KI-Gesetze in Kalifornien: Wer sie erfüllen muss und bis wann

Auf einen Blick

• KI-Gesetze in Kalifornien bilden kein einheitliches Gesetzbuch, sondern ein Geflecht aus Einzelgesetzen und Behördenregeln; rund ein Dutzend davon binden Unternehmen bereits 2026.
• Welche Pflichten Sie treffen, hängt von Ihrer Rolle ab: Entwickler von Frontier-Modellen, Anbieter generativer KI, Chatbot-Betreiber, Arbeitgeber, CCPA-pflichtiges Unternehmen, Plattform oder Lieferant des Bundesstaates.
• Der nächste harte Stichtag ist der 1. Januar 2027: Dann greifen die CCPA-Regeln zu automatisierten Entscheidungen und neue Plattformpflichten.
• Gouverneur Gavin Newsom hat am 9. und 10. September 2026 vier weitere KI-Gesetze unterzeichnet; rund 30 KI-Vorlagen warten bis zum 30. September 2026 auf seine Entscheidung.
• Der Vorstoß Washingtons gegen einzelstaatliche KI-Regeln hat bisher kein kalifornisches Gesetz zu Fall gebracht. Planen Sie die Umsetzung, und halten Sie Ihre Kontrollen übertragbar.

KI-Gesetze in Kalifornien betreffen längst nicht mehr nur die großen Labore im Silicon Valley. Ein Händler, der Bewerbungen vorsortiert, eine Bank, die Kreditwürdigkeit bewertet, ein Medienhaus, das Bilder generiert, und ein Start-up mit einem Companion-Chatbot können jeweils unter ein anderes Gesetz, eine andere Behörde und eine andere Frist fallen. Für ein deutsches Unternehmen, das in den USA verkauft oder dort Personal beschäftigt, liegt die Schwierigkeit nicht im Lesen eines Gesetzes, sondern darin, ein Dutzend davon zu erkennen und jedem System richtig zuzuordnen. Dieser Leitfaden ordnet die KI-Gesetze in Kalifornien nach Rolle und nach Datum: was bereits durchsetzbar ist, was ab dem 1. Januar 2027 gilt, was im September 2026 unterzeichnet wurde, was noch offen ist und wie ein einziger Kontrollrahmen zugleich Colorado, Texas und die europäische KI-Verordnung abdeckt. Stand der Angaben: 11. September 2026.

KI-Gesetze in Kalifornien im Überblick: ein Geflecht, kein Gesetzbuch

Kalifornien hat den Weg eines umfassenden KI-Gesetzes genau einmal versucht. Im September 2024 legte Gavin Newsom sein Veto gegen SB 1047 ein, das den größten Modellen Sicherheitstests und eine Abschaltfunktion vorschreiben sollte. Ein Jahr später unterzeichnete er den deutlich schmaleren Nachfolger SB 53, während das Parlament des Bundesstaates weiter Anwendungsfall für Anwendungsfall regelte. Das Ergebnis ist ein Regime aus drei Schichten:

1. Gesetze des Parlaments, die überwiegend der Attorney General durchsetzt, teils ergänzt um private Klagerechte.
2. Behördenverordnungen, vor allem die Regeln der California Privacy Protection Agency (CPPA) zu automatisierter Entscheidungstechnologie (ADMT) und die Regeln des Civil Rights Council zu automatisierten Entscheidungssystemen im Arbeitsverhältnis.
3. Executive Orders des Gouverneurs, etwa N-5-26 zur Beschaffung von KI, die Behörden und über Verträge auch deren Lieferanten binden.

Die regulatorische Kartierung von AI Sigil zählt für Kalifornien rund 35 Rechtsinstrumente und 110 einzelne Pflichten. Die meisten Unternehmen berühren davon nur eine Handvoll. Die Tabelle zeigt die KI-Gesetze in Kalifornien, die den größten Kreis von Unternehmen erfassen. <table header-row=“true“> <tr> <td>Regelung</td> <td>Adressaten</td> <td>Status</td> <td>Durchsetzung und Sanktion</td> </tr> <tr> <td>SB 53, Transparency in Frontier AI Act</td> <td>Entwickler von Frontier-Modellen</td> <td>In Kraft seit 1. Januar 2026</td> <td>Attorney General, bis zu 1 Mio. US-Dollar je Verstoß</td> </tr> <tr> <td>AB 2013, Transparenz der Trainingsdaten</td> <td>Entwickler generativer KI für Nutzer in Kalifornien</td> <td>In Kraft seit 1. Januar 2026</td> <td>Attorney General</td> </tr> <tr> <td>SB 942 in der Fassung von AB 853, AI Transparency Act</td> <td>Anbieter generativer KI mit mehr als 1 Mio. monatlichen Nutzern; Plattformen ab 2027</td> <td>Anwendbar seit 2. August 2026</td> <td>Attorney General und kommunale Rechtsvertreter, 5.000 US-Dollar je Verstoß und Tag</td> </tr> <tr> <td>SB 243, Companion-Chatbots</td> <td>Betreiber von Companion-Chatbots</td> <td>In Kraft seit 1. Januar 2026</td> <td>Private Klage, 1.000 US-Dollar je Verstoß</td> </tr> <tr> <td>CCPA-Verordnungen zu ADMT und Risikobewertungen</td> <td>CCPA-pflichtige Unternehmen</td> <td>Wirksam seit 1. Januar 2026; ADMT-Pflichten ab 1. Januar 2027</td> <td>CPPA und Attorney General, bis zu 7.500 US-Dollar je Verstoß</td> </tr> <tr> <td>FEHA-Regeln zu automatisierten Entscheidungssystemen</td> <td>Arbeitgeber ab fünf Beschäftigten und ihre Beauftragten</td> <td>In Kraft seit 1. Oktober 2025</td> <td>Civil Rights Department und Zivilklagen</td> </tr> <tr> <td>AB 316</td> <td>Alle, die KI entwickeln, verändern oder einsetzen</td> <td>In Kraft seit 1. Januar 2026</td> <td>Zivilgerichte</td> </tr> </table> Das weltweite Gesamtbild bietet unsere globale Compliance-Übersicht zu KI-Gesetzen. Hier geht es allein um Kalifornien, wo das Tempo der Änderungen das eigentliche Compliance-Problem ist.

