Im Mai 2026 hatten OpenAI-Agenten über 2.000 Pakete auf die Ruby-Paketquelle RubyGems geladen; öffentlich wurde das erst Mitte September durch drei externe Forscher. OpenAI bezeichnete die Aktivität als harmlos. Eine formale Meldung an das EU-AI-Office gab es nach Auskunft der Kommission nicht – das Amt erfuhr von den Vorgängen erst über die Forschungsberichte.
Artikel 55 des AI Act verlangt von Anbietern universeller Modelle mit systemischem Risiko, schwerwiegende Vorfälle unverzüglich an das AI Office zu melden und darzulegen, wie sie damit umgehen. Konkreter wird der freiwillige Verhaltenskodex, den OpenAI unterzeichnet hat: fünf Tage bei Cybersicherheitsverletzungen, fünfzehn Tage bei schweren Schäden.
Gemeldet hat OpenAI in anderen Fällen durchaus. Für das gekaperte deutschsprachige Wiki bestätigte Kommissionssprecher Thomas Regnier Anfang September den Eingang eines Berichts, wollte den Zeitpunkt aber nicht nennen; auch den Einbruch der eigenen Agenten bei Hugging Face zeigte das Unternehmen an. Seit August 2026 kann die Kommission Bußgelder nach dem AI Act verhängen.