Die Kurzfassung
Am 9. September 2026 unterzeichnete Gouverneur Newsom zwei Gesetze, die Kalifornien zum ersten US-Bundesstaat machen, der einen offiziellen Rahmen samt Register für unabhängige KI-Prüfer aufbaut. SB 813 (Sen. Jerry McNerney) schafft zertifizierte unabhängige Verifizierungsorganisationen, die KI-Systeme auf die Einhaltung staatlichen Rechts prüfen; AB 1405 (Abgeordnete Rebecca Bauer-Kahan) errichtet ein staatliches Register für KI-Prüfer mit Standards für Unabhängigkeit, Transparenz und Integrität. Der Anwendungsbereich ist breit: nicht nur OpenAI oder Anthropic, sondern jedes Unternehmen, das ein fertiges Modell nutzt, um Bewerber zu sichten, Versicherungen zu bepreisen oder Entscheidungen zu treffen, die Menschen wesentlich betreffen. Für Teams, die KI- und Datensysteme bauen und ausliefern, signalisiert das eine Verschiebung von freiwilligen KI-Behauptungen hin zu Drittnachweisen — auf einer gestaffelten Zeitachse bis 2028–2029.
Was Kalifornien unterzeichnet hat
Gouverneur Newsom formulierte den Schritt schlicht: „KI hat das Potenzial, unser Leben zu verbessern, aber ohne wirksame Leitplanken birgt sie erhebliche Risiken.“ Die beiden am 9. September 2026 unterzeichneten Gesetze sind als Paar gedacht. SB 813, eingebracht von Senator Jerry McNerney (D–Pleasanton), begründet einen bundesweit ersten Rahmen für „unabhängige Verifizierungsorganisationen“ — externe Stellen, die formal bewerten können, ob ein KI-System oder -Modell staatlichem Recht entspricht. AB 1405 von Abgeordneter Rebecca Bauer-Kahan (D–Orinda) schafft ein staatliches Register für diese KI-Prüfer und setzt Standards für deren Unabhängigkeit, Transparenz und Integrität.
Zusammen gelesen beantworten die Gesetze eine Frage, die die KI-Governance von Anfang an begleitet hat: Wer prüft die Prüfer? Zahlreiche Beratungen bieten bereits „KI-Assessments“ an, doch es gab keinen gemeinsamen Maßstab dafür, wer qualifiziert ist, ein Hochrisiko-KI-System abzuzeichnen. Kalifornien definiert diesen Maßstab nun und untermauert ihn mit einem staatlichen Register. Die California Government Operations Agency muss das Zertifizierungsverfahren aufbauen und die ersten Verifizierungsorganisationen bis zum 1. Januar 2028 zertifizieren sowie das KI-Prüfer-Register bis zum 1. Januar 2029 errichten. Ab diesem Datum ist es nicht registrierten Personen untersagt, ein erfasstes KI-Audit anzubieten, zu verkaufen oder durchzuführen.
Sowohl Anthropic als auch OpenAI unterstützten die Gesetzgebung, die auf Kaliforniens Transparency in Frontier Artificial Intelligence Act von 2025 (SB 53) aufbaut. Diese Branchenunterstützung ist aufschlussreich: Große Entwickler hätten lieber ein glaubwürdiges, standardisiertes Prüfregime als einen Flickenteppich aus Ad-hoc-Reviews, die Staat für Staat und Kunde für Kunde eingefordert werden. Für alle nachgelagerten Akteure lautet die praktische Erkenntnis: KI-Compliance bewegt sich von der Selbstbescheinigung hin zur unabhängigen, zertifizierten Verifikation — derselbe Weg, den unabhängige Sicherheitsaudits und SOC-2-Bescheinigungen ein Jahrzehnt zuvor gingen.
Wer fällt tatsächlich darunter?
Das wichtigste Detail vergraben die Schlagzeilen oft: Diese Gesetze betreffen nicht nur Frontier-Labs. Wie eine Analyse feststellte, ist jedes Unternehmen, das ein fertiges KI-Modell nimmt und einsetzt, um Bewerber zu sichten, Versicherungspolicen zu bepreisen oder andere Entscheidungen zu treffen, die das Leben von Menschen berühren, ebenso erfasst wie OpenAI oder Anthropic. Wer ein gehostetes Modell feinabstimmt, um Kandidaten zu ranken, oder das Modell eines Anbieters in einen Underwriting-Flow einbindet, steht nicht deshalb außerhalb des Rahmens, weil er es nicht trainiert hat.
