Was AB 1405 tatsächlich lizenziert
Am 9. September unterzeichnete Gouverneur Gavin Newsom das von der Abgeordneten Rebecca Bauer-Kahan verfasste Gesetz AB 1405, zusammen mit dem Begleitgesetz SB 813 von Senator Jerry McNerney. Beide Gesetze entstanden in derselben Unterzeichnungsrunde wie Kaliforniens neue Kinderschutzregeln für KI-Begleit-Chatbots, erfüllen aber eine andere Aufgabe: Sie legen fest, wer sich überhaupt KI-Prüfer nennen darf.
AB 1405 verpflichtet die staatliche Government Operations Agency, bis zum 1. Januar 2029 ein öffentliches Register für KI-Prüfer aufzubauen. Ab diesem Datum ist es verboten, ein sogenanntes covered AI audit ohne gültige staatliche Registriernummer anzubieten, zu verkaufen oder durchzuführen. Ein covered AI audit ist laut Gesetzestext eine Prüfung der internen Kontrollen, Prozesse oder Systeme, die ein KI-System zur Einhaltung kalifornischen Rechts nutzt. Jeder registrierte Prüfer erhält eine eindeutige Nummer, die auf jeder Werbung für seine Prüfdienste erscheinen muss.
Bauer-Kahan begründete das unumwunden: "Wir können von der Industrie nicht erwarten, dass sie sich selbst die Note gibt; unabhängige Prüfer sind unverzichtbar, damit KI für unsere Gemeinschaften und kritische Infrastruktur sicher ist."
Die Unabhängigkeitsregeln, die es sonst nirgendwo gibt
Der Gesetzestext geht über die bloße Vergabe von Registriernummern hinaus. Ein registrierter Prüfer darf keine finanzielle, geschäftliche oder arbeitsrechtliche Beziehung zum geprüften Unternehmen haben, die seine Unabhängigkeit vernünftigerweise beeinträchtigen könnte. Er darf seine eigene frühere Arbeit nicht bewerten. Er darf während einer laufenden Prüfung nicht beim geprüften Unternehmen nach einer Anstellung suchen, und nach dem Ausscheiden bei einem Arbeitgeber muss er 12 Monate warten, bevor er denselben Arbeitgeber prüfen darf.
Prüfer müssen außerdem Hinweisgeber schützen, die Verstöße melden, und die Behörde kann eine Registrierung entziehen und den Fall an die Generalstaatsanwaltschaft verweisen, wenn eine dieser Regeln gebrochen wird. Nichts in der KI-Regulierung anderswo liest sich so. Es liest sich wie die Unabhängigkeitsregeln, die nach Enron für Wirtschaftsprüfer geschrieben wurden, zum ersten Mal angewandt auf jene, die prüfen, ob ein KI-System tut, was das Gesetz von ihm verlangt.
Keine Prüfpflicht. Die Lizenz gilt trotzdem.
Hier liegt der Teil, den fast jede frühe Schlagzeile zu diesem Gesetz falsch wiedergab: SB 813 stellt im eigenen Gesetzestext klar, dass keines der beiden Gesetze eine Person, Personengesellschaft oder Kapitalgesellschaft, die ein KI-System entwickelt, einsetzt oder betreibt, verpflichtet, eine unabhängige Prüfstelle zu beauftragen oder sich einem covered AI audit zu unterziehen, um in Kalifornien tätig zu sein. Es gibt keine Prüfpflicht. Es wird vielleicht nie eine geben. Was jetzt existiert, ist lediglich die Qualifikation, die jemand bräuchte, falls ein Kunde, ein Gericht oder ein künftiges Gesetz jemals eine Prüfung verlangt.
