New York festigt die bikoastale KI-Regulierungsmauer
Die Landschaft der Governance der Künstlichen Intelligenz (Artificial Intelligence – AI) in den Vereinigten Staaten hat sich in dieser Woche entscheidend verschoben, als New York das Feld der Regulierung von Frontier-Modellen vollständig betreten hat. Mit der Verabschiedung des Responsible AI Safety and Education (RAISE) Act hat sich New York Kalifornien angeschlossen und einen strengen Sicherheitsrahmen auf Bundesstaatsebene für die weltweit fortschrittlichsten KI-Systeme geschaffen. Dieser Schritt signalisiert die Entstehung eines De-facto-Nationalstandards, der von den zwei größten Technologie-Ökonomien des Landes vorangetrieben wird und das Vakuum füllt, das durch einen festgefahrenen föderalen Regulierungsprozess entstanden ist.
Für die KI-Branche ist die Botschaft klar: Die Ära der freiwilligen Selbstregulierung für Frontier-Modelle neigt sich dem Ende zu. Während Entwickler mit den Auswirkungen des Ende letzten Jahres unterzeichneten kalifornischen Senate Bill 53 (SB 53) ringen, fügt New Yorks RAISE Act eine zweite, leicht abweichende Ebene von Compliance-Verpflichtungen hinzu. Obwohl Gouverneurin Kathy Hochul die „Angleichung“ zwischen den beiden Bundesstaaten betont hat, schaffen die Nuancen in der New Yorker Gesetzgebung ein komplexes Compliance-Umfeld, das erhebliche strategische Anpassungen von großen KI-Laboren erfordern wird.
Der RAISE Act: Ein genauerer Blick
Der RAISE Act (S6953B/A6453B) konzentriert sich explizit auf „Frontier-Modelle“, die durch einen Rechenschwellenwert von $10^{26}$ Gleitkommaoperationen (Floating-Point Operations – FLOPs) definiert sind. Diese hohe Hürde erfasst derzeit nur die leistungsfähigsten Systeme, die von Branchenriesen entwickelt werden, wie etwa die Nachfolger von GPT-4, Claude 3 und Gemini Ultra. Durch die gezielte Ansprache dieser spezifischen Technologieschicht strebt New York an, katastrophale Risiken zu mindern – wie das Potenzial von KI, bei Cyberangriffen oder der Entwicklung biologischer Waffen zu helfen –, ohne Innovationen im breiteren KI-Ökosystem mit geringerem Risiko zu ersticken.
Zentrale Mandate für Frontier-Entwickler
Unter dem neuen Gesetz müssen Entwickler der erfassten Modelle eine Reihe strenger Sicherheits- und Transparenzprotokolle einhalten. Die Gesetzgebung schreibt vor, dass diese Unternehmen „angemessene Sorgfalt“ (reasonable care) walten lassen müssen, um zu verhindern, dass ihre Modelle kritischen Schaden anrichten. Dies umfasst strenge Tests vor der Bereitstellung, die Implementierung von Cybersicherheitsvorkehrungen zur Verhinderung von Modelldiebstahl und die Fähigkeit, ein Modell unverzüglich abzuschalten, wenn es sich gefährlich verhält – eine Bestimmung, die oft als „Kill Switch“-Anforderung bezeichnet wird.
Entscheidend ist, dass der RAISE Act ein eigenes Aufsichtsbüro innerhalb des New York State Department of Financial Services (DFS) einrichtet. Dieses Büro ist befugt, Entwickler von Frontier-Modellen zu registrieren, ihre jährlichen Compliance-Zertifizierungen zu prüfen und Verordnungen zur Auslegung der weit gefassten Sicherheitsmandate des Gesetzes zu erlassen. Die Wahl des DFS, eines Regulierers, der für seine aggressive Durchsetzung im Finanzsektor bekannt ist, deutet darauf hin, dass New York beabsichtigt, einen proaktiven „Polizeiansatz“ bei der KI-Sicherheit zu verfolgen.
New York vs. Kalifornien: Angleichung mit Unterschieden
Obwohl der RAISE Act mit Blick auf Kaliforniens SB 53 entworfen wurde, um einen chaotischen Flickenteppich an Regulierungen zu verhindern, bedeutet „Angleichung“ nicht „Identität“. Beide Gesetze teilen den gleichen Rechenschwellenwert ($10^{26}$ FLOPs) und die Kernphilosophie von „Transparenz und Vorsorge“, weichen jedoch bei den Durchsetzungsmechanismen und spezifischen Meldefristen voneinander ab. Diese Unterschiede sind der Punkt, an dem die Rechtsteams großer KI-Labore voraussichtlich auf die größten Reibungspunkte stoßen werden.
