Die Colorado AI Act ist ein Verbraucherschutzgesetz, das 2024 in Colorado erlassen wurde und die Nutzung von KI-Systemen mit hohem Risiko reguliert. Es gehört zu den ersten umfassenden Gesetzen auf Bundesstaatsebene in den Vereinigten Staaten, die sich mit algorithmischer Diskriminierung bei KI-Entscheidungen befassen. Das Gesetz verpflichtet sowohl Entwickler als auch Betreiber von KI-Systemen, die folgenreiche Entscheidungen über Verbraucher treffen, etwa in den Bereichen Beschäftigung, Wohnen, Bildung und Finanzdienstleistungen.
Das Gesetz definiert ein „KI-System mit hohem Risiko“ als jedes KI-System, das eine folgenreiche Entscheidung trifft oder ein wesentlicher Faktor bei deren Zustandekommen ist. Folgenreiche Entscheidungen umfassen solche mit erheblichen Auswirkungen auf Verbraucher, etwa Einstellung, Beförderung, Kreditvergabe, Versicherung und Zugang zu öffentlichen Einrichtungen. Das Gesetz gilt nicht für KI-Systeme, die ausschließlich für bestimmte eng begrenzte Zwecke eingesetzt werden, etwa Betrugsbekämpfung, Cybersicherheit oder interne Geschäftsabläufe, sofern sie Verbraucher nicht erheblich beeinträchtigen.
Hintergrund und gesetzgeberischer Kontext
Colorados Gesetzesinitiative entstand vor dem Hintergrund wachsender öffentlicher Besorgnis über die gesellschaftlichen Auswirkungen von künstlicher Intelligenz, insbesondere in Bereichen wie maschinellem Lernen und generativer KI. Während die KI-Regulierung auf Bundesebene fragmentiert blieb, begannen mehrere Bundesstaaten, eigene Regeln vorzuschlagen. Colorados Gesetz wurde in der Legislaturperiode 2024 eingebracht und mit parteiübergreifender Unterstützung verabschiedet, was einen breiteren Trend staatlicher KI-Governance widerspiegelt.
Das Gesetz wurde am 17. Mai 2024 von Gouverneur Jared Polis unterzeichnet und machte Colorado zum ersten Bundesstaat, der ein umfassendes KI-Diskriminierungsgesetz erließ. Es soll am 1. Februar 2026 in Kraft treten, was den Beteiligten Zeit zur Einhaltung gibt.
Wichtigste Bestimmungen
Pflichten der Entwickler
Entwickler von KI-Systemen mit hohem Risiko müssen die gebotene Sorgfalt walten lassen, um Verbraucher vor bekannten oder vorhersehbaren Risiken algorithmischer Diskriminierung zu schützen. Sie sind verpflichtet, ein Risikomanagement-Rahmenwerk einzuführen, das Folgendes umfasst:
- Einrichtung einer Governance-Struktur zur Überwachung der KI-Entwicklung.
- Dokumentation der Entwurfs-, Trainings- und Testprozesse.
- Durchführung von Folgenabschätzungen, um potenziell diskriminierende Ergebnisse zu identifizieren.
- Bereitstellung von Informationen an Betreiber über die Fähigkeiten und Grenzen des Systems.
Entwickler müssen den Betreibern außerdem die Informationen zur Verfügung stellen, die für die Einhaltung des Gesetzes erforderlich sind, einschließlich einer Erklärung über die vorgesehenen Verwendungszwecke des Systems und etwaiger bekannter Einschränkungen.
Pflichten der Betreiber
Betreiber - Unternehmen, die KI-Systeme mit hohem Risiko einsetzen - müssen ebenfalls ein Risikomanagement-Rahmenwerk implementieren. Sie sind verpflichtet:
- Vor dem Einsatz eines KI-Systems mit hohem Risiko Folgenabschätzungen durchzuführen.
- Verbraucher zu benachrichtigen, wenn ein KI-System bei einer folgenreichen Entscheidung eingesetzt wird.
- Verbrauchern die Möglichkeit zu geben, eine nachteilige Entscheidung anzufechten und eine menschliche Überprüfung zu beantragen.
- Aufzeichnungen über die Nutzung von KI-Systemen und Folgenabschätzungen mindestens drei Jahre lang aufzubewahren.
Betreiber müssen den Verbrauchern außerdem die Art des KI-Systems und den Entscheidungsprozess offenlegen, einschließlich der verwendeten Logik und des Potenzials für Diskriminierung.
Durchsetzung und Strafen
Der Attorney General von Colorado hat die ausschließliche Befugnis, das Gesetz durchzusetzen. Das Gesetz begründet kein privates Klagerecht, das heißt, Einzelpersonen können nicht direkt klagen. Stattdessen kann der Attorney General Verstöße untersuchen und Zivilklagen erheben, um einstweilige Verfügungen und zivilrechtliche Strafen von bis zu 50.000 US-Dollar pro Verstoß zu erwirken, mit einem Höchstbetrag von 500.000 US-Dollar für eine Serie von Verstößen.
