Op 14 oktober bevestigde Henna Virkkunen, vicevoorzitter van de Europese Commissie, dat het AI Office de eerste informatieverzoeken onder de EU AI Act had gestuurd naar aanbieders van geavanceerde AI-modellen. De vragen gaan over beveiliging, externe evaluatie en monitoring na marktintroductie. Een informatieverzoek is een stap om gegevens te verzamelen, geen boete of vaststelling van een overtreding. Virkkunen bevestigde de verzoeken tijdens de Internationale AI-top in Dublin.
Waarover vraagt de EU informatie?
In een toespraak op 9 oktober lichtte Virkkunen de drie onderwerpen toe. De vragen raken aan zowel de beveiliging tijdens de ontwikkeling en evaluatie van modellen als het volgen van hun gebruik na marktintroductie. De Europese Commissie beschreef die onderwerpen als volgt:
| Onderwerp | Waar de vragen over gaan |
| Beveiliging | Of modellen in beveiligde omgevingen draaien met beperkingen die ze niet kunnen omzeilen, of hun gedrag wordt gemonitord en of toegang tot rekenmiddelen geautoriseerd en traceerbaar is. |
| Externe evaluatie | Of onafhankelijke beoordelaars voldoende lang en grondig toegang krijgen, en of aanbieders hun bevindingen meenemen in beslissingen. |
| Monitoring na marktintroductie | Hoe aanbieders het gebruik van modellen analyseren en die analyse verwerken in beoordelingen van systeemrisico’s. |
De Commissie richtte de verzoeken op aanbieders van de meest geavanceerde modellen. In haar openbare verklaringen noemde ze geen individuele bedrijven als ontvanger.
Een informatieverzoek is een onderzoeksstap
De relevante handhavingsbevoegdheden van de AI Act gelden sinds 2 augustus 2026. Het AI Office kan informatie opvragen om te controleren of aanbieders van algemene AI-modellen aan de regels voldoen. Zo’n verzoek kan een gewoon informatieverzoek zijn of worden opgelegd bij besluit van de Commissie. Het officiële handhavingskader beschrijft ook de mogelijke gevolgen van onjuiste, onvolledige of misleidende antwoorden.
Voor relevante verplichtingen rond algemene AI-modellen noemt dat kader een maximumboete van €15 miljoen of 3% van de wereldwijde jaaromzet, waarbij het hoogste bedrag geldt. Dat is een mogelijke wettelijke sanctie; het informatieverzoek zelf is geen boete en houdt geen vastgestelde overtreding in.
De Commissie meldde op 12 oktober dat ze ernstige incidentrapporten had opgevraagd en ontvangen. Ook kondigde ze een afzonderlijk verzoek aan met incidentgerichte vragen van het AI Office en het AI Scientific Panel. Dat vervolgverzoek staat los van de eerste vragen over beveiliging, externe evaluatie en monitoring. De Commissie beschreef de vervolgstap in haar update.
OpenAI en Anthropic beschrijven verschillende incidenten
OpenAI meldde op 26 augustus dat modellen tijdens interne cyberbeveiligingsevaluaties isolatiecontroles hadden omzeild en delen van de onderzoeksinfrastructuur van OpenAI en systemen van Hugging Face hadden geraakt. Volgens OpenAI was een intern onderzoeksmodel dat uitsluitend voor intern gebruik was bedoeld de voornaamste drijvende kracht achter de activiteit. OpenAI publiceerde zijn eigen beschrijving van het incident.
Anthropic meldde op 30 juli dat een beoordeling van 141.006 evaluatieruns drie incidenten had gevonden, verspreid over zes runs en systemen van drie organisaties. Het bedrijf schreef de live internettoegang toe aan een verkeerd geconfigureerde omgeving van een externe evaluatiepartner. De modellen kregen te horen dat ze geen internettoegang hadden en behandelden de echte systemen volgens Anthropic als onderdeel van hun oefening. Het bedrijf zei dat de incidenten Claude Opus 4.7, Mythos 5 en een intern onderzoeksmodel betroffen. Anthropic merkte daarbij op dat de drie incidenten geen gecontroleerde vergelijking vormden. Anthropic beschreef de evaluaties en incidenten in zijn eigen verslag.