SB 813 setzt eine eigene, früher liegende Frist: Die Government Operations Agency muss die Zulassungskriterien für Independent Verification Organizations, die spezialisiertere Stufe registrierter Prüfer, bis zum 1. Januar 2028 veröffentlichen, ein volles Jahr vor dem öffentlichen Register aus AB 1405. Kalifornien baut die Lizenz- und Unabhängigkeitsinfrastruktur auf, bevor es eine Regel schafft, die die Lizenz für jedes Unternehmen relevant machen würde, nicht nur für jene, die sich freiwillig prüfen lassen. Auch für Anbieter mit Sitz in Deutschland gilt der EU AI Act unmittelbar als EU-Recht, ganz ohne ein ähnliches kalifornisches Register.
| Frage | Kalifornien (AB 1405 / SB 813) | EU AI Act |
|---|---|---|
| Wer muss unabhängig geprüft werden | Niemand, laut Gesetz, Stand dieser Unterzeichnung | Nur biometrische Fernidentifikationssysteme (Anhang III, Nummer 1) |
| Wer darf sich KI-Prüfer nennen | Nur Inhaber einer staatlichen Registriernummer, ab 1. Januar 2029 | Kein Register oder Berufsnachweis für diese Rolle vorhanden |
| Unabhängigkeitsregeln für Prüfer | 12-monatige Karenzzeit, kein Selbstreview, Hinweisgeberschutz, Verweis an Generalstaatsanwaltschaft | Akkreditierungsregeln für notifizierte Stellen, nur im eng begrenzten Pflichtfall angewandt |
| Erste Umsetzungsfrist | 1. Januar 2028 (Zulassungskriterien für IVOs) | Regeln zur Benennung notifizierter Stellen bereits in Kraft |
Was das für Compliance-Dienstleister mit Kaliforniengeschäft bedeutet
Für eine Compliance-, Prüf- oder Risikoberatungsfirma aus der EU oder Großbritannien eröffnet das eine Marktnische, die es sonst noch nirgendwo gibt. Jede Firma, die einem in Kalifornien tätigen Kunden KI-Prüfdienste anbieten will, braucht bis 2029 mindestens eine registrierte Person im Team, ähnlich wie europäische Wirtschaftsprüfer früher eine gesonderte US-Qualifikation brauchten, um den Jahresabschluss eines an einer amerikanischen Börse notierten Unternehmens zu testieren. Derzeit besitzt niemand in der EU eine vergleichbare kalifornische Qualifikation, was bedeutet, dass die Firmen, die sich früh registrieren lassen, als erste EU-AI-Act-Kenntnis mit einer kalifornischen Registriernummer in derselben Praxis verbinden können.
Es zeigt auch, wohin sich die eigenen Regeln der EU als nächstes entwickeln könnten. Die verpflichtende Drittprüfung des AI Act erreicht heute nur biometrische Fernidentifikationssysteme; fast jedes andere Hochrisiko-KI-System in der EU kann sich weiterhin über interne Kontrolle selbst zertifizieren, ohne dass je ein externer Prüfer hinschauen müsste. Kalifornien hat gerade die Lizenz- und Unabhängigkeitsinfrastruktur aufgebaut, die eine breitere Prüfpflicht bräuchte, ohne diese Pflicht bereits zu schreiben. Sollte Brüssel jemals entscheiden, die eigene Drittprüfungspflicht auszuweiten, existiert für den zu regulierenden Berufsstand bereits ein funktionierender Bauplan, geschrieben in Sacramento, nicht in Brüssel.
Servola Journal
Wir machen das für alle, die versuchen mit dem Schritt zu halten, was die Technologie mit unserem Leben macht. Für die Menschen, die sie bauen, und für die Menschen, denen sie widerfährt. Das Servola Journal existiert, damit das, was wir lernen, allen von ihnen gehört.
Niemand bezahlt uns dafür. Keine Werbung, keine Bezahlschranke, kostenlos für alle. Wir glauben einfach, dass das Verstehen dessen, was mit uns allen geschieht, nicht davon abhängen sollte, wer es sich leisten kann, dafür zu bezahlen.
Wenn es Ihnen heute etwas gegeben hat, sagen Sie uns, dass wir weitermachen sollen. Folgen Sie uns, hinterlassen Sie ein Like, oder schreiben Sie einen positiven Kommentar. Wir lesen jeden einzelnen, und sie sind es, was uns weitermachen lässt.
Weiterlesen: Die EU hat Ihre KI-Verordnung-Frist um 16 Monate verschoben | Brüssel testet seine neue Befugnis an 30 KI-Unternehmen
