Am Montag rückt in der Europäischen Kommission — der Exekutive der EU und seit der KI-Verordnung (AI Act) von 2024 die direkte Aufsicht über die leistungsfähigsten KI-Modelle — eine neue Befugnis in Reichweite einer Unterschrift. Zugang zu einem KI-Modell mit allgemeinem Verwendungszweck, also zu einem Universalmodell wie den großen Sprachmodellen, kann die Kommission schon heute von dem Unternehmen verlangen, das es gebaut hat: "through APIs or further appropriate technical means and tools, including source code" — über Schnittstellen oder weitere geeignete technische Mittel und Werkzeuge, einschließlich des Quellcodes. So kann sie prüfen, wozu ein Modell zu bringen ist. Neu ist ab Montag ein Satz über die Seite des Unternehmens.
Es ist Artikel 2 Absatz 3 der Durchführungsverordnung (EU) 2026/1755 der Kommission, jener Verfahrensordnung, die die Kommission für ihre eigenen KI-Untersuchungen geschrieben hat — angenommen am 20. Juli, veröffentlicht am 21. Juli im Amtsblatt, dem Gesetzesblatt der EU, in Kraft ab Montag, 10. August. Im Wortlaut:
"The Commission may require the provider to disable any logging measures that could track or record the Commission's access to the general-purpose AI model, to the extent necessary to ensure the integrity and confidentiality of the evaluation process."
Auf Deutsch, erläuternd: Die Kommission kann den Anbieter verpflichten, alle Protokollierungsmaßnahmen abzuschalten, die den Zugriff der Kommission auf das KI-Modell mit allgemeinem Verwendungszweck verfolgen oder aufzeichnen könnten, soweit dies erforderlich ist, um die Integrität und Vertraulichkeit des Evaluierungsverfahrens zu gewährleisten. (Alle Zitate aus dieser Verordnung und aus dem weiter unten behandelten Kodex stehen hier im englischen Original. Amtliche deutsche Fassungen existieren; wir haben sie nicht eingesehen und übersetzen daher nur erläuternd.)
Angeordnet wird das Abschalten dem Anbieter selbst; verdeckt ist der Zugriff also nicht, das Unternehmen weiß, dass die Prüfer da waren. Was es verliert, ist der Beweis — die Möglichkeit, gegen die Darstellung der Kommission zu belegen, worauf zugegriffen wurde und wie lange. Bisher wurde keinem Unternehmen angeordnet, irgendetwas abzuschalten; vor Montag kann es auch keinem angeordnet werden. Und niemand hat gesagt, warum. EU-Gesetze beginnen mit Erwägungsgründen, nummerierten Absätzen, die angeben, wozu das Gesetz da ist; dieses hat sechs, und keiner erwähnt Protokollierung.
Überwacht alles — nur uns nicht
Dieser Satz trifft zuerst die Leute, die in den Modellunternehmen die Sicherheit verantworten.
Die aufgeräumte Version — die KI-Verordnung schreibt Protokolle vor, die neue Durchführungsverordnung schaltet sie ab — ist falsch, und der Fehler war zuerst unser: Die Protokollpflichten der KI-Verordnung, Artikel 12 und 19, binden Hochrisiko-KI-Systeme, ein anderes Kapitel; ein Modellanbieter schuldet keine von beiden. Was der Anbieter eines Modells mit systemischem Risiko schuldet, steht in Artikel 55 Absatz 1 Buchstabe d: ein "adequate level of cybersecurity protection", ein angemessenes Cybersicherheitsniveau, für das Modell und seine physische Infrastruktur. Verstöße werden mit bis zu 3 % des weltweiten Umsatzes oder 15 Millionen € geahndet, je nachdem, welcher Betrag höher ist.
Nachweisen lässt sich das über den Verhaltenskodex für KI mit allgemeinem Verwendungszweck (General-Purpose AI Code of Practice) — das Regelwerk, das Anbieter unterzeichnen, um ihre Konformität zu belegen, entworfen von unabhängigen Sachverständigen und anschließend von der Kommission selbst für angemessen erklärt. Der Sicherheitsanhang des Kodex verlangt Angriffserkennung "on all networks and devices", auf allen Netzwerken und Geräten. Er verlangt ein Sicherheitsteam, dessen Aufgabe es ist, "monitor for EDR alerts" — die Warnungen der EDR-Software auszuwerten; EDR (Endpoint Detection and Response) ist die Software auf den Endgeräten, die Eindringlinge meldet. Und er verlangt ein sicheres Verzeichnis jedes Geräts, auf dem Modellparameter liegen.
