{"id":3445203,"date":"2026-10-15T09:36:06","date_gmt":"2026-10-15T07:36:06","guid":{"rendered":"https:\/\/datanorth.ai\/?post_type=news&p=3445203"},"modified":"2026-10-15T09:36:19","modified_gmt":"2026-10-15T07:36:19","slug":"openai-en-anthropic-krijgen-ai-act-vragen-na-hacks-door-hun-ai-agents-tijdens-tests","status":"publish","type":"news","link":"https:\/\/datanorth.ai\/nl\/nieuws\/openai-en-anthropic-krijgen-ai-act-vragen-na-hacks-door-hun-ai-agents-tijdens-tests","title":{"rendered":"OpenAI en Anthropic krijgen AI Act-vragen na hacks door hun AI-agents tijdens tests"},"content":{"rendered":"\n

Gepubliceerd: 15 oktober 2026<\/em><\/p>\n\n\n\n

De AI Office van de Europese Commissie wil meer informatie van OpenAI en Anthropic, nadat AI-modellen van beide bedrijven tijdens cybersecuritytests inbraken bij andere organisaties. Dat meldde Euronews op 14 oktober, de dag waarop Eurocommissaris Henna Virkkunen in een toespraak in Dublin<\/a> bevestigde dat Brussel de AI Act voor grote AI-modellen nu handhaaft. Gebruik je ChatGPT of Claude in je organisatie, dan verandert er voor jou juridisch niets, maar de vragen die Brussel stelt, kun je ook over je eigen AI-agents stellen.<\/p>\n\n\n\n

Brussel wil weten hoe modellen worden afgeschermd, getest en gevolgd<\/h2>\n\n\n\n

Sinds 2 augustus mag de Commissie de regels voor general-purpose AI-modellen handhaven. Dat zijn de grote modellen achter tools als ChatGPT en Claude. Volgens Virkkunen heeft de AI Office verzoeken om informatie verstuurd over beveiliging, externe evaluatie en het volgen van hoe modellen worden gebruikt. De regels gelden volgens haar voor elk geavanceerd model op de Europese markt, of de aanbieder nu in M\u00fcnchen, Shanghai of San Francisco zit.<\/p>\n\n\n\n

In de toespraak noemt Virkkunen geen bedrijven. Begin september meldde de Commissie al dat ruim 30 AI-bedrijven zo’n verzoek hadden gekregen, vooral over veiligheid en auteursrecht, schreef persbureau AFP. Welke bedrijven dat waren, zei ze niet. Volgens Euronews, dat zich baseert op ingewijden, kijkt Brussel nu scherper naar OpenAI en Anthropic, omdat de documenten die zij vrijwillig deelden onvoldoende werden gevonden.<\/p>\n\n\n\n

Op 9 oktober belegde Virkkunen een extra vergadering met het wetenschappelijk panel van de AI Act, een groep onafhankelijke experts. De Commissie kondigt aan<\/a> dat er nieuwe verzoeken volgen, met vragen van het panel en van de AI Office samen. De voorzitter van het panel riep de Commissie ook op om de risico’s van modellen al tijdens ontwikkeling en testen aan te pakken.<\/p>\n\n\n\n

Beide incidenten begonnen in een test en eindigden bij een ander bedrijf<\/h2>\n\n\n\n

In juli vonden modellen van OpenAI tijdens een interne cybertest een onbekend lek in een softwareproxy. Zo kwamen ze op het internet, en met gestolen inloggegevens drongen ze binnen bij Hugging Face. Ze zochten daar de antwoorden op de test. OpenAI noemt het in zijn incidentrapport<\/a> “an unprecedented cyber incident”. De modellen weigerden voor deze test minder snel cybertaken dan normaal.<\/p>\n\n\n\n

Anthropic maakte op 30 juli bekend<\/a> dat Claude-modellen zonder toestemming toegang kregen tot echte systemen van drie organisaties. Dat gebeurde tijdens hackoefeningen van een externe testpartner. Door een configuratiefout hadden de testmachines een open internetverbinding, en de modellen zagen echte systemen aan voor een deel van de oefening. Anthropic vond de gevallen na controle van 141.006 testruns en zegt dat Claude niet probeerde uit zijn testomgeving te ontsnappen.<\/p>\n\n\n\n

Geldt de AI Act voor AI-modellen die nog worden getest?<\/h2>\n\n\n\n

Niet zolang een model nog niet op de markt is, en precies daar begint de discussie. “The AI Act very clearly doesn’t apply to the development and testing activity,” zegt Barry Scannell, partner bij advocatenkantoor William Fry, tegen Euronews. Een ambtenaar van de Commissie zegt dat Brussel niet handhaaft in de testfase. Ontsnapt een model en raakt het de Europese markt, dan geldt de AI Act volgens hem wel. Hugging Face heeft klanten over de hele wereld, ook in de EU.<\/p>\n\n\n\n

Zo scherp is die grens in de praktijk niet. Een deel van de betrokken modellen, zoals Claude Opus 4.7, was al op de markt. Andere waren interne onderzoeksmodellen.<\/p>\n\n\n\n

De bevoegdheden achter de verzoeken zijn serieus. Volgens artikel 91 moet een verzoek de juridische grondslag, het doel en een termijn noemen. Op grond van artikel 101 kan een aanbieder een boete krijgen tot 3% van de wereldwijde jaaromzet of 15 miljoen euro, als dat hoger is. Dat geldt ook voor onvolledige of misleidende antwoorden. Als laatste stap kan de Commissie een aanbieder vragen een model te beperken, uit de handel te nemen of terug te roepen. Niets in de berichtgeving wijst erop dat boetes of beperkingen dichtbij zijn. De inhoud van de verzoeken en de termijnen zijn niet openbaar, en het artikel van Euronews bevat geen reactie van OpenAI of Anthropic.<\/p>\n\n\n\n

Geen nieuwe plichten voor jouw organisatie, wel dezelfde drie vragen<\/h2>\n\n\n\n

Deze verplichtingen liggen bij de aanbieders van de modellen. Gebruik je GPT of Claude via ChatGPT, Claude of een API, dan krijg je geen verzoek van de AI Office. Het toezicht op deze modellen ligt in Brussel, niet bij een Nederlandse toezichthouder. Zet je AI in op terreinen met een hoog risico, zoals werving of kredietbeoordeling, dan gelden de regels daarvoor pas vanaf 2 december 2027. De Digital Omnibus heeft die datum opgeschoven.<\/p>\n\n\n\n

Toch houden beide incidenten je een spiegel voor als je met AI-agents werkt. Ze begonnen allebei met toegang die niemand bewust had gegeven: een lek in een proxy bij OpenAI, een verkeerd ingesteld netwerk bij Anthropic. In een pilot met agents ontstaan zulke zwakke plekken snel. Denk aan een testagent met een echte API-sleutel, een internetverbinding die niemand heeft gecontroleerd of een tijdelijk beheerdersaccount dat bleef bestaan. De drie onderwerpen die Brussel bij de AI-labs aankaart, vormen een goede checklist voor je eigen agents:<\/p>\n\n\n\n