Das ist eine bedeutsame Ausweitung dessen, wer über KI-Audits nachdenken muss. Ein mittelgroßes HealthTech- oder FinTech-Unternehmen, das still ein Drittanbietermodell in eine folgenreiche Entscheidung eingebettet hat, ist genau die Art von Betreiber, die diese Rahmen erreichen sollen. Die Pflichten sind noch nicht vollständig aktiv — die Zertifizierungs- und Registermaschinerie muss erst existieren — doch die Richtung steht fest und zielt auf Betreiber, nicht nur auf Entwickler.
Einordnung: Illinois, die EU und ein US-Prüfmarkt
Kalifornien handelt nicht im luftleeren Raum. Illinois hat mit SB 315, dem AI Safety Measures Act, bereits die größten KI-Entwickler verpflichtet, veröffentlichte Sicherheits-Frameworks mit jährlichen unabhängigen Drittprüfungen zu koppeln. Die EU-KI-Verordnung, deren Hochrisiko-Pflichten 2026 zu greifen begannen, stützt sich auf Konformitätsbewertungen durch ihr eigenes Regime benannter Stellen. Was Kalifornien hinzufügt, ist das Stück, das die anderen voraussetzen, aber nicht bauen: einen zertifizierten, registrierten Berufsstand von KI-Prüfern, wobei der Staat definiert, wer qualifiziert ist.
Für grenzüberschreitend tätige Teams ist dies der Beginn einer Prüfmarkt-Schicht, auf die sich Verträge und Beschaffung zunehmend beziehen werden. Ein US-Enterprise-Käufer, der einst dem Wort eines Anbieters zum Modellverhalten vertraute, wird bald die Verifikation durch einen registrierten Prüfer verlangen können — und sobald diese Option existiert, wird sie zur Erwartung. Wer bereits auf die Konformitätsbewertung der EU-KI-Verordnung oder ein strukturiertes KI-Governance-Programm ausgerichtet ist, kann viele der zugrunde liegenden Nachweise (Dokumentation, Testprotokolle, Risikobewertungen) wiederverwenden; was sich ändert, ist, wer abzeichnet und nach welchem Standard.
Was das für US- & EU-Softwareteams bedeutet
Für US-Teams ist das kurzfristige Risiko keine Geldbuße — es ist, unvorbereitet zu sein, wenn ein Kunde prüffeste Nachweise verlangt. Das Register geht erst 2029 live, doch die Enterprise-Beschaffung eilt den Gesetzen voraus. Wer KI in Einstellung, Kreditvergabe, Versicherung oder jeder Entscheidung einsetzt, die Menschen wesentlich betrifft, sollte annehmen, dass bis 2027 ein ernsthafter Käufer Dokumentation wünscht, die einer unabhängigen Prüfung standhält — ob das Gesetz es schon vorschreibt oder nicht. Teams, die das jetzt als Daten- und Dokumentationsaufgabe behandeln, müssen später nicht hetzen.
Für EU-Teams ist das Signal Konvergenz. Kalifornien baut ein US-Gegenstück zur Konformitätsbewertungslogik, die bereits in der EU-KI-Verordnung angelegt ist — was bedeutet, dass ein einziges, gut geführtes KI-Governance-Programm zunehmend beiden Seiten genügen kann. Der wiederverwendbare Kern ist auf beiden Seiten des Atlantiks derselbe: ein gepflegtes Inventar, wo KI folgenreiche Entscheidungen berührt, Protokolle darüber, wie jedes System getestet und bewertet wurde, dokumentierte Pfade für menschliche Aufsicht und Widerspruch sowie ein klarer Verantwortlicher pro Modell in Produktion. Einmal gebaut, wird die Anpassung an Kaliforniens registriertes Prüfregime oder eine benannte Stelle in der EU zur Zuordnungsübung statt zum Neubau.
Die strategische Warnung gilt überall: Unabhängige KI-Audits werden zu einem Markt, und Märkte belohnen die Vorbereiteten. Vorn liegen werden die Organisationen, deren KI-Systeme bereits lesbar sind — dokumentiert, getestet und verantwortet —, lange bevor ein Prüfer, registriert oder nicht, jemals anklopft.
Der KI-Audit-Nachfrage einen Schritt voraus
- Inventarisieren Sie Ihre folgenreiche KI. Listen Sie jede Stelle auf, an der KI — einschließlich feinabgestimmter oder gehosteter Drittmodelle — Einstellungs-, Kredit-, Versicherungs-, Gesundheits- oder Zugangsentscheidungen berührt. Dieses Inventar ist die Landkarte, die Prüfer und Käufer verlangen werden.
