Wie das Recht der EU, der Schweiz und des Vereinigten Königreichs greift, wenn ein KI-Agent aus seiner Evaluierungsumgebung ausbricht

Was geschehen ist, vorsichtig formuliert

Der Sachverhalt stammt aus den eigenen Darstellungen der Unternehmen und ist mit diesem Vorbehalt zu lesen. Am 16. Juli 2026 machte Hugging Face einen unbefugten Zugriff auf seine Infrastruktur bekannt; am 21. Juli erklärte OpenAI, das Eindringen gehe auf eine Kombination seiner Modelle zurück, die in einer internen Übung zur Erprobung von Fähigkeiten mit reduzierter Verweigerung von Cyberaufgaben gelaufen sei und einen Weg ins offene Internet gefunden habe. Die technische Chronologie von Hugging Face vom 27. Juli rekonstruiert rund 17 600 wiederhergestellte Aktionen des Angreifers zwischen dem 9. und dem 13. Juli, jene des ersten Tages auf einer ungesicherten, kundenseitig gehosteten Code-Sandbox bei Modal, die der Agent als Basis nutzte; Hugging Face erklärt, die Infrastruktur von Modal selbst sei nicht kompromittiert worden, und an Kundeninhalten sei auf fünf Datensätze zugegriffen worden; hinzu kämen Zugangsdaten und Secrets, die aus den eigenen Systemen von Hugging Face ausgelesen worden seien.

Die Feststellungen von OpenAI vom 26. August erweitern das Bild: Mehrere Agenten aus getrennten Evaluierungsläufen hätten über ein improvisiertes Nachrichtenbrett kommuniziert, die hauptsächliche Kompromittierung sei von einem ausschliesslich intern eingesetzten Forschungsmodell ausgegangen, mit einem veröffentlichten Modell, GPT-5.6 Sol, in einer Nebenrolle, ein unbefugter Internetzugriff sei erstmals Ende Mai während Trainingsläufen aufgetreten, auch die eigene Forschungsinfrastruktur von OpenAI sei kompromittiert worden, und OpenAI habe das Reinforcement-Learning-Training an Frontier-Modellen ausgesetzt, während es seine Schutzvorkehrungen neu aufgebaut habe.

Parallel dazu dokumentierte Unit 42 von Palo Alto Networks am 30. Juli einen chinesischsprachigen Bedrohungsakteur, der eine KI-gestützte Kampagne führte, in der die autonome Enumeration durch ein Agenten-Framework mit manueller Ausnutzung von Schwachstellen verbunden wurde; die bestätigten Auswirkungen gingen auf die manuelle Arbeit zurück. Was immer die abschliessende forensische Aufarbeitung ergibt, beide Kategorien von Vorfällen sind inzwischen Realität: Agenten, die ihren Betreibern entkommen, und Agenten, die bewusst auf Ziele angesetzt werden. Das geltende Recht erfasst beide.

Die Modellseite: Art. 55 wurde dafür geschrieben

Anbieter von KI-Modellen mit allgemeinem Verwendungszweck mit systemischem Risiko, die Frontier-Stufe, unterliegen nach Art. 55 der KI-Verordnung Pflichten, die auf die Ereignisse vom Juli genau passen: systemische Risiken bewerten und mindern; schwerwiegende Vorfälle erfassen, dokumentieren und dem Büro für Künstliche Intelligenz (KI-Büro) sowie gegebenenfalls den zuständigen nationalen Behörden unverzüglich melden, zusammen mit Abhilfemassnahmen; und ein angemessenes Mass an Cybersicherheit für das Modell und seine physische Infrastruktur gewährleisten. Die Meldevorlage für schwerwiegende Vorfälle im Zusammenhang mit KI-Modellen mit allgemeinem Verwendungszweck mit systemischem Risiko, welche die Kommission am 4. November 2025 veröffentlicht hat, gibt der Pflicht eine Form. Die Kommission hat erklärt, dass die Pflicht nach Art. 55 schwerwiegende Verletzungen der Cybersicherheit im Zusammenhang mit dem Modell erfasst, einschliesslich Cyberangriffen und der Selbstexfiltration von Modellparametern, und der Praxisleitfaden fügt Verletzungen hinzu, zu denen das Modell eines Unterzeichners beigetragen hat. Ein Agent, der Systeme eines Dritten kompromittiert, fällt unter diese zweite Umschreibung; ob ein bestimmter Vorfall zu melden ist, bleibt allerdings eine Frage der Beurteilung.

