Die Europäische Kommission bestätigte am 1. September 2026, dass sie Auskunftsersuchen an mehr als 30 KI-Unternehmen gesendet hat. Ein Sprecher der Kommission bezeichnete sie als die ersten Ersuchen im Rahmen von Durchsetzungsmaßnahmen, die die Kommission nach der KI-Verordnung begonnen hat. Die Fragen betreffen zwei große Bereiche: Sicherheit bei fortgeschrittenen und allgemein verwendbaren KI-Modellen sowie Urheberrecht und Transparenz bei einer weiteren Gruppe von Unternehmen.
Dies ist ein früher Durchsetzungsschritt und keine Feststellung, dass ein genanntes Unternehmen gegen das Recht verstoßen hat. Die Kommission hat die Empfänger nicht benannt. Sie hat auch nicht bestätigt, ob OpenAI oder Anthropic ein formelles Ersuchen erhalten haben. Bestätigt wurden jedoch jüngste Gespräche mit beiden Unternehmen über Cybersicherheitsrisiken.
Was die Kommission bestätigt hat
Die wichtigste Quelle ist das Transkript der Mittagsbesprechung der Kommission vom 1. September. Sprecher Thomas Regnier erklärte, dass die Ersuchen an mehr als 30 KI-Unternehmen gingen. Er nannte sie die ersten Auskunftsersuchen, bei denen Durchsetzungsmaßnahmen der Kommission begonnen haben. Die Fragen teilte er in zwei Gruppen ein:
- Sicherheit im Allgemeinen, darunter allgemein verwendbare und besonders fortgeschrittene KI-Modelle; und
- Urheberrechts- und Transparenzfragen bei einer anderen Gruppe von KI-Unternehmen.
Die Kommission nannte keine Empfänger, weil es sich um Auskunftsersuchen handelt und der Dialog fortgesetzt wird. Unabhängige Berichte von ANSA und The Star bestätigten den Umfang und betonten den vorläufigen Charakter. Ein Ersuchen kann eine spätere Aufsicht oder Untersuchung vorbereiten. Es ist aber weder eine Sanktion noch eine Feststellung eines Verstoßes oder ein Beweis für Nichteinhaltung.
Diese Unterscheidung ist wichtig. Ein Unternehmen sollte sich nicht allein wegen eines Fragenkatalogs als Gegenstand einer formellen Untersuchung bezeichnen. Beobachter dürfen auch nicht annehmen, dass jedes in der Pressebesprechung erwähnte Unternehmen tatsächlich Empfänger ist.
Warum Auskunftsersuchen die Compliance-Arbeit verändern
Ein Auskunftsersuchen macht aus einer abstrakten Pflicht eine konkrete Nachweisaufgabe. Ein Anbieter muss möglicherweise erklären, wie ein Modell eingestuft wurde, welche Risiken geprüft wurden, welche Schutzmaßnahmen getestet wurden und wie Vorfälle oder Änderungen behandelt wurden. Fragen zu Urheberrecht und Transparenz können andere Nachweise zu Richtlinien, technischer Dokumentation, Offenlegung und praktischer Umsetzung verlangen.
Teams sollten Unterlagen vorbereiten, die rechtliche Pflichten mit dem tatsächlich betriebenen System verbinden:
| Nachweisfrage | Nützlicher Datensatz |
|---|---|
| Welches Modell oder System ist betroffen? | Version, Freigabestatus, Eigentümer, Einsatzregionen und verbundene Dienste |
| Welches Risiko wurde bewertet? | Bedrohungsmodell, Prüfplan, Ergebnisse, Grenzen und Entscheidung zum Restrisiko |
| Welche Schutzmaßnahme ist aktiv? | Konfiguration, Richtlinienversion, Überwachungsregel, Zugriffskontrolle und Änderungshistorie |
| Was geschah nach einem Vorfall? | Zeitachse, betroffene Systeme, Eindämmung, Meldeentscheidung, Abhilfe und Verifikation |
| Wie wird Transparenz umgesetzt? | Nutzerhinweis, technische Dokumentation, Modellinformationen, Aktualisierungshistorie und verantwortliche Person |
| Wie wird die Urheberrechtsrichtlinie umgesetzt? | Richtlinie, Daten- und Prozessnachweise, Ausnahmen, Prüfweg und Betriebsnachweis |
Welche Dokumente genau erforderlich sind, hängt vom Ersuchen und von der Rolle des Empfängers nach der KI-Verordnung ab. Das öffentliche Transkript enthält weder Fragebogen noch Frist, rechtliche Begründung oder Unternehmensliste. Solche Einzelheiten dürfen nicht erfunden werden.