"Any logging measures that could track or record the Commission's access" — alle Protokollierungsmaßnahmen, die den Zugriff der Kommission verfolgen oder aufzeichnen könnten — greift auf all das zu. Der Kodex rechnet mit Ersatzlösungen: Maßnahme 6.2 verlangt, dass jede ersetzende Schutzmaßnahme "detection of suspicious or malicious activity" leistet, also verdächtige oder bösartige Aktivität erkennt — und auf einem Kanal, den man nicht aufzeichnen darf, leistet das nichts. Artikel 55 Absatz 2 schließt den Kreis: Wer vom Kodex abweicht, "shall demonstrate alternative adequate means of compliance for assessment by the Commission", muss der Kommission also andere angemessene Mittel der Einhaltung zur Bewertung nachweisen. Die Lage des Sicherheitsingenieurs ab Montag: gebunden an einen Standard, den die Kommission angemessen genannt hat; von der Kommission dazu verpflichtbar, ihn zu brechen; und von der Kommission danach bewertet, was übrig bleibt.
Was für einen unsichtbaren Prüfer spricht
Ein Prüfer, dessen Zugriff protokolliert wird, lässt sich erkennen — und ein Unternehmen, das den Datenverkehr der Kommission an seinem Fingerabdruck erkennt, kann diese Sitzungen auf einen Checkpoint umleiten, einen abgespeicherten Modellstand, bei dem die Sicherheitsfilter eingeschaltet sind. Die Kommission zertifiziert dann ein Modell, das sonst niemand benutzen kann. Dieses Scheitern hat einen Namen, teaching to the test, das Lernen für die Prüfung, und es ist der gewöhnliche Weg, auf dem Prüfung durch Dritte stirbt.
Die KI-Verordnung verschärft das, weil die Einhaltung weitgehend selbst bescheinigt wird: Anbieter führen ihre Angriffstests (adversarial testing) selbst durch und dokumentieren sie selbst. Sieht die Aufsicht nur den Bericht des Unternehmens über die eigenen Tests des Unternehmens, dann ist die Regelung für systemische Risiken eine Selbstzertifizierung mit Unterschriftenseite.
Das stärkste Argument sind die Tests selbst. Ein Prüfsatz der Kommission für offensive Cyberfähigkeiten oder für biologischen Uplift — den Fähigkeitszuwachs, den ein Modell einem Angreifer verschafft — besteht der Konstruktion nach aus Prompts, die funktionieren. Ein Anbieter, der diese Eingaben protokolliert und auswertet, bekommt auf Kosten der Aufsicht ein kuratiertes Angriffskorpus. Jede ernsthafte Kontrolle braucht unangekündigten Zugang, und eine Regel, die die Integrität einer Evaluierung schützt, ist kein Skandal.
Die bessere Regel kam zuerst
Genau dieses Problem war aber schon gelöst, und zwar richtig — in dem Kodex, den die Kommission gebilligt hat. In Anhang 3.5 versprechen die Unterzeichner, sie "will not undermine the integrity of external model evaluations by storing and/or analysing inputs and/or outputs from test runs without express permission from the evaluators." Erläuternd: Sie werden die Integrität externer Modellevaluierungen nicht untergraben, indem sie Eingaben und/oder Ausgaben aus Testläufen ohne ausdrückliche Erlaubnis der Prüfer speichern und/oder auswerten.
Das verbietet dem Anbieter, den Inhalt eines Tests zu behalten — die Prompts, die Antworten des Modells, das Material, gegen das man trainieren würde — und es hängt an der Zustimmung des Prüfers. Das Sicherheitsprotokoll bleibt an. Der Satz vom Montag regelt stattdessen den Zugriffsnachweis, und er kennt überhaupt keine Zustimmung. Deckten beide Regeln dasselbe ab, wäre der Satz vom Montag überflüssig.
Siegel statt Blackout
Kein anderer Prüfer der EU arbeitet so. Im Wettbewerbsrecht dürfen die Prüfer der Kommission Unterlagen versiegeln, und das Erbrechen eines Siegels kostet eine Geldbuße von bis zu 1 % des Umsatzes. In der Bankenaufsicht darf die Europäische Zentralbank unangekündigt erscheinen — aber nur durch Beschluss und mit richterlicher Genehmigung, wo das nationale Recht sie verlangt. Fünf Regime wurden geprüft. Die Überraschung entsteht in jedem einzelnen daraus, dass nicht vorher informiert wird. Nicht daraus, dass nichts aufgezeichnet wird.
