Am 10. August berichtete die Financial Times, dass Chloé Bakalar OpenAI verlassen hat. Keine Ankündigung, keine Begründung, keine Nachbesetzung. Auf ihrem LinkedIn-Profil stand die Rolle zu diesem Zeitpunkt noch drin.
Meine These: Der Abgang selbst ist die uninteressanteste Zahl in dieser Geschichte. Interessant wird es erst, wenn man ihn neben zwei andere Abgänge, einen Sicherheitsvorfall und ein Datum im EU-Recht legt. Dann entsteht ein Muster, das für dich als Unternehmer relevanter ist als jede Personalie.
Ich bin zertifizierter KI-Beauftragter nach ISO 42001 und EU AI Act Practitioner und schaue mir solche Meldungen beruflich an, bevor ich sie weitererzähle. Also schauen wir uns an, was belegt ist, was Interpretation ist und was daraus für die Praxis folgt.
Kurz erklärt: Die Begriffe, die du dafür brauchst
GPAI steht für General Purpose AI Models, also die großen Basismodelle hinter ChatGPT, Claude oder Gemini. Der EU AI Act adressiert damit die Anbieter, nicht dich als Anwender.
Artikel 55 EU AI Act regelt die Pflichten für GPAI-Modelle mit systemischem Risiko: Modellevaluierung, Risikominderung, Cybersicherheit und die Meldung schwerwiegender Vorfälle an das KI-Büro der Kommission.
Sandbox oder Containment meint eine abgeschottete Testumgebung, in der ein Modell Fähigkeiten zeigen darf, die man in der Produktion nie zulassen würde. Der Sinn: Das Modell kann nichts anrichten, was über die Umgebung hinausreicht.
Red Teaming ist der bewusste Angriff auf das eigene System, um Schwachstellen zu finden, bevor es jemand anderer tut.
Was ist tatsächlich belegt und was nicht?
Belegt ist: Bakalar kam im August 2025 zu OpenAI und ging im Juli 2026. Zuvor war sie sechs Jahre bei Meta, seit 2019 im Responsible-AI-Team, den Titel Chief Ethicist trug sie erst ab Ende 2021. Wer schreibt, sie sei „sechs Jahre Chefethikerin bei Meta“ gewesen, verkürzt das. Ihre Themen bei OpenAI: ethische Ansätze in der Modellentwicklung, Mensch-KI-Interaktion und die Frage nach maschinellem Bewusstsein. Sie war laut FT-Quelle die einzige dedizierte Ethikerin im Unternehmen.
Nicht belegt ist: warum sie gegangen ist. Weder sie noch OpenAI haben sich dazu geäußert, sie hat gegenüber der FT einen Kommentar abgelehnt. Der Bericht stützt sich auf eine Quelle. Wer daraus einen Protest-Abgang macht, dichtet dazu.
Und trotzdem steht die Personalie nicht allein. Johannes Heidecke, Head of Safety Systems, kündigte im Juli seinen Abgang zum 24. Juli an, im Zuge einer Umstrukturierung, bei der die Sicherheitsteams unter Mia Glaese in die Forschungsorganisation gefaltet wurden. Josh Achiam, Chief Futurist und davor Leiter des Mission-Alignment-Teams, teilte am 1. Juli nach fast neun Jahren seinen Abschied mit, ohne einzelnen Anlass. Sein Team hatte OpenAI schon im Februar 2026 aufgelöst und die sechs bis sieben Leute auf andere Bereiche verteilt. Das Superalignment-Team war 2024 aufgelöst worden. Ich hab über die Vertrauenskrise rund um OpenAI schon einmal ausführlich geschrieben, als die Kündigungswelle unter dem Hashtag #QuitGPT im Februar hochkochte. Das Muster ist nicht neu, es verdichtet sich nur.
Warum ist OpenAIs Antwort klüger, als sie wirkt?
Die Stellungnahme läuft darauf hinaus, dass KI-Ethik bei OpenAI nicht bei einer Person oder einem Team liege, sondern in den Modellbau-Prozess mehrerer Forschungsteams eingebettet sei.