Welche KI-Gesetze in Kalifornien gelten für Sie? Die Einordnung nach Rolle

Viele Compliance-Teams gehen KI-Gesetze in Kalifornien über die Liste der Gesetzesnummern an. Sinnvoller ist der umgekehrte Weg: Starten Sie mit Ihrer Rolle, denn jedes Gesetz knüpft an einen bestimmten Akteur und einen bestimmten Auslöser an.

• Entwickler eines Frontier-Modells. Sie haben ein Foundation-Modell mit mehr als 10^26 Gleitkommaoperationen trainiert oder das Training begonnen: SB 53 gilt. Liegt Ihr Jahresumsatz zudem über 500 Mio. US-Dollar, sind Sie ein „großer“ Entwickler mit zusätzlichen Pflichten. Brookings schätzt, dass fünf bis acht Unternehmen erfasst sind. Mehr dazu, was ein Frontier-Modell ausmacht.
• Anbieter generativer KI. Ihr Bild-, Video- oder Audiogenerator ist in Kalifornien öffentlich zugänglich und hat mehr als eine Million monatliche Besucher oder Nutzer: Der AI Transparency Act gilt. Unabhängig von der Größe löst jede Veröffentlichung eines generativen Systems für Nutzer in Kalifornien die Dokumentationspflicht nach AB 2013 aus.
• Betreiber eines Companion-Chatbots. Ihr Chatbot antwortet adaptiv und menschenähnlich und kann eine Beziehung über mehrere Gespräche tragen: SB 243 gilt schon heute, SB 1119 ergänzt ab 2027 Audits zum Kinderschutz.
• Arbeitgeber. Sie beschäftigen mindestens fünf Personen und nutzen ein automatisiertes Entscheidungssystem bei Einstellung, Beförderung, Vergütung oder Kündigung: Die FEHA-Regeln gelten, und der Softwareanbieter kann als Ihr Beauftragter behandelt werden. Unser Beitrag zu den Regelwerken für KI-Recruiting vergleicht sie mit New York, Colorado, Illinois und der EU.
• CCPA-pflichtiges Unternehmen. Sie überschreiten die CCPA-Schwellen und setzen ADMT für eine wesentliche Entscheidung über Verbraucher, Bewerber oder Beschäftigte ein: Die CPPA-Regeln gelten ab dem 1. Januar 2027.
• Gesundheitswesen. SB 1120 regelt KI in der Leistungsprüfung, AB 3030 verlangt Hinweise auf KI-generierte Patientenkommunikation, und AB 489 untersagt KI, eine ärztliche oder pflegerische Zulassung vorzutäuschen.
• Große Plattform oder Hosting-Dienst. Ab dem 1. Januar 2027 verlangt AB 853 die Erkennung von Herkunftsdaten und verbietet das wissentliche Hosten nicht konformer Generatoren.
• Lieferant des Bundesstaates. Die Executive Order N-5-26 vom 30. März 2026 weist die Behörden an, Zertifizierungen für KI-Anbieter in die Vergabe aufzunehmen (Ropes & Gray).
• Alle. AB 316 schließt die Einrede „die KI hat eigenständig gehandelt“ im Zivilprozess aus, und SB 1001 verlangt weiterhin, dass sich Bots zu erkennen geben, wenn sie verkaufen oder Wahlen beeinflussen sollen.

Ein Sitz außerhalb Kaliforniens schützt nicht. KI-Gesetze in Kalifornien knüpfen an Nutzer, Verbraucher und Beschäftigte im Bundesstaat an; ein deutscher Anbieter mit Nutzern oder Personal in Kalifornien kann ohne eigenes Büro erfasst sein. Die Germany Trade & Invest bietet dazu einen kompakten Einstieg in das US-Recht zu Datenschutz und KI.

