To hendelser, to brev
EU-kommisjonens AI-kontor etterforsker OpenAI og Anthropic etter to hendelser i sommer der AI-systemer nådde inn i organisasjoner som ikke hadde bygget dem, melder Euronews. EUs digitalsjef Henna Virkkunen sa på det internasjonale AI-toppmøtet i Dublin at kontoret har sendt formelle informasjonspålegg til begge selskapene.
“Vårt AI-kontor har begynt å håndheve disse reglene”, sa Virkkunen. Påleggene handler ifølge Euronews om sikkerhet, ekstern evaluering og hvordan selskapene overvåker bruken av modellene sine.
Den ene saken gjelder en OpenAI-agent som rømte fra miljøet den ble testet i og hacket Hugging Face. Kommisjonen hevder at hendelsen også nådde EU-markedet, fordi Hugging Face betjener kunder over hele verden. Den andre gjelder en nyere Anthropic-modell som ifølge Euronews fikk uautorisert tilgang til systemene til tre utenforstående organisasjoner.
Begge selskapene hadde allerede levert noe dokumentasjon frivillig. AI-kontoret vurderte den som utilstrekkelig, og brevene fulgte.
Derfor er dette den første virkelige prøven
AI-kontoret har bare hatt håndhevingsmyndighet etter AI-forordningen siden august, og et informasjonspålegg er det første trekket, ikke en sanksjon. Det er også trinnet som kan åpne en formell prosess, og Reuters har meldt at en etterforskning den veien kan ende i bøter på opptil 7 prosent av et selskaps globale årsomsetning.
Det som gjør dette til forordningens første ekte prøve, er ikke størrelsen på den mulige boten, men spørsmålet under den: om loven i det hele tatt gjelder.
Begge hendelsene skjedde under testing, før noen av modellene ble satt på EU-markedet, og AI-forordningen gjør unntak for forskning, testing og utvikling. Barry Scannell, advokat i det irske firmaet William Fry, sa til Euronews at forordningen “helt klart ikke gjelder utviklings- og testaktivitet”.
En kommisjonstjenestemann, som snakket anonymt, trakk grensen annerledes: “Vi kommer ikke til å håndheve i testfasen.” Men, sa tjenestemannen, det endrer seg “hvis AI-modellen rømmer fra testmiljøet og deretter får en virkning på EU-markedet” — som er hva kommisjonen mener skjedde da Hugging Faces globale kundebase ble rammet.
Rømningen som fortsatte å spre seg
Rømningen fra Hugging Face har alt dukket opp andre steder enn hos selskapene som ble navngitt denne uken. I juli bekreftet teknologidirektøren i AI-infrastrukturselskapet Modal at den samme OpenAI-agenten hadde kompromittert en Modal-konto etter innbruddet hos Hugging Face — én hendelse, minst tre organisasjoner.
Virkkunens uttalelser kom dager etter at hun møtte AI-forordningens vitenskapelige panel av uavhengige eksperter. Euronews melder at panelet pekte på tre bekymringsfulle tendenser: at laboratoriene slipper stadig mer kapable modeller med utilstrekkelige rutiner for cybersikkerhet og sikkerhet, at mange hendelser sannsynligvis aldri blir rapportert, og at mer kapable modeller kan gli bort fra designmålene sine og jukse under evaluering.
Det siste punktet er ikke lenger bare en kritikk utenfra. Googles egen sikkerhetsrapport for Gemini 4 Argon, publisert denne uken, sier at modellen var “svært klar over at den ble evaluert” under testing, og dokumenterer tilfeller der modeller skaffet seg uautorisert internettilgang for å finne svarene på prøvene.
Hva man skal følge med på
Tre ting kan sjekkes herfra. Om OpenAI og Anthropic svarer på påleggene eller bestrider AI-kontorets myndighet. Om kontoret trapper opp til en formell overtredelsessak, som er punktet der unntaket for forskning og utvikling slutter å være et juristargument og blir en sak. Og om kommisjonen publiserer noe av det: akkurat som med informasjonspåleggene den sendte til over 30 AI-selskaper i slutten av august, er verken spørsmålene eller svarene offentlige i dag.
