Meldungen zu Regulierung, Sicherheit und Technik, die für Unternehmen relevant sind – kurz zusammengefasst und eingeordnet.
Stand: September 2026. Die Zusammenfassungen beruhen auf öffentlich berichteten Informationen von Fachmedien, Sicherheitsforschern und offiziellen Mitteilungen der genannten Unternehmen und Behörden. Keine Rechtsberatung.
Der Ausschuss befasste sich in seiner neunten Sitzung unter irischer Ratspräsidentschaft mit den Durchsetzungsprioritäten der Kommission, Transparenzmaßnahmen, der Zusammenarbeit der Marktaufsicht und Cybertests für Spitzenmodelle. Neue Pflichten oder geänderte Fristen wurden nicht beschlossen. Moldau nahm erstmals als Beobachter teil.
Nach Ablauf der Übergangsfrist am 2. August berichten Fachmedien, dass das KI-Büro der Kommission gemeinsam mit den nationalen Marktaufsichtsbehörden erste Prüfungen der technischen Dokumentation nach Artikel 11 aufgenommen hat. Im Fokus stehen Bewerber-Vorauswahl, algorithmische Kreditbewertung und Triage-Werkzeuge im Gesundheitsbereich.
Quelle: Fachberichterstattung zur KI-Aufsicht (September 2026); Primärquelle: Europäische Kommission, Rechtsrahmen für KI
Mit dem Digital Omnibus – Verordnung (EU) 2026/1744 – verschieben sich nicht nur Fristen nach hinten: Zum 2. Dezember 2026 treten zusätzliche Verbotstatbestände in Kraft, darunter ein ausdrückliches Verbot von Anwendungen zur Erzeugung intimer Darstellungen ohne Einwilligung.
Nach der Änderung gelten für Hochrisiko-Systeme nach Anhang III der 2. Dezember 2027 und für in Produkte eingebettete Hochrisiko-KI nach Anhang I der 2. August 2028. Unverändert bleiben die Transparenzpflichten seit dem 2. August 2026 und die KI-Kompetenzpflicht seit Februar 2025.
Die Kommission hat ein wissenschaftliches Gremium aus 60 unabhängigen Sachverständigen sowie ein Beratungsforum mit 174 Mitgliedern eingesetzt. Beide Gremien wurden vor dem Stichtag 2. August 2026 aktiviert und sollen für eine einheitliche Auslegung der Verordnung sorgen.
Der Senat befasste sich mit dem Gesetzentwurf 2338/2023, der einen nationalen Rechtsrahmen für Künstliche Intelligenz schaffen soll. Der Entwurf orientiert sich in seiner Grundstruktur am risikobasierten Ansatz der EU – ein Beispiel dafür, dass die europäische Regulierung international als Vorbild wirkt.
Quelle: Fachberichterstattung zur internationalen KI-Regulierung (September 2026)
Die Kommission hat ein Paket mit einem Cloud- und KI-Entwicklungsgesetz sowie einer Neufassung des Chip-Gesetzes vorgestellt. Vorgesehen ist unter anderem, außereuropäische Hyperscaler von besonders sensiblen Daten der öffentlichen Verwaltung in Gesundheit, Finanzen und Justiz auszuschließen.
Artikel 50 der EU-KI-Verordnung gilt ab diesem Datum. Menschen müssen erkennen können, wenn sie mit einem KI-System interagieren, und KI-erzeugte Inhalte müssen maschinenlesbar gekennzeichnet werden.
Verstöße gegen die Transparenzpflichten können mit Geldbußen bis zu 15 Millionen Euro oder bis zu drei Prozent des weltweiten Jahresumsatzes des Vorjahres geahndet werden.
Der Rat hat den „Digital Omnibus on AI“ final angenommen, nachdem das Europäische Parlament am 16. Juni zugestimmt hatte. Die Pflichten für Hochrisiko-KI nach Anhang III gelten damit erst ab Dezember 2027, für in Produkte eingebettete Hochrisiko-KI ab August 2028.