Was heute schon gilt: die durchsetzbaren Pflichten

Fünf KI-Gesetze in Kalifornien tragen für ein typisches Unternehmen den Großteil der Last. Jedes hat eigene Auslöser, eine eigene Behörde und eine eigene Aktenlage.

SB 53: Transparenz für Frontier-Modelle

SB 53 wurde am 29. September 2025 unterzeichnet und gilt seit dem 1. Januar 2026. Das Gesetz macht aus freiwilligen Sicherheitszusagen veröffentlichte Pflichten. Ein großer Entwickler muss ein Frontier-AI-Framework veröffentlichen, das beschreibt, wie er katastrophale Risiken erkennt und mindert, das sich an nationalen und internationalen Standards orientiert und mindestens jährlich überprüft wird. Jeder Frontier-Entwickler veröffentlicht bei der Freigabe eines neuen oder wesentlich geänderten Frontier-Modells einen Transparenzbericht. Kritische Sicherheitsvorfälle gehen innerhalb von 15 Tagen nach Entdeckung an das Office of Emergency Services, bei unmittelbarer Gefahr für Leib und Leben innerhalb von 24 Stunden. Interne Meldekanäle und Schutz für Hinweisgeber sind Pflicht; der Attorney General kann bis zu 1 Mio. US-Dollar je Verstoß verlangen, so Brookings. Das katastrophale Risiko ist eng definiert: Tod oder schwere Verletzung von 50 oder mehr Menschen, Schäden über 1 Mrd. US-Dollar, fachkundige Hilfe bei chemischen, biologischen, radiologischen oder nuklearen Waffen oder ein Modell, das sich der Kontrolle seines Entwicklers entzieht. Für europäische Leser ist das Kapitel Sicherheit und Gefahrenabwehr des GPAI-Verhaltenskodex das nächstliegende Gegenstück; es greift schon ab 10^25 FLOP. Wer dieses Framework für die EU pflegt, hat den Großteil des SB-53-Materials bereits in der Schublade.

AB 2013: Transparenz der Trainingsdaten

Seit dem 1. Januar 2026 muss der Entwickler eines generativen KI-Systems oder -Dienstes, der Nutzern in Kalifornien angeboten wird, seine Trainingsdaten auf der eigenen Website dokumentieren: Quellen und Inhaber der Datensätze, Datenarten, ob urheberrechtlich geschützte oder personenbezogene Daten enthalten sind, ob synthetische Daten genutzt wurden, Erhebungszeiträume und Bereinigungsschritte. Die Pflicht reicht bis zu Systemen zurück, die seit dem 1. Januar 2022 veröffentlicht oder wesentlich geändert wurden; jede wesentliche Änderung verlangt vor der Freigabe eine Aktualisierung. xAI klagte mit dem Argument, das Gesetz zerstöre Geschäftsgeheimnisse und erzwinge Aussagen. Am 4. März 2026 lehnte ein Bundesrichter die beantragte einstweilige Verfügung ab; das Verfahren läuft weiter (IAPP). Das europäische Gegenstück ist die öffentliche Zusammenfassung der Trainingsinhalte, die Anbieter von KI-Modellen mit allgemeinem Verwendungszweck nach Artikel 53 der KI-Verordnung schulden.

SB 942 und AB 853: der California AI Transparency Act

Das Gesetz ist seit dem 2. August 2026 anwendbar, nachdem AB 853 den ursprünglichen Termin 1. Januar 2026 verschoben hatte. Ein erfasster Anbieter, also ein generatives KI-System mit mehr als einer Million monatlicher Besucher oder Nutzer, das in Kalifornien öffentlich zugänglich ist und Bild-, Video- oder Audioinhalte erzeugt, muss:

• ein kostenloses, öffentliches Erkennungswerkzeug bereitstellen, das zeigt, ob ein Inhalt aus seinem System stammt;
• Nutzern eine sichtbare Kennzeichnung anbieten, die dauerhaft oder nur mit außergewöhnlichem Aufwand entfernbar ist;
• in jede Ausgabe eine latente Kennzeichnung einbetten, die Anbieter, System, Version und Erstellungszeitpunkt ausweist;
• Lizenznehmer vertraglich zum Erhalt der Kennzeichnungen verpflichten und eine Lizenz binnen 96 Stunden nach Entdeckung eines Verstoßes widerrufen.

Ab dem 1. Januar 2027 müssen große Online-Plattformen Herkunftsdaten erkennen und anzeigen, und Hosting-Plattformen dürfen nicht konforme Generatoren nicht mehr wissentlich anbieten. Hersteller von Aufnahmegeräten folgen am 1. Januar 2028. Die Sanktion beträgt 5.000 US-Dollar je Verstoß, jeder Tag zählt gesondert (Morgan Lewis). Die Logik entspricht der KI-Kennzeichnungspflicht nach Artikel 50 der KI-Verordnung; eine einzige Provenienzkette kann die KI-Gesetze in Kalifornien und das EU-Regime zugleich bedienen.

