Die Kurzantwort
Am 6. Juli 2026 unterzeichnete Illinois-Gouverneur JB Pritzker SB 315, den Artificial Intelligence Safety Measures Act, und machte Illinois zum ersten US-Bundesstaat, der unabhängige Drittprüfungen der Sicherheitspraktiken der größten KI-Entwickler vorschreibt. Das Gesetz tritt am 1. Januar 2027 in Kraft; Sicherheits-Framework- und Prüfpflichten beginnen am 1. Januar 2028.
Die Pflichten treffen am härtesten “große Frontier-Entwickler” — Unternehmen mit mehr als 500 Mio. USD Jahresumsatz, die Modelle mit mehr als 10^26 FLOPs trainieren. Sie müssen ein Sicherheits- und Transparenz-Framework veröffentlichen, schwerwiegende Sicherheitsvorfälle melden und sich jährlichen externen Prüfungen unterziehen. Die meisten Unternehmen fallen nicht darunter — doch das nachgelagerte Signal ist eindeutig: Auditierbare, dokumentierte KI wird zur Marktanforderung, und dieselbe “Know your model”-Disziplin, die solides KI- und Data-Engineering bereits prägt, wird nun in staatliches Recht gegossen.
Was hat Illinois tatsächlich verabschiedet?
SB 315, der Artificial Intelligence Safety Measures Act, schafft einen Rahmen für Sicherheit, Transparenz und Rechenschaftspflicht, der gezielt auf die leistungsstärksten KI-Systeme abzielt. Gouverneur JB Pritzker unterzeichnete es am 6. Juli 2026 und bezeichnete es als Beitrag zur Rechenschaftspflicht der Entwickler von Frontier-Modellen bei katastrophalen Risikoszenarien — nicht als Regulierung gewöhnlicher Software. Der Gesetzesentwurf erhielt seltene branchenweite Unterstützung: Anthropic unterstützte ihn ausdrücklich und nannte externe Rechenschaftspflicht “einen wichtigen Schritt hin zu der Verantwortlichkeit, die diese Technologie erfordert.”
Das Kernstück des Gesetzes ist eine zweistufige Pflicht: zunächst Transparenz, dann Überprüfung. Betroffene Entwickler müssen ein schriftliches Sicherheits-Framework erstellen und veröffentlichen, das beschreibt, wie sie das Risiko ernsthafter Schäden durch ein Modell identifizieren und mindern, die Ergebnisse ihrer Katastrophenrisiko-Bewertungen offenlegen und erklären, wie unabhängige Evaluatoren einbezogen wurden. Das Neue ist, was über diese Offenlegung hinausgeht: eine Pflicht, die Behauptungen durch einen externen Prüfer ohne finanzielle Interessenbindung zu verifizieren. Dieser Verifikationsschritt unterscheidet Illinois von allen bisherigen US-Bundesstaaten und ist der Grund, warum Teams, die KI- und Data-Produkte entwickeln oder beauftragen, das Gesetz als Signal für die künftige Erwartungshaltung des Marktes lesen sollten.
Dies kam nicht aus dem Nichts. Illinois ist 2026 bei KI besonders aktiv, und SB 315 reiht sich neben eine Welle staatlicher Aktivitäten ein — Kaliforniens Exekutivmaßnahmen zu Arbeitnehmerstörungen, New Yorks Transparenzgesetzentwurf für Frontier-Modelle und Utahs KI-Politikbüro. Was Illinois auszeichnet, ist die Kombination von Transparenzanforderungen mit verpflichtender unabhängiger Verifikation — dasselbe Muster, das SOC 2 und Finanzprüfungen glaubwürdig macht: Eine Behauptung ist nur so gut wie der Dritte, der bereit ist, sie zu bestätigen.
Wen verpflichtet das Gesetz?
Die schwersten Pflichten gelten für eine enge Gruppe von Unternehmen, die das Gesetz als “große Frontier-Entwickler” bezeichnet — Unternehmen mit einem Jahresumsatz von mehr als 500 Mio. USD im Vorjahr, die “Frontier-Modelle” entwickeln. Ein Frontier-Modell wird durch den Rechenaufwand definiert: eines, das mit mehr als 10^26 Gleitkommaoperationen trainiert wurde. Beide Tests zusammen sollen die Handvoll Labs erfassen, die die größten Allzweck-Systeme trainieren — nicht ein mittelgroßes Produktteam, das ein offenes Modell auf einem Domänen-Korpus feinabstimmt.
Diese Einschränkung ist wichtig, weil sie genau zeigt, wer haftet und wer nicht. Wenn Sie ein SaaS-Unternehmen sind, das ein Drittanbietermodell einbettet, ein Fintech-Unternehmen, das einen Betrugsklassifizierer betreibt, oder ein Startup, das ein KI-Feature liefert, bindet Sie das Gesetz nicht direkt — Sie liegen unter beiden Schwellenwerten. Frontier-Entwickler unterhalb der 500-Mio.-USD-Linie unterliegen nur leichteren, ausschließlich offenlegungsbezogenen Pflichten. Das volle Gewicht — Sicherheits-Framework, Vorfallmeldung und unabhängiges Audit — trifft nur die größten Akteure.
