Zwanzig Bundesstaaten haben jetzt Datenschutzgesetze, die KI-Trainingsdaten betreffen, und sie sind untereinander uneins

Zwanzig US-Bundesstaaten haben im Jahr 2026 umfassende Datenschutzgesetze in Kraft, und eine wachsende Anzahl davon befasst sich speziell damit, wie Unternehmen Daten für KI-Training sammeln und nutzen – nicht als zukünftiges Versprechen, sondern als durchsetzbares Gesetz heute. Connecticuts Offenlegungspflicht trat am 1. Juli in Kraft. Kaliforniens Vorschriften für automatisierte Entscheidungsfindung werden bis 2027 schrittweise eingeführt. Keines dieser Gesetze verwendet dieselben Definitionen, Schwellenwerte oder Durchsetzungsmechanismen, was bedeutet, dass ein einzelnes KI-Produkt in einem Bundesstaat legal und in einem anderen nicht konform sein kann, obwohl es genau dieselbe Daten-Pipeline verwendet.

Connecticut hat KI-Trainingsdaten gerade zu einer Offenlegungspflicht gemacht, nicht nur zu einer Datenschutzfrage

Seit dem 1. Juli 2026 muss jedes Unternehmen, das dem Connecticut Data Privacy Act unterliegt, in seiner Datenschutzerklärung angeben, ob es personenbezogene Daten sammelt, verwendet oder verkauft, um große Sprachmodelle zu trainieren – einschließlich indirekter Nutzung über Anbieter. Dies ist eine Transparenzanforderung, kein Opt-out-Recht: Unternehmen können weiterhin Verbraucherdaten für KI-Training verwenden, aber sie können dies nicht mehr stillschweigend tun. Die Klausel zur indirekten Nutzung ist hier die schärfere Kante. Sie schließt die Lücke, in der ein Unternehmen behauptet, selbst keine Modelle zu trainieren, während es stillschweigend Daten an einen Anbieter liefert, der dies tut – eine Struktur, auf die sich mehrere KI-nahe Unternehmen gerade deshalb verlassen haben, weil sie sie einen Schritt von den Trainingsdatenpflichten entfernt hielt.

Die Einwohner von Connecticut erhielten ab demselben Datum auch ein breiteres Recht: die Möglichkeit, sich von jeder automatisierten Profilerstellung abzumelden, die eine rechtliche oder ähnlich bedeutsame Wirkung auf sie hat, einschließlich Kreditentscheidungen, Versicherungszeichnung, Wohnberechtigung, Beschäftigungsüberprüfung und Betrugskennzeichnungen. Entscheidend ist, dass diese Abmeldung auch dann gilt, wenn nominell ein Mensch in der Schleife ist – eine Bestimmung, die direkt auf Unternehmen abzielt, die die „menschliche Überprüfung“ als Compliance-Schild für das nutzen, was funktional eine automatisierte Entscheidung ist.

Kalifornien baut etwas Strukturelleres auf

Kaliforniens Ansatz überlagert zwei separate Mechanismen. AB 2013 verlangt von Entwicklern generativer KI, detaillierte Datensatzoffenlegungen auf ihren öffentlichen Websites zu veröffentlichen – einschließlich der Frage, ob Trainingsdaten persönliche Informationen oder urheberrechtlich geschütztes Material enthalten, welchen Zeitraum sie abdecken und bekannte Einschränkungen – mit Durchsetzung durch den Generalstaatsanwalt des Bundesstaates und Strafen von bis zu 5.000 US-Dollar pro Verstoß. Separat hat die California Privacy Protection Agency die Vorschriften für automatisierte Entscheidungstechnologie (ADMT) finalisiert, die am 1. Januar 2026 in Kraft traten und Verbrauchern Rechte auf Zugang, Abmeldung und menschliche Überprüfung automatisierter Entscheidungen einräumen, mit spezifischen Bestimmungen für Technologien zur Erstellung von Deepfakes oder zur biometrischen Identifizierung.

Die funktionale Definition von ADMT durch die CPPA – jede Technologie, die Rechenleistung verwendet, um menschliche Entscheidungsfindung zu ersetzen oder wesentlich zu ersetzen – ist bewusst weit gefasst, und es ist das Stück, das am ehesten KI-Produkte erfasst, die nicht explizit mit Blick auf die kalifornische Compliance gebaut wurden. Unternehmen, die ADMT für bedeutende Entscheidungen verwenden, müssen bis zum 1. Januar 2027 konform sein, und die Risikobewertungspflichten für betroffene Unternehmen begannen am 1. Januar 2026, mit Bestätigungsfristen bis April 2028.

Warum Fragmentierung das eigentliche Problem ist, nicht ein einzelnes Gesetz

Einzeln betrachtet ist keines dieser zwanzig Landesgesetze unvernünftig. Das Problem ist, dass sie keinen gemeinsamen Rahmen haben. Connecticut verlangt die Offenlegung der indirekten KI-Trainingsnutzung; Kalifornien verlangt die Offenlegung der direkten Datensatzzusammensetzung plus ein separates ADMT-Opt-out-Regime; andere Bundesstaaten fügen ihre eigenen Einwilligungsanforderungen für sensible Daten hinzu. Ein Unternehmen, das landesweit tätig ist, muss jetzt entweder den restriktivsten gemeinsamen Nenner in jedes Produkt einbauen, unabhängig davon, wo sich ein Benutzer befindet, oder wirklich unterschiedliche Daten-Pipelines und Offenlegungssprache pro Bundesstaat unterhalten – beides ist teuer, und das zweite ist im operativen Maßstab fragil.

Dies ist eine materiell andere Compliance-Umgebung als die DSGVO, die Unternehmen zumindest einen einzigen einheitlichen Standard zum Aufbauen gab. Zwanzig verschiedene staatliche Standards, die sich auf unterschiedlichen Zeitplänen mit unterschiedlichen Durchsetzungsbehörden entwickeln, kommen dem Betrieb von zwanzig separaten Compliance-Programmen, die sich zufällig überschneiden, näher.

Was das bedeutet, wenn Sie KI-Produkte bauen oder kaufen

Wenn Ihr Unternehmen Modelle mit Benutzerdaten trainiert oder Daten von Anbietern kauft, die dies tun, prüfen Sie jetzt Ihre indirekte Nutzungskette – Connecticuts Offenlegungspflicht schließt speziell die Verteidigung „wir trainieren nicht, unser Anbieter tut es“ und andere Bundesstaaten werden diese Sprache wahrscheinlich übernehmen, da sie direkt eine bekannte Compliance-Umgehung anvisiert. Wenn Sie in Kalifornien tätig sind, behandeln Sie die ADMT-Vorschriften als das weitere Netz: Die funktionale Definition ist breit genug, um Produkte abzudecken, die Ihr Team möglicherweise nicht als „automatisierte Entscheidungsfindung“ im umgangssprachlichen Sinne betrachtet – Empfehlungsmaschinen, Risikobewertungen und Eignungsprüfwerkzeuge sind alles plausible Ziele.

Für verbraucherorientierte Teams: Ihre Datenschutzerklärung ist keine rechtliche Formsache mehr, die Sie zwischen Bundesstaaten kopieren und einfügen können. Angesichts der Spezifität der Anforderungen von Connecticut und Kalifornien und der Tatsache, dass bis 2027 viele weitere Bundesstaaten ähnliche Sprache hinzufügen werden, ist es jetzt billiger, eine bundesstaatspezifische Offenlegungslogik aufzubauen, als sie nachträglich anzupassen, wenn eine Durchsetzungsmaßnahme die Grenzen für Sie definiert.