

Die drei Produkte befinden sich an unterschiedlichen Punkten im Offenlegungsspektrum. Anthropic benachrichtigt Nutzer und gibt das bereitgestellte Modell in der Antwort zurück. Cursor veröffentlicht Routing-Regeln, legt aber keine modellspezifischen Zuweisungen pro Aufgabe offen. OpenRouter weist in seiner Dokumentation auf die Quantisierungsvarianz hin und ermöglicht es Nutzern, diese über einen Parameter zu steuern, jedoch ist die Einstellung opt-out und die Standardroute ist der kostengünstigere Pfad.

Eine Offenlegung, die in der Dokumentation verborgen und standardmäßig zum Nachteil des Nutzers eingestellt ist, ähnelt Faktenmustern, die Aufsichtsbehörden in anderen Verbrauchermärkten als Dark Patterns bezeichnet haben.

Hinsichtlich der Substantiierung bezieht sich die rechtliche Haftung auf die Behauptung und nicht auf den Routing-Mechanismus selbst. Kommentatoren haben bereits darauf hingewiesen, dass eine Behauptung wie „60 % günstiger, kein Qualitätsverlust" eine veröffentlichte Methodik erfordern würde, um sie zu stützen. Anthropics eigene Offenlegung zeigt die Kosten der Aufrichtigkeit: Das Unternehmen erklärte unmissverständlich, dass der neu trainierte Klassifikator bei routinemäßigem Programmieren und Debuggen häufiger harmlose Anfragen markiert. Dieser Satz fungiert als Haftungsschild. Anbieter, die keine vergleichbare Spezifität bieten, könnten einer genaueren Prüfung unterzogen werden.

Der EU AI Act, der im August 2024 in Kraft trat, fügt eine parallele Transparenzspur hinzu. Seine Bestimmungen über Modelle allgemeiner Zweckbestimmung verlangen von Anbietern, technische Dokumentation zu veröffentlichen und aktuell zu halten sowie mit nachgelagerten Bereitstellern zusammenzuarbeiten, damit diese die Fähigkeiten und Einschränkungen eines Modells verstehen können. Wie sich diese Pflichten auf eine Routing-Schicht übertragen, die möglicherweise Modelle pro Anfrage austauscht, ist noch nicht erprobt worden.

Es gibt auch ein wettbewerbsrechtliches Problem. Arbeitspapiere zum vertikalen Foreclosure in Inferenzmärkten haben Verhaltensrahmen vorgeschlagen, die auf Routing-Transparenz, QoS-Parität und FRAND-artiger Nichtdiskriminierung basieren. Ein Router, der von einem Erstpartei-Modellanbieter betrieben wird, kann zu einem Self-Preferencing-Mechanismus werden, der als Kostenoptimierung dargestellt wird.

Authentifizierung könnte zum zentralen Streitpunkt werden

Die wichtigste Rechtsfrage dürfte nicht die Abrechnung sein, sondern die Authentifizierung.

Federal Rule of Evidence 901(b)(9) authentifiziert eine Ausgabe, indem sie den Prozess oder das System beschreibt, das sie erzeugt hat, und nachweist, dass der Prozess ein genaues Ergebnis liefert. FRE 902(13) und 902(14) gehen noch weiter, indem sie es Aufzeichnungen, die von einem elektronischen System generiert wurden, oder per Hash verifizierten Daten ermöglichen, sich durch Zertifizierung selbst zu authentifizieren. Indiens Bharatiya Sakshya Adhiniyam, 2023, §63 erfüllt eine analoge Funktion, indem er die Zulässigkeit eines elektronischen Datensatzes von einem Zertifikat abhängig macht, das den Datensatz und die Art seiner Entstehung identifiziert.

Alle diese Bestimmungen setzen voraus, dass das System benannt werden kann.

Man stelle sich ein Szenario vor, in dem ein Anwalt ein Briefing mit einer erfundenen Quellenangabe einreicht und Sanktionsverfahren eingeleitet werden. Das Gericht fragt, welches Modell den Text erzeugt hat. Die Protokolle der Anwaltskanzlei besagen Fable 5. Die Protokolle des Anbieters zeigen, dass ein Klassifikator ausgelöst wurde und Opus 4.8 geantwortet hat. Alternativ könnte die Anfrage einen IDE-Router passiert haben, der ein Modell ausgewählt hat, das die Kanzlei nicht rekonstruieren kann, mit einer Präzision, die sie nie spezifiziert hat, auf einer Version, die inzwischen eingestellt wurde.