SB 243: Companion-Chatbots

Seit dem 1. Januar 2026 verlangt SB 243 von Betreibern von Companion-Chatbots, offenzulegen, dass der Bot künstlich ist, wenn eine vernünftige Person getäuscht werden könnte, Verfahren zur Erkennung von Suizidgedanken mit Verweis auf Krisendienste vorzuhalten und diese Verfahren zu veröffentlichen. Bei Nutzern, von denen der Betreiber weiß, dass sie minderjährig sind, muss er den KI-Einsatz offenlegen, mindestens alle drei Stunden an eine Pause erinnern und angemessene Maßnahmen gegen sexuell explizite Inhalte treffen. Ab dem 1. Juli 2027 berichten Betreiber jährlich an das Office of Suicide Prevention. Geschädigte können den höheren Betrag aus tatsächlichem Schaden oder 1.000 US-Dollar je Verstoß einklagen (Mayer Brown).

Die FEHA-Regeln zu automatisierten Entscheidungssystemen

Seit dem 1. Oktober 2025 machen die Regeln des Civil Rights Council den Einsatz eines automatisierten Entscheidungssystems rechtswidrig, das nach einem geschützten Merkmal diskriminiert, ob vorsätzlich oder über eine unverhältnismäßige Wirkung. Arbeitgeber bewahren die Systemunterlagen vier Jahre auf, darunter Beschreibungen der Datensätze, Bewertungsergebnisse und Auditbefunde. Bias-Tests oder ihr Fehlen gelten als Beweismittel, und ein Anbieter, der für den Arbeitgeber tätig wird, kann als dessen Beauftragter gelten (Jackson Lewis). Damit wird die Lieferantenbewertung zur rechtlichen Notwendigkeit. Wer in Deutschland dieselben Werkzeuge einsetzt, kennt die Parallele: Nach § 87 Abs. 1 Nr. 6 BetrVG hat der Betriebsrat bei technischen Überwachungseinrichtungen mitzubestimmen.

Die CCPA-Regeln zu ADMT: Stichtag 1. Januar 2027

Die CPPA-Verordnungen zu ADMT, Risikobewertungen und Cybersicherheitsaudits wurden am 22. September 2025 genehmigt und sind seit dem 1. Januar 2026 wirksam; die schwersten Pflichten greifen jedoch gestaffelt. ADMT bezeichnet jede Technologie, die personenbezogene Daten verarbeitet, um menschliche Entscheidungen zu ersetzen oder im Wesentlichen zu ersetzen. Nutzt ein Unternehmen sie für eine wesentliche Entscheidung, also zu Kredit- oder Finanzdienstleistungen, Wohnraum, Bildung, Beschäftigung oder Gesundheitsversorgung, muss es bis zum 1. Januar 2027:

• vorab informieren über Zweck, Funktionsweise der Technologie und die Rechte der betroffenen Person;
• ein Widerspruchsrecht anbieten, sofern keine Ausnahme greift, etwa ein Einspruchsweg zu einem menschlichen Prüfer;
• Auskunftsersuchen zur Logik der ADMT und zur Verwendung ihres Ergebnisses beantworten.

Eine Risikobewertung ist vor jeder Verarbeitung mit erheblichem Risiko nötig: Verkauf oder Weitergabe personenbezogener Daten, Verarbeitung sensibler Daten, ADMT für eine wesentliche Entscheidung, automatisierte Schlussfolgerungen aus systematischer Beobachtung oder Training einer ADMT. Verarbeitungen, die vor 2026 begonnen haben und fortlaufen, sind bis zum 31. Dezember 2027 zu bewerten; eine erste Bestätigung mit Zusammenfassung geht bis zum 1. April 2028 an die CPPA. Die Bewertungen werden so lange aufbewahrt, wie die Verarbeitung läuft, mindestens aber fünf Jahre nach Abschluss (Morrison Foerster). Danach folgen jährliche Cybersicherheitsaudits mit ersten Bestätigungen zum 1. April 2028 für Unternehmen mit mehr als 100 Mio. US-Dollar Umsatz, 2029 für 50 bis 100 Mio. und 2030 darunter. Jeder Verstoß kostet bis zu 7.500 US-Dollar. Unter den KI-Gesetzen in Kalifornien trifft gerade diese Regel europäische Konzerne am ehesten, weil die CCPA-Schwellen an Umsatz und Datenvolumen anknüpfen, nicht an KI. Die gute Nachricht: Eine Datenschutz-Folgenabschätzung nach Art. 35 DSGVO deckt einen großen Teil ab, ebenso eine KI-Folgenabschätzung. Bauen Sie die Vorlage einmal und nutzen Sie sie mehrfach.