Der Wachhund, den niemand gerufen hat
Wer hat zugestimmt? Das EU-Recht hat eine Stelle, deren Aufgabe der Widerspruch ist: den Europäischen Datenschutzbeauftragten (EDPS), die interne Datenschutzaufsicht der Union. Die Kommission muss ihn anhören, wenn der Entwurf eines Durchführungsrechtsakts berührt, wie "personal data", personenbezogene Daten, verarbeitet werden (Verordnung 2018/1725, Artikel 42 Absatz 1). In ihren 5.304 Wörtern — gezählt im englischen Wortlaut — nennt die neue Verordnung den Datenschutzbeauftragten nie, zitiert jene Verordnung nie und verwendet die Wendung "personal data" nie.
Schweigen ist nicht seine Gewohnheit. Am 6. März 2026 legte er formelle Anmerkungen zu einem anderen Entwurf unter derselben KI-Verordnung vor — sechs Tage, bevor der Entwurf von 2026/1755 zur öffentlichen Rückmeldung freigegeben wurde. Und eine Schwesterverordnung hält seine Stellungnahme in ihrem Erwägungsgrund 5 fest; angenommen wurde sie am 15. Juli, fünf Tage vor dieser. Zu diesem Rechtsakt: nichts im Text, und keine Anmerkung an irgendeiner Stelle, an der der Datenschutzbeauftragte seine Arbeit veröffentlicht — eine Suche, die wir nicht erschöpft haben. Die Konsultation zum Entwurf brachte 51 Einreichungen; wir konnten sie nicht abrufen, deshalb ist unbekannt, ob irgendjemand den Satz zur Protokollierung beanstandet hat.
Eine Befugnis, die mit einer Unterschrift auskommt
Die Mutterbefugnis kommt in Schutzvorkehrungen gekleidet: Ein Zugangsverlangen nach Artikel 92 der KI-Verordnung muss die Rechtsgrundlage nennen, Zweck und Gründe, die Frist zur Erfüllung und die möglichen Geldbußen; in der Durchführungsverordnung wird der Zugang selbst per "decision", also durch Beschluss, angeordnet. Die Anforderung zur Protokollierung hat davon nichts — keinen Beschluss, keinen Querverweis, keine Form. Die Geschäftsordnung der Kommission erlaubt, "management or administrative measures" — Maßnahmen der Geschäftsführung oder Verwaltung — an die Generaldirektoren zu delegieren, ihre höchsten Beamten. Ein Beschluss ist ein Beschluss; eine Anforderung ohne Etikett ist die Art Sache, die ein Beamter unterschreibt.
Artikel 10 Absatz 3 derselben Verordnung listet die Handlungen auf, die die fünfjährige Verjährungsfrist für Geldbußen unterbrechen, und eine davon ist "requests for access to conduct model evaluations", also das Verlangen nach Zugang zur Durchführung von Modellevaluierungen. Jede Unterbrechung lässt die Frist neu laufen, bis zu einer Obergrenze von zehn Jahren. Das Ereignis, das die Uhr zurückstellt, ist genau das Ereignis, das der Anbieter möglicherweise nicht aufzeichnen darf.
„Die Kommission“ ist hier kein einziger Kopf. Den Kodex haben unabhängige Sachverständige entworfen, keine Beamten; einberufen hat sie das AI Office, das Büro für Künstliche Intelligenz innerhalb der Generaldirektion CNECT (DG CNECT), der Abteilung der Kommission für Digitalpolitik, und die Kommission und das KI-Gremium (AI Board) haben das Ergebnis dann für angemessen erklärt. Dasselbe AI Office führt die Modellevaluierungen durch und wird die Besuche machen. Unterschreiben kann die Anforderung ein Generaldirektor. Ein Zugangsbeschluss nach Artikel 92 ist noch nie aufgetaucht; wir haben gesucht und keinen gefunden. Institutionelles Auseinanderdriften ist wahrscheinlicher als der Plan eines einzelnen Akteurs — und in einem Punkt schlimmer: Niemand muss es beabsichtigen.
Beide Seiten sollten eine Kopie behalten
Die Union hat dieses Problem schon einmal gelöst, im schwierigeren Fall. Wenn eine Aufzeichnung eine Nachprüfung der Kommission überdauern muss, traut das Wettbewerbsrecht keiner der beiden Seiten: Es versiegelt den Schrank und macht das Erbrechen des Siegels selbst zum Verstoß. Der digitale Nachkomme des Siegels ist ein Protokoll, an das nur angefügt werden kann — ein Append-only-Log, das beide Seiten prüfen können und keine Seite ändern kann.
