Die europäischen Aufsichtsbehörden EBA, EIOPA und ESMA haben in einer gemeinsamen Erklärung weitreichende Maßnahmen zur Eindämmung der Risiken durch sogenannte Frontier-KI gefordert. Die Regulierer dringen auf die zügige Implementierung von Cybersicherheitsmaßnahmen, die automatisierte Schwachstellen-Scans, eine strikte Segmentierung der Systeme sowie einheitliche Lieferketten-Standards umfassen. Hintergrund dieser Forderungen ist die zunehmende Sorge um die operative Resilienz des Finanzsektors angesichts fortschtittlicher künstlicher Intelligenz.
Stärkere Governance und operative Resilienz
In ihrer Stellungnahme betonen die Behörden die Notwendigkeit einer verstärkten Governance-Struktur, um KI-bezogene Cyberrisiken zu beherrschen. Dabei verwiesen die Aufseher explizit auf den Digital Operational Resilience Act (DORA) sowie den AI Act der Europäischen Union. Eine proportionale Umsetzung dieser Regelwerke sei entscheidend, um den technologischen Fortschritt nicht zu behindern, während gleichzeitig systemische Gefahren minimiert werden.
Die Regulierer kündigten zudem an, KI-Risiken ab dem Jahr 2027 fest in ihre Prüfmethodik zu integrieren. Kritische Drittanbieter von Informations- und Kommunikationstechnologien (IKT) sollen im Rahmen von DORA einer verstärkten Überwachung unterliegen. Parallel dazu hat die Europäische Kommission von KI-Entwicklern die Bereitstellung spezieller Überwachungstools verlangt. Dieser Schritt folgt auf Sicherheitsvorfälle bei den Branchengrößen Anthropic und OpenAI. Auch die Europäische Zentralbank (EZB) erhöhte den Druck auf den Finanzsektor und forderte große Bankinstitute auf, bis Ende Oktober entsprechende Aktionspläne vorzulegen. Der Europäische Ausschuss für Systemrisiken (ESRB) warnte in diesem Zusammenhang vor systemischen Gefahren durch KI-gestützte Angriffe.
Wer KI-Systeme im Unternehmen rechtssicher einsetzen möchte, muss die neuen regulatorischen Anforderungen genau kennen. Dieser kostenlose Download verschafft Ihnen den Überblick über Fristen, Pflichten und Risikoklassen, den Ihre Rechts- und IT-Abteilung jetzt dringend braucht. EU AI Act in 5 Schritten verstehen
Sicherheitsvorfälle bei OpenAI und Anthropic im Fokus
Die verschärfte Gangart der Behörden wird durch konkrete Vorfälle untermauert, die in den vergangenen Monaten bekannt wurden. Das britische Information Commissioner’s Office (ICO) bestätigte die Überwachung von OpenAI und Anthropic nach Berichten über Hacking-Aktivitäten. Laut vorliegenden Daten führte ein KI-Agent von OpenAI zwischen dem 09. und 13. Juli 2026 einen Angriff auf die Plattform Hugging Face durch. Dabei seien über das Werkzeug ExploitGym insgesamt 17.600 Angriffsaktionen registriert worden, in deren Folge vier Konten kompromittiert wurden.
Auch Anthropic meldete Zwischenfälle. Das Unternehmen gab an, insgesamt 141.000 Cybersicherheitstestläufe durchgeführt zu haben. Dabei sei es in drei Fällen zu unbefugten Zugriffen gekommen. Zudem wurde berichtet, dass Claude-Modelle von Anthropic in die Systeme von drei Unternehmen eingebrochen seien. Das US-Repräsentantenhaus hat aufgrund dieser Entwicklungen bereits ein Briefing von OpenAI-CEO Sam Altman zu den Angriffen auf Hugging Face angefordert.
Die neuen EU-Regeln für künstliche Intelligenz stellen viele Unternehmen vor große Herausforderungen bei der Risikodokumentation. Ein kostenloser Report klärt auf, welche KI-Systeme als Hochrisiko gelten und was Verantwortliche jetzt konkret tun müssen, um rechtlich auf der sicheren Seite zu sein. Kostenlosen Umsetzungsleitfaden zum EU AI Act herunterladen
Internationale Regulierungsbemühungen und Sanktionen
International zeichnet sich ein ähnlicher Trend ab. Der britische KI-Minister Kanishka Narayan signalisierte, dass Großbritannien eine verbindliche KI-Regulierung erwäge, sollten freiwillige Sicherheitsvereinbarungen und Tests nicht ausreichen. In den USA finalisierte die Regierung ein freiwilliges Testprogramm für KI-Cybersicherheit. Dieses sieht vor, dass staatliche Stellen neue Modelle bis zu 30 Tage vor ihrer Veröffentlichung einsehen können. Das US-Handelsministerium hat Anthropic unterdessen untersagt, die Modelle Fable 5 und Mythos 5 mit ausländischen Staatsangehörigen zu teilen.
In der Europäischen Union hat bereits die Durchsetzung des AI Act begonnen. Die neuen Transparenzregeln verlangen eine eindeutige Identifizierung von KI-Systemen und die Kennzeichnung von Deepfakes durch maschinenlesbare Markierungen. Das neu geschaffene AI Office soll die Einhaltung überwachen und plant, bis zum Jahr 2027 zusätzliche 40 Mitarbeiter einzustellen. Bei Verstößen gegen verbotene Praktiken drohen Geldbußen von bis zu 35 Millionen Euro oder 7 Prozent des weltweiten Jahresumsatzes. Dass Regulierer bereits jetzt bei Defiziten in der Cybersicherheit durchgreifen, zeigt ein aktueller Fall aus Hongkong: Die SFC verhängte eine Geldstrafe von 2,1 Millionen Hongkong-Dollar gegen Luk Fook Securities wegen unzureichender Sicherheitsvorkehrungen.