Praktische Schritte für Anbieter und Betreiber
Organisationen können ihre Bereitschaft verbessern, ohne anzunehmen, dass sie selbst Empfänger sind.
- KI-Inventar abgleichen. Jedes Modell, jeden Agenten, jede Produktfunktion, jedes Werkzeug, jeden Datensatz, jeden Anbieter und jede verantwortliche Person miteinander verknüpfen. Ein Produktname reicht nicht, wenn mehrere Modellversionen oder Dienste dahinterstehen.
- Pflichten mit Nachweisen verbinden. Rolle und Anforderung, vorgesehene Kontrolle, Nachweisquelle, Eigentümer und Datum der letzten Prüfung festhalten.
- Evaluationskontext bewahren. Modellversion, Werkzeuge, Zugriffe, Testumgebung, Prompts, Bewertungsmethode, Fehler und Prüferentscheidung dokumentieren. Ein Benchmark ohne Bedingungen ist schwer zu verteidigen.
- Vorfälle mit Korrekturen verbinden. Festhalten, was beobachtet wurde, was unklar blieb, welche Schutzmaßnahme fehlte oder versagte, was geändert wurde und wie die Korrektur unabhängig geprüft wurde.
- Richtlinie und Umsetzung trennen. Eine schriftliche Sicherheits- oder Urheberrechtsrichtlinie ist nur ein Nachweis. Hinzukommen muss Evidenz, dass sie in Entwicklung, Freigabe, Überwachung und Änderungsmanagement angewendet wurde.
- Antwortprozess steuern. Rechtliche, technische, Sicherheits- und Produktverantwortliche benennen, eine verifizierte Faktenquelle nutzen, Einschränkungen dokumentieren und die exakt eingereichte Antwort aufbewahren.
Maetras Übersicht unterstützter Frameworks hilft, Anforderungen mit Kontrollen und aktuellen Nachweisen zu verbinden. Die Checkliste für KI-Compliance-Nachweise bietet eine praktische Struktur für Eigentümer, Datensätze und Aktualitätsprüfungen.
Was weiterhin unbekannt ist
Die Kommission hat die mehr als 30 Unternehmen nicht benannt. Sie hat nicht erklärt, welche Empfänger zu welchem Themenbereich gehören, ob alle Fragen auf derselben Rechtsgrundlage beruhen oder ob bereits eine Antwort als unzureichend bewertet wurde. Die öffentliche Quelle belegt auch nicht, dass OpenAI oder Anthropic ein formelles Ersuchen erhalten haben, obwohl jüngste Kontakte zu Cybersicherheitsrisiken bestätigt wurden.
Spätere Schritte können weitere Tatsachen liefern. Ein Auskunftsersuchen darf aber nicht als abgeschlossene Untersuchung oder festgestellter Verstoß dargestellt werden. Die Pflichten können sich zudem unterscheiden, je nachdem, ob ein Unternehmen Anbieter, nachgelagerter Anbieter, Betreiber, Einführer, Händler oder ein anderer Akteur ist.
Maetra-Analyse
Das wichtigste operative Signal ist der Übergang von veröffentlichten Regeln zur Sammlung konkreter Nachweise. Die sinnvolle Antwort ist keine größere Richtlinienbibliothek. Erforderlich ist eine aktuelle Kette vom Systeminventar über die anwendbare Pflicht und die implementierte Kontrolle bis zum Testergebnis, Vorfallsdatensatz, Eigentümer und verifizierten Änderung.
Diese Kette muss reproduzierbar sein. Fragt eine Behörde, warum eine Schutzmaßnahme an einem bestimmten Tag als ausreichend galt, braucht die Organisation Modellversion, Testbedingungen, Entscheidungsgrundlage und spätere Änderungen. Müssen diese Informationen erst aus Tickets und Präsentationen rekonstruiert werden, ist der Compliance-Nachweis bereits veraltet.