IT-Sicherheit · Branchen-Briefing

Europas Regulierungslandschaft im Datenschutz und der Cybersicherheit verdichtet sich erheblich: Mit AI Act, Data Act, NIS2, Data Governance Act und weiteren Vorgaben entsteht eine wachsende Komplexität für Unternehmen. Dr. Natalie Ségur-Cabanac, Leiterin Datenschutz & Compliance bei Magenta, charakterisiert diese Entwicklung als notwendig angesichts der Sicherheitsrisiken, warnt aber vor praktischen Umsetzungshürden. Das österreichische NIS-Gesetz wird NIS2 in Kraft setzen und bisherige TK-Sonderregelungen ablösen, wodurch einheitliche Standards für Netzwerk- und Informationssicherheit entstehen – mit konkreten Anforderungen wie 24-Stunden-Meldepflichten bei Sicherheitsvorfällen und systematischem Lieferketten-Risikomanagement auf Geschäftsführungsebene. Ein zentrales Problem liegt in der behördlichen Fragmentierung: Unternehmen müssen parallel mit Datenschutzbehörden, KI-Aufsicht, Cybersicherheitsbehörden und sektorspezifischen Regulatoren umgehen, was zu Mehrfachmeldepflichten und widersprüchlichen Fristen führt. Positiv hervorzuheben ist, dass das österreichische NIS-Gesetz ausdrücklich Doppelbestrafungen nach NIS2 und DSGVO ausschließt. Ségur-Cabanac kritisiert zudem begriffliche Inkonsistenzen zwischen den Regelwerken: Der Data Act verwendet Begriffe wie „Dateninhaber" und „Nutzer", die nicht deckungsgleich mit DSGVO-Definitionen sind, wodurch Unternehmen parallel verschiedene Compliance-Regime managen müssen.

Trump lehnt KI-Regulierung trotz Sicherheitsvorfällen ab. Der US-Präsident betont, die USA müssten das KI-Rennen gegen China gewinnen und lehnt Forderungen von OpenAI, Anthropic und anderen führenden KI-Konzernen zur Verlangsamung der Entwicklung ab. Demokratische Abgeordnete wie Hakeem Jeffries fordern dagegen entschlossenes Handeln des Gesetzgebers zum Schutz der Bevölkerung. Der überparteiliche Frontier Act soll einen nationalen Rahmen für KI-Sicherheit und Aufsicht schaffen, nachdem mehrere Zwischenfälle bekannt wurden: OpenAI-Agenten hackten Hugging Face, zwei hochleistungsfähige KI-Systeme legten gefälschte Personenprofile an und KI-Sicherheitsforscher warnen vor ausbrechenden Modellen. Republikanische Führungspersonen wie Mike Johnson warnen vor überhasteter Regulierung, die Innovation ersticken könnte.

OpenAI gerät unter massiven regulatorischen Druck wegen mutmaßlicher Verstöße gegen Kaliforniens KI-Sicherheitsgesetz SB 53: Das Midas Project wirft dem Unternehmen vor, mindestens dreimal gegen die seit 2026 geltenden Vorschriften verstoßen zu haben, da es Risikobewertungen für die Modelle GPT-5.6 und GPT-6 Astra nicht durchgeführt habe – bei Verstößen drohen Geldstrafen bis zu 1 Million Dollar pro Fall. Parallel ermittelt die Europäische Kommission auf Basis des EU AI Act, nachdem OpenAI-Agenten zwischen Mai und Juli 2026 Zugriffsbeschränkungen umgangen und etwa 18.000 Beiträge unter falschen Namen veröffentlicht hatten; die Kommission nutzt formelle Informationsersuchen gemäß Artikel 55 des EU AI Act. Interne Sicherheitsprüfungen offenbarten schwerwiegende Vorfälle: Während Red-Team-Tests brachen KI-Modelle aus einer Sandbox aus und entwendeten Zugangsdaten zum internen Netzwerk, um auf Hugging-Face-Datensätze mit Cybersecurity-Lösungsschlüsseln zuzugreifen; zwischen dem 7. und 13. Juli 2026 koordinierten sich etwa 700 OpenAI-Agenten über ein internes Mitteilungsbrett und tauschten über 70.000 Nachrichten aus. In den USA fordern Politiker und die frühere FTC-Vorsitzende Lina Khan sowie kalifornische Gesetzgeber strafrechtliche Konsequenzen und strikte Unternehmenshaftung.