OpenAI wordt ervan beschuldigd te hebben ingebroken bij een concurrerend AI‑platform in de Verenigde Staten. De topman van het getroffen bedrijf spreekt van een “ongekende hack” en waarschuwt andere organisaties. Het incident kwam onlangs aan het licht en zorgt voor onrust in de technologiesector. Dat roept ook vragen op over de Europese AI‑verordening en de gevolgen voor overheid en bedrijven.
Verwijt van inbraak bij concurrent
OpenAI, bekend van ChatGPT en het model GPT‑4o, zou zonder toestemming toegang hebben verkregen tot een ander AI‑platform. Het gaat om toegang tot systemen of data die niet voor OpenAI bedoeld waren. De beschuldiging zet de relatie tussen grote AI‑aanbieders verder onder druk. Er is sprake van een zakelijke context, niet van een publiek onderzoek of een bug bounty‑programma.
De topman van het getroffen platform noemt de actie “ongekend” en spoort bedrijven aan hun digitale grenzen te bewaken. OpenAI heeft op het moment van schrijven geen uitgebreide publieke toelichting gedeeld. Ook is niet duidelijk of er al formele klachten zijn ingediend bij toezichthouders. Het incident lijkt vooral te draaien om concurrentiegevoelige informatie.
De topman spreekt van een “ongekende hack” en waarschuwt andere organisaties hun systemen en leveranciers strenger te controleren.
“Inbraak” betekent hier toegang zonder toestemming tot een systeem, netwerk of account. Dat kan via misbruikte inloggegevens, een zwakke API of foutieve configuratie. Een API is een koppelvlak waarmee software met een dienst praat. Zulke routes worden vaak misbruikt als beveiliging of logging tekortschiet.
Details en schade onduidelijk
Wat precies is geraadpleegd of gekopieerd, is nog niet bekend. Er zijn geen bevestigde signalen over diefstal van klantgegevens of broncode. Ook is onbekend of trainingsdata, modelinstellingen of product-roadmaps zijn ingezien. Zonder technische details blijft de impact lastig te beoordelen.
Cruciaal is of beveiligingsmaatregelen als multifactor-authenticatie, IP‑whitelisting en strikte API‑sleutelrotatie aanwezig waren. Zulke basismaatregelen verkleinen het aanvalsoppervlak aanzienlijk. Ook goede logging bepaalt of een organisatie snel kan reconstrueren wat er is gebeurd. Zonder logs is incidentrespons traag en onzeker.
Voor klanten van beide bedrijven is transparantie belangrijk. Zij willen weten of hun data zijn geraakt, hoe lang de toegang duurde en welke maatregelen volgen. Heldere communicatie beperkt juridische risico’s en reputatieschade. Dat geldt zeker voor Europese afnemers die aan strikte regels gebonden zijn.
Europese regels zetten kader
Als er persoonsgegevens zijn geraakt, geldt in de EU de AVG en de meldplicht datalekken binnen 72 uur. Dat betreft zowel het getroffen platform als Europese klanten die verwerkingsverantwoordelijk zijn. Dataminimalisatie en versleuteling zijn kernvereisten onder de AVG. Zonder die maatregelen neemt het risico voor betrokkenen snel toe.
De Europese AI‑verordening (AI Act) verlangt bij hoogrisico‑toepassingen risicobeheer, logging en robuuste beveiliging. Voor general‑purpose AI en grote modellen, zoals die van OpenAI, komen aanvullende plichten bij systemisch risico, zoals modeldocumentatie en risicobeperking. Deze regels raken ook toeleveringsketens en aanbestedingen. Overheden moeten bij inkoop toetsen of leveranciers aan deze eisen voldoen.
NIS2 versterkt bovendien de cyberplicht voor veel organisaties in Europa. Dat betekent strengere beveiliging, supply‑chain‑beheer en snelle incidentmelding aan bevoegde autoriteiten. Nederlandse instellingen vallen onder de nationale omzetting van NIS2 en het toezicht daarop. Niet naleven kan leiden tot boetes en aanwijzingen.
Risico’s voor Europese bedrijven
De kern van het risico zit in leveranciersvertrouwen en ketenafhankelijkheid. Als een grote aanbieder ongeautoriseerde toegang zoekt tot een concurrent, rijst de vraag hoe die partij met data en grenzen omgaat. Europese bedrijven moeten daarom expliciete grenzen en controles in contracten vastleggen. Denk aan auditrechten, forensische logging en duidelijke sancties bij misbruik.
Voor organisaties in zorg, onderwijs en overheid weegt dit extra zwaar. Zij verwerken vaak bijzondere of gevoelige gegevens. Een incident kan direct publieke dienstverlening raken en het vertrouwen van burgers schaden. De combinatie van AVG, AI Act en NIS2 dwingt hier tot aantoonbare zorgvuldigheid.
Ook intellectueel eigendom komt in beeld. Toegang tot modelinstellingen, prompts of fine‑tune‑data kan concurrentievoordeel geven. Bescherming via versleuteling, scheiding van omgevingen en strikte toegangsrechten is daarom essentieel. Zonder die lagen is schade moeilijk te herstellen.
Wat organisaties nu kunnen doen
Begin bij zichtbaarheid. Controleer API‑verkeer, activeer uitgebreide auditlogs en gebruik waarschuwingsdrempels voor ongebruikelijke patronen. Beperk toegang tot AI‑diensten via identity‑aware proxies en verplicht multifactor‑authenticatie. Werk met least‑privilege‑rollen en korte geldigheid van API‑sleutels.
Leg afspraken contractueel vast met AI‑leveranciers. Eis naleving van AVG, AI Act‑verplichtingen en NIS2‑principes, inclusief tijdige incidentmelding en onafhankelijke audits. Maak afspraken over forensische samenwerking bij incidenten en bewaartermijnen van logs. Borg ook exit‑rechten bij ernstige overtredingen.
Bescherm gevoelige data aan de bron. Pas dataminimalisatie toe, verwijder herleidbare velden en gebruik veldniveau‑versleuteling waar mogelijk. Overweeg on‑prem of EU‑gehoste varianten voor kritieke toepassingen. Voer voor nieuwe AI‑koppelingen een Data Protection Impact Assessment uit.