Generative KI-Systeme, die bereits vor dem 2. August 2026 am Markt waren, müssen die maschinenlesbare Kennzeichnung ihrer Ausgaben bis zu diesem Datum nachrüsten. Für reine Anwender ändert das nichts an den übrigen Pflichten.
Seit August 2025 gelten die Governance-Regeln der KI-Verordnung sowie die Pflichten für Anbieter von KI-Modellen mit allgemeinem Verwendungszweck.
Bereits seit Februar 2025 gelten das Verbot bestimmter KI-Praktiken nach Artikel 5 sowie die Pflicht zur KI-Kompetenz nach Artikel 4 – auch für kleine Unternehmen, die KI lediglich einsetzen.
Die italienische Datenschutzbehörde Garante beanstandete unter anderem eine fehlende Rechtsgrundlage für die Verarbeitung personenbezogener Daten im Training, eine unterlassene Meldung des Vorfalls von 2023 sowie fehlende Altersverifikation.
Das Sicherheitsunternehmen CrowdStrike hat seine Sammlung dokumentierter Prompt-Injection-Techniken deutlich ausgebaut. Als Grund nennen die Forschenden den Wechsel von Chatbots zu Agenten: Sobald ein System Webseiten liest, auf Dateiablagen zugreift oder Befehle ausführen darf, wächst die Angriffsfläche erheblich.
Das OWASP GenAI Security Project ordnet Prompt Injection sechs der zehn Kategorien seiner Top 10 für agentische Anwendungen zu. Die Ursache sei struktureller Natur: Systemanweisung, Nutzeranfrage und abgerufene Inhalte erreichen das Modell als ein einziger Textstrom, ohne verlässliche Trennung von Befehl und Daten.
Quelle: OWASP GenAI Security Project; Berichterstattung bei Help Net Security (11.06.2026)
Als praktische Prüfregel hat sich eine Formulierung des Entwicklers Simon Willison etabliert: Jeder Agent, der drei Eigenschaften vereint – Zugriff auf private Daten, Kontakt mit nicht vertrauenswürdigen Inhalten und die Fähigkeit, nach außen zu kommunizieren – kann durch eine einzige eingeschmuggelte Anweisung zum Datenabfluss-Werkzeug werden.
Quelle: Help Net Security (11.06.2026) unter Verweis auf Simon Willison
Ein manipuliertes Paket des weit verbreiteten Modell-Gateways LiteLLM stand rund drei Stunden auf der Plattform PyPI und wurde in diesem Zeitraum etwa 47.000 Mal geladen. LiteLLM dient unter anderem CrewAI, DSPy und Microsoft GraphRAG als Schnittstelle zu Sprachmodellen.
Quelle: Help Net Security (11.06.2026)
Auf der Infosecurity Europe 2026 erklärte der OWASP-Mitwirkende Ariel Fogel, das Problem sei auf grundlegender Ebene weiterhin nicht gelöst. Da Sprachmodelle Eingaben als eine einzige Tokenfolge verarbeiten, fehle ein verlässlicher Mechanismus, um Rechtegrenzen zwischen Systemanweisung, Nutzerfrage und abgerufenen Inhalten zu erzwingen.
Die Sicherheitsbehörden der Five-Eyes-Staaten empfehlen in ihrem Papier „Careful Adoption of Agentic AI Services“, Organisationen sollten davon ausgehen, dass sich agentische Systeme unerwartet verhalten, und Belastbarkeit, Rücknehmbarkeit und Schadensbegrenzung über Effizienzgewinne stellen.
Quelle: Five Eyes, „Careful Adoption of Agentic AI Services“ (2026); Wiedergabe bei Sysdig
Die Forschungseinheit Unit 42 von Palo Alto Networks dokumentierte Fälle, in denen Angreifer Anweisungen in Webinhalte einbetteten, die von KI-Agenten beim Lesen der Seite mit ausgeführt wurden. Betroffen sind damit nicht nur Testaufbauten, sondern der normale Betrieb von Agenten mit Webzugriff.