Was Newsom im September 2026 unterzeichnet hat und was noch offen ist

Die Legislaturperiode 2026 endete am 31. August mit rund 30 KI-bezogenen Vorlagen auf dem Tisch des Gouverneurs. Er hat bis zum 30. September 2026 Zeit, sie zu unterzeichnen oder sein Veto einzulegen; eine Vorlage, zu der er nicht entscheidet, wird ohne Unterschrift Gesetz (Transparency Coalition). In der Woche, in der dieser Leitfaden entstand, wurden vier KI-Gesetze unterzeichnet. Sie verschieben die KI-Gesetze in Kalifornien spürbar von der Offenlegung hin zur Prüfung durch Dritte. Unterzeichnet am 9. September 2026. SB 813 schafft einen Rahmen für unabhängige Prüforganisationen, die KI-Systeme und -Modelle auf ihre Vereinbarkeit mit dem Recht des Bundesstaates prüfen. AB 1405 schafft ein staatliches Register für KI-Auditoren mit Regeln zu Unabhängigkeit, Transparenz und Integrität; Presseberichten zufolge wird die Registrierung für erfasste KI-Audits ab 2029 Pflicht (Büro des Gouverneurs). Zusammen entsteht ein Markt für Prüfungen durch Dritte, auf dem sich die Belege aus dem KI-Audit bewähren müssen. Unterzeichnet am 10. September 2026. SB 1119 verschärft die Regeln für Companion-Chatbots zum Schutz von Kindern: jährlich dokumentierte Risikobewertungen für minderjährige Nutzer, Werkzeuge für Eltern, unabhängige Kinderschutz-Audits, deren Berichte binnen 90 Tagen an den Attorney General gehen, ein öffentlicher Bericht des Attorney General ab 2028 und ein Klagerecht für Kinder und Eltern. SB 867 verhängt ein vierjähriges Moratorium für Spielzeug mit Companion-Chatbot für Kinder unter 16 Jahren (CalMatters). Sofern eine Vorlage nichts anderes bestimmt, tritt ein kalifornisches Gesetz am 1. Januar des Folgejahres in Kraft; planen Sie also mit dem 1. Januar 2027. Noch offen am 11. September 2026. Zu den Vorlagen, die die KI-Gesetze in Kalifornien erweitern würden und noch auf eine Entscheidung warten, gehören:

• SB 947, der „No Robo Bosses Act“: keine alleinige Stützung auf automatisierte Systeme bei Abmahnung oder Kündigung, mit menschlicher Prüfung und Information (vorgesehener Start 1. Juli 2027);
• AB 1609: Hinweispflicht, wenn Verbraucher bei großen Unternehmen mit Kundenservice-Chatbots sprechen;
• SB 1000 und AB 2713: Änderungen am AI Transparency Act für Anbieter und Plattformen;
• SB 503, AB 2575, AB 1979 und SB 903: KI in der klinischen Entscheidungsunterstützung, der Versorgung und der Psychotherapie;
• SB 951 und AB 1883: KI in Anzeigen zu Massenentlassungen und in der Überwachung am Arbeitsplatz;
• SB 574: Pflichten für Anwälte, die generative KI nutzen.

Die vorgesehenen Termine je Vorlage stehen in der Sitzungsbilanz von Wiley. Behandeln Sie die Liste als Beobachtungsliste und prüfen Sie sie nach dem 30. September erneut.

Der Fristenkalender: KI-Gesetze in Kalifornien von 2025 bis 2030

Die folgenden Daten machen die KI-Gesetze in Kalifornien planbar. Alles vor dem heutigen Datum ist bereits durchsetzbar. Auch das überarbeitete Gesetz in Colorado zielt auf den 1. Januar 2027, wie unser Beitrag zum Colorado AI Act zeigt. Damit ist dieser Tag das natürliche Ziel eines Programms für mehrere Bundesstaaten. <table header-row=“true“> <tr> <td>Datum</td> <td>Was gilt</td> <td>Wer</td> </tr> <tr> <td>1. Oktober 2025</td> <td>FEHA-Regeln zu automatisierten Entscheidungssystemen</td> <td>Arbeitgeber ab fünf Beschäftigten</td> </tr> <tr> <td>1. Januar 2026</td> <td>SB 53, AB 2013, SB 243, AB 316, AB 489; CCPA-Verordnungen wirksam, Risikobewertungen für neue Verarbeitungen</td> <td>Frontier- und GenAI-Entwickler, Chatbot-Betreiber, CCPA-Unternehmen</td> </tr> <tr> <td>2. August 2026</td> <td>Kernpflichten des AI Transparency Act</td> <td>GenAI-Anbieter mit mehr als 1 Mio. monatlichen Nutzern</td> </tr> <tr> <td>30. September 2026</td> <td>Frist des Gouverneurs für offene KI-Vorlagen</td> <td>Beobachtungsliste</td> </tr> <tr> <td>1. Januar 2027</td> <td>ADMT-Information, Widerspruch und Auskunft; Plattform- und Hosting-Pflichten nach AB 853; erwartetes Inkrafttreten von SB 1119, SB 867, SB 813 und AB 1405</td> <td>CCPA-Unternehmen, Plattformen, Chatbot-Betreiber, Spielzeughersteller</td> </tr> <tr> <td>1. Juli 2027</td> <td>Erster Jahresbericht nach SB 243 an das Office of Suicide Prevention</td> <td>Chatbot-Betreiber</td> </tr> <tr> <td>31. Dezember 2027</td> <td>Risikobewertungen für Verarbeitungen, die vor 2026 begonnen haben</td> <td>CCPA-Unternehmen</td> </tr> <tr> <td>1. Januar 2028</td> <td>Kennzeichnung durch Aufnahmegeräte; erster Jahresbericht des Attorney General zu SB-1119-Audits</td> <td>Gerätehersteller, Chatbot-Betreiber</td> </tr> <tr> <td>1. April 2028</td> <td>Bestätigung der Risikobewertungen; erste Cybersicherheitsaudits</td> <td>CCPA-Unternehmen mit mehr als 100 Mio. US-Dollar Umsatz</td> </tr> <tr> <td>2029</td> <td>Registrierung von KI-Auditoren (AB 1405, laut Presse); Audits für mittlere Unternehmen</td> <td>Auditoren; 50 bis 100 Mio. US-Dollar Umsatz</td> </tr> <tr> <td>1. April 2030</td> <td>Cybersicherheitsaudits für kleinere Unternehmen</td> <td>CCPA-Unternehmen unter 50 Mio. US-Dollar Umsatz</td> </tr> </table>

