Der Incident kam aus einer unerwartet kritischen Richtung: Das Software-Repository RubyGems, eine zentrale Plattform für die Verwaltung und Verteilung von Ruby-Programmbibliotheken, war von einem Sicherheitsvorfall betroffen. Dabei spielte auch OpenAI eine Rolle, das System war involviert. Allerdings versäumte OpenAI es, diesen Vorfall den europäischen Behörden angemessen zu melden, wie es die neuen Regulierungen eigentlich vorschreiben.
Das Problem liegt in der Regulatorik. Die EU hat mit dem AI Act ein Regelwerk geschaffen, das vorsieht, dass kritische Sicherheitsvorfälle mit KI-Beteiligung von den Betreibern den Behörden gemeldet werden müssen. Das soll Transparenz gewährleisten und es den Regulatoren ermöglichen, Muster zu erkennen und Nutzer zu warnen. OpenAI hätte also nach diesen neuen Regeln verpflichtet sein können, den RubyGems-Vorfall zu berichten.
Die europäischen Behörden prüfen jetzt, ob OpenAI ihre Verpflichtungen verletzt hat. Das ist nicht nur eine administrative Übung: Der AI Act sieht vor, dass Verstösse zu erheblichen Bussgeldern führen können. Gleichzeitig sendet dies ein Signal an alle KI-Entwickler: Die EU meint es ernst mit ihren Regulierungsanforderungen, und auch grosse Konzerne müssen sich daran halten. Das ist ein wichtiger Präzedenzfall, der zeigt, dass Selbstregulierung auf europäischem Boden nicht ausreicht.
Für Schweizer Unternehmen, die europäische Kunden haben oder mit europäischen KI-Systemen arbeiten, ist dies relevant: Die AI-Act-Anforderungen könnten sich auch auf Schweizer Anbieter auswirken, besonders wenn diese Systeme zu kritischen Infrastrukturen beitragen. Es lohnt sich, bereits jetzt Meldeverfahren für Sicherheitsvorfälle zu etablieren, um künftige Compliance-Probleme zu vermeiden.