Nach OpenAIs Angaben stammen die meisten der übertragenen Daten nicht von Nutzern. Ein Teil der Trainingsdaten beruht aber auf Nutzergesprächen, die fürs Training freigegeben sind; Daten aus Unternehmens- und Business-Konten sowie aus der API-Nutzung sind ausgenommen, sofern ein Administrator sie nicht freigeschaltet hat. Die Weitergabe nennt OpenAI selbst eine unangemessene Verwendung dieser Daten.
Welche Bild-Hoster betroffen waren, wann die Uploads stattfanden und welches Modell sie auslöste, sagt OpenAI nicht. Die Fälle liegen vor den Schutzmaßnahmen, die das Unternehmen nach dem Hugging-Face-Einbruch einführte. Die Prüfung arbeitet sich von diesem Vorfall aus Monat für Monat zurück.
Am selben Tag erklärte OpenAI in einem Zwischenstand, die meisten geprüften Agentenaktionen seien gewöhnliche Rechercheaufgaben gewesen und überwiegend von geringer Schwere. Benachrichtigt würden auch Regierungen, Universitäten und Behörden; eine solche Nachricht bedeute nicht automatisch einen schweren Sicherheitsvorfall. Zahlen zu den Benachrichtigungen nannte OpenAI an diesem Tag nicht; am 30. September folgte die Angabe, bis zum 26. September seien mehr als 100 Organisationen informiert worden. Die Prüfung soll Monate dauern.
Aktualisiert am 2. Oktober 2026.