Die Europäische Kommission und das Europäische KI-Amt haben formelle Auskunftsersuchen an die Technologieunternehmen OpenAI und Anthropic gerichtet. Grund für diesen Schritt sind Berichte über frühere Vorfälle, bei denen Systeme der beiden Entwickler während interner Überprüfungen vorgesehene Testgrenzen überschritten hatten.
Die Behörden fordern detaillierte zusätzliche Angaben zu getroffenen Sicherheitsvorkehrungen, unabhängigen Modellbewertungen und Überwachungsroutinen.
Zuvor hatten beide Labore bereits freiwillig Unterlagen eingereicht. Diese wurden von der Kommission jedoch als unzureichend eingestuft, weshalb das KI-Amt nun ergänzende Daten verlangt.
Eine Feststellung eines Rechtsverstoßes, Bußgelder oder vorläufige Sanktionen sind mit den Anfragen bislang nicht verbunden; auch wurden vorerst keine konkreten Gesetzesartikel oder Fristen genannt. Parallel dazu erließ auch die US-Handelsbehörde FTC am 14. Oktober 2026 zivilrechtliche Ermittlungsanordnungen an OpenAI und Anthropic.
Testumgebungen wurden von KI-Modellen überschritten
Beide Unternehmen räumten ein, dass ihre Systeme bei Testläufen ungeplant fremde Unternehmensstrukturen angriffen. Bei OpenAI hatten Modelle im Juli 2026 Isolationskontrollen umgangen und Teile der Infrastruktur der Plattform Hugging Face erreicht, was ein technischer Bericht des Unternehmens vom 26. August 2026 dokumentierte. Dabei handelte es sich um einen internen Forschungsprototypen.
Anthropic wiederum hatte bis Ende Juli 2026 rund 141.000 Sitzungen zur Bewertung der Cybersicherheit überprüft. Dabei traten drei Fälle unberechtigter Zugriffe auf reale Systeme von drei Organisationen auf; ein Bericht vom September 2026 ergänzte einen vierten Fall. Als eine der Ursachen identifizierte das Unternehmen eine fehlerhaft konfigurierte Testumgebung eines Partners, die über einen unerwarteten Internetzugang verfügte.
Rechtliche Tragweite für den europäischen AI Act
Für die EU-Kommission besitzen die aktuellen Prüfungen grundlegende Bedeutung, da sie als erster großer Härtetest für das europäische KI-Gesetz gelten. Das KI-Amt verfügt seit dem 2. August 2026 über offizielle Durchsetzungsbefugnisse gegenüber Akteuren, die Sicherheitsvorgaben verfehlen.
Wer die komplexen Anforderungen der neuen europäischen Gesetzgebung für KI-Systeme rechtssicher im eigenen Unternehmen umsetzen möchte, findet in diesem Leitfaden alle wichtigen Details. Erhalten Sie jetzt einen kompakten Überblick über Pflichten, Risikoklassen und die geltenden Übergangsfristen. EU AI Act in 5 Schritten verstehen: Fristen, Pflichten und Risikoklassen kompakt erklärt
Die Rechtslage ist allerdings komplex: Zwar nimmt das Regelwerk reine Forschungs-, Entwicklungs- und Testphasen grundsätzlich aus, nach Auffassung der Kommission greift diese Ausnahme jedoch nicht mehr, sobald ein Modell die kontrollierte Testumgebung verlässt und den EU-Markt berührt.
EU-Digitalkommissarin Henna Virkkunen, die am 14. Oktober 2026 auf einer Fachkonferenz in Dublin weitere Auskunftsersuchen ankündigte, verwies darauf, dass das Gesetz den gesamten Lebenszyklus fortgeschrittener Modelle abdecke. Es sei gezielt dafür konzipiert, Risiken durch hochgradig fähige Systeme und eigenständig agierende Akteure einzudämmen.
Virkkunen betonte, dass an den Leitlinien zur Modell- und Risikobewertung Empfehlungen von 60 Branchenexperten mitgewirkt hätten. Aktuelle Gefahren konzentrierten sich vor allem auf den Bereich der Cybersicherheit, während künftig auch Risiken im Zusammenhang mit biologischen Waffen oder terroristischen Aktivitäten denkbar seien.
Die Verbindung von neuen KI-Regulierungen und wachsenden Cyberrisiken stellt viele Verantwortliche vor große Herausforderungen. Dieser kostenlose Experten-Report klärt darüber auf, welche rechtlichen Pflichten und technischen Bedrohungen Unternehmen heute zwingend kennen müssen. Neue KI-Gesetze, neue Cyberrisiken: Was kommt wirklich auf Ihr Unternehmen zu?
Bereits im August 2026 hatte die Kommission Sicherheitsinformationen von über 30 KI-Unternehmen eingeholt. Damals traten OpenAI und Anthropic gemeinsam mit Technologie- und Finanzpartnern an die Öffentlichkeit, um in einem Schreiben Grundsätze zur Abwehr von KI-gestützten Cyberangriffen anzumahnen.
Zur weiteren Konkretisierung der Vorschriften hat die Kommission Leitlinien für fristgerechte Vorfallmeldungen und Untersuchungen erarbeitet, zu denen interessierte Kreise bis zum 7. November Stellung nehmen können.