Kalifornien unterzeichnete an einem Tag 13 KI-Gesetze. SB 1000 strich die Million-Nutzer-Schwelle.

Am 30. September gab das Büro von Gouverneur Gavin Newsom bekannt, dass er 13 KI-bezogene Gesetzesvorlagen unterzeichnet habe, die arbeitsrechtliche Fragen, das Gesundheitswesen, Transparenz und Deepfakes abdecken, sowie eine Executive Order. Die folgenreichste Vorlage des Pakets für alle, die generative KI entwickeln, ist SB 1000, das durch eine Dringlichkeitsklausel sofort in Kraft tritt.

SB 1000 setzt keine neue Frist in Gang. Es ändert den California AI Transparency Act, der bereits am 2. August wirksam war. Die Änderung verändert, wen dieses Gesetz bindet.

Was sich geändert hat

Die Definition des „covered provider“ verliert ihre Schwelle von durchschnittlich einer Million monatlicher Nutzer. Nach dem alten Gesetz wurde ein Entwickler eines öffentlich zugänglichen generativen KI-Systems erst dann ein „covered provider“, wenn er diese Grenze überschritt. SB 1000 entfernt die Schwelle vollständig, sodass ein Entwickler eines öffentlich zugänglichen Produkts zur Bilder-, Audio- oder Videogenerierung, das Einwohnern Kaliforniens zur Verfügung steht, unabhängig von den Nutzerzahlen erfasst wird.

Kleinere Text-zu-Bild-Dienste, Voice-Cloning-Dienste und Videogenerierungsdienste, die unter dem bisherigen Rahmen unter der Million-Nutzer-Grenze lagen, verlieren diese Position und erhalten die vollständige Pflichtenliste. Für eine Kategorie von Start-ups, die annahm, zu klein für eine Regulierung zu sein, ist diese Annahme gerade abgelaufen.

Die zweite Änderung ersetzt die Pflicht zum kostenlosen „AI detection tool“ durch die Pflicht, ein „disclosure verification tool“ anzubieten. Das ist eine technisch deutlich andere Anforderung. Detection bedeutet, eine Datei im Nachhinein zu analysieren und zu erraten, ob sie generiert wurde. Verification bedeutet, einem Nutzer ein Werkzeug an die Hand zu geben, mit dem er eine Datei prüfen kann, um Herkunftssignale zu überprüfen, die der Anbieter ursprünglich eingebettet hat.

Die Änderung erfasst auch Inhalte, die ein generatives KI-System wesentlich verändert hat, zusätzlich zu Inhalten, die es von Grund auf erzeugt hat. Anbieter, die nach dem bisherigen Recht Detection-Tools gebaut haben, stehen nun vor der Aufgabe, von der nachträglichen Erkennung ihrer eigenen Ausgaben zu einem Verifikationstool zu wechseln, das ein Dritter bedienen kann.

Das Kleingedruckte, auf das es ankommt

Die Analyse des Assembly Committee on Privacy and Consumer Protection verzeichnet mehrere Einschränkungen. Pflichten zur latenten Offenlegung gelten nur, soweit technisch machbar. Ein Anbieter kann Nutzer auf ein kompatibles Verifikationstool eines Dritten verweisen, anstatt ein eigenes zu entwickeln. Eine Lizenz muss innerhalb von 72 Stunden widerrufen werden, nachdem der Anbieter feststellt, dass ein Lizenznehmer die latente Offenlegungsfähigkeit entfernt hat.

Es gibt Ausnahmen für Videospiel-, Fernseh-, Streaming- und Filmplattformen, die ausschließlich Inhalte führen, die ihre Nutzer nicht generiert haben. Systeme, deren Hauptfunktion Assistenztechnologie ist, sind bis zum 1. Januar 2029 befreit, mit einer Strafe von 50.000 US-Dollar pro Verstoß, wenn die Ausnahme fälschlich beansprucht wird. Die allgemeine Strafe bleibt bei 5.000 US-Dollar.

Diese Asymmetrie ist bemerkenswert. Eine Ausnahme zu beanspruchen, für die man nicht qualifiziert ist, ist zehnmal teurer als ein gewöhnlicher Verstoß, was darauf hindeutet, dass die Aufsichtsbehörden erwarten, dass die Grenze der Ausnahme umstritten sein wird.

Der Rest des Pakets

Zwei am selben Tag unterzeichnete Begleitgesetze führen das Thema fort. AB 2713 verbietet großen Online-Plattformen – definiert als solche mit mehr als zwei Millionen eindeutigen monatlichen Nutzern –, ab dem 1. Januar 2027 wissentlich System-Provenienzdaten oder digitale Signaturen zu entfernen, soweit technisch machbar. SB 1111 macht eine digitale Nachbildung zum Teil der Stimme oder des Erscheinungsbilds einer Person im Rahmen der kalifornischen zivilrechtlichen Klage wegen Persönlichkeitsrechten und macht die Verwendung einer solchen Nachbildung zur Identitätstäuschung zu einer Form der falschen Identitätsanmaßung nach einem neuen Abschnitt des Strafgesetzbuchs.

Anfang September unterzeichnete Newsom SB 813, das einen Rahmen für unabhängige Verifizierungsorganisationen schafft, die KI-Systeme auf rechtliche Konformität bewerten, sowie AB 1405, das Kaliforniens erstes Registrierungssystem für KI-Auditoren einführt. Zusammen weisen sie auf ein formales Ökosystem für die Bewertung von KI durch Dritte hin.