Diese Vorlage ist der einzige fertiggestellte Teil des Vorfallregimes; die Leitlinien der Kommission zur Meldung schwerwiegender Vorfälle nach Art. 73, für Hochrisiko-KI-Systeme, liegen weiterhin nur als Entwurf vor, zu dem im September 2025 eine Konsultation eröffnet wurde.

Für europäische Leserinnen und Leser sind zwei Punkte wichtig. Diese Pflichten gelten bereits, der Digital Omnibus hat sie nicht aufgeschoben, und sie erfassen die amerikanischen Labore extraterritorial, sobald deren Modelle in der EU in Verkehr gebracht werden, und zwar für Modelle, die ab dem 2. August 2025 in Verkehr gebracht wurden; für ein Modell mit allgemeinem Verwendungszweck, das schon vor diesem Datum auf dem Markt war, läuft die Frist zur Erfüllung bis zum 2. August 2027 (Art. 111 Abs. 3). Ob ein bestimmtes Labor der bereits geltenden Pflicht unterliegt, hängt deshalb davon ab, welches Modell beteiligt war und wann es in der EU in Verkehr gebracht wurde, nach denselben Regeln zum Anwendungsbereich, die wir in unserem Update zur Schweiz dargestellt haben.

Betrifft ein solcher Vorfall ein Modell, das bereits auf dem EU-Markt ist, hat dessen Anbieter schon heute einen Adressaten in der EU: das KI-Büro, eine veröffentlichte Vorlage und die Pflicht zur unverzüglichen Meldung. Die Darstellung von OpenAI vom 26. August nennt ein veröffentlichtes Modell, GPT-5.6 Sol, in einer Nebenrolle neben einem ausschliesslich intern eingesetzten Forschungsmodell; ob und wann dieses Modell in der EU in Verkehr gebracht wurde und ob damit Art. 55 oder die Übergangsregelung nach Art. 111 Abs. 3 gilt, ist eine Einordnung, die der Anbieter selbst vornimmt. Ob ein rein internes Forschungsmodell überhaupt in den Anwendungsbereich fällt, hängt von der Ausnahme für Forschung und Tests in Art. 2 Abs. 8 ab.

Die Opferseite: Ihre Frist läuft ab der Entdeckung

Für das angegriffene Unternehmen laufen die Meldefristen, gleichgültig, welcher Art der Angreifer ist. In der EU schulden wesentliche und wichtige Einrichtungen nach NIS2 eine Frühwarnung innerhalb von 24 Stunden, nachdem sie von einem erheblichen Sicherheitsvorfall Kenntnis erlangt haben, eine Meldung innerhalb von 72 Stunden und einen Abschlussbericht innerhalb eines Monats nach dieser Meldung, neben den zugrunde liegenden Pflichten zu Sicherheitsmassnahmen; diese Pflichten gelten über die nationale Umsetzung, die in mehreren Mitgliedstaaten weiterhin unvollständig ist, sodass sich die massgebliche Frist und der Adressat aus dem nationalen Recht ergeben. Finanzunternehmen im Anwendungsbereich von DORA melden stattdessen nach DORA, die für sie die NIS2-Vorschriften über Sicherheitsvorfälle verdrängt (Art. 4 NIS2), wie wir gesondert dargestellt haben.

In der Schweiz verpflichtet das revidierte Informationssicherheitsgesetz (ISG) die Betreiber kritischer Infrastrukturen seit dem 1. April 2025, Cyberangriffe innert 24 Stunden nach der Entdeckung dem Bundesamt für Cybersicherheit (BACS; englisch National Cyber Security Centre, NCSC) zu melden; die Sanktionen bei unterlassener Meldung sind seit dem 1. Oktober 2025 in Kraft, und in den ersten sechs Monaten gingen 164 Meldungen ein; die Pflicht wird gelebt. Im Vereinigten Königreich enthalten die bestehenden NIS Regulations (die britischen Vorschriften über Netz- und Informationssysteme) schon heute Pflichten bei Sicherheitsvorfällen für Betreiber wesentlicher Dienste (operators of essential services), und die Gesetzesvorlage Cyber Security and Resilience Bill, im November 2025 eingebracht und derzeit in der parlamentarischen Beratung, wird den Anwendungsbereich ausweiten und die Meldepflichten verschärfen. Sind personenbezogene Daten (nach Schweizer Recht: Personendaten) betroffen, gelten die eigenständigen Meldepflichten bei Verletzungen des Schutzes personenbezogener Daten nach der DSGVO und der UK GDPR (der britischen Datenschutz-Grundverordnung) und bei Verletzungen der Datensicherheit nach dem Schweizer Datenschutzgesetz (DSG), unabhängig davon, ob das Unternehmen unter NIS2, das ISG oder die NIS Regulations fällt.

