Drei Staaten, ein Flickenteppich
Anfang Juli hat Illinois ein Gesetz in Kraft gesetzt, das Entwickler besonders leistungsfähiger KI-Modelle zu unabhängigen Prüfungen verpflichtet — als erster US-Bundesstaat. Zusammen mit Kalifornien und New York ergibt das eine faktische nationale Regelung, obwohl es auf Bundesebene keine gibt.
Was Illinois verlangt
Das Gesetz betrifft Entwickler großer Modelle oberhalb einer Umsatzschwelle. Sie müssen offenlegen, wie sie mit besonders schwerwiegenden Risiken ihrer Systeme umgehen. Der eigentliche Neuerung steckt im Verfahren: Ab Anfang 2028 müssen diese Unternehmen einen unabhängigen Dritten beauftragen, der die Einhaltung jährlich prüft.
Eine Selbstauskunft wird damit zu einer geprüften Auskunft. Genau dieser Schritt — von der Erklärung zur Prüfung durch jemanden, der nicht dafür bezahlt wird, das Ergebnis zu mögen — ist in anderen regulierten Branchen seit Jahrzehnten Standard.
Warum das trotz begrenzter Reichweite zählt
Betroffen sind nur wenige, sehr große Anbieter. Für den Alltag deutscher Unternehmen ändert sich unmittelbar nichts. Interessant ist es aus einem anderen Grund: Es zeigt, in welche Richtung sich das Nachweisverfahren entwickelt.
Wenn die großen Anbieter jährlich extern geprüft werden, entstehen Prüfberichte. Prüfberichte werden zu Unterlagen, die Kunden anfordern. Und was Kunden anfordern, wird zum Bestandteil von Einkaufsprozessen — auch dort, wo kein Gesetz es verlangt.
Regulierung wirkt selten nur auf die, die sie adressiert. Sie erzeugt Dokumente, und Dokumente wandern die Lieferkette entlang.
Der Flickenteppich als eigentliche Nachricht
Illinois ist der dritte Bundesstaat mit solchen Vorgaben, nach Kalifornien und New York. Keine dieser Regelungen gilt landesweit, und zusammen bilden sie trotzdem eine faktische Bundesregelung — weil kein ernstzunehmender Anbieter darauf verzichten kann, in Kalifornien und New York Geschäfte zu machen.
Das ist der bekannte Mechanismus, der schon beim Datenschutz zu beobachten war: Wer in mehreren Rechtsräumen tätig ist, erfüllt am Ende den strengsten. Die Alternative wäre, Produkte je Bundesstaat unterschiedlich zu bauen, und das rechnet sich nicht.
Was daraus für europäische Unternehmen folgt
Zwei Dinge. Erstens ist der oft gehörte Satz, in den USA werde KI nicht reguliert, so nicht mehr richtig. Er stimmte für die Bundesebene und stimmt für die Bundesstaaten immer weniger. Wer seine Anbieterauswahl auf dieser Annahme aufgebaut hat, sollte sie prüfen.
Zweitens wird die Frage nach Nachweisen bei Anbietern einfacher zu stellen. Bisher war die Bitte um Unterlagen zu Sicherheitsmaßnahmen bei einem großen Modellanbieter ein aussichtsloses Unterfangen. Wenn diese Unterlagen ohnehin für eine Prüfung erstellt werden, ändert sich die Verhandlungsposition — nicht dramatisch, aber spürbar.
Der Satz „Das bekommen wir vom Anbieter sowieso nicht" hat ein Ablaufdatum. Wer Prüfberichte erstellen muss, kann sie auch zeigen.
Was das für Unternehmen bedeutet
Für die eigene Praxis würde ich daraus keine Eile ableiten, aber eine Ergänzung im Einkauf. Bei der Auswahl eines Modellanbieters lohnt inzwischen die Frage, welchen Prüf- und Offenlegungspflichten er unterliegt und ob er die entsprechenden Unterlagen zur Verfügung stellt.
Das ist keine Formalie. Wer KI in einem Bereich einsetzt, in dem er selbst nachweispflichtig ist, kann sich diesen Nachweis nur dann aufbauen, wenn die Kette nach oben trägt. Die Entwicklung in den USA sorgt gerade dafür, dass sie belastbarer wird — was eine der wenigen unstrittig guten Nachrichten dieses Sommers sein dürfte.