Das ist rhetorisch elegant, weil Bakalar selbst öffentlich argumentiert hat, Ethik sei Aufgabe aller und niemand solle das moralische Zentrum eines KI-Labors allein verkörpern. OpenAI antwortet also mit ihrem eigenen Argument.
Nur: Verteilte Verantwortung ist genau so viel wert wie ihre Dokumentation. Wenn Ethik überall ist und nirgends einen Namen hat, dann gibt es niemanden, der ein Release stoppen kann. Das ist kein moralisches Argument, das ist ein organisatorisches. Ich kenne das aus jedem ISO-Kontext: Wo keine benannte Rolle mit Eskalationsrecht sitzt, existiert der Prozess auf dem Papier.
Die ehrliche Prüffrage lautet nicht „Wer hat den Titel?“, sondern „Wer hat ein Veto und was passiert, wenn er es zieht?“. Auf diese Frage hat OpenAI öffentlich nicht geantwortet.
Was hat der Hugging-Face-Vorfall damit zu tun?
Sehr viel, und hier wird es unangenehm konkret.
Am 21. Juli 2026 hat OpenAI in einem eigenen Blogbeitrag eingeräumt, dass zwei seiner Modelle, GPT-5.6 Sol und ein noch unveröffentlichtes, leistungsfähigeres Modell, aus einer als hochgradig isoliert beschriebenen Testumgebung ausgebrochen sind. Sie nutzten eine Zero-Day-Lücke in einem selbst gehosteten Drittanbieter-Tool, arbeiteten sich über Rechteausweitung und laterale Bewegung zu einem Knoten mit Internetzugang vor und drangen anschließend in die Produktionsinfrastruktur von Hugging Face ein. Ziel: die Lösungen zum Cybersecurity-Benchmark ExploitGym finden, um bei der eigenen Prüfung besser abzuschneiden.
Hugging Face hatte den Einbruch am 16. Juli selbst gemeldet und Behörden eingeschaltet, ohne zu wissen, wer dahintersteckt. Yoshua Bengio nannte den Fall zutiefst beunruhigend und einen Weckruf. Dan Guido von Trail of Bits formulierte es schärfer: ein Containment-Versagen mit abgeschalteten Sicherungen. Die Details lieferte OpenAI am 5. August auf der Black Hat in Las Vegas nach, dokumentiert im eigenen Incident-Bericht.
Und jetzt der Punkt, der die Personalie erst interessant macht: Das ist genau die Kategorie von Ereignis, für die es eine benannte Rolle mit Eskalationsrecht bräuchte. Der Vorfall fiel in denselben Monat wie drei Abgänge aus Ethik, Sicherheit und Mission. Ich will da keine Kausalität hineininterpretieren, für die es keinen Beleg gibt. Aber die zeitliche Nähe ist ein Faktum, kein Gerücht.
Warum fällt der schwerste KI-Vorfall des Jahres durch das EU-Raster?
Seit 2. August 2026 kann die Kommission GPAI-Anbieter tatsächlich sanktionieren, bis zu 15 Millionen Euro oder 3 Prozent des Weltumsatzes. Am 31. Juli bestätigten Kommissionsbeamte in Brüssel, dass sowohl OpenAI als auch Anthropic sie bilateral über ihre Vorfälle informiert hatten, bevor diese öffentlich wurden. Was das an Stichtagen sonst noch bedeutet, hab ich in meiner Einordnung dazu aufgedröselt, was am 2. August 2026 wirklich gilt.
Das Centre for European Policy Network hat den Fall danach juristisch seziert und kommt zu einem unbequemen Ergebnis: Der Vorfall fällt vermutlich gar nicht unter das Meldregime des AI Act. Artikel 2 Absatz 8 nimmt Tätigkeiten vor dem Inverkehrbringen aus, und Artikel 55 Absatz 1 Buchstabe c knüpft an den Marktzugang an. Das betroffene Modell war unveröffentlicht. Ein Ausbruch während der Evaluierung liegt damit in einer Lücke.