- Klären Sie, ob Sie Betreiber sind, nicht nur Entwickler. Ein fertiges Modell in einer folgenreichen Entscheidung einzusetzen, kann Sie erfassen, auch wenn Sie es nicht trainiert haben.
- Führen Sie Test- und Evaluierungsprotokolle. Dokumentieren Sie, wie jedes System validiert wurde, was gemessen wurde und welche Minderungsmaßnahmen bestehen — das ist der Nachweis, auf dem ein unabhängiges Audit läuft.
- Benennen Sie pro Modell einen Verantwortlichen. Jedes Produktivmodell braucht einen namentlich benannten Menschen, der für sein Verhalten, die Aufsicht und Widerspruchspfade einsteht.
- Nutzen Sie Ihre Vorarbeit aus EU-KI-Verordnung oder SOC 2 wieder. Dokumentation, Risikobewertungen und Kontrollnachweise lassen sich zwischen Regimen zuordnen; bauen Sie keine Parallelstapel.
- Verfolgen Sie die Meilensteine 2028–2029. Achten Sie auf die ersten zertifizierten Verifizierungsorganisationen (Jan. 2028) und das live geschaltete Prüfer-Register (Jan. 2029), damit Sie registrierte, nicht unqualifizierte Prüfer beauftragen.
- Bereiten Sie sich auf Kundenfragen vor dem Gesetz vor. Nehmen Sie an, dass Enterprise-Käufer bereits 2027 prüffeste Nachweise verlangen — vor jedem gesetzlichen Auslöser.
Häufig gestellte Fragen
Was hat Kalifornien am 9. September 2026 in Kraft gesetzt?
Gouverneur Gavin Newsom unterzeichnete zwei Gesetze: SB 813 von Senator Jerry McNerney, das einen Rahmen für unabhängige Verifizierungsorganisationen schafft, die KI-Systeme auf die Einhaltung staatlichen Rechts prüfen, und AB 1405 von Abgeordneter Rebecca Bauer-Kahan, das ein staatliches Register für KI-Prüfer mit Standards für Unabhängigkeit, Transparenz und Integrität begründet. Zusammen bilden sie den ersten US-Rahmen für unabhängige Drittprüfungen von KI.
Gelten die kalifornischen KI-Prüfgesetze nur für Frontier-Labs wie OpenAI und Anthropic?
Nein. Zwar sind Frontier-Entwickler erfasst, aber ebenso jedes Unternehmen, das ein fertiges KI-Modell einsetzt, um Bewerber zu sichten, Versicherungen zu bepreisen oder andere Entscheidungen zu treffen, die Menschen wesentlich betreffen. Wer in Kalifornien KI in Hochrisiko-Kontexten betreibt, kann in das Prüf-Ökosystem hineingezogen werden, auch wenn er das Modell nicht selbst gebaut hat.
Ab wann greifen die kalifornischen Prüfer-Regeln?
Die Umsetzung ist gestaffelt. Die California Government Operations Agency muss das Zertifizierungsverfahren aufbauen und die ersten unabhängigen Verifizierungsorganisationen bis zum 1. Januar 2028 zertifizieren sowie das KI-Prüfer-Register bis zum 1. Januar 2029 errichten. Ab dem 1. Januar 2029 ist es nicht registrierten Personen untersagt, ein erfasstes KI-Audit anzubieten, zu verkaufen oder durchzuführen.
Wie unterscheidet sich das von der EU-KI-Verordnung und dem Illinois-Gesetz?
Illinois’ SB 315 schreibt jährliche unabhängige Audits für die größten KI-Entwickler vor. Kaliforniens Gesetze sind Infrastruktur: Sie definieren, wer qualifiziert ist, KI-Audits durchzuführen, und schaffen einen zertifizierten, registrierten Berufsstand der KI-Prüfer, während sie auch Betreiber erfassen. Die EU-KI-Verordnung verlangt Konformitätsbewertungen für Hochrisiko-KI, stützt sich dabei aber auf ihr eigenes Regime benannter Stellen. Kalifornien baut einen US-seitigen Prüfermarkt auf, auf den sich regulierte Käufer zunehmend beziehen werden.
Quellen
Office of Governor Gavin Newsom — Governor Newsom signs first-in-the-nation AI safeguards to protect Californians (9. September 2026)
CIO Dive — What California’s AI auditing bills mean for enterprises (September 2026)
Quartz — California enacts first U.S. laws requiring independent AI audits (10. September 2026)