Die folgende Tabelle skizziert die kritischen Unterschiede zwischen den beiden staatlichen Rahmenwerken:
| Merkmal | New York (RAISE Act) | Kalifornien (SB 53) |
|---|---|---|
| Zielumfang | Frontier-Modelle (> $10^{26}$ FLOPs) | Frontier-Modelle (> $10^{26}$ FLOPs) |
| Fenster für Vorfallmeldung | 72 Stunden nach Feststellung | 15 Tage (Standard); 24 Stunden (unmittelbare Gefahr) |
| Primäre Aufsichtsbehörde | Department of Financial Services (DFS) | Attorney General & Govt. Ops Agency |
| Durchsetzungsmechanismus | Zivilklage durch AG; DFS-Verwaltungsvorschriften | Zivilklage durch AG |
| Zivilrechtliche Strafen | Bis zu 1 Mio. $ (1. Verstoß); 3 Mio. $ (Folge) | Bis zu 1 Mio. $ pro Verstoß (gedeckelt) |
| Privates Klagerecht | Nein | Nein |
Die Compliance-Herausforderung: Navigieren durch den Flickenteppich
Der bedeutendste betriebliche Unterschied liegt im Zeitplan für die Meldung von Vorfällen. Die Anforderung New Yorks, dass Entwickler „kritische Sicherheitsvorfälle“ innerhalb von 72 Stunden melden müssen, ist erheblich aggressiver als Kaliforniens Standardfenster von 15 Tagen. Dieser komprimierte Zeitplan verlangt von KI-Unternehmen ausgereifte 24/7-Reaktionskapazitäten für Vorfälle, die Anomalien nicht nur erkennen, sondern auch rechtlich bewerten und nahezu in Echtzeit melden können.
Darüber hinaus führt die Beteiligung des New Yorker DFS einen neuen Regulierer in den Technologiesektor ein. Im Gegensatz zu Kalifornien, das sich bei der Durchsetzung weitgehend auf den Generalstaatsanwalt (Attorney General) verlässt, hat New York eine Verwaltungsstruktur geschaffen, die detaillierte Regeln dazu erlassen könnte, wie Sicherheitstests durchgeführt werden müssen. Dies schürt die Aussicht auf ein „zweigleisiges“ Compliance-Regime, bei dem ein Modell zwar die Transparenzanforderungen Kaliforniens erfüllen, aber an den spezifischen Sicherheitsprotokollen New Yorks scheitern könnte, falls das DFS eine präskriptivere Auslegung der „angemessenen Sorgfalt“ wählt.
Branchenanalysten haben angemerkt, dass zwar die Definitionen von „kritischem Schaden“ harmonisiert sind, die verfahrenstechnische Divergenz jedoch einen Effekt des „höchsten gemeinsamen Nenners“ erzeugt. Um auf der sicheren Seite zu sein, werden Entwickler wahrscheinlich standardmäßig den strengeren 72-Stunden-Meldestandard New Yorks und die breiteren Transparenzdokumentationen Kaliforniens anwenden und so die härtesten Aspekte beider Gesetze in einem einzigen internen Compliance-Protokoll zusammenführen.
Der föderale Kontext
Die Verabschiedung des RAISE Act erfolgt in einem Moment erheblicher Unsicherheit auf Bundesebene. Da die derzeitige Regierung frühere Exekutivverordnungen zur KI-Sicherheit zurücknimmt, um eine stärker deregulierungsorientierte Agenda zu verfolgen, sind die Bundesstaaten eingesprungen, um die Lücke zu füllen. Dieses Phänomen spiegelt den „Brüssel-Effekt“ wider, bei dem eine strenge Regulierungsinstanz den Standard für den breiteren Markt setzt. In diesem Fall handelt es sich um einen „bikoastalen Effekt“, bei dem Sacramento und Albany effektiv das nationale Regelwerk für KI-Sicherheit schreiben.
Rechtsexperten warnen, dass dieser von den Bundesstaaten geführte Ansatz zwar notwendige Leitplanken bietet, aber eine Fragmentierung riskiert, falls andere Staaten wie Colorado, Texas oder Massachusetts eigene Gesetze für Frontier-Modelle mit anderen Schwellenwerten oder Definitionen erlassen. Angesichts des wirtschaftlichen Gewichts von New York und Kalifornien – der Heimat der großen Mehrheit der US-KI-Industrie – ist es jedoch wahrscheinlich, dass ihr kombinierter Rahmen auf absehbare Zeit zum De-facto-Nationalstandard wird.
Branchenauswirkungen und nächste Schritte
Für die KI-Industrie tickt nun die Uhr bis zu den Stichtagen im Jahr 2027. Die unmittelbare Priorität für Chief Technology Officers und General Counsels in Frontier-Laboren ist die Durchführung einer „Gap-Analyse“ zwischen ihren aktuellen internen Sicherheitspraktiken und den gesetzlichen Anforderungen des RAISE Act und von SB 53.
Strategische Prioritäten für 2026 umfassen:
- Einheitliche Compliance-Rahmenwerke: Entwicklung einer einzigen Sicherheits-Governance-Struktur, die sowohl die Anforderungen des NY DFS als auch die Transparenzmandate Kaliforniens erfüllt.
- Upgrade der Vorfallreaktion: Aufbau der technischen und rechtlichen Infrastruktur, um die 72-Stunden-Meldefrist einzuhalten.
- Audit-Bereitschaft: Vorbereitung auf die durch die neuen Gesetze erforderlichen unabhängigen jährlichen Audits, die eine Verifizierung von Sicherheitsbehauptungen durch Dritte erfordern.
- Lobbying für Klarheit bei der Regelfindung: Dialog mit dem New York DFS zu Beginn des Prozesses der Regelfindung, um sicherzustellen, dass technische Definitionen von „Sicherheitstests“ praktikabel bleiben und in der technischen Realität verankert sind.
Im Laufe des Jahres 2026 wird die Umsetzung des RAISE Act ein kritischer Testfall dafür sein, ob eine Regulierung auf Bundesstaatsebene eine Technologie effektiv steuern kann, die so fluide und global ist wie die Künstliche Intelligenz. Vorerst hat New York seine Flagge gehisst und sichergestellt, dass der Weg zur AGI ebenso über Albany führt wie über das Silicon Valley.
