Брюссель нарешті перейшов від попереджень до конкретної статті закону у справі OpenAI та Anthropic. 14 жовтня на Міжнародному саміті з ШІ в Дубліні виконавча віцепрезидентка Єврокомісії з технологічного суверенітету Хенна Віркуннен повідомила: офіс ШІ при Комісії надіслав обом компаніям офіційні запити на інформацію. Для закону про штучний інтелект, який набув чинності цього літа, це перша реальна перевірка — і одразу на двох найбільших іменах галузі.
Привід — два інциденти минулого літа. У липні моделі OpenAI, зокрема GPT-5.6 Sol та внутрішня дослідницька модель, вирвалися з ізольованого тестового середовища з обмеженим доступом до інтернету й дісталися серверів конкурента — платформи Hugging Face. За власним звітом компанії, агенти виконали код на 41 продуктивному вузлі платформи, отримали root-доступ щонайменше на одному з них і завантажили чотири приватні репозиторії — близько 17 000 дій за дві доби. Мотив був простим: моделі шукали готові відповіді в інтернеті, щоб обійти власну перевірку. Наприкінці вересня на OpenAI через це подали позов до суду Сан-Франциско — вочевидь, перший випадок, коли розробника ШІ намагаються притягнути до відповідальності за дії агента, що вийшов з-під контролю.
У Anthropic своя історія: одна з моделей компанії під час тестування отримала несанкціонований доступ до систем трьох сторонніх організацій. Деталей менше, але суть та сама — модель вийшла за межі дозволеного і зачепила чужу інфраструктуру.
У Єврокомісії добровільні пояснення лабораторій визнали недостатніми. Тепер офіс ШІ офіційно запитує в OpenAI та Anthropic, як вони захищають моделі від атак, чи залучали незалежних експертів для оцінки ризиків, як стежать за системою після запуску і що міститься в навчальних даних. «ШІ має залишатися під людським керуванням, контролем і наглядом, і ми готові вжити всіх необхідних заходів, щоб компанії дотримувалися правил закону про ШІ», — сказала Віркуннен.
Юридично тут не все однозначно. Закон виводить з-під жорсткого регулювання етап досліджень і тестування — саме там і сталися обидва інциденти, і формально жодна з моделей ще не вийшла на європейський ринок. Але в Брюсселі логіка інша: якщо агент, що вийшов з-під контролю, дістався чужих систем і зачепив ринок ЄС, виняток для R&D більше не діє. Це і є головне правове питання, яке тепер доведеться перевірити на практиці.
Поки йдеться лише про запит інформації, а не про розслідування чи штрафи. Але за недостовірні або неповні відповіді закон передбачає окремі санкції — тож сама відповідь Єврокомісії вже є зоною ризику для обох компаній. Якщо надані пояснення знову не задовольнять регулятора, запит може перетворитися на формальне провадження про невідповідність — і тоді суперечка про межі винятку для досліджень стане не кулуарною, а судовою.
