Am 27. März unterzeichnete Gouverneurin Kathy Hochul offiziell die endgültige überarbeitete Fassung des RAISE Act, womit das Gesetz in seiner endgültigen Form in Kraft tritt.
Es ist das erste KI-Sicherheitsgesetz auf Bundesstaatsebene in den USA, das speziell auf Entwickler großer KI-Modelle abzielt. Inkrafttreten: 1. Januar 2027.
Kein Entwurf, kein Diskussionspapier, sondern ein Gesetz.
Wer ist betroffen und was ist geregelt
Zunächst zum Anwendungsbereich. Der RAISE Act richtet sich an Entwickler von "Frontier-Modellen". Wer eine der folgenden Bedingungen erfüllt, liegt im Visier:
- KI-Entwickler mit einem Jahresumsatz von über 500 Millionen US-Dollar
- Unternehmen, die im Bundesstaat New York "Frontier-Modelle" entwickeln oder betreiben
"Frontier-Modelle" werden gemäß der Bundesdefinition definiert: groß angelegte KI-Systeme, die zu ernsthaften realen Schäden führen können, einschließlich der Unterstützung von Cyberangriffen, der Entwicklung biologischer Waffen, der großflächigen Zerstörung von Infrastruktur und anderen Szenarien.
Anthropic, OpenAI, Google DeepMind, Meta – diese Unternehmen liegen alle im Visier.
Es gibt drei konkrete Anforderungen:
Erstens: Schriftliche Sicherheitsprotokolle erstellen und veröffentlichen. Es muss ein formelles Dokument offengelegt werden, das Folgendes umfasst: konkrete Maßnahmen zur Minderung wichtiger Schadensrisiken, Cybersicherheitsschutzmechanismen und Testverfahren zur Bewertung, ob ein Modell ein "unangemessenes Schadensrisiko" aufweist.
Zweitens: Cybersicherheitsschutzmechanismen einrichten. Keine bloße Absichtserklärung, sondern konkrete, umsetzbare technische Maßnahmen.
Drittens: Sicherheitsvorfälle innerhalb von 72 Stunden melden. Nach einem "Sicherheitsvorfall" muss dieser innerhalb von 72 Stunden dem Generalstaatsanwalt von New York und den zuständigen Behörden gemeldet werden.
Wie hoch sind die Strafen
- Erstverstoß: Höchststrafe 1 Million US-Dollar
- Wiederholter Verstoß: Höchststrafe 3 Millionen US-Dollar
Für Anthropic oder OpenAI sind 3 Millionen US-Dollar nicht viel. Aber dieses Gesetz schafft einen Präzedenzfall: KI-Unternehmen können von einem Bundesstaat wegen Sicherheits- und Compliance-Problemen bestraft werden.
Die Bundesregierung zieht in die entgegengesetzte Richtung
Interessanterweise, während die Bundesstaaten um die Verabschiedung von Gesetzen wetteifern, geht die Bundesebene in die entgegengesetzte Richtung.
Im Januar dieses Jahres richtete das Justizministerium die AI Litigation Task Force ein, deren Aufgaben unter anderem darin bestehen: KI-Vorschriften auf Bundesstaatsebene anzufechten, die "verfassungswidrig in den zwischenstaatlichen Handel eingreifen". Mit anderen Worten: Die Bundesregierung hat sich eine Karte vorbehalten, um jederzeit mit der Handelsklausel die Regulierung auf Bundesstaatsebene zu unterdrücken.
Das ist kein Zufall, sondern eine politische Haltung. Die grundsätzliche Haltung der Trump-Administration gegenüber KI ist: "Lasst die Industrie selbst laufen, erstickt die Innovation nicht durch Regulierung." Aber Bundesstaaten wie New York und Kalifornien drängen in die andere Richtung.
Dieser Konflikt hat derzeit kein klares Ende. Ob der RAISE Act bis 2027 vollständig umgesetzt werden kann, hängt von den Maßnahmen auf Bundesebene ab.
Was macht Kalifornien
Zum Vergleich: In Kalifornien trat im Januar dieses Jahres ein KI-Sicherheitsgesetz in Kraft, das jedoch viel konservativer ist – es bietet hauptsächlich rechtlichen Schutz für Mitarbeiter, die KI-Sicherheitsprobleme melden (Whistleblower-Schutz), ohne direkte Compliance-Anforderungen an Entwickler zu stellen.
Kalifornien hätte letztes Jahr beinahe SB 1047 verabschiedet, das die radikale Version war: Es verlangte von KI-Unternehmen, vor der Veröffentlichung eines Modells eine obligatorische Sicherheitsbewertung durchzuführen. Aber Newsom legte schließlich sein Veto ein, mit der Begründung, die "Regulierungsgrenzen seien zu vage".
Der RAISE Act ist derjenige, der bisher am weitesten geht. Er schützt nicht Whistleblower, sondern stellt direkte Compliance-Pflichten für Entwickler auf.
Im Jahr 2026 haben die Bundesstaaten bereits über 600 KI-bezogene Gesetzesentwürfe eingereicht, und diese Zahl steigt weiter.
Was Unternehmen bis Januar 2027 tun müssen
Der Zeitplan ist klar:
- Gesetz verabschiedet: 27. März 2026
- Inkrafttreten: 1. Januar 2027
- Noch etwa 8,5 Monate
Vorzubereitende Punkte:
| Anforderung | Inhalt |
|---|---|
| Schriftliches Sicherheitsprotokoll | Erstellen und öffentlich offenlegen |
| Cybersicherheitsschutz | Konkrete, umsetzbare technische Maßnahmen |
| Meldeverfahren für Vorfälle | Benachrichtigung des New Yorker Generalstaatsanwalts innerhalb von 72 Stunden |
Die Anforderung der "öffentlichen Offenlegung von Sicherheitsprotokollen" ist neu. Dies bedeutet, dass die KI-Sicherheitsmechanismen von Unternehmen mit großen Modellen ein gewisses Maß an externer Sichtbarkeit haben werden – zumindest auf Dokumentenebene. Für Unternehmen, die Sicherheitsbewertungen bisher als internen Prozess betrachtet haben, ist dies eine neue Anforderung.
Wird die Bundesregierung eingreifen? Sehr wahrscheinlich wird sie es versuchen. Aber bis dahin sind die Regeln von New York bereits Gesetz.
Quellenangabe: Governor Hochul Signs Nation-Leading Legislation to Require AI Frameworks for AI Frontier Models (New York Governor's Office); New York Finalizes RAISE Act for Frontier AI Models; Law Takes Effect January 1, CocoLoop, 2027 (Wiley Rein / JDSupra); U.S. Tech Legislative & Regulatory Update – First Quarter 2026 (Global Policy Watch); New York Governor Signs Sweeping AI Safety Law: What Businesses Can Do in 2026 to Prepare For a New Era (Fisher Phillips)