Der Text lässt einem Anbieter zwei Hebel. Artikel 3 Absatz 5 erlaubt begründete Einwendungen gegen die Sachverständigen, die die Kommission bestellt — das lohnt sich, denn nach Artikel 4 kann derjenige, der in Ihrer Infrastruktur sitzt, ein beauftragter Auftragnehmer sein. Ein Zugangsbeschluss nach Artikel 2 Absatz 1 ist nach Artikel 263 AEUV überprüfbar, dem Weg im Vertrag über die Arbeitsweise der Europäischen Union, auf dem EU-Rechtsakte vor Gericht angegriffen werden.
Die Kommission soll in diese Modelle hineinsehen; das ist der Sinn der KI-Verordnung, und die Begründung für unangekündigten Zugang ist echt. Was sie nicht hätte tun sollen: einen Interessenkonflikt so auflösen, dass eine Partei die einzige Kopie der Aufzeichnung in der Hand hält — in einem Satz, den keiner ihrer sechs Erwägungsgründe erklärt.
Quellen
Quellen
- Commission Implementing Regulation (EU) 2026/1755 of 20 July 2026 on detailed arrangements for the
conduct of certain proceedings by the Commission pursuant to Regulation (EU) 2024/1689, OJ L, 2026/1755, 21.7.2026; CELEX 32026R1755; ELI http://data.europa.eu/eli/reg_impl/2026/1755/oj; unterzeichnet von Ursula von der Leyen. Verwendet: Art. 2(1)–(4), 3(2), 3(5), 4, 10(3)–(4), 15 sowie alle sechs Erwägungsgründe. Der vollständige englische Text (5.304 Wörter) wurde beim Amt für Veröffentlichungen unter http://publications.europa.eu/resource/oj/L_202601755.ENG mit Accept: application/xhtml+xml abgerufen, weil Accept: text/html für diesen Rechtsakt HTTP 404 zurückgibt. Inkrafttreten 2026-08-10 und in-force = 0 per SPARQL unter publications.europa.eu/webapi/rdf/sparql bestätigt, beides abgerufen am 7. August 2026.
- Regulation (EU) 2024/1689 (AI Act), konsolidierte Fassung vom 27. Juli 2026, CELEX 02024R1689-20260727:
Art. 12, 19, 53, 55(1)–(3), 88(1), 91, 92(1)–(4), 101(1). Die Worthäufigkeitsprüfungen liefen über den vollständigen englischen Text, nach Normalisierung von U+00A0.
- General-Purpose AI Code of Practice, Safety and Security Chapter, Europäische Kommission, 43 S., unter
https://ec.europa.eu/newsroom/dae/redirection/document/118119, abgerufen am 7. August 2026: Commitment 6 ("LEGAL TEXT: Article 55(1), and recitals 114 and 115 AI Act"), Measure 6.2, Appendix 3.5, Appendix 4.2(1)–(2), Appendix 4.3(1), Appendix 4.5(6)–(7). Korrektur, 10. August: Eine frühere Fassung schrieb, DG CNECT habe diesen Kodex entworfen. Das stimmt nicht. Die Seite der Kommission selbst führt den Kodex als "prepared by independent experts in a multi-stakeholder process", also als von unabhängigen Sachverständigen in einem Multi-Stakeholder-Verfahren erstellt, und Artikel 56 Absatz 1 der KI-Verordnung gibt dem AI Office allein die Rolle "encourage and facilitate", zu fördern und zu erleichtern; die Kommission und das KI-Gremium haben den fertigen Kodex nach Artikel 56 Absatz 6 als angemessen bewertet. Das Argument hier stützt sich auf diese Billigung und auf Artikel 55 Absatz 2, nicht auf die Autorschaft, und ist entsprechend umgeschrieben worden.
- Regulation (EU) 2018/1725, Art. 42(1)–(3). Commission Implementing Regulation (EU) 2026/1730 of
15 July 2026, OJ L, 2026/1730, 22.7.2026, Erwägungsgründe 4 und 5, unter http://publications.europa.eu/resource/oj/L_202601730.ENG.