Nicht alles überlebte. Newsom legte sein Veto gegen AB 1542, SB 903 und AB 2575 ein und verwies auf zu weit gefasste Bestimmungen und Umsetzungskosten. Er lehnte SB 903 teilweise wegen unpräziser Definitionen ab, die die Arbeitsweise von Psychotherapie-Fachkräften hätten behindern können. Bei AB 1542, das verstärkte Einwilligungsschutzvorschriften für sensible personenbezogene Daten durch ein kategorisches Verbot ersetzt hätte, stellte er infrage, Verbraucher vollständig aus dem Verfahren herauszunehmen, und erklärte, die Umsetzungskosten seien im Staatshaushalt nicht berücksichtigt worden.

Es gibt außerdem eine praktische Frage zur zeitlichen Umsetzung. Die Transparenzpflichten greifen bei Verfügbarkeit, doch das 72-Stunden-Widerrufsfenster und die Provenienzregeln für große Plattformen beginnen zu unterschiedlichen Terminen. Ein Produktteam, das einen Launch plant, muss drei oder vier Inkrafttretensdaten gleichzeitig verfolgen, und die Strafen unterscheiden sich je nach Bestimmung. Die Dringlichkeitsklausel von SB 1000 selbst macht die erste davon sofort wirksam, was Anbietern, die unter der alten Schwelle operiert haben, keinen Vorlauf lässt.

Die arbeitsrechtliche Seite des Pakets

Die Ankündigung desselben Tages umfasste mehr als Transparenz. Bei arbeitsplatzbezogenen Entscheidungen heißt es in dem Paket, dass Arbeitgeber sich bei Disziplinarmaßnahmen oder Kündigungen nicht allein auf KI verlassen dürfen und offenlegen müssen, wenn eine Massenentlassung, Verlegung oder Kündigung durch ein KI-System verursacht wird. Arbeitsplatzüberwachungswerkzeuge sind in Toiletten am Arbeitsplatz verboten. Diese Bestimmungen stehen neben SB 947 und SB 951, den Gesetzesvorlagen zu automatisierten Entscheidungen und technologischer Verdrängung, die öffentliches Lob vom California Federation of Labor Unions erhielten.

Im Gesundheitswesen behalten Ärzte und zugelassene Leistungserbringer ihr professionelles Urteilsvermögen, wenn KI- oder klinische Entscheidungstools eingesetzt werden, und Entwickler klinischer Entscheidungstools müssen angemessene Schritte unternehmen, um bekannte oder vorhersehbare Verzerrungen zu verringern. AB 1979 und SB 503 tragen dieses Thema. Das Paket berührt außerdem die Gensynthese und verlangt von Geräteherstellern und Anbietern, Sicherheitsleitlinien zu befolgen, Kunden zu überprüfen und zu kontrollieren, welches genetische Material sie versenden.

Jeder dieser Bereiche hat seine eigene Branchenvertretung, seinen eigenen Compliance-Stack und seinen eigenen Zeitplan. Ein Unternehmen, das ein klinisches Entscheidungstool ausliefert, hat jetzt eine Pflicht zur Bias-Minderung, ein Anbieter, der einen Videogenerierungsdienst betreibt, hat eine Provenienzpflicht, und ein Arbeitgeber, der automatisiertes Screening einsetzt, hat eine Offenlegungspflicht. Das verbindende Element ist, dass Kalifornien Verpflichtungen rund um den Einsatz aufbaut, anstatt auf einen einzigen bundesweiten Rahmen zu warten.

Das ist die strategische Wette hinter der Menge. Da die Bundesgesetzgebung ins Stocken geraten ist, sind die Bundesstaaten zu dem Ort geworden, an dem KI-Regeln tatsächlich geschrieben werden, und Kalifornien hat jetzt mehr verabschiedete Maßnahmen als jeder andere Bundesstaat. Unternehmen, die landesweit tätig sind, müssen den strengsten Bundesstaat einplanen, den sie bedienen, was Kaliforniens Entscheidungen für viele Produkte de facto zur nationalen Politik macht.

Was Entwickler tun sollten

Die praktischen Auswirkungen betreffen Technik und Verträge. Teams für Modellvertrieb stehen vor Arbeit an Lizenzbedingungen, um die Offenlegungsfähigkeit zu erhalten und zu definieren, was passiert, wenn ein Lizenznehmer sie entfernt. Produktteams, die sich auf ein Detection-Tool verlassen haben, brauchen jetzt einen Verifikationsweg, was normalerweise bedeutet, Provenienzsignale zum Zeitpunkt der Generierung einzubetten, statt zu versuchen, sie später abzuleiten.

Die Streichung der Schwelle ändert auch die Planung. Ein Start-up, das annahm, erst ab einer Million Nutzer erfasst zu werden, sollte Compliance jetzt als Launch-Anforderung behandeln, nicht als Skalierungsmeilenstein. Die Pflichten greifen bei Verfügbarkeit für Einwohner Kaliforniens.

Kalifornien hat jetzt 21 verabschiedete KI-Maßnahmen, mehr als jeder andere Bundesstaat. Das Muster über die Gesetzesvorlagen des Tages hinweg ist konsistent: Transparenzpflichten werden ausgeweitet, Provenienz wird als Eigenschaft behandelt, die die Verbreitung überdauern muss, und Durchsetzungsbefugnisse werden bei Behörden des Bundesstaates und dem Attorney General gebündelt. Für alle, die generierte Bilder, Audio- oder Videoinhalte an US-Nutzer ausliefern, hat der Bundesstaat mit dem detailliertesten Regelwerk es gerade noch detaillierter gemacht.