Gouverneur Gavin Newsom setzt mit einer neuen Executive Order einen Meilenstein: KI-Anbieter, die staatliche Behörden in Kalifornien beliefern wollen, müssen künftig verbindliche Sicherheits- und Datenschutzstandards nachweisen – ein Signal mit weltweiter Strahlkraft.
Kalifornien verpflichtet KI-Anbieter per Dekret zu Sicherheits- und Datenschutzstandards
Hintergrund: Newsom zwischen Förderung und Aufsicht
Kalifornien ist seit Jahren das Epizentrum der amerikanischen KI-Industrie. Newsom hatte im vergangenen Jahr mit seinem Veto gegen den weitreichenden KI-Sicherheits-Bill SB 1047 für Aufsehen gesorgt – ein Gesetz, das strikte Haftungsregeln für Entwickler großer Modelle eingeführt hätte. Die Ablehnung wurde von der Industrie gelobt, von Verbraucherschützern jedoch scharf kritisiert.
Das neue Dekret signalisiert: Zumindest im staatlichen Beschaffungswesen will Newsom klare Grenzen ziehen.
Inhalt des Dekrets
Die Executive Order verpflichtet KI-Anbieter, die Verträge mit kalifornischen Staatsbehörden abschließen wollen, zur Offenlegung ihrer Sicherheitspraktiken und zur Einhaltung definierter Datenschutzstandards. Konkret müssen Unternehmen nachweisen, dass ihre Systeme auf Risiken wie Diskriminierung, Fehlinformationen und unberechtigten Datenzugriff geprüft wurden. Behörden werden zudem verpflichtet, den KI-Einsatz intern zu dokumentieren und zu evaluieren.
Der Erlass schafft außerdem eine zentrale Koordinierungsstelle für den KI-Einsatz in der staatlichen Verwaltung. Anbieter ohne ausreichende Transparenz über ihre Modelle und Trainingsdaten riskieren künftig den Ausschluss aus öffentlichen Ausschreibungen.
Einordnung: Regulierung durch Beschaffung
Das Vorgehen folgt einer Strategie, die zunehmend Schule macht: Statt breiter gesetzlicher Verbote nutzt die öffentliche Hand ihre Einkaufsmacht als Hebel. Wer an lukrative staatliche Aufträge gelangen will, muss Mindeststandards erfüllen.
Kalifornien ist die fünftgrößte Volkswirtschaft der Welt – und damit ein Auftraggeber, den kein KI-Anbieter ignorieren kann.
Kritiker merken an, dass die Maßnahme in ihrer aktuellen Form nur einen Bruchteil der KI-Anwendungen erfasst, da sie auf den staatlichen Sektor beschränkt bleibt. Eine umfassende gesetzliche Regulierung privater KI-Deployments steht in Kalifornien weiterhin aus.
Relevanz für deutsche Unternehmen
Für deutsche Tech-Entscheider und Exporteure ist das Dekret aus zwei Gründen relevant:
- Marktzugang USA: Unternehmen, die KI-Produkte in den US-amerikanischen öffentlichen Sektor verkaufen wollen, müssen sich auf verschärfte Compliance-Anforderungen einstellen.
- Modell für Europa: Kaliforniens Beschaffungsansatz wird auch auf EU-Ebene diskutiert – etwa im Rahmen des AI Acts und öffentlicher Vergabeverfahren.
Unternehmen, die bereits auf EU-konforme Dokumentations- und Risikobewertungsprozesse setzen, dürften gegenüber neuen Anforderungen dieser Art gut positioniert sein.