Bundesrechtlicher Vorrang: trotzdem umsetzen

Am 11. Dezember 2025 unterzeichnete Präsident Trump die Executive Order 14365. Sie richtete im Justizministerium eine AI Litigation Task Force ein, die am 9. Januar 2026 ihre Arbeit aufnahm und einzelstaatliche KI-Gesetze angreifen soll, beauftragte das Handelsministerium, bis zum 11. März 2026 „belastende“ Landesgesetze zu benennen, knüpfte einen Teil der BEAD-Breitbandmittel an diese Prüfung und forderte den Kongress auf, einzelstaatliche Regeln zu verdrängen (King & Spalding). KI-Gesetze in Kalifornien standen im Zentrum dieser Debatte. Auf die KI-Gesetze in Kalifornien ist die praktische Wirkung bislang begrenzt. Der erste Schritt der Task Force war im April 2026 der Beitritt zur Klage von xAI gegen den Colorado AI Act, ein Verfahren, das sich mit der Neufassung des Gesetzes im Mai weitgehend erledigte. Bis Mitte 2026 war keine Bundesklage gegen ein kalifornisches KI-Gesetz bekannt, und der Kongress hat kein Moratorium beschlossen. Zwei weitere Punkte sprechen für die Umsetzung. Mehrere KI-Gesetze in Kalifornien eröffnen private Klagerechte (SB 243, SB 1119, FEHA), die nicht vom Attorney General abhängen. Und eine Executive Order kann kein Landesgesetz aufheben; das können nur der Kongress oder ein Gericht. Newsom selbst stellte die Unterzeichnungen im September als Antwort auf eine Lücke im Bundesrecht dar. Für ein Compliance-Team heißt das: umsetzen, dokumentieren und die Kontrollen übertragbar halten, damit eine Änderung in einem Bundesstaat nur eine Zuordnung ändert und nicht das ganze Programm. Die texanische Seite derselben Frage behandelt unser Beitrag zum TRAIGA.

Ein Kontrollrahmen für Kalifornien, Colorado, Texas und die KI-Verordnung

Wer in den USA und in Europa verkauft, braucht kein kalifornisches, kein Colorado- und kein EU-Programm nebeneinander. Gebraucht wird ein Kontrollrahmen mit Zuordnungen je Rechtsordnung. Die Tabelle zeigt, wie sich die wichtigsten KI-Gesetze in Kalifornien auf die KI-Verordnung abbilden lassen. <table header-row=“true“> <tr> <td>Kontrolle</td> <td>Anker in Kalifornien</td> <td>Anker in der KI-Verordnung</td> </tr> <tr> <td>KI-Inventar mit Kennzeichnung der Rechtsordnungen</td> <td>Anwendungsbereich jedes kalifornischen KI-Gesetzes</td> <td>Art. 6 (Einstufung), Art. 49 (Registrierung)</td> </tr> <tr> <td>Information, Widerspruch und menschliche Prüfung automatisierter Entscheidungen</td> <td>CCPA-Regeln zu ADMT, FEHA-Regeln</td> <td>Art. 26 Abs. 11 (Information), Art. 86 (Erläuterung)</td> </tr> <tr> <td>Herkunftsnachweis und Kennzeichnung von Inhalten</td> <td>SB 942 und AB 853</td> <td>Art. 50 Abs. 2</td> </tr> <tr> <td>Offenlegung von Chatbots und Bots</td> <td>SB 243, SB 1001</td> <td>Art. 50 Abs. 1</td> </tr> <tr> <td>Bias-Tests und Entscheidungsprotokolle</td> <td>FEHA-Regeln, vier Jahre Aufbewahrung</td> <td>Art. 10, Art. 12 und Art. 26 Abs. 6 (Protokolle)</td> </tr> <tr> <td>Sicherheitsrahmen und Vorfallmeldung</td> <td>SB 53</td> <td>Art. 55, Art. 73</td> </tr> <tr> <td>Zusammenfassung der Trainingsdaten</td> <td>AB 2013</td> <td>Art. 53 Abs. 1 lit. d</td> </tr> <tr> <td>Risiko- oder Folgenabschätzung</td> <td>CCPA-Risikobewertungen, SB 1119</td> <td>Art. 9, Art. 27</td> </tr> <tr> <td>Klauseln für Anbieter und Lizenznehmer</td> <td>Lizenznehmerpflichten nach SB 942, Beauftragtenregel nach FEHA</td> <td>Art. 25 (Wertschöpfungskette)</td> </tr> </table> Colorado und Texas lassen sich in dieselben Zeilen einordnen wie die KI-Gesetze in Kalifornien. Colorados SB 26-189, unterzeichnet im Mai 2026, hat das dortige KI-Gesetz ab dem 1. Januar 2027 zu einem Offenlegungsregime für automatisierte Entscheidungen umgebaut, das die Zeile „Information“ abdeckt. Das texanische TRAIGA, seit dem 1. Januar 2026 in Kraft, besteht vor allem aus vorsatzbezogenen Verboten und Offenlegungspflichten für Behörden, die das Inventar und ein Screening verbotener Anwendungen abdecken. Nach diesem Modell arbeitet AI Sigil: 28 Regelwerke in vier Regionen, Kalifornien eingeschlossen, in einer einzigen Pflichtenbibliothek.

