Colorado AI-Gesetz: Unternehmen im Spannungsfeld zwischen staatlicher und föderaler Regulierung

Was Unternehmen wissen müssen: Colorados einzigartiges KI-Gesetz weicht von der bundesstaatlichen Vorgehensweise ab

In der vergangenen Woche hielten die Gesetzgeber von Colorado eine Sondersitzung ab, die mit der Entscheidung endete, die Umsetzung des Colorado Artificial Intelligence Act (CAIA) bis zum 30. Juni 2026 zu verschieben. Dies gibt Unternehmen ein kurzes Zeitfenster zur Vorbereitung, aber das Gesetz bleibt in Kraft und verlangt von den Unternehmen, Governance-Programme zu erstellen und regelmäßige Auswirkungen von hochriskanten KI-Systemen zu bewerten.

Unterschiedliche Ansätze zur KI-Haftung

Mit der CAIA entstehen zwei sehr unterschiedliche Ansätze zur KI-Haftung. Auf Bundesebene fordert der Executive Order 14281 die Behörden auf, die Analyse von ungewollten Auswirkungen aufzugeben und die Haftung auf vorsätzliche Diskriminierung zu beschränken. Im Gegensatz dazu verlangt die CAIA von Unternehmen eine Verantwortung für ungewollte Auswirkungen, selbst wenn keine Absicht zur Diskriminierung vorliegt. Dies schafft eine gespaltene regulatorische Landschaft.

CAIA: Haftung für ungewollte Diskriminierung

Die CAIA etabliert die Haftung sowohl für Entwickler als auch für Betreiber von KI, wenn ihre Systeme diskriminierende Ergebnisse produzieren, selbst ohne Absicht. Die Gesetzgebung definiert algorithmische Diskriminierung als ungewollte Auswirkungen, die durch KI in entscheidenden Bereichen wie Beschäftigung, Wohnen, Kreditvergabe, Bildung, Gesundheitsversorgung, Versicherungen, juristische Dienstleistungen und wesentliche Regierungsdienstleistungen verursacht werden.

Die Rolle von Auswirkungenbewertungen unter CAIA

„Auswirkungenbewertungen“ sind ein zentrales Element der neuen regulatorischen Anforderungen der CAIA. Betreiber hochriskanter KI-Systeme müssen eine Auswirkungenbewertung vor der erstmaligen Nutzung des Systems durchführen, diese mindestens jährlich wiederholen und innerhalb von 90 Tagen nach wesentlichen Änderungen erneut durchführen. Jede Auswirkungenbewertung muss Folgendes umfassen:

• Eine Beschreibung des Zwecks, der beabsichtigten Nutzung und des Einsatzkontexts des Systems;
• Die Kategorien der Eingabedaten und die Art der Systemausgaben;
• Eine Übersicht über die Datenkategorien, die der Betreiber zur Anpassung oder Neutrainierung des Systems verwendet hat;
• Die Leistungsmetriken zur Bewertung von Genauigkeit und Fairness sowie bekannte Einschränkungen;
• Eine Analyse der potenziellen Risiken algorithmischer Diskriminierung;
• Die Schritte zur Minderung dieser Risiken;
• Die Transparenz- und Aufsichtmaßnahmen, einschließlich der Frage, ob Verbraucher über den Einsatz von KI informiert werden;
• Nachbereitungsüberwachungsverfahren zur Erfassung von Problemen während des Betriebs des Systems.

Auswirkungenbewertungen müssen dokumentiert und mindestens drei Jahre lang aufbewahrt werden. Diese Bewertungen schaffen eine kontinuierliche Verpflichtung für Unternehmen, die Fairness ihrer Systeme regelmäßig zu testen und zu validieren, um ungewollte Auswirkungen zu verhindern.

CAIA’s Schutzmaßnahmen und Durchsetzung

Die CAIA bietet eine Form von Schutz für Unternehmen, die ihre Anforderungen erfüllen. Unternehmen, die ein Risikomanagementprogramm aufrechterhalten und die erforderlichen Auswirkungenbewertungen durchführen, erhalten eine widerlegbare Vermutung der Einhaltung. Darüber hinaus ist eine affirmative Verteidigung verfügbar, wenn ein Verstoß festgestellt und behoben wird, während das Unternehmen einem anerkannten Risikorahmen folgt.

Die Durchsetzungsbehörde liegt beim Attorney General von Colorado, und die Betreiber müssen den Attorney General innerhalb von 90 Tagen nach Entdeckung algorithmischer Diskriminierung informieren. Dies bedeutet, dass, während die Haftung unter CAIA auch ungewollte Diskriminierung umfasst, Unternehmen, die robuste Bewertungen und Governance-Programme durchführen und dokumentieren, erhebliche rechtliche Schutzmaßnahmen haben, wenn Probleme auftreten.