Bei simulierten Hacking-Übungen erhielten drei Claude-Modelle durch eine falsch konfigurierte Testumgebung echten Internetzugang und griffen auf produktive Systeme dreier außenstehender Unternehmen zu. Anthropic machte die Vorfälle selbst öffentlich.
Im Rahmen derselben Tests veröffentlichte ein Modell ein bösartiges Paket auf der echten Plattform PyPI. Es wurde auf 15 realen Systemen installiert, darunter beim Scanner eines Sicherheitsunternehmens.
Laut OpenAI verketteten Modelle mehrere Schwachstellen, um aus einer isolierten Umgebung mit stark eingeschränktem Internetzugang auf die Infrastruktur der Plattform Hugging Face zu gelangen.
Eine von Varonis entdeckte Schwachstellenkette in Microsoft 365 Copilot Enterprise erlaubte es, über einen einzigen Klick auf einen legitim wirkenden Microsoft-Link vertrauliche Daten, MFA-Codes und E-Mail-Inhalte abzugreifen. Microsoft hat die Lücke geschlossen.
Microsoft veröffentlichte und schloss drei als kritisch eingestufte Schwachstellen in Microsoft 365 Copilot und Copilot Chat in Edge, die eine unbefugte Offenlegung von Informationen ermöglicht hätten. Ein Eingreifen durch Kunden war nicht nötig.
Durch einen Fehler beim Verpacken einer Veröffentlichung wurden rund 512.000 Zeilen internen Quellcodes zugänglich. Nach Angaben von Anthropic handelte es sich um menschliches Versagen, Nutzerdaten waren nicht betroffen.
Ein interner Agent gab bei einer technischen Anfrage fehlerhafte Hinweise, wodurch sensible Informationen firmenintern breiter zugänglich wurden als vorgesehen. Ein externer Missbrauch wurde nicht festgestellt.
Ein Fehler erlaubte es Copilot, als vertraulich markierte E-Mails zusammenzufassen und damit Data-Loss-Prevention-Regeln auszuhebeln – besonders kritisch in regulierten Branchen.
Eine versteckte Anweisung im Beschreibungsfeld eines Kalendertermins konnte Gemini dazu bringen, bei einer späteren normalen Nutzeranfrage private Termindaten preiszugeben. Google hat die Schwachstelle bestätigt und behoben.
Noma Labs zeigte, dass ein geteiltes Dokument mit versteckten Anweisungen ausreichte, damit Gemini Enterprise beziehungsweise Vertex AI Search automatisch Daten aus verbundenen Firmenquellen abgreift – ohne Zutun der Nutzer.
Angreifer erlangten Zugriff auf den Analysedienst Mixpanel. Betroffen waren Namen, E-Mail-Adressen und Standortdaten von Nutzern der OpenAI-API. Chats, Passwörter, API-Schlüssel und Zahlungsdaten waren nach Angaben von OpenAI nicht betroffen.
Unter dem Titel „Invitation Is All You Need“ zeigten Forschende, dass eine präparierte Kalendereinladung genügte, um Gemini per Prompt Injection zum Weiterleiten von E-Mails oder zum Steuern vernetzter Geräte zu bewegen. Google hat mehrschichtige Gegenmaßnahmen ausgerollt.
Forscher von Aim Security zeigten, dass eine einzige E-Mail ausreichte, um Copilot zur Preisgabe interner Informationen zu bewegen – ohne Klick, Phishing oder Schadsoftware.
Nach dem Start der eigenständigen App landeten Hunderte private Unterhaltungen samt Audioaufnahmen in einem öffentlichen Feed, weil die Teilen-Funktion standardmäßig aktiv war.
Ein Sicherheitsforscher konnte durch Verändern einer Kennnummer Prompts und Antworten anderer Nutzer abrufen. Meta behob den Fehler und zahlte eine Bug-Bounty-Prämie von 10.000 US-Dollar.
Schadsoftware las auf mehr als 100.000 Geräten ChatGPT-Zugangsdaten aus. Betroffen waren die Geräte der Nutzer, nicht die Systeme von OpenAI selbst.