Die Nachweisakte: welche Unterlagen verlangt werden können

Alle KI-Gesetze in Kalifornien erzeugen Unterlagen, die eine Behörde, ein Gericht oder ein Kläger verlangen kann. Legen Sie für jede eine verantwortliche Person fest, bevor die erste Anfrage kommt. <table header-row=“true“> <tr> <td>Unterlage</td> <td>Gesetz</td> <td>Frist oder Aufbewahrung</td> </tr> <tr> <td>Frontier-AI-Framework und Transparenzberichte</td> <td>SB 53</td> <td>Framework mindestens jährlich überprüft; Bericht bei jeder Freigabe; geschwärzte Angaben fünf Jahre aufbewahrt</td> </tr> <tr> <td>Meldungen kritischer Sicherheitsvorfälle</td> <td>SB 53</td> <td>15 Tage, bei unmittelbarer Gefahr 24 Stunden</td> </tr> <tr> <td>Dokumentation der Trainingsdaten</td> <td>AB 2013</td> <td>Vor der Freigabe und vor jeder wesentlichen Änderung</td> </tr> <tr> <td>Spezifikation der latenten Kennzeichnung, Erkennungswerkzeug, Lizenzklauseln, Widerrufsprotokoll</td> <td>SB 942 und AB 853</td> <td>Laufend; Widerruf binnen 96 Stunden</td> </tr> <tr> <td>Zahl der Verweise an Krisendienste und Protokolle zur Suizidprävention</td> <td>SB 243</td> <td>Jahresbericht ab 1. Juli 2027</td> </tr> <tr> <td>Eingaben, Ausgaben, Bewertungen und Bias-Audits der Entscheidungssysteme</td> <td>FEHA-Regeln</td> <td>Vier Jahre</td> </tr> <tr> <td>ADMT-Informationen, Widerspruchs- und Auskunftsprotokolle</td> <td>CCPA-Verordnungen</td> <td>Ab 1. Januar 2027</td> </tr> <tr> <td>Risikobewertungen</td> <td>CCPA-Verordnungen</td> <td>Dauer der Verarbeitung oder fünf Jahre, je nachdem, was länger ist</td> </tr> <tr> <td>Kinderschutz-Risikobewertungen und Auditberichte</td> <td>SB 1119</td> <td>Jährlich; Auditbericht an den Attorney General binnen 90 Tagen</td> </tr> </table> Vorfallmeldungen verdienen die größte Sorgfalt, denn die Frist nach SB 53 läuft wie die nach Artikel 73 der KI-Verordnung ab der Entdeckung. Erfahrungen aus dem Compliance-Monitoring von KI-Systemen helfen, beide Uhren mit einem Prozess zu bedienen.

Ein 90-Tage-Plan für die KI-Gesetze in Kalifornien

Tag 1 bis 30: Inventar und Anwendungsbereich. Erfassen Sie jedes KI-System, markieren Sie diejenigen, die Nutzer, Verbraucher oder Beschäftigte in Kalifornien erreichen, und halten Sie für jedes Ihre Rolle nach der obigen Einordnung fest. Die meisten Organisationen stoßen hier auf nicht gemeldete Werkzeuge; unser Beitrag zur Schatten-KI beschreibt die Suche. Tag 31 bis 60: die Lücken zum 1. Januar 2027 schließen. Entwerfen Sie die ADMT-Vorabinformationen, bauen Sie den Ablauf für Widerspruch und Auskunft auf, führen Sie die durch ADMT ausgelösten Risikobewertungen durch und prüfen Sie die Herkunftserkennung, wenn Sie Inhalte hosten. Chatbot-Betreiber sollten die SB-1119-Audits jetzt planen, denn der durch SB 813 und AB 1405 entstehende Prüfermarkt wird schnell ausgelastet sein. Tag 61 bis 90: Nachweise und Beobachtung. Weisen Sie jeder Unterlage der Nachweisakte eine verantwortliche Person zu, legen Sie Prüftermine fest und führen Sie eine Beobachtungsliste für die bis zum 30. September offenen Vorlagen und für Verfahren auf Bundesebene. Ordnen Sie die Kontrollen einem anerkannten Rahmen wie dem NIST AI RMF zu, dem naheliegenden nationalen Standard für die Ausrichtung, die SB 53 von Frontier-Frameworks verlangt.

