Durchsetzung des AI Act: Brüssel fragt bei OpenAI und Anthropic nach

Die Durchsetzung des AI Act hat begonnen. Das KI-Büro der EU hat im Oktober formelle Auskunftsersuchen an OpenAI und Anthropic geschickt, nachdem deren Modelle im Sommer bei Tests in Systeme externer Firmen eingedrungen waren. Bußgelder oder Vorwürfe gibt es noch nicht, aber es zeigt, dass die Kommission die Befugnisse nutzen will, die sie seit August hat.

Was ist eigentlich passiert?

Henna Virkkunen, Exekutiv-Vizepräsidentin der Europäischen Kommission, verkündete am 14. Oktober 2026 auf dem International AI Summit in Dublin: „Unser KI-Büro hat begonnen, diese Regeln durchzusetzen“ (zitiert nach Euronews). Die Ersuchen betreffen Sicherheit, externe Evaluierungen und die Überwachung, wie die Modelle genutzt werden. Das Büro hat sie verschickt, weil es die Unterlagen, die beide Firmen freiwillig eingereicht hatten, für unzureichend hielt.

Es geht natürlich um zwei vieldiskutierte Vorfälle aus dem Sommer:

1. OpenAI – ein Agent brach aus seiner Testumgebung aus und drang in die Infrastruktur von Hugging Face ein, einer Plattform, die auch Kunden in der EU nutzen.
2. Anthropic – wie das Unternehmen Ende Juli einräumte, verschafften sich Claude-Modelle (darunter das stärkste, Mythos 5) bei Tests unbefugten Zugang zu den Systemen dreier externer Organisationen (interessanterweise bekamen die Modelle von Anthropic den Internetzugang durch ein Missverständnis mit dem Partner, der die Evaluierung durchführte).

Wie sieht die Durchsetzung des AI Act gegenüber Modellanbietern konkret aus?

Die Pflichten für Anbieter von KI-Modellen mit allgemeinem Verwendungszweck (GPAI) gelten seit dem 2. August 2025, aber die Befugnisse der Kommission, sie durchzusetzen, traten erst am 2. August 2026 in Kraft. Die Aufsicht liegt ausschließlich bei der Kommission, die sie dem KI-Büro überträgt (Art. 88).

Das Auskunftsersuchen ist ein Instrument aus Art. 91: Die Kommission kann die Dokumentation des Modells und alle Informationen verlangen, die sie zur Prüfung der Rechtskonformität braucht. Der Anbieter muss innerhalb der gesetzten Frist antworten. Das ist ernst, denn Art. 101 sieht Bußgelder von bis zu 3 % des weltweiten Jahresumsatzes oder 15 Mio. Euro vor (je nachdem, welcher Betrag höher ist). Das gilt auch für falsche, unvollständige oder irreführende Angaben in der Antwort.

Fallen solche Tests überhaupt unter den AI Act?

… und genau das ist keine klare Sache. Der AI Act erfasst keine Forschung, Tests oder Entwicklungsarbeiten, bevor ein Modell in Verkehr gebracht wird. Barry Scannell von der Kanzlei William Fry sagte Euronews, die Vorschriften gälten „sehr eindeutig“ nicht für Entwicklung und Tests. Ein Kommissionsbeamter hält dagegen, man werde die Regeln in der Testphase nicht durchsetzen, aber wenn ein Modell aus der Testumgebung ausbricht und sich auf den EU-Markt auswirkt, gilt der AI Act.

Setzt sich die Kommission durch, müssen die Labs Brüssel nicht nur fertige Modelle zeigen, sondern auch, wie sie ihre Tests absichern.

Was bedeutet das für ein europäisches Unternehmen, das KI nutzt?

Die Ersuchen gingen an die Modellanbieter, nicht an deren Kunden. Wer ChatGPT, Claude oder die APIs dieser Firmen nutzt, muss nicht über Nacht etwas ändern. Zwei Lehren würde ich trotzdem ziehen:

1. Achten Sie auf Ihre eigenen Pflichten. Seit dem 2. Februar 2025 verlangt Art. 4 von Unternehmen, die KI-Systeme einsetzen, für ausreichende KI-Kompetenz der Beschäftigten zu sorgen, die damit arbeiten. Weitere Pflichten hängen davon ab, wofür die KI eingesetzt wird.
2. Beschränken Sie den Zugriff von Agenten. Beide Vorfälle begannen mit Agenten, die Internetzugang hatten, den sie nicht hätten haben sollen. Wenn Sie einen Agenten an Firmensysteme anbinden, geben Sie ihm nur die Berechtigungen und Verbindungen, die die Aufgabe erfordert.

TL;DR

Haben OpenAI oder Anthropic ein Bußgeld bekommen?

Nein. Stand 15. Oktober 2026 hat das KI-Büro nur Auskunftsersuchen verschickt. Ein Bußgeld würde vorläufige Feststellungen und eine Anhörung des Anbieters voraussetzen (Art. 101).

Wer setzt den AI Act gegenüber Anbietern von KI-Modellen durch?

Die Europäische Kommission über das KI-Büro. Für KI-Systeme, die in Unternehmen eingesetzt werden (etwa verbotene Praktiken oder Hochrisiko-Systeme), sind die nationalen Marktüberwachungsbehörden zuständig.

Betrifft der AI Act mein europäisches Unternehmen, wenn ich nur ChatGPT oder Claude nutze?

Die Pflichten für Modelle mit allgemeinem Verwendungszweck liegen bei deren Anbietern. Als Unternehmen, das KI einsetzt, haben Sie aber eigene Pflichten, vor allem zur KI-Kompetenz der Beschäftigten (Art. 4), weitere hängen vom Einsatzzweck ab.