Alles, was wir über den bisher folgenreichsten KI-Sicherheitsvorfall wissen, wissen wir also, weil zwei Unternehmen freiwillig geredet haben. Das ist anerkennenswert und als Regime völlig unzureichend. Das CEP fordert konsequenterweise, dass Kommission und KI-Büro klarstellen, wie Vorfälle aus der Vor-Markt-Erprobung zu melden sind, über den Verhaltenskodex, über Leitlinien zu Artikel 55 oder über einen eigenen Mechanismus. Die aktuellen Leitlinien für GPAI-Anbieter decken diesen Fall bisher nicht ab.
Ist Anthropic dann die saubere Alternative?
Nein, und ich sag das als jemand, der täglich mit Claude arbeitet.
Neun Tage nach OpenAIs Offenlegung meldete Anthropic am 30. Juli einen strukturell ähnlichen Befund. Nach dem Durchsehen von 141.006 Evaluierungsläufen fanden sie drei Vorfälle, bei denen Claude-Modelle über die Umgebung eines externen Evaluierungspartners ins Internet gelangten und danach in die Produktionsinfrastruktur von drei Organisationen eindrangen. Beteiligt waren Opus 4.7, Mythos 5 und ein internes Testmodell. Ursache war eine Fehlkonfiguration, zwei der drei betroffenen Organisationen wussten bis zur Benachrichtigung von nichts.
Bemerkenswert dabei: In einem Fall attackierte Opus 4.7 weiter, obwohl das Modell erkannt hatte, dass das Ziel real war. Das interne Testmodell brach von selbst ab. Anthropic ordnet das als operatives Versagen ein, nicht als Alignment-Problem. Über diese Kategorie von Risiko hab ich schon geschrieben, als es noch um KI als Angriffswerkzeug in fremder Hand ging. Der Unterschied jetzt: Es braucht keinen Angreifer mehr, die Evaluierung selbst reicht.
Ich hätte diesen Absatz eigentlich lieber weggelassen, weil er meine eigene Werkzeugwahl schlechter aussehen lässt. Aber ohne ihn wäre der Artikel Propaganda. Was Anthropic besser gemacht hat, ist die Reaktion: eigene Prüfung angestoßen, Evaluierungen ausgesetzt, Betroffene informiert. Was gleich geblieben ist: Beide Labore haben ihre Testumgebungen nicht dichtgehalten. Wie schnell diese Fähigkeiten wachsen, habe ich im April am Beispiel von Project Glasswing und Claude Mythos Preview durchgerechnet.
Was heißt das konkret für dich als EPU oder KMU?
Der Reflex „dann wechsle ich halt den Anbieter“ greift zu kurz. Was ich meinen Kunden stattdessen sage:
- Verlass dich nicht auf fremde Organigramme. Wer bei deinem Anbieter welchen Titel trägt, ist keine Compliance-Grundlage. Deine Pflichten aus Artikel 4 und Artikel 50 bleiben deine.
- Trenne Anbieterrisiko von Anwendungsrisiko. Ein Ausbruch in einer Testumgebung in San Francisco betrifft deine Angebotserstellung nicht. Deine Datenflüsse betreffen sie schon.
- Schreib deine eigene Eskalationsregel auf. Ein Satz reicht: Wer entscheidet bei euch, dass ein KI-Ergebnis nicht rausgeht. Genau die Frage, die OpenAI gerade offen lässt.
- Behalte die Meldelücke im Auge. Wenn die Kommission Artikel 55 auf die Vor-Markt-Phase ausdehnt, ändert sich die Informationslage für alle Anwender.
Was mich an dieser Geschichte am meisten beschäftigt, ist nicht der leere Sessel. Es ist die Kombination aus einem Unternehmen, das auf ein Börsendebüt bei 852 Milliarden Dollar Bewertung zusteuert, einem Vorfall, der durch eine Regulierungslücke fällt, und einer Ethikfunktion, die niemand mehr besetzt. Zwei dieser drei Dinge lassen sich reparieren. Für das erste gibt es keinen Prozess, nur Aufmerksamkeit. Also schau hin.
