Brüssel fordert nach KI-Angriffen, was OpenAI und Anthropic 2025 zusagten

Wer sein KI-System selbst „sehr gefährlich“ nenne, solle es „natürlich nicht auf den Markt bringen“, sagte EU-Digitalkommissarin Henna Virkkunen der dpa in einem Interview des Agenturnetzwerks European Newsroom. Sinngemäß steht der Satz seit Juli 2025 in einem Dokument, das OpenAI und Anthropic unterschrieben haben: Maßnahme 4.2 des Sicherheitskapitels im EU-Praxisleitfaden für KI-Modelle mit allgemeinem Verwendungszweck. Ein Modell kommt nur auf den Markt, wenn seine systemischen Risiken als „acceptable“ bewertet sind; sonst wird es, soweit nötig, zurückgehalten oder vom Markt genommen. Dasselbe Kapitel übersetzt das „sofort“ der heutigen Meldung in Tagesfristen, bei einem schweren Cybervorfall fünf Tage. Und seit dem 2. August 2026 gilt der Bußgeldartikel, nach dem die Kommission berücksichtigt, was in diesem Leitfaden zugesagt wurde.

Am Freitag meldete dpa, und mehrere Häuser brachten dieselbe Zeile: Die Kommission hat Auskünfte von OpenAI und Anthropic verlangt, dazu von mehreren chinesischen Firmen; Virkkunen nannte die Namen selbst. Beide Firmen hatten eingeräumt, dass ihre Software in Testläufen andere Unternehmen angriff. Das KI-Amt prüfe „seit August“, Zwischenfälle seien „sofort“ zu melden. Dass die ersten Ersuchen nach Artikel 91 der KI-Verordnung am 29. August hinausgingen, hatte die Kanzlei Matheson am 25. September¹ festgehalten; Namen hatte die Kommission bis dahin nicht genannt.

Die Forderung steht seit dem 10. Juli 2025 im Leitfaden#

Die Kommission veröffentlichte den Leitfaden am 10. Juli 2025² in drei Kapiteln: Transparenz, Urheberrecht, Sicherheit; die deutsche Amtsfassung der Verordnung nennt ihn „Praxisleitfaden“ (Art. 56). Das Sicherheitskapitel, 43 Seiten, gilt nur für Modelle mit systemischem Risiko. OpenAI kündigte seine Unterschrift am 11. Juli an openai.com ↗, Anthropic am 21. Juli³, mit dem Satz, der Leitfaden schaffe „mandatory Safety and Security Frameworks that build upon Anthropic’s own Responsible Scaling Policy“. Die Unterzeichnerliste der Kommission führt 22 Firmen, darunter Google, Microsoft und Mistral AI; xAI hat nur das Sicherheitskapitel unterschrieben, Meta steht nicht auf der Liste.

Maßnahme 4.2 auf Seite 16 des Sicherheitskapitels ec.europa.eu ↗ lautet: „Signatories will only proceed with the development, the making available on the market, and/or the use of the model, if the systemic risks stemming from the model are determined to be acceptable.“ Andernfalls verpflichten sich die Unterzeichner, das Modell „as necessary“ nicht anzubieten, einzuschränken („e.g. via adjusting licenses or usage restrictions“), zurückzunehmen oder zurückzurufen, dazu zu Schutzmaßnahmen und einer neuen Risikobewertung. Was akzeptabel ist, legt nach Maßnahme 4.1 der Unterzeichner selbst fest, in Kriterien, die er in seinem Rahmenwerk begründet. Nach Maßnahme 1.3 ec.europa.eu ↗ ist dieses Rahmenwerk neu zu bewerten, wenn etwa „serious incidents and/or near misses“ darauf hindeuten, dass Risiken „not acceptable“ sind.

Aus „sofort“ werden zwei, fünf, zehn oder fünfzehn Tage#

Das Gesetz selbst nennt keine Zahl. Art. 55 Abs. 1 Buchst. c⁴ verlangt von Anbietern von Modellen mit systemischem Risiko, das KI-Amt über schwerwiegende Vorfälle „unverzüglich“ zu unterrichten, eine Pflicht, die am Marktstart ansetzt, nicht an der Gefahr⁵. Die Tage stehen allein im Leitfaden, in Maßnahme 9.3 ec.europa.eu ↗, gerechnet ab dem Tag, an dem der Unterzeichner von der Beteiligung seines Modells erfährt, und „save in exceptional circumstances“.

Am 21. Juli legte OpenAI offen, dass zwei Testmodelle ihre Sandbox verlassen und Systeme von Hugging Face erreicht hatten⁶. Anthropic durchsuchte daraufhin 141.006 eigene Testläufe und fand drei Fälle, in denen Claude-Modelle, darunter Opus 4.7 und Mythos 5, in die Systeme dreier fremder Organisationen eingedrungen waren. Der Grund war ein Missverständnis mit dem Testpartner Irregular: Dem Modell war gesagt worden, es habe keinen Internetzugang; es hatte ihn doch. Der früheste Fall stammt aus dem April. Anthropic fand die drei am 24. Juli, benachrichtigte die Betroffenen am 27. und veröffentlichte den Bericht am 30. Juli⁷. Von einer Meldung an das KI-Amt steht darin nichts. Reuters zitierte am 31. Juli einen Kommissionsbeamten: Beide Anbieter hätten die Kommission „bilaterally before they become public“ unterrichtet. Ob die Fälle als „serious incident“ nach Maßnahme 9.3 gemeldet wurden, binnen fünf Tagen nach Kenntnis, ist nicht bekannt. Offen ist auch, ob die Fristen Testmodelle erfassen: Der Leitfaden verlangt die Meldung „along the entire model lifecycle“, Art. 3 Nr. 63⁸ der Verordnung nimmt Modelle, die vor dem Inverkehrbringen für Forschung und Entwicklung eingesetzt werden, aus der Definition aus.

Seit August bemisst sich das Bußgeld auch an der Zusage#

Nach Art. 93 Abs. 1 Buchst. c⁹ kann die Kommission verlangen, „die Bereitstellung des Modells auf dem Markt einzuschränken, es zurückzunehmen oder zurückzurufen“; Maßnahme 4.2 nennt dieselben drei Schritte.

Die Bußgelder des Art. 101 Abs. 1¹⁰ gelten erst seit dem 2. August 2026: Art. 113 artificialintelligenceact.eu ↗ lässt die Kapitel V und XII ab dem 2. August 2025 gelten, „with the exception of Article 101“, der am allgemeinen Stichtag ein Jahr später folgte. Bis zu 3 Prozent des weltweiten Jahresumsatzes oder 15 Millionen Euro, je nachdem, welcher Betrag höher ist, drohen unter anderem, wenn ein Anbieter auf ein Ersuchen nach Art. 91 „falsche, unvollständige oder irreführende Informationen“ liefert. Im selben Absatz steht: „Die Kommission berücksichtigt außerdem Verpflichtungen, die gemäß Artikel 93 Absatz 3 oder in den einschlägigen Praxisleitfäden nach Artikel 56 gemacht wurden.“

Art. 91 Abs. 4 dejure.org ↗ verlangt, dass jedes Ersuchen Rechtsgrundlage, Zweck und Frist nennt. Veröffentlicht ist keines der Ersuchen seit dem 29. August; ob die Firmen geantwortet haben, ist unbekannt.