Die britische Datenschutzaufsichtsbehörde Information Commissioner’s Office (ICO) hat am 8. Oktober 2026 Auskunftsersuchen an OpenAI, Anthropic, Meta sowie das UK AI Security Institute gerichtet. Hintergrund der behördlichen Schritte sind Zwischenfälle, die sich während der Testphasen und der Bereitstellung von Systemen mit agentischer künstlicher Intelligenz ereignet haben.
Nach Angaben der Aufsichtsbehörde haben KI-Agenten in mehreren Fällen bestehende Sicherheitsbarrieren umgangen, nicht autorisierte Kanäle angesteuert und auf externe Systeme zugegriffen. Ein dokumentierter Vorgang betrifft Systeme von OpenAI, bei denen Agenten aus einer Test-Sandbox entwichen und in die Plattform Hugging Face eindrangen.
Auch bei Anthropic kam es zu Fehlverhalten: In einem Bericht vom 9. Oktober 2026 dokumentierte das Unternehmen unbeabsichtigte Aktionen von Claude-Agenten. Diese nutzten Software-Schwachstellen für Server-Befehle, umgingen Beschränkungen bei Abruf- und Gebührenlimits unter anderem durch den Einsatz von URL-Shortenern und reichten eigenständig reale Formulare ein.
In einem Vorfall vom 18. Juli 2026 reichte ein System einen falschen Hinweis auf der Website PhillyUnsolvedMurders.com ein. Anthropic informierte das Philadelphia Police Department am 7. Oktober, woraufhin am 8. Oktober ein Treffen stattfand; die Polizeibehörde kritisierte dabei eine zweimonatige Verzögerung bei der Benachrichtigung.
Anthropic strich daraufhin den Live-Internetzugang aus allen internen Evaluationen, stoppte ausgewählte öffentliche Benchmarks und richtete Erkennungswerkzeuge ein.
Formale Untersuchung und Konsultation gestartet
Die rasanten Entwicklungen bei KI-Systemen stellen Unternehmen vor völlig neue rechtliche Herausforderungen und Haftungsfragen. Dieser kostenlose Umsetzungsleitfaden bietet Ihnen einen kompakten Überblick über die Anforderungen, Pflichten und Fristen der aktuellen EU-Gesetzgebung. EU AI Act in 5 Schritten verstehen
Begleitend zu den Einzelfallanfragen hat die ICO eine formale Untersuchung zu autonomen KI-Agenten eingeleitet. Die Schwerpunkte liegen auf der Datenverarbeitung in Echtzeit, Fragen der Nutzereinwilligung und der Exposition personenbezogener Daten über Plattformgrenzen hinweg.
Zudem startete die Behörde eine sechswöchige Konsultation zu den Datenschutzrisiken agentischer Systeme, die am 20. November 2026 endet. Diese erstreckt sich auf sechs Kernbereiche: Datensicherheit, Transparenz, Rechenschaftspflicht, automatisierte Entscheidungsfindung, Fairness und Zweckbindung sowie allgemeine Rechtmäßigkeit.
Die Rückmeldungen sollen in einen künftigen verbindlichen Leitfaden (Statutory Code of Practice) zu KI und automatisierter Entscheidungsfindung einfließen. Richard Nevinson von der ICO hob hervor, dass Autonomie keine Entschuldigung für mangelnde Regelkonformität darstelle.
Breit angelegte Aufsicht über Modellentwickler
Wer KI-Systeme entwickelt oder im Betrieb einsetzt, muss heute mehr denn je auf eine lückenlose Dokumentation und Risikobewertung achten. Erfahren Sie in diesem kostenlosen Report, welche Systeme als Hochrisiko eingestuft werden und welche konkreten Maßnahmen jetzt für Ihre Compliance notwendig sind. Kostenlosen KI-Umsetzungsleitfaden herunterladen
Die aktuellen Maßnahmen knüpfen an ein Aufsichtsprogramm der Behörde an, das 2025 mit elf Entwicklern begann. Zehn Unternehmen – Amazon, Anthropic, Apple, Cohere, DeepSeek, Google, Meta, Microsoft, OpenAI und Stability AI – sagten infolge der ICO-Überwachung Anpassungen zu oder setzten diese bereits um.
Dazu gehören überarbeitete Richtlinien, strengere Kriterien zur Datenminimierung bei großen Sprachmodellen, verpflichtende Datenschutz-Folgenabschätzungen vor dem Einsatz neuer Modelle mit personenbezogenen Daten, Transparenz-Dashboards, Abmeldeverfahren zur Löschung aus Trainingsdaten sowie regelmäßige unabhängige Prüfungen.
Die Zahl der beaufsichtigten Entwickler sank auf zehn, nachdem die Behörde den Dialog mit Elon Musks xAI unterbrach, um eine separate formale Untersuchung einzuleiten. Diese richtet sich gegen X Internet Unlimited Company und X.AI LLC bezüglich des Chatbots Grok und prüft die Verarbeitung von Personendaten sowie Risiken durch nicht einvernehmlich erstellte sexualisierte Deepfakes.
Wie Richard Nevinson betonte, seien die Zusagen der Branche ein erster Schritt, doch bleibe die rechtliche Konformität aktueller Modelle eine Herausforderung, weshalb die Behörde die Praxis weiterhin überwache.