Regulierung
44 Analysen
Politische Einigung zwischen Rat und Parlament verschiebt den Termin von August 2026 und eröffnet ein 19-monatiges Anpassungsfenster, während Bußgelder und die Extraterritorialitätsklausel unverändert bleiben.
Im August 2026 tritt der EU AI Act mit seinen ersten verbindlichen Verpflichtungen für Hochrisikosysteme in Kraft. Parallel dazu haben vier US-Bundesstaaten KI-Gesetze, die mit der Bundesstrategie der Trump-Administration in Konflikt stehen. Für Unternehmen bedeutet Compliance jetzt, mit widerstreitenden Jurisdiktionen umzugehen.
Das Illinois Biometric Information Privacy Act (BIPA) hat seit 2008 über 2,5 Milliarden US-Dollar an Vergleichen generiert und führt weiterhin zu Rekordklagen. 2025 erweiterten Texas und Washington vergleichbare Gesetze. In Europa klassifiziert das AI Act biometrische Identifikationssysteme als Hochrisiko. Die Verbreitung von Kameras mit Gesichtserkennung und Sprachauthentifizierung im Unternehmensumfeld setzt Firmen einem steigenden rechtlichen Risiko aus.
Seit 2018 hat die GDPR 7,1 Milliarden Euro an Bußgeldern kumuliert – wobei 60 % des Gesamts Betrags erst nach Januar 2023 verhängt wurden. Im August 2026 tritt das EU AI-Gesetz in Kraft und fügt eine zweite Ebene hinzu: Strafen von bis zu 35 Millionen Euro oder 7 % des globalen Umsatzes. Organisationen, die Daten mit KI verarbeiten, sehen sich doppeltem regulatorischem Risiko ausgesetzt.
China hat den detailliertesten und am meisten gegliederten KI-Regulierungsrahmen der Welt aufgebaut. Mit drei bereits in Kraft bestehenden Hauptverordnungen und mindestens zwei in Vorbereitung, verlangt das Land die Registrierung von Grundmodellen, die Sicherheitsbewertung vor der Markteinführung und die Kontrolle von KI-generierten Inhalten. Unternehmen mit Aktivitäten oder Nutzern in China müssen die Compliance gleichzeitig auf mehreren Ebenen abstecken.
Die SEC-Regeln zur Offenlegung von Cybervorfällen, die seit Dezember 2023 gelten, verlangen die Meldung von wesentlichen Vorfällen innerhalb von bis zu vier Werktagen über das Formular 8-K. Im Mai 2025 haben amerikanische Bankverbände die SEC gebeten, die Regel aufzuheben. Das praktische Ergebnis: Der CISO wurde zum direkten Ansprechpartner des Vorstands und der Rechtsabteilung bei Entscheidungen zur Wesentlichkeit.
Im Dezember 2024 genehmigte der brasilianische Senat den PL 2338/2023, der den regulatorischen Rahmen für KI im Land festlegt. Im März 2025 wurde der Text an die Abgeordnetenkammer weitergeleitet. Das Gesetz verfolgt einen risikobasierten Ansatz mit drei Kategorien: übermäßiges Risiko (verboten), hohes Risiko (mit strengen Anforderungen) und andere Systeme (allgemeine Verpflichtungen). Die Auswirkungen für Entwickler und Betreiber sind unmittelbar und strukturell.
Das Digital Operational Resilience Act tritt am 17. Januar 2025 in Kraft und stellt einheitliche Anforderungen an die digitale Resilienz für rund 22.000 Finanzinstitute in der Europäischen Union. Im November 2025 wurden AWS, Microsoft Azure und Google Cloud als kritische TIC-Anbieter benannt, die der direkten Prüfung durch die europäischen Regulierungsbehörden unterliegen.