TRAIGA-Gesetz: Das texanische KI-Recht in der Anwendung

Auf einen Blick

• Das TRAIGA-Gesetz (HB 149) gilt seit dem 1. Januar 2026 und erfasst jedes Unternehmen, dessen KI-System von Einwohnern in Texas genutzt wird, unabhängig vom Sitz der Gesellschaft.
• Verboten sind sieben Praktiken. Drei davon binden ausschließlich Behörden, weshalb private Betreiber die Verbotstatbestände meist schon bei der ersten Prüfung ausschließen können.
• Maßgeblich ist die Absicht, nicht die Wirkung. Abschnitt 552.056 stellt klar, dass eine mittelbare Benachteiligung allein keine rechtswidrige Diskriminierung begründet.
• Die eigentliche Pflicht ist eine Nachweispflicht: Abschnitt 552.105(e)(2)(D) eröffnet eine Einrede bei wesentlicher Konformität mit dem KI-Risikomanagement-Rahmenwerk des NIST.
• Zuständig ist allein der texanische Attorney General, mit einer Heilungsfrist von 60 Tagen und Bußgeldern bis zu 200.000 US-Dollar.

Warum ein texanisches Gesetz deutsche Unternehmen betrifft

Der Texas Responsible Artificial Intelligence Governance Act, den alle Welt unter dem Kürzel TRAIGA führt, wurde am 22. Juni 2025 von Gouverneur Greg Abbott unterzeichnet und entfaltet seit dem 1. Januar 2026 Wirkung. Nahezu alle Analysen, die noch kursieren, stammen aus den beiden Wochen nach der Unterzeichnung, als die interessante Frage lautete, was der Gesetzgeber gerade beschlossen hatte. Diese Frage ist beantwortet. Die Frage, die sich jetzt stellt, lautet, was eine Compliance-Verantwortliche im Ernstfall belegen kann. Für exportorientierte Unternehmen ist das keine akademische Überlegung. Der Anwendungsbereich des TRAIGA-Gesetzes knüpft weder an den Gesellschaftssitz noch an eine Betriebsstätte an, sondern an die Nutzung. Sobald ein Produkt oder eine Dienstleistung von Einwohnern in Texas verwendet wird, greift das Gesetz. Eine US-Tochtergesellschaft, eine jenseits des Atlantiks vertriebene SaaS-Plattform oder ein in eine Exportlösung eingebettetes KI-Modul genügen, um den Konzern in den Anwendungsbereich zu ziehen. Das TRAIGA-Gesetz fügt dem texanischen Business and Commerce Code vier neue Kapitel hinzu. Kapitel 551 enthält die Begriffsbestimmungen, Kapitel 552 bündelt Verbote und Durchsetzungsmechanik, Kapitel 553 schafft ein Reallabor unter der Aufsicht des Department of Information Resources, Kapitel 554 richtet einen beratenden KI-Rat ein. Zusätzlich ändert das Gesetz das bestehende biometrische Landesrecht in Abschnitt 503.001, was in den meisten Zusammenfassungen untergeht.

Der Anwendungsbereich folgt der Nutzung

Das Anknüpfungskriterium verdient eine Wiederholung, weil es Juristinnen und Juristen irritiert, die territorial denken. Erfasst wird, wer ein KI-System in Texas entwickelt oder betreibt, wer dort wirbt, Geschäfte anbahnt oder betreibt, oder wer Produkte und Dienstleistungen anbietet, die von texanischen Einwohnern genutzt werden. Es gibt weder eine Umsatzschwelle noch eine Mitarbeiterschwelle, unterhalb derer man sich in Sicherheit bringen könnte. Daraus folgt, dass sich der Anwendungsbereich nicht aus dem Konzernschaubild ableiten lässt. Er ergibt sich aus einem Verzeichnis der KI-Systeme und der Nutzergruppen, die sie berühren, und genau diese Eingangsgröße fällt den meisten Organisationen am schwersten.

Die sieben verbotenen Praktiken, Abschnitt für Abschnitt

Die Verbote als einheitlichen Block zu lesen, ist der häufigste Fehler, weil sie sich nicht an denselben Adressatenkreis richten.