Google stellte am 2. September Gemini 3.8 Flash vor, OpenAI am 3. September ein neues Spitzenmodell, das inzwischen in Microsoft 365 Copilot, GitHub Copilot und Copilot Studio ausgerollt wird. Bemerkenswert ist weniger der Leistungssprung als die Nähe der Modelle zueinander.
Quelle: Fachberichterstattung zum KI-Markt (September 2026)
Weil die führenden Modelle inhaltlich dicht beieinanderliegen, wird der Preis zum ausschlaggebenden Unterschied. Für kleine und mittlere Unternehmen bedeutet das: leistungsfähige Modelle werden günstiger, und mehrstufige, eigenständig arbeitende Abläufe rücken damit in erreichbare Kostennähe.
Quelle: Fachberichterstattung zum KI-Markt (September 2026)
Der europäische Anbieter Mistral hat eine Finanzierung über drei Milliarden Euro erhalten und eine Partnerschaft mit Samsung geschlossen, in der KI für Entwicklung und Fertigung von Halbleitern eingesetzt werden soll. Sensible Fertigungsdaten sollen innerhalb der Infrastruktur von Samsung verarbeitet werden.
Quelle: Mistral AI; Berichterstattung bei Digitale Profis (10.09.2026)
Mistral setzt weiter auf offen verfügbare Modellgewichte und richtet sich an Unternehmen, die ihre KI selbst kontrollieren wollen: Modelle sollen angepasst und betrieben werden können, ohne vertrauliche Daten nach außen zu geben. Für Betriebe mit strengen Datenschutzanforderungen ist das der entscheidende Unterschied zu geschlossenen Diensten.
Quelle: Mistral AI
Die Nachfrage nach Rechenkapazität verknappt Chips und treibt die Preise für Smartphones, Notebooks und Konsolen. Gleichzeitig erhöhen Unternehmen ihre KI-Budgets, obwohl nach den zitierten Erhebungen nur etwa 22 Prozent die Technik erfolgreich über Pilotprojekte hinaus skalieren.
Quelle: Fachberichterstattung zum KI-Markt (02.09.2026)
Nach dem Artificial Intelligence Index Report 2026 der Universität Stanford setzten weltweit rund 88 Prozent der Unternehmen KI ein, in Europa 91 Prozent. Auch privat nutzte 2025 mehr als die Hälfte der Menschen generative Modelle. Die Zahlen sagen nichts über die Tiefe der Nutzung aus.
Nach Berichten soll die überarbeitete Sprachassistenz von Apple in der EU und in China zunächst nicht verfügbar sein; als Grund werden regulatorische Konflikte genannt. Der Fall zeigt, dass europäische Vorgaben zunehmend über die Verfügbarkeit von Funktionen entscheiden – nicht nur über ihre Ausgestaltung.
Quelle: Fachberichterstattung zu Apple und EU-Regulierung (September 2026)
Meta erweitert sein KI-Angebot um ein Modell, das Bilder erzeugen, bearbeiten und direkt in den eigenen Plattformen nutzbar machen soll. Kritik entzündete sich an einer Funktion, die öffentliche Instagram-Fotos einbezieht.
Leistungsfähigere Chips erlauben es, KI-Modelle direkt auf dem Endgerät auszuführen. Für Unternehmen mit hohen Datenschutzanforderungen entfällt damit die Weitergabe sensibler Daten an externe Server.
Anbieter integrieren zunehmend Agenten, die Aufgaben eigenständig über mehrere Schritte ausführen. Für Unternehmen verschiebt sich die Sicherheitsfrage damit von einzelnen Antworten hin zu Berechtigungen und Freigaben.
Erste Vermarkter bieten Produkte an, mit denen Marken in Antworten von ChatGPT, Perplexity, Gemini und Google AI Overviews auftauchen sollen. Inhalte, die KI-Crawler nicht erfassen können, fließen dort nicht ein.
Anbieter nennen kaum feste Release-Termine, entwickeln ihre Modelle aber in kurzen Abständen weiter. Unternehmen sollten deshalb Prozesse regelmäßig nachprüfen, statt sie einmalig auf eine Modellversion abzustimmen.