Kaliforniens Gouverneur Gavin Newsom hat am 18. September eine Verfügung unterzeichnet, die eine Expertengruppe einberuft. Sie soll innerhalb von zwei Monaten Empfehlungen vorlegen, wie der Bundesstaat seine KI-Sicherheitsgesetze weiterentwickeln sollte.
Die Verfügung nennt drei Prüfpunkte: eine Pflicht für führende KI-Unternehmen zu regelmäßigen unabhängigen Sicherheitsaudits durch Dritte; eine verpflichtende Meldung von „Kontrollverlust“-Vorfällen, bei denen KI-Agenten sich anomal verhalten; und einen „Not-Aus-Schalter“ für die fortschrittlichsten Modelle, also einen Mechanismus zur Notabschaltung. Alle drei Punkte sind derzeit nur zu prüfende Optionen, keine bereits geltenden Pflichten.
Was die Verfügung tatsächlich bewirkt
Der Geltungsbereich des Dokuments muss klar benannt werden. Es schafft keine neuen Compliance-Pflichten, sondern setzt ein Verfahren in Gang: Es beruft Personen, setzt eine Frist und grenzt die Themen ein. Verbindliche Regeln müssten entweder aus einer späteren, von der Expertengruppe angestoßenen Gesetzgebung stammen oder aus Verwaltungsvorschriften innerhalb des bestehenden Rechtsrahmens. Die Zweimonatsfrist bedeutet, dass der Leitfaden vor Mitte November vorliegen sollte.
In einer Videoansprache sagte Newsom: „Kalifornien wird tun, was es kann, aber das ganze Land muss handeln, Washington D.C. muss seiner Verantwortung nachkommen.“ Er stellte die Verfügung als Mindestrahmen für Sicherheit dar. Sein Büro wählte deutlichere Worte und warf der Bundesregierung vor, beim Aufbau jeder sinnvollen KI-Aufsicht und -Rechenschaftspflicht „vollständig versagt“ zu haben.
"We will not sit idle—we will accelerate substantive, responsible AI regulation before it is too late."
Auf Deutsch: Wir werden nicht untätig zusehen – wir werden eine inhaltliche, verantwortungsvolle KI-Regulierung vorantreiben, bevor es zu spät ist.
Kaliforniens bisherige Schritte in diesem Jahr
Zoomt man heraus, ist das kein isolierter Schritt. Kalifornien hatte Anfang September bereits ein Gesetz unterzeichnet, das einen Rahmen für unabhängige KI-Prüfstellen schafft; die jetzt zu prüfende Pflicht zu unabhängigen Audits knüpft direkt daran an. Noch weiter zurück reicht der zweijährige Gesetzgebungsstreit um Sicherheitsoffenlegungen für Spitzenmodelle, in dessen Verlauf manche Gesetzentwürfe abgelehnt und andere in abgeschwächter Form verabschiedet wurden.
Die Reihenfolge ist erkennbar: zuerst der Zulassungsrahmen für Prüfstellen, dann die Prüfung, ob Audits zur Pflicht werden; zuerst Offenlegungspflichten, dann die Debatte über Meldung und Abschaltung. Jeder Schritt geht ein Stück weiter als der vorherige, keiner springt direkt zur Endform. Dieses Tempo gibt Unternehmen Zeit zur Anpassung – und Gegnern Gelegenheit, jeden einzelnen Punkt zu bekämpfen.
Eine zeitliche Einschränkung darf nicht übersehen werden: Newsoms Amtszeit als Gouverneur endet am 4. Januar kommenden Jahres. Die Zweimonatsfrist fällt noch in seine Amtszeit, die anschließende Gesetzgebungsarbeit landet aller Voraussicht nach bei seinem Nachfolger. Ob aus der Verfügung Gesetz wird, entscheidet nicht allein derjenige, der sie unterzeichnet hat.
Der klare Kontrast zum Bundeskurs
Der Hintergrund ist das Fehlen jeglicher Regulierung auf Bundesebene. Trump hat Forderungen nach strengerer Regulierung zurückgewiesen und KI-Sicherheitsbedenken als „Schwindel“ bezeichnet; die Aussicht auf eine landesweite KI-Gesetzgebung vor den Zwischenwahlen 2026 ist gering. Kalifornien positioniert sich als Gegenpol – Newsoms Büro kritisierte am selben Tag öffentlich das Weiße Haus und den Kongress für ihre Untätigkeit in dieser Frage.
Kalifornien hat dafür Rückhalt: Die meisten führenden KI-Unternehmen haben ihren Sitz in diesem Bundesstaat, sodass staatliches Recht sie direkt bindet und nicht durch einen Serverumzug umgangen werden kann. In den vergangenen Jahren sind kalifornische Standards bei Datenschutz und Emissionsgrenzwerten wiederholt de facto zu landesweiten Standards geworden.
Doch was hier reguliert werden soll, ist härter als Datenschutzregeln. Regelmäßige unabhängige Audits bedeuten, dass Außenstehende Zugang zum Bewertungsprozess der Modelle erhalten; die Meldepflicht für Kontrollverlust-Vorfälle bedeutet, dass Unternehmen anomales Verhalten ihrer eigenen Systeme offenlegen müssen; und ein Not-Aus-Schalter greift in die Architektur des Einsatzes selbst ein. Setzt sich auch nur einer dieser drei Punkte durch, wird das auf Ebene der Labore zu Auseinandersetzungen führen.
Drei Dinge, auf die es in den nächsten zwei Monaten ankommt
In diesem Zweimonatsfenster lassen sich drei Dinge beobachten: wer in der Expertengruppe sitzt, wie eng die Definition von „Kontrollverlust“-Vorfällen gefasst wird, und ob der Not-Aus-Schalter als verbindliche Pflicht oder nur als Empfehlung erscheint.
Auf keine dieser Fragen gibt es bislang eine Antwort. Die Verfügung liefert eine Themenliste und einen Zeitplan, keine Ergebnisse. Ob der Leitfaden bis Mitte November vorliegt und wie er ausfällt, ist der nächste überprüfbare Meilenstein dieser Entwicklung.
Quellen: Ankündigung des Büros des Gouverneurs von Kalifornien, Sing Tao Daily, CocoLoop, Sina Finance; die drei Prüfpunkte der Verfügung, die Zweimonatsfrist und Newsoms Aussagen wurden anhand der Angaben des Gouverneursbüros abgeglichen.