Pflichten, die ausschließlich Behörden treffen

Abschnitt 552.051 verpflichtet Behörden, in klarer und deutlich wahrnehmbarer Sprache darauf hinzuweisen, dass eine Person mit einem KI-System interagiert. Der Hinweis muss vor oder während der Interaktion erfolgen und darf nicht in allgemeinen Nutzungsbedingungen versteckt werden. Abschnitt 552.053 untersagt Behörden, mittels KI eine soziale Bewertung oder eine vergleichbare kategorisierende Einstufung zu vergeben, die zu einer benachteiligenden Behandlung führt. Abschnitt 552.054 untersagt Behörden, eine bestimmte Person ohne deren Einwilligung anhand biometrischer Daten mittels KI eindeutig zu identifizieren. Diese drei Tatbestände erklären, warum das TRAIGA-Gesetz in der Kommentarliteratur als vorrangig auf den öffentlichen Sektor zugeschnitten beschrieben wird. Für private Betreiber bilden sie eher den Kontext als eine Pflicht, es sei denn, man beliefert texanische Behörden, denn dann kehren sie über die Vertragsgestaltung zurück.

Pflichten, die private Entwickler und Betreiber treffen

Abschnitt 552.052 verbietet die Entwicklung oder den Betrieb eines KI-Systems, das darauf angelegt ist, eine Person zur Selbstschädigung, zur Schädigung Dritter oder zu einer Straftat anzustiften. Abschnitt 552.055 erfasst Systeme, die mit der alleinigen Absicht entwickelt oder betrieben werden, verfassungsmäßige Rechte einer Person zu beeinträchtigen. Abschnitt 552.056 verbietet Systeme, die mit der Absicht entwickelt oder betrieben werden, eine geschützte Gruppe rechtswidrig zu diskriminieren. Ausdrücklich stellt die Norm klar, dass eine mittelbare Benachteiligung für sich genommen nicht genügt, um diese Absicht zu belegen. Abschnitt 552.057 verbietet Systeme, die auf die Erzeugung von Darstellungen sexuellen Kindesmissbrauchs oder sexualisierter Deepfakes angelegt sind. Ein ordentlich geführtes Unternehmen erfüllt keinen dieser vier Tatbestände. Niemand baut ein Bewerbungsvorauswahl-Modell in der Absicht zu diskriminieren, und das Gesetz fragt nicht danach, ob das Modell tatsächlich diskriminiert. Eben deshalb gehört der Schwerpunkt der Compliance-Arbeit nicht zu den Verboten. Die Prüfung auf KI-Bias bleibt sinnvoll, wechselt unter dem TRAIGA-Gesetz aber ihre Funktion: Sie wird zum Beweismittel statt zur Pflicht.

Absicht statt Wirkung: die Grundentscheidung des Gesetzgebers

Das Abstellen auf die Absicht ist die prägende Weichenstellung. Die europäische KI-Verordnung und das ursprüngliche Gesetz aus Colorado setzten beide beim möglichen Ergebnis an und verpflichteten Sie, dieses vorab zu ermitteln. Das TRAIGA-Gesetz fragt, ob Sie es gewollt haben. Die Entlastung ist real und sollte nicht kleingeredet werden: keine Sorgfaltspflicht, keine verpflichtende Folgenabschätzung, keine Registrierung, keine Algorithmenhinterlegung. Frühere Entwurfsfassungen enthielten eine allgemeine Transparenzpflicht für private Betreiber sowie eine verpflichtende Risikominderungsrichtlinie; beide wurden vor der Verabschiedung gestrichen, wie K&L Gates seinerzeit dokumentiert hat. Die Tücke liegt darin, was ein Absichtsmaßstab mit einem Rechtsstreit anstellt. Knüpft die Haftung an die Wirkung an, wird über Statistik gestritten. Knüpft sie an die Absicht an, wird darüber gestritten, was Sie wussten, wovor Sie gewarnt worden waren und was Sie daraufhin getan haben. Jedes interne Dokument wird damit zum potenziellen Beweismittel in beide Richtungen: Ein Red-Team-Bericht, der zeigt, dass Sie eine Schwachstelle gefunden und behoben haben, entlastet Sie, während derselbe Bericht, der zeigt, dass Sie die Schwachstelle gefunden und dennoch ausgeliefert haben, Sie belastet. Das TRAIGA-Gesetz verlangt kein KI-Risikomanagement. Es macht dessen schriftliche Spur stillschweigend zu dem Maßstab, an dem Sie gemessen werden.