Doch “nicht direkt gebunden” ist nicht dasselbe wie “nicht betroffen”. Die Frontier-Labs, auf denen Sie aufbauen, werden künftig reichhaltigere Modelldokumentation und Risikohinweise veröffentlichen, und Ihre Enterprise-Kunden — insbesondere in regulierten Sektoren wie FinTech und HealthTech — werden zunehmend erwarten, dass Sie denselben Nachweis weitergeben oder erbringen. Regulierung am oberen Ende des Stapels hat eine Tendenz, sich durch die Beschaffung nach unten durchzusetzen.
Warum sind unabhängige Prüfungen wichtig?
Die unabhängige Prüfpflicht ist der Teil, über den es sich lohnt nachzudenken, denn sie verändert die Natur einer KI-Sicherheitsbehauptung. Nach dem Gesetz müssen große Frontier-Entwickler ab dem 1. Januar 2028 jährlich von einem unabhängigen Dritten geprüft werden, der allgemein anerkannte Prüfungsstandards und Best Practices anwendet. Der Prüfer untersucht die Modellrisiken des Entwicklers und die vorhandenen Minderungsmaßnahmen, und die Ergebnisse bleiben nicht in einer Schublade: Eine Zusammenfassung des Audits muss innerhalb von 30 Tagen nach Erhalt des Berichts durch den Entwickler veröffentlicht werden, während der vollständige Bericht der Staatsbehörde und dem Generalstaatsanwalt auf Anfrage zur Verfügung steht.
Das ist ein vertrauter Schritt für jeden, der ein SOC-2-Engagement oder ein Sicherheitsaudit durchlaufen hat. Selbstbescheinigung ist billig und leicht zu entwerten; ein externer Gutachter ohne finanziellen Interessenkonflikt ist teuer genau weil er glaubwürdig ist. Illinois wettet darauf, dass die Disziplin der Prüfungsvorbereitung — Dokumentation wie Risiken bewertet wurden, was Evaluatoren gefunden haben, und wie Probleme geschlossen wurden — mehr zur Anhebung des KI-Sicherheitsniveaus beitragen wird als jede Liste verbotener Verhaltensweisen. Für Teams, die Nachweise bereits als erstklassige Deliverables behandeln, ist das vertrautes Terrain; für solche, die Sicherheitsdokumentation als Nachgedanke behandeln, ist es ein Warnschuss.
Zeitplan und Durchsetzung
Die Daten sind bewusst gestaffelt. Das Gesetz tritt am 1. Januar 2027 in Kraft, doch die substanziellen Sicherheits-Framework- und unabhängigen Prüfpflichten beginnen erst am 1. Januar 2028 — was betroffenen Entwicklern ab der Unterzeichnung rund 18 Monate gibt, um die internen Strukturen aufzubauen. Diese Vorlaufzeit ist bezeichnend: Der Staat erwartet echte Ingenieur- und Governance-Arbeit, keine einseitige Richtlinie, die eine Woche vor dem Termin hochgeladen wird.
Die Durchsetzung liegt beim Generalstaatsanwalt von Illinois, der bei Nichteinhaltung zivilrechtliche Strafen beantragen kann. Entscheidend: Es gibt kein privates Klagerecht — Einzelpersonen können Entwickler nicht direkt nach diesem Gesetz verklagen — mit einer Ausnahme: Whistleblower-Schutz schützt Mitarbeiter, die Sicherheitsbedenken äußern, vor Vergeltungsmaßnahmen. Die Konzentration der Durchsetzung beim Generalstaatsanwalt, gestützt auf Pflicht-Frameworks und Audit-Zusammenfassungen, gibt dem Staat eine dokumentarische Grundlage zum Handeln und hält die Klagefläche schmal.
Einordnung ins US-Regulierungsmosaik
Da kein umfassendes bundesweites KI-Gesetz in Kraft ist, wird die US-KI-Regulierung von Staat zu Staat geschrieben, und das Ergebnis ist ein Flickenteppich, den national operierende Unternehmen als Ganzes navigieren müssen. Kalifornien hat auf Exekutivmaßnahmen und sektorspezifische Regeln gesetzt; New York hat Transparenz für Frontier-Modelle vorangetrieben; Utah hat ein eigenes KI-Politikbüro eingerichtet. Illinois fügt nun die fehlende Zutat hinzu — unabhängige Verifikation — und hebt damit die Messlatte, an der alle anderen Staaten gemessen werden.