Folgenabschätzungen
Eine zentrale Anforderung des Gesetzes ist die Durchführung von Folgenabschätzungen. Diese Abschätzungen müssen den Zweck des KI-Systems, seine vorgesehenen Verwendungen und das Potenzial für algorithmische Diskriminierung bewerten. Sie müssen außerdem das Design des Systems, die Trainingsdaten und die Validierungsmethoden sowie etwaige Maßnahmen zur Überwachung und Minderung nach dem Einsatz berücksichtigen.
Folgenabschätzungen müssen aktualisiert werden, wenn es wesentliche Änderungen am KI-System oder seiner Nutzung gibt. Betreiber müssen die Abschätzungen mindestens drei Jahre lang aufbewahren und dem Attorney General auf Anfrage vorlegen.
Ausnahmen und Safe Harbors
Das Gesetz enthält mehrere Ausnahmen. Kleine Unternehmen - solche mit weniger als 50 Mitarbeitern, die das KI-System nicht für folgenreiche Entscheidungen bei mehr als 25.000 Verbrauchern pro Jahr einsetzen - sind von bestimmten Anforderungen befreit, müssen jedoch weiterhin grundlegende Transparenzpflichten erfüllen.
Darüber hinaus sieht das Gesetz einen Safe Harbor für Entwickler und Betreiber vor, die die gebotene Sorgfalt zur Einhaltung des Gesetzes walten lassen. Wenn ein Verstoß trotz dieser Sorgfalt auftritt, kann der Attorney General von einer Durchsetzung absehen, sofern das Unternehmen den Verstoß innerhalb von 60 Tagen nach Benachrichtigung behebt.
Verhältnis zu anderen Gesetzen
Die Colorado AI Act verdrängt keine anderen staatlichen oder bundesstaatlichen Gesetze. Sie ist darauf ausgelegt, bestehende Antidiskriminierungsgesetze wie den Civil Rights Act und den Fair Housing Act zu ergänzen. Das Gesetz stellt ausdrücklich fest, dass es kein privates Klagerecht begründet, hindert Einzelpersonen jedoch nicht daran, Ansprüche nach anderen anwendbaren Gesetzen geltend zu machen.
Das Gesetz enthält außerdem eine Bestimmung, die es dem Attorney General erlaubt, Regeln zur Umsetzung des Gesetzes zu erlassen, obwohl bis Anfang 2025 noch keine solchen Regeln finalisiert wurden.
Reaktionen der Branche
Wirtschaftsgruppen, darunter Technologieverbände, äußerten gemischte Reaktionen. Einige lobten das Gesetz für seine Klarheit und den Compliance-Rahmen, während andere es als übermäßig belastend und als Duplikat bestehender Vorschriften kritisierten. Verbraucherschutzorganisationen unterstützten das Gesetz im Allgemeinen und betrachteten es als notwendigen Schritt, um gefährdete Bevölkerungsgruppen vor KI-bedingter Diskriminierung zu schützen.
Mehrere Unternehmen, darunter große KI-Entwickler wie OpenAI und Anthropic, haben öffentlich ihre Unterstützung für eine verantwortungsvolle KI-Regulierung erklärt, jedoch auch bundesweite Standards gefordert, um einen Flickenteppich staatlicher Gesetze zu vermeiden. Die Auswirkungen des Gesetzes auf die breitere KI-Branche bleiben abzuwarten, aber es wird wahrscheinlich ähnliche Gesetzgebung in anderen Bundesstaaten beeinflussen.
Umsetzungszeitplan
Das Gesetz wurde im Mai 2024 unterzeichnet, mit einem Inkrafttreten am 1. Februar 2026. Diese verlängerte Frist sollte Entwicklern und Betreibern ausreichend Zeit geben, ihre Praktiken anzupassen. Das Büro des Attorney General von Colorado hat angekündigt, vor dem Inkrafttreten Leitlinien herauszugeben, um Unternehmen beim Verständnis ihrer Pflichten zu helfen.
Zukunftsaussichten
Die Colorado AI Act stellt einen bedeutenden Meilenstein in der KI-Governance dar. Da große Sprachmodelle und andere KI-Technologien stärker in den Alltag integriert werden, wächst der Bedarf an klaren rechtlichen Rahmenwerken. Der Fokus des Gesetzes auf algorithmische Diskriminierung setzt einen Präzedenzfall für andere Rechtsordnungen und könnte als Vorbild für Bundesgesetzgebung dienen. Sein Erfolg wird jedoch von einer wirksamen Durchsetzung und der Bereitschaft der Unternehmen abhängen, Transparenz und Fairness in der KI-Entwicklung zu fördern.