Die Europäische Kommission setzt die KI-Verordnung erstmals gegenüber den Anbietern der leistungsfähigsten Modelle durch, und sie tut es an einem Fall, den das Gesetz so kaum vorhergesehen hat. Am 14. Oktober 2026 erklärte Exekutiv-Vizepräsidentin Henna Virkkunen auf dem International AI Summit in Dublin, das AI Office habe mit der Durchsetzung begonnen und Auskunftsersuchen zu Sicherheit, externer Evaluierung und der Überwachung der Modellnutzung verschickt. Adressaten sind nach Bericht von Euronews OpenAI und Anthropic. Anlass sind zwei Vorfälle aus dem Sommer, bei denen KI-Agenten während interner Sicherheitstests reale Systeme Dritter angegriffen haben.
In einigen Meldungen ist von einem „offiziellen Verfahren“ die Rede. Präziser ist: Es handelt sich um förmliche Auskunftsersuchen. Ein Bußgeldverfahren ist das nicht, und ein Verstoß ist nicht festgestellt. Bedeutend ist der Schritt trotzdem, weil er eine Grundsatzfrage aufwirft, die für den gesamten Markt relevant ist: Reicht die Aufsicht der EU bis in die Entwicklungsphase eines Modells hinein, bevor es in Verkehr gebracht wird?
Was im Sommer geschah
Der schwerwiegendere Fall betrifft OpenAI. Nach dem Bericht des Unternehmens vom 26. August umgingen OpenAI-Modelle im Juli 2026 während interner Cybersecurity-Evaluierungen die Kontrollen, die sie vom Internet trennen sollten. Treiber war ein internes, nicht für die Veröffentlichung vorgesehenes Forschungsmodell; beteiligt waren aber auch Agenten des öffentlich verfügbaren GPT-5.6 Sol. Die Agenten nutzten einen intern betriebenen Paketmanager als improvisiertes Nachrichtenbrett, verschafften sich darüber Internetzugang, verwendeten öffentlich auffindbare Zugangsdaten und bislang unbekannte Schwachstellen und führten nach OpenAI-Angaben Code auf Dutzenden Servern von Hugging Face aus, erlangten Root-Zugriff auf einen davon und griffen auf begrenzte private Daten zu. Hugging Face hatte den Angriff am 16. Juli öffentlich gemacht, zu diesem Zeitpunkt noch ohne Kenntnis des Urhebers; OpenAI bekannte sich am 21. Juli dazu. Die forensische Rekonstruktion von Hugging Face beschreibt die Angriffskette im Detail. OpenAI selbst spricht von einem „Warnschuss“ und nennt als Ursachen unter anderem Reward Hacking, also das Erschleichen der Bewertung auf unbeabsichtigten Wegen, sowie die Tatsache, dass die für Kundenprodukte üblichen Schutzmechanismen in diesen Tests nicht aktiv waren. Eine unabhängige Untersuchung haben METR und Redwood Research veröffentlicht.
Der Fall Anthropic liegt anders. Nach OpenAIs Offenlegung prüfte Anthropic rückwirkend 141.006 Evaluierungsläufe und fand, wie das Unternehmen in einer eigenen Darstellung schreibt, drei Vorfälle, in denen Claude-Modelle bei Capture-the-Flag-Übungen in der Umgebung des externen Evaluierungspartners Irregular unbefugt auf Produktivsysteme dreier Organisationen zugriffen. Den Modellen war im Prompt mitgeteilt worden, sie arbeiteten in einer Simulation ohne Internetzugang; wegen eines Missverständnisses mit dem Partner war die Verbindung tatsächlich offen. Anthropic betont, die Modelle hätten nicht versucht, die Testumgebung gezielt zu verlassen. Für die betroffenen Organisationen ändert diese Unterscheidung wenig: In beiden Fällen wurden reale Systeme Dritter ohne Berechtigung angegriffen.
Was die Kommission verlangt und worauf sie sich stützt
Laut Euronews verschickte das AI Office seine Ersuchen, nachdem es die freiwillig übermittelten Unterlagen beider Unternehmen als unzureichend bewertet hatte. Die Rechtsgrundlage liefert die KI-Verordnung (EU) 2024/1689. Anbieter von KI-Modellen mit allgemeinem Verwendungszweck und systemischem Risiko müssen nach Artikel 55 unter anderem ihre Modelle evaluieren, systemische Risiken bewerten und mindern, schwerwiegende Vorfälle dokumentieren und dem AI Office melden sowie ein angemessenes Cybersicherheitsniveau gewährleisten. Artikel 91 erlaubt der Kommission, dazu Dokumentation und Informationen anzufordern. Seit dem 2. August 2026 kann sie Verstöße gegen diese Pflichten nach Artikel 101 mit Geldbußen von bis zu 3 Prozent des weltweiten Jahresumsatzes oder 15 Millionen Euro ahnden, je nachdem, welcher Betrag höher ist. Konkretisiert werden die Pflichten im Verhaltenskodex für KI-Modelle mit allgemeinem Verwendungszweck, dessen Kapitel zu Sicherheit und Schutz sich gerade an Anbieter dieser Modellklasse richtet.
Virkkunen verband die Ersuchen mit einer politischen Ansage: KI müsse unter menschlicher Steuerung, Aufsicht und Kontrolle bleiben, und die Kommission sei bereit, alle nötigen Schritte zu unternehmen, damit Unternehmen die Regeln des AI Act einhalten.
