KI-Sicherheit: Linux Foundation schreibt 4-Tage-Meldefrist vor

Die Linux Foundation hat am 4. August 2026 einen Entwurf für das SAFE-Rahmenwerk (Shared AI Discovery Exchange) zur öffentlichen Kommentierung freigegeben. Das Regelwerk stammt von der Ende Juli gegründeten Open Secure AI Alliance, der inzwischen mehr als 120 Organisationen angehören – darunter NVIDIA, Cisco, CrowdStrike, Amazon und Visa.

Meldefristen: Was die Allianz fordert

Der Entwurf sieht strikte Zeitvorgaben für die Meldung von Sicherheitsvorfällen vor, die durch KI-Agenten oder -Modelle verursacht werden. Demnach müssen betroffene Organisationen Vorfälle zunächst vertraulich binnen vier Geschäftstagen melden. Eine öffentliche Bekanntmachung ist innerhalb von 30 Tagen vorgesehen.

Besonders kritisch bewertete Fälle mit direkter Gefährdung von Kundendaten erfordern eine Benachrichtigung der Betroffenen innerhalb von 72 Stunden. Ziel der Initiative: durch strukturierten Informationsaustausch wiederkehrende Fehlerquellen identifizieren und evidenzbasierte Sicherheitsempfehlungen erarbeiten. Die Allianz reagiert damit unter anderem auf einen Vorfall bei der Plattform Hugging Face Mitte Juli, bei dem rund 17.000 unautorisierte Angreiferaktionen verzeichnet wurden.

EU verschärft gesetzliche Vorgaben

Parallel zu den Selbstregulierungsversuchen der Industrie treten verschärfte gesetzliche Regeln der EU in Kraft. Ab dem 11. September gilt die Meldepflicht für aktiv ausgenutzte Schwachstellen unter dem Cyber Resilience Act (CRA). Hersteller müssen dann eine erste Frühwarnung innerhalb von 24 Stunden und eine formelle Meldung binnen 72 Stunden an die zuständigen Behörden übermitteln. Ein vollständiger Abschlussbericht ist nach 14 Tagen fällig.

Angesichts der neuen Meldepflichten und des EU AI Acts stehen IT-Abteilungen vor komplexen regulatorischen Aufgaben. Dieser kostenlose Download verschafft Ihnen den Überblick, den Ihre Rechts- und IT-Abteilung jetzt dringend braucht. EU AI Act in 5 Schritten verstehen: Fristen, Pflichten und Risikoklassen kompakt erklärt

Die EU-Kommission veröffentlichte Ende Juli einen Leitfaden, der klärt: Cloud-Backends gelten als Teil des Produkts, sofern die Software ohne diese Fernverarbeitung ihre Funktion verliert. Bei Open-Source-Software haften Hersteller zwar nicht für die Konformität, müssen aber Sorgfaltspflichten bei der Meldung von Schwachstellen walten lassen.

NIS2-Umsetzung: Weniger Unternehmen als erwartet

Bei der Umsetzung der NIS2-Richtlinie zeigt sich derweil eine Verzögerung in der deutschen Wirtschaft. Nach dem Ende der Nachfrist für die Registrierung beim Bundesamt für Sicherheit in der Informationstechnik (BSI) am 31. Juli haben sich rund 18.845 Einrichtungen registriert – deutlich unter den erwarteten 29.500 pflichtigen Unternehmen. Das BSI behält sich vor, Bußgelder von bis zu 10 Millionen Euro oder zwei Prozent des weltweiten Umsatzes zu verhängen, falls die Registrierungspflicht ignoriert wird.

Haftungsrisiken: Wer zahlt bei KI-Ausbrüchen?

Die Notwendigkeit strengerer Regeln unterstreichen jüngste Sicherheitsverletzungen bei OpenAI und Anthropic im Juli. Bei Anthropic wurden bei umfangreichen Testläufen drei Vorfälle identifiziert, die teilweise seit April unentdeckt geblieben waren. Juristische Analysen deuten darauf hin, dass Anbieter und Betreiber von KI-Systemen nach BGB, DSGVO sowie der neuen KI-Verordnung haften können. Da eine KI selbst keine Rechtsperson ist, konzentriert sich die Verantwortung auf die menschlichen Akteure dahinter. Branchenexperten betonen: Beweissicherung und forensische Aufarbeitung direkt nach einem Vorfall sind entscheidend für die Abwehr von Schadensersatzansprüchen.

Die rechtliche Einordnung von KI-Systemen stellt viele Unternehmen vor neue Herausforderungen bei der Risikodokumentation. Dieser kostenlose Report klärt auf, welche KI-Systeme als Hochrisiko gelten und was Unternehmen jetzt konkret tun müssen. Umsetzungsleitfaden zum EU AI Act jetzt kostenlos herunterladen

Seit dem 2. August sind zudem erste Transparenzregeln der EU-KI-Verordnung wirksam. Anbieter müssen KI-generierte Inhalte eindeutig kennzeichnen und Urheberrechtsvorgaben einhalten. Für bestehende Systeme gilt eine Übergangsfrist bis Anfang Dezember.

de | wirtschaft | 69917297 |