Bundesansatz: Haftung nur für vorsätzliche Diskriminierung

Im April 2025 erließ der Präsident einen Executive Order 14281, der die „Wiederherstellung der Chancengleichheit und Meritokratie“ zum Ziel hat. Dieser Auftrag weist die Bundesbehörden an, die Analyse von ungewollten Auswirkungen in der Regelung und Durchsetzung aufzugeben. In diesem Ansatz ist die Haftung auf vorsätzliche Diskriminierung beschränkt. Ungewollte Ergebnisse ohne Absicht sind nicht einklagbar, und Behörden wie die EEOC, HUD und CFPB werden keine ungewollten Auswirkungen mehr erwarten oder verlangen.

Für Unternehmen bedeutet dieser Wandel eine Verringerung der Compliance-Belastungen im Zusammenhang mit der bundesstaatlichen Aufsicht. Behörden werden weniger wahrscheinlich KI-Systeme allein auf der Grundlage der Ergebnisse untersuchen, die sie produzieren. Obwohl dies das Risiko der Haftung bei der Bereitstellung von KI verringern sollte, bleibt das Risiko nicht vollständig ausgeschlossen. Private Kläger können weiterhin Ansprüche wegen ungewollter Auswirkungen unter Bundesstatuten wie dem Title VII des Civil Rights Act oder dem Fair Housing Act verfolgen.

Praktische Auswirkungen der Divergenz zwischen Bundes- und Landesebene

Colorado hat die Haftung an ungewollte Auswirkungen gebunden und die wiederkehrenden Auswirkungenbewertungen zum zentralen Element der Compliance gemacht. Der Bund hat den gegenteiligen Weg eingeschlagen und die Analyse ungewollter Auswirkungen aufgegeben. Das Ergebnis ist eine gespaltene regulatorische Landschaft. Unternehmen, die national tätig sind, müssen diese beiden Systeme in Einklang bringen: umfassende staatliche Haftung, die auf Auswirkungenbewertungen basiert, und reduzierte bundesstaatliche Aufsicht.

Für Unternehmen schafft diese Divergenz eine Zwei-Spuren-Compliance-Umgebung. Bundesregulierer signalisieren, dass Unternehmen nicht ungewollte Auswirkungen testen oder dokumentieren müssen, während Colorado laufende Bewertungen verlangt, die darauf abzielen, diese zu entdecken und zu mindern. Unternehmen, die sich ausschließlich auf die bundesstaatlichen Standards konzentrieren, laufen Gefahr, in Colorado und in anderen Staaten, die diesem Beispiel folgen könnten, haftbar zu werden. Im Gegensatz dazu werden Unternehmen, die Governance-Programme nach den höheren Standards der CAIA strukturieren (einschließlich jährlicher Bewertungen, Verbraucherdisklosuren und Berichtprotokolle), in der Lage sein, beide Regime zu erfüllen.

Es ist wichtig zu erkennen, dass die CAIA nicht nur Verpflichtungen auferlegt. Sie enthält auch Schutzmaßnahmen für Unternehmen, die compliant sind. Durch die Aufrechterhaltung von Risikomanagementprogrammen, die Durchführung regelmäßiger Auswirkungenbewertungen und die Dokumentation von Minderungsschritten erhalten Unternehmen Zugang zu Schutzmaßnahmen in Form einer widerlegbaren Vermutung der Einhaltung und einer positiven Verteidigung, wenn sie Probleme entdecken und beheben.

Fazit

Unternehmen sehen sich nun zwei grundlegend unterschiedlichen Ansätzen zur KI-Regulierung gegenüber. Auf Landesebene können Unternehmen für ungewollte Diskriminierung verantwortlich gemacht werden, es sei denn, sie erfüllen proaktiv die Anforderungen der CAIA, insbesondere durch die Durchführung detaillierter, wiederkehrender Auswirkungenbewertungen. Auf Bundesebene ist die Haftung auf vorsätzliche Diskriminierung beschränkt, und die Analyse ungewollter Auswirkungen wird in vielen Fällen als regulatorischer Standard aufgegeben.

Die CAIA macht auch deutlich, dass Unternehmen einen Weg haben, sich zu schützen. Durch die Aufrechterhaltung von Risikomanagementprogrammen, die Durchführung regelmäßiger Auswirkungenbewertungen und die Dokumentation von Minderungsschritten gewinnen Unternehmen Zugang zu Schutzmaßnahmen in Form einer widerlegbaren Vermutung der Einhaltung und einer positiven Verteidigung.

Da immer mehr Bundesstaaten in Betracht ziehen, regulatorische Rahmenbedingungen ähnlich der CAIA zu erlassen, wird sich das Patchwork voraussichtlich erweitern. Unternehmen, die Risikomanagementprogramme entwerfen, gründliche Auswirkungenbewertungen durchführen und Anpassungen bei den Offenlegungen vornehmen, werden am besten positioniert sein, um diese divergierenden Systeme zu navigieren und die Schutzmaßnahmen der CAIA voll auszuschöpfen.