- EDPS (Europäischer Datenschutzbeauftragter), Formal comments of 6 March 2026 on the draft Commission
Implementing Regulation laying down rules for the application of Regulation (EU) 2024/1689 as regards the establishment, development, implementation, operation and supervision of AI regulatory sandboxes — https://www.edps.europa.eu/data-protection/our-work/publications/formal-comments/2026-03-06-edps-commission-regulation-regards-operation-and-supervision-ai-regulatory-sandboxes (PDF: .../system/files/2026-03/06-03-2026_formal_comments_operation_supervision_ai_sandboxes_en.pdf). Die EDPS-Verzeichnisse „Opinions“ und „Formal Comments“ wurden über r.jina.ai gelesen, weil edps.europa.eu direkte Abrufe von hier aus mit HTTP 403 beantwortet; gelesen wurden die Seiten für den Zeitraum 30. Januar bis 15. Juli 2026, sie enthalten keinen Eintrag zu 2026/1755.
- Kommissionsregister „Have your say“, Initiative 16472 („Implementing regulation Art 92 and 101 AI
Act“ / „Artificial Intelligence Act – detailed arrangements on evaluations and proceedings“), Ares(2026)560463, DG CNECT, Ausschuss C129100. Entwurf: Publikations-ID 22547, Ares(2026)2709234, ISC/2026/01203, 12 Seiten plus zweiseitiger Anhang, Rückmeldefenster 12. März 2026 18:24 → 9. April 2026 23:59, Status CLOSED, totalFeedback = 51. Geplant war die Annahme für Q2 2026 (1. April – 30. Juni); angenommen wurde der Rechtsakt am 20. Juli. Abgerufen von ec.europa.eu/info/law/better-regulation/brpapi/groupInitiatives/16472?language=EN am 7. August 2026 — zu beachten: Die brpapi-Endpunkte antworten mit HTTP 500 oder HTTP 400 ("No such language"), solange language=EN fehlt; deshalb hatte ein früheres Desk sie als nicht verfügbar vermerkt. Die einzelnen Rückmeldungen werden nur an einen Browser ausgeliefert und wurden nicht abgerufen.
- Rules of Procedure of the Commission (C(2000) 3614), OJ L 308, 8.12.2000, Art. 13 und 14.
- Vergleichsregime, jeweils im Original gelesen: Council Regulation (EC) No 1/2003, Art. 20(2)(d), 20(4),
21(3), 23(1)(e) — Text über http://data.europa.eu/eli/reg/2003/1/oj, weil der Cellar-XHTML-Stream für CELEX 32003R0001 mit 404 antwortet; Council Regulation (EU) No 1024/2013 (SSM), Art. 12(1), 12(3), 12(5), 13; Regulation (EU) 2022/2554 (DORA), Art. 26(2), 27(1)–(3) — "logs" und "logging" kommen im 45.231 Wörter langen englischen Text null Mal vor; Directive 2001/83/EC, Art. 111(1); Commission Implementing Regulation (EU) No 628/2013, Art. 10, 13(2), 14(1)(a).
- European AI Office (Europäisches Büro für Künstliche Intelligenz) —
https://digital-strategy.ec.europa.eu/en/policies/ai-office, abgerufen am 7. August 2026: geführt von DG CNECT, "more than 125 staff", also mehr als 125 Beschäftigte, sechs Referate, darunter A2 Regulation and Compliance und A3 AI Safety.
- Nicht belegt, als Lücken berichtet: jede Stellungnahme oder formelle Anmerkung des EDPS zu diesem
Rechtsakt (die EDPS-Website beantwortet direkte Abrufe von hier aus mit HTTP 403; ihre Verzeichnisse „Opinions“ und „Formal Comments“ wurden über r.jina.ai gelesen und zeigen nichts zu 2026/1755, wurden aber nicht erschöpfend geprüft); die Identität derjenigen, die auf die Entwurfskonsultation geantwortet haben — die Zahl, 51, steht im Eintrag zur Initiative, aber Have Your Say brpapi/searchInitiatives antwortete heute mit HTTP 500, sodass unbekannt bleibt, wer sie waren; das Datum der Stellungnahme des Ausschusses für Künstliche Intelligenz (das Komitologieregister läuft nur mit JavaScript); ob überhaupt jemals ein Zugangsbeschluss nach Artikel 92 oder eine Anforderung nach Artikel 2 Absatz 3 ergangen ist. Die Websuche war in dieser gesamten Sitzung nicht verfügbar (gemeinsames Budget ausgeschöpft), daher war keine Erhebung von Presse- oder Zivilgesellschaftsreaktionen möglich.