Die Einrede ist der eigentliche Kern

Dies ist die Vorschrift, die die meisten Zusammenfassungen in einem Satz erwähnen und dann verlassen. Abschnitt 552.105(e)(2)(D) eröffnet dem Betroffenen eine Einrede, wenn er im Wesentlichen der jeweils aktuellen Fassung des KI-Risikomanagement-Rahmenwerks des NIST entspricht, einschließlich des Profils für generative KI NIST-AI-600-1, oder einem anderen national oder international anerkannten Risikomanagement-Rahmenwerk für KI-Systeme. Das Paradox verdient Beachtung. Ein Gesetz ohne verpflichtende Folgenabschätzung und ohne jede Anzeigepflicht benennt gleichwohl ein konkretes externes Rahmenwerk und macht dessen Umsetzung zum Haftungsausschluss. Die Pflicht ist nicht verschwunden, sie hat sich verlagert: weg vom Anfang des Prozesses, wo eine Aufsichtsbehörde sie eingesammelt hätte, hin zum Ende, wo Ihre eigene Rechtsabteilung sie vorlegen muss.

Was wesentliche Konformität bedeutet

Wesentliche Konformität wird durch kein Zertifikat bescheinigt, und Texas führt kein Register konformer Unternehmen. Es handelt sich um eine Behauptung, die anschließend zu untermauern ist, weshalb sie vollständig von der Dokumentation abhängt. Praktisch bedeutet das, die vier Funktionen des NIST AI RMF mit Nachweisen zu unterlegen: GOVERN als dokumentierte Richtlinien, Rollen und benannte Verantwortliche, MAP als Systemverzeichnis mit dokumentiertem Zweck und Einsatzkontext, MEASURE als datierte Testergebnisse, Evaluierungen und Red-Team-Befunde, MANAGE als nachverfolgte Behandlung der so ermittelten Risiken. Entscheidend ist das Attribut datiert. Ein Rahmenwerk, das erst nach Zugang einer Mitteilung des Attorney General eingeführt wird, ist keine wesentliche Konformität, sondern eine Reaktion. Die Einrede besteht nur, wenn die Dokumentation der Beschwerde vorausgeht.

Die drei weiteren Wege zur Entlastung

Wesentliche Konformität ist nicht der einzige Weg. Das TRAIGA-Gesetz erkennt ebenso Verstöße an, die durch interne Tests, Red-Teaming oder gegnerische Evaluierung entdeckt wurden, und belohnt damit Organisationen, die aktiv nach eigenen Fehlern suchen. Es erkennt die Befolgung von Hinweisen einer zuständigen Landesbehörde an. Und es erkennt Maßnahmen an, die auf Grundlage eines dokumentierten internen Prüfprozesses ergriffen wurden. Darüber hinaus schützt das Gesetz Entwickler und Betreiber, wenn Dritte ihr System missbräuchlich verwenden. Dieser Schutz wirkt praktisch nicht automatisch, denn der Nachweis, dass der Missbrauch dem Dritten zuzurechnen ist, setzt voraus, dass Sie belegen können, wofür Ihr System ausgelegt und wie es instruiert war. Auch das ist eine Dokumentationsfrage. Unser Leitfaden zum KI-Audit beschreibt, wie solche Prüfungen aufzusetzen sind, damit ihre Ergebnisse später verwertbar bleiben.

