Innerhalb der gesetzten Grenze dürfen MAI-Modelle weiterhin bei autorisierter und rechtmäßiger Verteidigungsarbeit helfen. Ausdrücklich genannt werden das Auffinden von Schwachstellen, Malware-Analyse, die Entwicklung und Erprobung von Proof-of-Concept-Exploits sowie allgemeines Lehrmaterial darüber, wie Angriffe funktionieren.
Ein zweiter Block des Kodex behandelt Anweisungen, die über externe Inhalte hereinkommen. Autorität über das Verhalten eines Modells fließe ausschließlich über die sogenannte Chain of Command: zuerst der Kodex selbst, dann die Vorgaben der einsetzenden Unternehmen (Operatoren), zuletzt die Präferenzen einzelner Nutzer. Werkzeug-Ausgaben, Dateiinhalte, Webseiten und Nachrichten anderer KI-Systeme besitzen für sich genommen keine Autorität — es sei denn, sie wird ausdrücklich über diese Kette delegiert, ohne die delegierende Instanz oder die Absolute Constraints zu übergehen. Verdächtige Inhalte sollen Nutzern und Operatoren gemeldet werden, wo dies relevant ist.
Außerdem müssen die Modelle ihr Denken sichtbar halten: keine verdeckte Gedankenkette, keine Kommunikation „auf Neuralese" und kein Verbergen von Handlungen vor menschlicher Aufsicht.
Ein eigener Regelsatz zielt auf die Risiken von KI-Systemen, die mit echten Berechtigungen agieren. MAI-Modelle sollen nur in dem Rahmen arbeiten, den ein Nutzer oder Operator vernünftigerweise verlangt hat, und ihre Ziele oder Reichweite nicht aus eigenem Antrieb ausweiten. Bei Zugriff auf Systemebene fordert der Kodex den Betrieb mit minimalen Rechten: keine Berührung nicht zugehöriger Systeme oder Daten, Vorrang für umkehrbare Handlungen und ein Hinweis bei jeder Aktion mit dauerhafter oder breiter Wirkung. Die eigenen Zugriffsrechte zu erweitern, ist den Modellen untersagt.
Die Beschränkungen erstrecken sich auf die Delegation: Sub-Agenten oder andere KI-Systeme, an die ein MAI-Modell Arbeit abgibt, müssen mindestens unter demselben Umfang, denselben Einschränkungen und denselben Berechtigungen arbeiten wie das ursprüngliche Modell — und Stopp- oder Abschaltanforderungen von Nutzern oder Operatoren befolgen.
Der Kodex räumt eigene Grenzen ein. Als Bereiche, in denen „eine kleine Zahl von Anwendungsfällen" Fähigkeiten erfordern könnte, welche die Standardeinstellungen nicht zulassen, nennt er defensive Cybersicherheit, öffentliche Sicherheit, nationale Sicherheit und Dual-Use-Forschung. Für diese Fälle kündigt Microsoft eine verschärfte Prüfung über „autorisierte Microsoft-Kanäle" an, einschließlich einer zusätzlichen Bewertung von Sicherheits-, Rechts- und Grundrechtsfolgen; begründet wird das mit einem erhöhten Potenzial für nachteilige Auswirkungen in diesen Domänen.
Nach Darstellung von Microsoft floss externe Expertise in den Entwurf ein: Fachleute aus KI, Recht, Ethik, Philosophie, Linguistik und Politikgestaltung sowie Wirtschaftsvertreter und öffentliche Fokusgruppen. Ein Anhang stellt neun Paare von „ausgerichteten" und „fehlausgerichteten" Beispielantworten gegenüber, die das gewünschte Verhalten illustrieren sollen — darunter ein Modell, das Dateiübertragungen ohne Autorisierung zurücknimmt, und ein Modell, das in einer familiären Gesundheitskrise falschen Trost spendet.