In dieser Situation bricht die Beweiskette am Router — nicht am Modell, sondern am Dispatcher. Der Bruch wirkt in beide Richtungen. Eine Partei, die versucht, ihre eigene Ausgabe zu authentifizieren, ist möglicherweise dazu nicht in der Lage, während eine Partei, die die Ausgabe der Gegenseite angreift, ein Zuverlässigkeitsargument erhält, das für einen Sachverständigen schwer zu widerlegen sein dürfte.

Die Discovery fügt ein weiteres Problem hinzu. Nach US-Zivilverfahrensrecht entsteht die Pflicht zur Aufbewahrung potenziell relevanter Informationen, wenn Rechtsstreitigkeiten vernünftigerweise zu erwarten sind, nicht erst, wenn eine Vorlageanordnung eintrifft. Routing-Entscheidungen können zu entscheidungserheblichen Fakten werden. Das macht Router-Klassifikator-Protokolle, modellspezifische Zuweisungen pro Anfrage und Präzisions-Metadaten potenziell von Anbietern discovery-fähig, die derzeit möglicherweise keine Verpflichtung haben, sie aufzubewahren.

Die vorgeschlagene Lösung ist eine Signatur, nicht nur eine Vertragsklausel

Verträge allein können das Problem möglicherweise nicht lösen, da die relevante Angabe ein Laufzeitereignis betrifft, Verträge jedoch statische Dokumente sind.

Das Rechtssystem könnte schließlich eine attestierbare Modellidentität verlangen: eine signierte Assertion, die mit jeder Antwort zurückgegeben wird und die Completion an ein Tupel bindet, das den Bezeichner des bereitgestellten Modells, den Hash der Gewichte, die Präzision und den Hash des System-Prompts umfasst. Diese Assertion würde von einem Schlüssel signiert, der in der Hardware-Attestierung verwurzelt ist — eine Fähigkeit, die bereits von Confidential-Computing-GPU-Plattformen wie NVIDIAs Hopper-Architektur mit ihrer Confidential-Computing-Funktion unterstützt wird.

Teile des Primitivs existieren bereits. Antwortobjekte können den Namen des bereitgestellten Modells enthalten. Was fehlt, ist die Eigenschaft, die die Informationen rechtlich nutzbar machen würde: Die Assertion darf nicht fälschbar sein, und der Käufer muss sie verifizieren können, ohne dem Verkäufer vertrauen zu müssen. Ein Hash in einem Response-Header könnte für die Modellidentität das leisten, was FRE 902(14) bereits für kopierte Daten tut: eine strittige Sachfrage in ein Zertifikat umwandeln.

Routing kann solides Engineering sein. Derzeit kann es auch eine unprotokollierte, unsignierte und unverifizierbare Substitution dessen darstellen, was ein Nutzer zu wählen glaubte. Die Modell-ID ist stillschweigend zu einem rechtlichen Identifikator geworden, und die offene Frage ist, was genau sie identifiziert.

Quellen

Cursor, „Introducing Cursor Router" (22. Juli 2026) —

MarkTechPost, „Cursor Releases Cursor Router: A Request-Level Classifier Delivering Frontier Coding Quality at 30–50% Lower Cost" (22. Juli 2026) — https://www.marktechpost.com/2026/07/22/cursor-releases-cursor-router-a-request-level-classifier/

Anthropic, „Redeploying Claude Fable 5" (30. Juni 2026) —

Espressio, „Claude Fable 5 Safeguards: The Opus 4.8 Fallback Explained" (22. Juni 2026) —

Digital Applied, „Why Claude Just Got More Cautious About Your Code" (2026) —

OpenRouter, „Provider Routing — Provider Selection" (Dokumentation) —

OpenRouter, „Lowest-Cost LLM Inference: The Complete OpenRouter Guide" (12. Juni 2026) —

OpenRouter, „How OpenRouter Model Routing Works" (12. Juni 2026) —