Dazwischen: die Betreiber, und die Frage, die Versicherer stellen werden

Die dritte Position ist das Unternehmen, das den Agenten eingesetzt hat, in guter Absicht oder nicht. Das Strafrecht braucht keine Anpassung, um eine Person zu erfassen, die ein autonomes Werkzeug auf fremde Systeme richtet; die Raffinesse des Werkzeugs ändert nichts an der Zurechnung an seinen Betreiber. Die schwierigeren und geschäftlich aktuellen Fragen sind zivilrechtlicher Natur: Ansprüche eines Opfers gegen das Labor oder den Betreiber, dessen Agent den Schaden verursacht hat, werden über die Haftung für Fahrlässigkeit, über den Vertrag und künftig über das modernisierte Produkthaftungsregime der Richtlinie (EU) 2024/2853 laufen, welche die Mitgliedstaaten bis zum 9. Dezember 2026 umsetzen müssen und die für Produkte gilt, die nach diesem Datum in Verkehr gebracht oder in Betrieb genommen werden; für die Vorfälle vom Juli 2026 selbst gilt sie deshalb nicht. Dieses Regime entschädigt nur natürliche Personen und schliesst Sachen, die ausschliesslich für berufliche Zwecke verwendet werden, sowie beruflich genutzte Daten aus, sodass Cyberschäden von Unternehmen nicht darunter fallen. Die Antworten werden von Tatsachen abhängen, wie sie die Dokumentationsdisziplin festhalten soll, die wir in unserem Update zur Neueinstufung als Anbieter beschreiben: wer den Agenten autorisiert hat, in welchen Grenzen, mit welcher Eindämmung, welcher Protokollierung und welcher Notabschaltung.

Versicherer und Gegenparteien dürften früher reagieren als die Gerichte: KI-Ausschlüsse tauchen bereits in den Bedingungen von Betriebshaftpflicht- und Organhaftpflichtversicherungen auf, Makler fragen nach der Autonomie und der Governance von Agenten, und im Cybermarkt werden agentenspezifische Ausschlüsse diskutiert, noch bevor ein Gericht geurteilt hat. Für Betreiber von Agenten gilt dasselbe: Protokolle, Grenzen und die menschliche Eingriffsmöglichkeit bilden das Nachweisdossier, wenn ein Anspruch erhoben wird.

Was das für Sie bedeutet

• Opfer: Führen Sie das ordentliche Vorfallverfahren durch, und zwar rasch. Die Pflichten nach NIS2, ISG oder britischem Recht greifen, soweit Sie darunter fallen, ab der Entdeckung, und der KI-Bezug verlängert die Fristen nicht; eine Gruppe mit Einheiten in der EU, der Schweiz und dem Vereinigten Königreich braucht einen einzigen Vorfallplan, der im Voraus auf die drei Fristen und auf die Einheiten abgestimmt ist, die sie einhalten müssen.
• Betreiber von Agenten: Planen Sie die Eindämmung von Anfang an ein. Sandboxing, eng begrenzte Zugangsdaten, Protokollierung und die menschliche Eingriffsmöglichkeit sind, dokumentiert, zugleich Risikokontrolle und Ihr Verteidigungsdossier.
• Stellen Sie Ihren Modellanbietern die Frage nach Art. 55. Anbieter von Modellen mit systemischem Risiko schulden Vorfallmeldungen und Modellsicherheit; ihre Antworten gehören in Ihre Beschaffungsunterlagen.
• Prüfen Sie jetzt Ihren Versicherungsschutz. Fragen zu agentischer KI finden Eingang in die Antragsformulare, und Ausschlüsse werden diskutiert; halten Sie Ihre Antworten bereit, bevor der Makler fragt.

Isak Legal berät Unternehmen zur KI-Governance, zur Vorbereitung auf Vorfälle nach den Regimen der EU, der Schweiz und des Vereinigten Königreichs sowie zur vertraglichen Verteilung von KI-Risiken mit Lieferanten und Versicherern. Mehr dazu auf unserer Seite KI, Daten & Technologie, oder nehmen Sie Kontakt auf.

Dieses Client Update dient ausschliesslich der allgemeinen Information, gibt den Stand vom 27. September 2026 wieder und stellt weder eine Rechtsberatung dar noch begründet es ein Mandatsverhältnis. Die Beschreibungen der Vorfälle beruhen auf Presseberichten und Angaben der Unternehmen und können angepasst werden, wenn weitere Tatsachen bekannt werden; die regulatorische Lage sollte anhand der oben verlinkten offiziellen Quellen überprüft werden. Für die Beratung in einer konkreten Angelegenheit nehmen Sie bitte Kontakt mit uns auf.