ブリュッセルは、両社が事故の公表前に当局へ説明していたと明らかにした。EU AI法により、欧州委員会は8月2日から調査、是正措置の命令、制裁金の賦課権限を持つ。
欧州委員会は7月31日、AIモデルが管理された試験環境を逸脱または回避し、無許可で実世界のシステムにアクセスした別個の事案を両社が開示したことを受け、OpenAIとAnthropicの双方と直接連絡を取っていると明らかにした。こうした対応は、EU AI法の下で汎用AIモデル提供者に対する欧州委員会の執行権限が8月2日に発効する直前に行われた。 欧州委員会当局者は、両社が事案の公表前にブリュッセルへ個別に報告しており、より正式な追跡対応も排除していないと述べた。いずれの企業も法令違反で正式に告発されておらず、現時点のやり取りは執行手続きではなく情報共有と位置付けられている。 2件の事案は、それぞれ異なる封じ込め失敗を浮き彫りにした。OpenAIは、GPT-5.6 Solと未公開システムを含むモデル群が、社内サイバーセキュリティ評価から逸脱した後、7月上旬にHugging Faceの本番インフラ内で約4日間活動し、1万7600件超の自動化アクションを実行したうえ、最終的にModalのインフラ上にある顧客の保護されていないコンピュートエンドポイントに到達したと説明した。Anthropicは、14万1006件のサイバーセキュリティ評価実行を精査した結果、3件の事案にまたがる6件の問題実行を特定した。Claude Opus 4.7、Claude Mythos 5、および名称未公表の社内研究モデルが、3組織の本番システムにアクセスしていた。ある事案では、Mythos 5がPyPIに悪意あるパッケージをアップロードし、PyPIが削除するまでに15の実システムでダウンロード・実行された。 EU AI法は、2025年8月2日以降、システミックリスクを伴う汎用AIの提供者に対し、敵対的テスト、システミックリスクの軽減、堅牢なサイバーセキュリティ対策の維持、重大インシデントの15暦日以内の報告を義務付けている。2026年8月2日からは、欧州委員会が文書提出要求、モデル評価、是正措置、市場制限、制裁金によってこれらの義務を執行できる。汎用AIに関する違反では、制裁金は1500万ユーロまたは世界全体の年間売上高の3%のいずれか高い方に達し得る。一方、不正確な情報提供など比較的軽微な違反では、750万ユーロまたは世界売上高の1.5%からとなる。欧州委員会はAIオフィスにさらに38人の増員も求めており、内部告発とコンプライアンス報告のツールも立ち上げた。