Häufige Fragen

Hat Kalifornien ein KI-Gesetz wie die europäische KI-Verordnung? Nein. KI-Gesetze in Kalifornien sind Einzelgesetze wie SB 53, AB 2013, SB 942 und SB 243, ergänzt um Datenschutzregeln nach dem CCPA und Antidiskriminierungsregeln nach dem FEHA. Das einzige umfassende Vorhaben, SB 1047, scheiterte 2024 am Veto des Gouverneurs. Praktisch bedeutet das: Es gibt keinen einheitlichen Anwendungstest, jede Regel hat einen eigenen Auslöser, und die Anwendbarkeit muss Gesetz für Gesetz anhand Ihrer Rolle geprüft werden. Gelten KI-Gesetze in Kalifornien auch für deutsche Unternehmen? In den meisten Fällen ja. Sie knüpfen an Nutzer, Verbraucher und Beschäftigte in Kalifornien an, nicht an den Sitz des Unternehmens. Ein europäischer Anbieter generativer KI mit mehr als einer Million monatlichen Nutzern in Kalifornien oder ein Arbeitgeber, der Bewerbungen aus Kalifornien automatisiert vorsortiert, kann auch ohne Niederlassung erfasst sein. Welche KI-Gesetze in Kalifornien gelten für Arbeitgeber? Drei Regelwerke zählen. Die FEHA-Regeln zu automatisierten Entscheidungssystemen verbieten seit dem 1. Oktober 2025 diskriminierende Ergebnisse und verlangen vier Jahre Aufbewahrung. Die CCPA-Regeln zu ADMT verlangen ab dem 1. Januar 2027 Information, Widerspruch und Auskunft bei wesentlichen Entscheidungen im Arbeitsverhältnis. SB 947, bis zum 30. September 2026 offen, würde verbieten, sich bei Abmahnung oder Kündigung allein auf automatisierte Systeme zu stützen. Ab wann gelten die CCPA-Regeln zu ADMT? Die Verordnungen sind seit dem 1. Januar 2026 wirksam, doch ein Unternehmen, das ADMT bereits für wesentliche Entscheidungen nutzt, muss die ADMT-Anforderungen bis zum 1. Januar 2027 erfüllen. Risikobewertungen für vor 2026 begonnene Verarbeitungen sind bis zum 31. Dezember 2027 fällig, eine erste Bestätigung an die CPPA bis zum 1. April 2028. Welche KI-Gesetze in Kalifornien hat Newsom im September 2026 unterzeichnet? Am 9. September 2026 unterzeichnete er SB 813 zu unabhängigen Prüforganisationen und AB 1405 mit einem Register für KI-Auditoren. Am 10. September folgten SB 1119 zum Kinderschutz bei Companion-Chatbots mit unabhängigen Audits und SB 867, ein vierjähriges Moratorium für Spielzeug mit Companion-Chatbot für Kinder unter 16 Jahren, zusammen mit mehreren Gesetzen zum Schutz Minderjähriger im Netz. Kann die US-Bundesregierung KI-Gesetze in Kalifornien aushebeln? Nur der Kongress oder ein Gericht kann ein Landesgesetz verdrängen. Die Executive Order 14365 schuf eine Task Force im Justizministerium, die einzelstaatliche KI-Gesetze angreifen soll, und knüpfte Bundesmittel an deren Prüfung. Bis Mitte 2026 war jedoch keine Bundesklage gegen ein kalifornisches KI-Gesetz bekannt, und der Kongress hatte kein Moratorium beschlossen. Die privaten Klagerechte nach SB 243, SB 1119 und FEHA hängen ohnehin nicht vom Staat ab.

Fazit

KI-Gesetze in Kalifornien belohnen Unternehmen, die aufhören, sie Vorlage für Vorlage zu lesen. Ihre Pflichten folgen wenigen Mustern: offenlegen, bewerten, dokumentieren, auf Bias testen, Vorfälle melden. Dieselben Muster finden sich in Colorado, in Texas und in der KI-Verordnung. Der nächste Stichtag, der 1. Januar 2027, ist nah genug, um jetzt zu planen, und weit genug entfernt, um ihn zu halten, wenn das Inventar noch in diesem Quartal beginnt. AI Sigil bildet die KI-Gesetze in Kalifornien neben der KI-Verordnung und 26 weiteren nationalen und bundesstaatlichen KI-Gesetzen in einer einzigen Pflichtenbibliothek ab: Eine neue Unterschrift wird zu einer aktualisierten Zuordnung, nicht zu einem neuen Projekt. Wenn Sie Ihre Pflichten aus den KI-Gesetzen in Kalifornien abstecken, beginnen Sie mit dem Inventar und dem Kalender oben und prüfen Sie die Liste der offenen Vorlagen nach dem 30. September erneut.