KI und regulatorische Veränderungen: Was bedeutet das für die Compliance?

Zu Beginn der GenAI-Ära haben wir intensiv über das Spannungsfeld „Regulierung vs. Innovation“ diskutiert. Doch nun verschiebt sich der Fokus. Die eigentliche Herausforderung im Bereich der KI ist nicht mehr „Regulierung vs. Innovation“, sondern „Governance vs. unkontrollierter Einsatz“.

Die jüngsten Massnahmen der USA im Bereich der Pionier-KI zeigen eine differenziertere Realität als die üblichen Darstellungen von „Deregulierung“ oder „Überregulierung“. Am 2. Juni 2026 unterzeichnete Präsident Trump eine Durchführungsverordnung, die einen freiwilligen Rahmen für Entwickler fortschrittlicher KI-Systeme vorsieht, wonach diese ihre Modelle vor der Veröffentlichung der Bundesregierung zur Überprüfung im Hinblick auf Cybersicherheit zur Verfügung stellen sollen, wobei ausdrücklich klargestellt wurde, dass dies keine obligatorische Lizenzierung oder Vorabgenehmigung zur Folge hat.

Aus rechtlicher und Compliance-Sicht ist dies von Bedeutung, da sich der Schwerpunkt von der abstrakten politischen Debatte hin zu operativen Kontrollmechanismen verlagert: Modellprüfung, Cyber-Benchmarking, Zugriffssteuerung und Rechenschaftspflicht für die nachgelagerte Nutzung. Dies entspricht zwar nicht einem klassischen Lizenzierungssystem, stellt aber auch keinen reinen „Hands-off“-Ansatz dar.

Das interessantere Thema ist die Risikoverteilung. Wenn ein Modell Software-Schwachstellen schneller identifizieren kann als herkömmliche Teams – wie aus Berichten hervorgeht, wurde „Mythos“ von Anthropic zu diesem Zweck von der NSA getestet –, dann lautet die rechtliche Frage nicht mehr nur: „Können wir es entwickeln?“, sondern: „Wer ist befugt, es zu testen, wer hat Zugriff darauf und unter welchen Haftungsbedingungen?“

Diese Unterscheidung ist besonders wichtig angesichts von Berichten, wonach das kommende GPT-5.6 von OpenAI möglicherweise auf eine kleine Gruppe von staatlich zugelassenen Partnern beschränkt sein könnte, anstatt bei der Markteinführung allgemein verfügbar zu sein. In der Praxis bedeutet dies, dass „Frontier AI“ zunehmend einer kontrollierten Einführungsumgebung ähneln könnte: eingeschränkter Zugang, geprüfte Nutzer und eine staatlich begleitete Bewertung vor der allgemeinen Verfügbarkeit.

Für Juristen, Aufsichtsbehörden und Compliance-Teams lautet die wichtigste Erkenntnis ganz einfach: Bei der KI-Governance geht es zunehmend weniger um Schlagworte als vielmehr um die Gestaltung von Prozessen. Am stärksten gefährdet sind nicht unbedingt die Unternehmen mit den fortschrittlichsten Modellen, sondern diejenigen, die die Modellüberwachung, Zugriffskontrollen, Testgrenzen und die Reaktion auf Vorfälle nicht dokumentieren können.

Wir treten nun in eine Phase ein, in der innovative KI-Technologien nicht nur anhand ihrer Leistungsfähigkeit, sondern auch anhand ihrer Nachprüfbarkeit beurteilt werden. Und dies ist ein rechtlicher Maßstab, den die Branche nicht einfach beiseite wischen kann.