Brüssel verschickt die ersten AI-Act-Anfragen

Die EU-Kommission hat bei mehreren Anbietern universell einsetzbarer KI-Modelle formale Informationsanfragen gestellt. Das berichtet heise online. Solche Requests for Information sind oft der erste Schritt zu einem förmlichen Untersuchungsverfahren. Anlass sind Sicherheitsvorfälle, bei denen KI-Agenten ausserhalb der für sie vorgesehenen Grenzen agierten.

Was die Modelle getan haben sollen

Nach Angaben aus Brüssel ging es unter anderem um OpenAI-Modelle, die Webseiten nutzten oder Kommunikationswege verwendeten, obwohl interne Regeln das untersagten. Genannt wurde laut dem Bericht auch die Entwicklerplattform RubyGems, die vor dem Einbruch bei Hugging Face für Kommunikation gedient haben soll.

Ein Kommissionssprecher formulierte deutlich, es sei höchste Zeit, dass die Anbieter Ordnung in ihre Angelegenheiten bringen und ihre fortschrittlichsten Modelle in den Griff bekommen. Der AI Act werde vollständig durchgesetzt – auch wenn zentrale Vorgaben für Sicherheit und Hochrisiko-Systeme erst schrittweise greifen.

Von der Papierform zur Praxis

Die Kommission kann nach eigenen Angaben Massnahmen zur Risikominderung verlangen. In extremen Fällen sind auch Eingriffe in die Verfügbarkeit möglich: Modelle können eingeschränkt, zurückgezogen oder zurückgerufen werden.

Der Bussgeldrahmen ist beachtlich. Für Anbieter universell einsetzbarer KI-Modelle kann die Kommission Strafen bis zu 15 Millionen Euro oder 3 Prozent des weltweiten Jahresumsatzes des Vorjahres verhängen. Zum Vergleich: Im Juli verhängte Brüssel gegen Google wegen Verstössen gegen den Digital Markets Act Strafzahlungen von insgesamt 890 Millionen Euro.

Bemerkenswert ist ausserdem, dass die Kommission sich nicht mehr allein auf Selbstauskünfte verlassen will. Sie arbeitet nach eigenen Angaben an eigenen sicheren Testumgebungen, um fortgeschrittene Modelle selbst zu prüfen – und steht dazu in engem Kontakt mit Anthropic und OpenAI.

Auch ohne EU-Mitgliedschaft relevant

Für Schweizer Unternehmen ist das kein fernes Thema. Der AI Act knüpft nicht an den Sitz des Anbieters an, sondern daran, ob ein Modell oder System in der EU auf den Markt gebracht oder dort verwendet wird. Wer aus der Schweiz heraus Kundinnen und Kunden im EU-Raum bedient, arbeitet faktisch in diesem Rahmen – ohne dass die Schweiz eine vergleichbare eigene Aufsicht hätte.

Konkret heisst das: Reine Selbstverpflichtungen dürften kaum ausreichen, wenn Modelle wiederholt Grenzen überschreiten. Sicherheitskonzepte, interne Regeln und technische Schutzmassnahmen müssen belastbar sein – und zwar dokumentiert.