Durchsetzung: wer handelt, wie schnell und zu welchem Preis

Die Durchsetzung ist zentralisiert und eng gefasst. Abschnitt 552.101 weist dem texanischen Attorney General die ausschließliche Zuständigkeit zu. Ein privates Klagerecht besteht nicht, weshalb das TRAIGA-Gesetz keinen Weg zu Sammelklagen eröffnet, was Organisationen wie EFF-Austin unter dem Gesichtspunkt des Verbraucherschutzes kritisiert haben. Der Verfahrensablauf lohnt das Einprägen. Abschnitt 552.102 verpflichtet den Attorney General, ein Online-Verfahren zur Entgegennahme von Beschwerden vorzuhalten. Abschnitt 552.103 ermächtigt ihn nach Eingang einer Beschwerde zu einem zivilrechtlichen Auskunftsverlangen, das bis in operative Einzelheiten einschließlich der Trainingsdaten reichen kann. Abschnitt 552.104 verlangt eine schriftliche Mitteilung und sperrt die Klage bis zum sechzigsten Tag danach, wodurch ein Heilungsfenster entsteht. Die Bußgelder nach Abschnitt 552.105 sind gestuft: 10.000 bis 12.000 US-Dollar bei heilbaren Verstößen, 80.000 bis 200.000 US-Dollar bei nicht heilbaren, sowie 2.000 bis 40.000 US-Dollar je Tag bei fortdauernden Verstößen. Abschnitt 552.106 erlaubt Landesbehörden, gegenüber von ihnen zugelassenen Einheiten weitere Sanktionen zu verhängen, bis hin zu 100.000 US-Dollar und zum Entzug der Zulassung. Die Zahl, an der Sie Ihre Organisation ausrichten sollten, ist nicht die Obergrenze von 200.000 US-Dollar, sondern die Frist von 60 Tagen. Ein Heilungsfenster nützt nur derjenigen Organisation, die binnen zweier Monate alle betroffenen Systeme identifizieren, deren Verhalten feststellen und sie ändern kann. Das ist eine operative Fähigkeit, und zwar dieselbe, die auch die Vorbereitung auf das Compliance-Monitoring von KI-Systemen verlangt. Wer nicht schnell inventarisieren kann, sieht heilbare Verstöße zwangsläufig zu nicht heilbaren heranwachsen. Ein Vorbehalt zum gegenwärtigen Stand der Praxis: Das TRAIGA-Gesetz ist jung, der Durchsetzungsapparat des Attorney General und die Ausführungsregeln des Department of Information Resources haben sich im Lauf des Jahres 2026 erst aufgebaut, und eine nennenswerte Entscheidungspraxis existiert noch nicht. Planen Sie deshalb gegen den Gesetzestext, nicht gegen Präzedenzfälle, die es nicht gibt.

Das TRAIGA-Gesetz und Colorado nach der Kehrtwende von 2026

Achtzehn Monate lang lautete die gängige Gegenüberstellung, Colorado habe das strenge und Texas das milde KI-Gesetz. Diese Lesart ist überholt. Am 14. Mai 2026 unterzeichnete Gouverneur Polis das Gesetz SB 26-189, das den Colorado AI Act aufhebt und durch den Automated Decision-Making Technology Act ersetzt, anwendbar ab dem 1. Januar 2027. Die Nachfolgeregelung streicht die Sorgfaltspflicht, die Pflicht zu einem Risikomanagementprogramm sowie die Folgenabschätzungen zugunsten eines auf Offenlegung gestützten Modells, wie Skadden analysiert hat. Colorado hat sich Texas angenähert, nicht umgekehrt. Das hat Folgen für die Architektur. Die beiden verbliebenen Regime unterscheiden sich in der Mechanik, konvergieren aber in dem, was sie vorzuhalten verlangen: <table header-row=“true“> <tr> <td></td> <td>TRAIGA-Gesetz (Texas, in Kraft)</td> <td>Colorado ADMT (ab Januar 2027)</td> </tr> <tr> <td>Anknüpfungspunkt</td> <td>Absicht, einen verbotenen Schaden zu verursachen</td> <td>Entscheidungen mit erheblicher Tragweite</td> </tr> <tr> <td>Diskriminierungsmaßstab</td> <td>Nur vorsätzlich, mittelbare Wirkung genügt nicht</td> <td>Keine allgemeine Sorgfaltspflicht mehr</td> </tr> <tr> <td>Folgenabschätzung</td> <td>Nicht erforderlich</td> <td>Seit der Aufhebung nicht erforderlich</td> </tr> <tr> <td>Kernpflicht der Privatwirtschaft</td> <td>Verbotene Praktiken unterlassen</td> <td>Offenlegen, auch nachteiliger Ergebnisse</td> </tr> <tr> <td>Schutzmechanismus</td> <td>Einrede über das NIST AI RMF</td> <td>Erfüllung der Offenlegungspflichten</td> </tr> <tr> <td>Aufsicht</td> <td>Nur Attorney General, 60 Tage Heilung</td> <td>Attorney General, eigenes Regime</td> </tr> </table> Ein einziges Kontrollgerüst bedient beide, und dieses Gerüst ist nicht landesspezifisch: ein Verzeichnis, ein dokumentierter Zweck je System, Nachweise aus Evaluierungen und eine Auskunftsfähigkeit. Unsere Analyse zum Colorado-Gesetz nach SB 26-189 arbeitet die zweite Spalte im Einzelnen auf.

