EU AI Act: Capgemini soll Cyber-Risiken fortschrittlicher KI prüfen

Das bei der Generaldirektion Kommunikationsnetze, Inhalte und Technologien (DG CNECT) der Europäischen Kommission angesiedelte AI Office hat den IT-Dienstleister Capgemini mit der Leitung eines neuen Konsortiums beauftragt. Das Vorhaben ist Teil des europäischen Programms für KI-Sicherheit im Rahmen des EU AI Act und soll Cyber-Risiken fortschrittlicher Modelle künstlicher Intelligenz untersuchen.

Wie Capgemini und beteiligte Organisationen am 5. November 2026 mitteilten, gehören dem Konsortium neben dem Beratungsunternehmen auch die Managementberatung Wavestone sowie die französische Prüf- und Metrologiebehörde LNE an.

Die Vergabe erfolgte im Rahmen des Ausschreibungsverfahrens EC-CNECT-2025-OP-0032 unter Lot 2. Dieser Teilbereich umfasst die Modellierung sowie die systematische Bewertung offensiver Cyber-Risiken. Finanzielle Details wie der Vertragswert oder die konkrete Laufzeit des Vorhabens wurden von den Beteiligten nicht veröffentlicht; laut dem Fachdienst TrustList lag am 5. November 2026 zudem keine unabhängig verifizierte Vergabe-Bekanntmachung vor.

Fokus auf offensive Cyberfähigkeiten

Die Arbeit des Konsortiums konzentriert sich auf offensive Cyber-Gefahren durch Allzweck-KI-Modelle (General-Purpose AI, GPAI). Zu den untersuchten Bedrohungsszenarien zählen die automatisierte Suche nach Schwachstellen, die Erzeugung von Exploits sowie die koordinierte Durchführung großangelegter Cyberangriffe.

Wer sich mit der Absicherung von KI-Systemen und den neuen regulatorischen Anforderungen befasst, erhält in diesem kompakten E-Book einen fundierten Überblick über alle Pflichten. EU AI Act in 5 Schritten verstehen: Fristen, Pflichten und Risikoklassen kompakt erklärt

Die Aufgaben gliedern sich in vier Arbeitsstränge: die Modellierung neu entstehender Cyber-Offence-Risiken, die Entwicklung technischer Evaluierungswerkzeuge, Verfahren für den technischen Nachweis der Regelkonformität sowie fallbezogene technische Prüfungen nach Bedarf.

Ziel der Initiative ist es, systemische Risiken im Cyberbereich frühzeitig aufzudecken und die Durchsetzung der Vorschriften des AI Act gegenüber Anbietern von Allzweckmodellen sicherzustellen.

Andrea Falleni, Group Executive Board Member und CEO für Südeuropa bei Capgemini, erklärte am 5. November 2026, Europa führe mit diesen Maßnahmen das weltweit erste umfassende Rahmenwerk für KI-Sicherheit ein. Am selben Tag betonte Alessandro Zamboni, Partner bei Wavestone, dass generative und fortgeschrittene KI-Technologien die Bedrohungslage im Cyberraum mit hoher Geschwindigkeit veränderten.

Aufsichtspflichten nach dem EU AI Act

Die regulatorischen Grundlagen für diese Kontrollen sind in der europäischen Verordnung 2024/1689 geregelt. Die Pflichten für Anbieter von Allzweck-KI-Modellen – darunter das Erstellen technischer Dokumentationen, Vorgaben zum Urheberrecht sowie die Zusammenfassung der verwendeten Trainingsdaten – gelten bereits seit dem 2. August 2025. Seit dem 2. August 2026 verfügt die Europäische Kommission über die entsprechenden Aufsichtsbefugnisse gegenüber den Herstellern.

Die neuen Regeln zur künstlichen Intelligenz werfen für viele Unternehmen komplexe Fragen zur Risikodokumentation auf. Dieser kostenlose Report klärt auf, welche KI-Systeme als Hochrisiko gelten und was jetzt konkret zu tun ist. Kostenlosen Umsetzungsleitfaden zum EU AI Act herunterladen

Ein systemisches Risiko wird nach den Bestimmungen des Regelwerks vermutet, wenn der kumulative Rechenaufwand für das Training eines Modells den Schwellenwert von 10^25 Gleitkommaoperationen übersteigt. Dieser Schwellenwert befindet sich nach Angaben der Kommission derzeit in Überarbeitung.

Erreicht ein Modell diesen Rahmen, müssen Entwickler die Kommission benachrichtigen, umfassende Risikobewertungen durchführen, Vorfälle melden und Sicherheitsstandards einhalten. Artikel 55 der Verordnung schreibt dafür Bewertungen mit standardisierten Protokollen und dokumentierte Angriffssimulationen vor. Artikel 92 erlaubt der Kommission, bei diesen Modellprüfungen externe, unabhängige Experten hinzuzuziehen.

Zu den GPAI-Anbietern, deren gesetzliche Pflichten das Konsortium künftig technisch überprüfen soll, zählen unter anderem OpenAI, Google, Anthropic, Meta und Mistral. Branchenberichte wiesen am 5. November 2026 in diesem Zusammenhang auf eine offene Frage zur Unabhängigkeit hin, da Capgemini als Partner des Entwicklers Mistral Studio gelistet ist.