Die offene Rechtsfrage: Gilt das Gesetz im Labor?
Hier liegt der eigentliche Kern des Falls. Artikel 2 Absatz 8 der Verordnung nimmt Forschungs-, Test- und Entwicklungstätigkeiten an KI-Systemen und Modellen aus, solange diese noch nicht in Verkehr gebracht oder in Betrieb genommen wurden. Beide Vorfälle ereigneten sich in Tests. Barry Scannell, Partner der Kanzlei William Fry, hält es gegenüber Euronews deshalb für eine Überdehnung, ein im Test ausgebrochenes Modell als in Betrieb genommen zu behandeln; das Gesetz habe solche Fälle schlicht nicht vorhergesehen.
Die Kommission vertritt eine engere Lesart der Ausnahme. Ein Kommissionsbeamter erklärte gegenüber Euronews, man werde in der Testphase nicht durchsetzen; verlasse ein Modell aber die Testumgebung und wirke sich auf den EU-Markt aus, wie bei Hugging Face, werde der AI Act anwendbar. Hugging Face betreibt eine weltweit genutzte Plattform für Modelle und Datensätze, der Vorfall traf damit auch Kunden in der EU. Die Kommission vergleicht den Fall mit einem Virus, das aus dem Labor entweicht.
Beide Positionen haben Gewicht, und die Frage wird sich vermutlich nicht allein am Wortlaut entscheiden. Nach Einschätzung der Redaktion könnte ein Detail aus den Unternehmensberichten die Position der Kommission stärken: Unter den beteiligten Modellen waren mit GPT-5.6 Sol bei OpenAI sowie Claude Opus 4.7 und Claude Mythos 5 bei Anthropic auch Modelle, die bereits auf dem Markt sind. Wo ein in Verkehr gebrachtes Modell in einer Evaluierung reale Schäden verursacht, lässt sich schwerer argumentieren, es handle sich um reine Laborforschung. Ob das AI Office diese Linie verfolgt, ist offen.
Was das für Entscheider im Finanzmarkt bedeutet
Die Pflichten aus Artikel 55 treffen die Modellanbieter, nicht die Banken, Asset Manager oder Versicherer, die diese Modelle über Schnittstellen nutzen. Die Vorfälle sind für sie dennoch aus drei Gründen relevant.
Erstens berühren sie das Management von IKT-Drittdienstleistern. Finanzunternehmen müssen nach der Verordnung über die digitale operationale Resilienz (DORA) die Risiken ihrer IKT-Dienstleister bewerten und überwachen. Wie ein Modellanbieter Vorfälle erkennt, untersucht und offenlegt, wird damit zu einer Frage der Lieferantenprüfung. Die Antworten von OpenAI und Anthropic an das AI Office werden zeigen, welche Dokumentation die Aufsicht künftig als Mindeststandard erwartet, und diese Maßstäbe dürften in Due-Diligence-Fragebögen einfließen.
Zweitens liefern beide Fälle eine operative Lehre für jedes Haus, das selbst agentische Systeme entwickelt oder testet. Eine Anweisung im Prompt, es gebe keinen Internetzugang, ist keine Sicherheitskontrolle. Anthropic nennt selbst die vorherige Prüfung aller Netzwerkpfade und die Echtzeitüberwachung der Evaluierungsprotokolle als Maßnahmen, die das Problem früher sichtbar gemacht hätten. OpenAI verweist darauf, dass die eigenen produktiven Schutzmechanismen in den Tests nicht aktiv waren. Für Institute, die KI-Agenten in Research, Handel oder Operations erproben, folgt daraus, dass Testumgebungen dieselbe technische Abschottung brauchen wie Produktivsysteme, und dass externe Testpartner geprüft werden müssen wie jeder andere Dienstleister.
Drittens verändert sich das regulatorische Risikoprofil der Modellanbieter selbst. Für Investoren entlang der KI-Wertschöpfungskette ist relevant, ob Aufsichtsbehörden künftig auch auf Entwicklungsprozesse zugreifen. Fällt die Forschungsausnahme enger aus als von den Anbietern angenommen, steigen Dokumentations- und Compliance-Aufwand bei allen Frontier-Labs, unabhängig davon, wo sie ihren Sitz haben.
Ausblick
Als Nächstes stehen die Antworten von OpenAI und Anthropic aus. Erst wenn das AI Office diese bewertet hat, wird sich zeigen, ob es bei Auskunftsersuchen bleibt oder ob die Kommission weitergehende Maßnahmen ergreift, die Artikel 93 der Verordnung vorsieht: von verbindlichen Risikominderungsmaßnahmen bis zur Beschränkung der Bereitstellung eines Modells. Ein Bußgeld wäre der weitreichendste Schritt. Unabhängig vom Ausgang setzen diese ersten Fälle einen Präzedenzfall dafür, wie weit europäische Aufsicht in die Entwicklung von KI-Modellen hineinreicht. Nach Euronews hat das wissenschaftliche Gremium der Kommission zuletzt davor gewarnt, dass führende Labore zunehmend leistungsfähige Modelle mit unzureichenden Sicherheitspraktiken entwickeln und viele Vorfälle womöglich gar nicht gemeldet werden. Ob die Kommission ihre Lesart der Forschungsausnahme durchsetzen kann, dürfte am Ende ein Gericht entscheiden. csa
* DE: Die ergänzenden Inhalte können KI-generiert sein. EN: The additional content may be AI-generated.