Das Reallabor: für wen es sich tatsächlich eignet

Kapitel 553 richtet beim Department of Information Resources ein Reallabor ein, in dem zugelassene Teilnehmer ein KI-System erproben dürfen, ohne zuvor eine Lizenz, Registrierung oder sonstige behördliche Genehmigung einzuholen. Abschnitt 553.053 begrenzt die Teilnahme auf 36 Monate, verlängerbar mit Zustimmung. Der Zugang ist keineswegs formlos. Abschnitt 553.052 verlangt eine Systembeschreibung, eine Nutzenbewertung, Minderungspläne für erkannte Risiken sowie den Nachweis der Einhaltung des einschlägigen Bundesrechts zur KI. Die Abschnitte 553.101 bis 553.103 schreiben eine quartalsweise Berichterstattung vor. Die ehrliche Einordnung, die werbliche Darstellungen üblicherweise auslassen: Das Reallabor lohnt sich, wenn eine landesrechtliche Genehmigungspflicht tatsächlich zwischen Ihnen und einem Pilotprojekt steht, was praktisch Gesundheitswesen, Versicherungswirtschaft, Finanzdienstleistungen und Teile der öffentlichen Auftragsvergabe betrifft. Blockiert Sie nichts, verschafft Ihnen das Verfahren eine Berichtspflicht und eine Nutzenbewertung im Tausch gegen eine Befreiung, die Sie nicht benötigen. Es gehört daher in die Gesamtbetrachtung der KI-Governance und nicht in die Rubrik texanischer Kuriositäten.

Ein 90-Tage-Plan zur Umsetzung

Wer bei null beginnt, sichert sich in dieser Reihenfolge am schnellsten verteidigungsfähigen Boden.

1. Erfassen, was Texas berührt. Jedes KI-System mit texanischen Nutzern, einschließlich zugekaufter Funktionen in SaaS-Werkzeugen und der Schatten-KI, die niemand gemeldet hat. Der Anwendungsbereich bestimmt sich über die Nutzer, nicht über die Gesellschaften.
2. Jedes System gegen die sieben Verbote prüfen. Aller Wahrscheinlichkeit nach schließen Sie sämtliche aus. Dokumentieren Sie die Prüfung dennoch mit Datum und benannter Verantwortlicher, denn das Fehlen einer verbotenen Absicht ist eine Behauptung, die Sie später belegen müssen könnten.
3. Die NIST-AI-RMF-Konformität als Verteidigungsaktiv aufbauen. Nicht als Schaubild. GOVERN, MAP, MEASURE und MANAGE, jeweils mit datierten Artefakten hinterlegt und am Risiko des jeweiligen Systems bemessen. Diese Arbeit ist es, die Ihnen Abschnitt 552.105(e)(2)(D) überhaupt eröffnet, und sie ist mit Abstand der ertragreichste Posten dieser Liste.
4. Die 60-Tage-Frist in die Notfallorganisation einbauen. Üben Sie den Weg von der Mitteilung des Attorney General über die Identifikation der Systeme und die Verhaltensänderung bis zur schriftlichen Antwort. Prüfen Sie, ob Sie es können, statt es anzunehmen.
5. Die absichtsrelevante Spur führen. Zweckbestimmungen je System, Evaluierungs- und Red-Team-Ergebnisse, Freigaben aus Prüfprozessen und die auf Befunde hin getroffenen Entscheidungen. Unter einem Absichtsmaßstab ist diese Spur die Akte, und eine KI-Compliance, die festlegt, wer sie wann führt, verhindert die nachträgliche Rekonstruktion.

Nichts davon ist texasspezifisch, und genau darin liegt das Argument. Es ist dasselbe Fundament, das Auditierbarkeit überall verlangt.

Häufige Fragen

Wofür steht die Abkürzung TRAIGA? TRAIGA steht für den Texas Responsible Artificial Intelligence Governance Act, verabschiedet als HB 149 durch die 89. texanische Legislaturperiode, unterzeichnet am 22. Juni 2025 und anwendbar seit dem 1. Januar 2026. Die Abkürzung fällt mit einer gebräuchlichen spanischen Verbform zusammen, weshalb Suchanfragen gemischte Ergebnisse liefern. Maßgeblich ist der Text, der die Kapitel 551 bis 554 in den texanischen Business and Commerce Code einfügt. Gilt das TRAIGA-Gesetz auch für Unternehmen mit Sitz in Deutschland? Ja. Erfasst wird, wer ein KI-System in Texas entwickelt oder betreibt, dort geschäftlich tätig ist oder Produkte und Dienstleistungen anbietet, die von texanischen Einwohnern genutzt werden. Weder Gesellschaftssitz noch Niederlassung sind erforderlich, und eine Größenschwelle existiert nicht. Eine US-Tochter, ein aus Texas erreichbares SaaS-Angebot oder eine in ein Exportprodukt integrierte KI-Komponente genügen bereits. Verlangt das TRAIGA-Gesetz eine Folgenabschätzung? Nein. Anders als die europäische KI-Verordnung und das ursprüngliche Gesetz aus Colorado verlangt das TRAIGA-Gesetz weder eine Folgenabschätzung noch eine Registrierung oder Algorithmenhinterlegung. Die Feinheit liegt in der Einrede des Abschnitts 552.105(e)(2)(D), die eine dokumentierte Konformität mit dem NIST-Rahmenwerk honoriert. Im Ergebnis erstellen die meisten Organisationen daher vergleichbare Unterlagen, allerdings aus einem anderen Grund. Welche Bußgelder drohen? 10.000 bis 12.000 US-Dollar bei heilbaren Verstößen, 80.000 bis 200.000 US-Dollar bei nicht heilbaren und 2.000 bis 40.000 US-Dollar je Tag bei Fortdauer. Landesbehörden können gegenüber zugelassenen Einheiten zusätzliche Sanktionen bis zu 100.000 US-Dollar verhängen. Da der Attorney General zunächst mitteilen und 60 Tage abwarten muss, hängt die Heilbarkeit weitgehend von Ihrer Reaktionsgeschwindigkeit ab. Wie verhält sich das TRAIGA-Gesetz zur europäischen KI-Verordnung? Beide Regelwerke überschneiden sich kaum: Die KI-Verordnung stuft Systeme nach Risikoklassen ein und verlangt Pflichten im Vorfeld, das TRAIGA-Gesetz verbietet Verhaltensweisen und honoriert Nachweise im Nachhinein. Wer beiden unterliegt, muss keine zwei Systeme betreiben. Die nach der KI-Verordnung ohnehin geführte Dokumentation speist unmittelbar die texanische Einrede, sofern sie datiert und je System zugeordnet ist. Können Verbraucher selbst klagen? Nein. Abschnitt 552.101 behält die Verfolgung dem Attorney General vor, und das Gesetz eröffnet kein privates Klagerecht. Verbraucher können über das Verfahren nach Abschnitt 552.102 Beschwerde einlegen, verfügen aber über keinen eigenen Anspruch. Zudem verdrängt das Gesetz entgegenstehende kommunale Regelungen, sodass die Aufsicht bewusst einkanalig bleibt. Lohnt sich eine Bewerbung für das Reallabor? Nur wenn eine landesrechtliche Genehmigungspflicht einen Einsatz tatsächlich blockiert. Die Teilnahme läuft bis zu 36 Monate und suspendiert bestimmte Genehmigungserfordernisse, doch der Zugang setzt eine Nutzenbewertung, Minderungspläne und den Nachweis der Einhaltung einschlägigen Bundesrechts voraus, bei quartalsweiser Berichtspflicht. Für nicht genehmigungsgebundene private Betreiber entstehen dadurch Pflichten, ohne dass bestehende entfielen.

Fazit

Das TRAIGA-Gesetz lädt zur Unterschätzung ein, weil die erste Lesart zutrifft: Die Verbote sind eng, die meisten privaten Betreiber erfüllen sie ohnehin, und niemandem gegenüber ist etwas einzureichen. Genau dort stehenzubleiben ist der Fehler. Ein Absichtsmaßstab beseitigt das Beweisbedürfnis nicht, er verlagert es, und Abschnitt 552.105(e)(2)(D) benennt unmissverständlich, welchen Nachweis der Staat gelten lässt. Der Rückzug Colorados auf ein Offenlegungsmodell verleiht der Frage zusätzliches Gewicht, denn der texanische Ansatz wird damit zur wahrscheinlichen Vorlage für die nächsten gesetzgebenden Bundesstaaten. Wer die kommenden fünf US-Landesgesetze günstig verarbeiten will, baut ein einziges Verzeichnis, ein einziges Kontrollgerüst und eine einzige Nachweiskette entlang eines anerkannten Rahmenwerks. Das ist eine Frage der KI-Governance und keine texanische Besonderheit, und sie lässt sich einmal lösen.