Für Teams, die Produkte landesweit versenden, ist die Lektion aus einem Jahrzehnt Datenschutzrecht aufschlussreich: Wenn Staaten divergieren, ist die pragmatische Strategie, nach dem strengsten glaubwürdigen Standard zu bauen, anstatt für jede Jurisdiktion eine andere Haltung zu pflegen. Datenschutzteams haben das mit dem California Consumer Privacy Act und der DSGVO gelernt; KI-Governance bewegt sich in dieselbe Richtung. Der Überlapp mit Europa ist kein Zufall — die Dokumentations-, Risikobewertungs- und Transparenzpflichten im Illinois-Gesetz korrespondieren eng mit den Pflichten, die Teams bereits nach dem EU AI Act haben. Zwei Regime, eine gemeinsame Anforderung: Wissen Sie, was Ihr Modell tut, bewerten Sie, wie es versagen kann, und können Sie beides belegen.
Was das für US- und DACH-Softwareteams bedeutet
Reduziert man den gesetzlichen Detail, bleiben drei praktische Signale. Erstens: Der Anwendungsbereich ist eng, der Einfluss aber breit. Der Wortlaut des Gesetzes trifft nur eine Handvoll Frontier-Labs, doch seine Auswirkungen reichen auf alle Teams, die auf deren Modellen aufbauen, weil die am oberen Ende des Stapels produzierte Dokumentation und Prüfungsnachweis zum Referenzstandard werden, den Käufer überall darunter zitieren. “Unser Anbieter wird geprüft — werden Sie es auch?” ist eine Frage, die Sie auf Beschaffungsfragebögen erwarten sollten, lange bevor irgendein Gesetz Ihr Unternehmen namentlich nennt.
Zweitens: Die Arbeit ist dokumentarisch und vorgelagert. Ob der Druck als Illinois-Regulierung, ein Enterprise-Sicherheitsreview oder eine EU AI Act-Pflicht ankommt, die grundlegenden Deliverables sind dieselben: ein schriftliches Statement zu Verwendungszweck und Einschränkungen, eine Risikobewertung für potenzielle Schäden, Nachweise für durchgeführte unabhängige Evaluierungen und Herkunftsnachweise für die beteiligten Daten und Modelle. Nichts davon ist exotisch — es ist dieselbe Rigorosität, die dauerhaftes KI-Engineering von einer Demo trennt, die keiner Prüfung standzuhalten vermag — doch sie muss während der Entwicklung produziert werden, nicht rückwirkend im Audit.
Drittens: Dies ist die Entwicklungsrichtung, und frühzeitig darauf aufzubauen ist günstiger als nachträglich anzupassen. Illinois ist der erste, nicht der letzte; weitere Staaten und schließlich bundesweite Regeln werden sich auf Transparenz plus Verifikation konvergieren.
Praxische Bereitschafts-Checkliste
Keine davon ist eine gesetzliche Frist für die meisten Unternehmen. Es ist die Arbeit, die aus einer schnelllebigen KI-Regulierungslandschaft eine Routinerückschau statt einer Hektik macht:
- Verwendungszweck und Einschränkungen schriftlich festhalten. Für jedes KI-Feature dokumentieren Sie, wozu es dient, wen es bedient und welche Grenzen Sie ihm setzen — dieselben Felder, die Illinois Frontier-Entwickler zu veröffentlichen verpflichtet.
- Eine Risikobewertung durchführen und dokumentieren. Identifizieren Sie, wie das System Schaden anrichten könnte, was Sie dagegen unternommen haben und welches Restrisiko verbleibt. Halten Sie es aktuell, nicht eingefroren zum Starttermin.
- Modell- und Datenherkunft erfassen. Verfolgen Sie, welche Modelle und Daten in das Produkt eingeflossen sind, woher sie stammen und auf welcher Grundlage — damit Sie einen Lieferantensicherheits- oder KI-Governance-Fragebogen beantworten können, ohne ihn neu ableiten zu müssen.
- Nachweise Ihrer Anbieter sammeln. Holen Sie sich die Modellkarten, Sicherheits-Frameworks und Audit-Zusammenfassungen Ihrer Frontier-Anbieter; Sie werden aufgefordert werden, für das einzustehen, worauf Sie aufbauen.
- Für externe Prüfungen vorbereiten. Nehmen Sie an, dass ein Kunde oder Prüfer Ihre KI-Governance irgendwann prüfen wird. Strukturieren Sie die Dokumentation so, dass sie übergeben werden kann, nicht ausgegraben.
- Nach dem strengsten anwendbaren Standard bauen. Ausrichtung auf das Härteste aus Illinois, EU AI Act und Enterprise-Erwartungen ist günstiger als eine andere Haltung pro Jurisdiktion aufrechtzuerhalten.
Dies ist keine Rechtsberatung, und der richtige Ansatz hängt von Ihren Modellen, Ihren Märkten und Ihren Kunden ab. Aber das Signal aus SB 315 ist eindeutig: Die Ära, KI-Sicherheitsbehauptungen auf Treu und Glauben zu nehmen, neigt sich dem Ende — und die Teams, die Enterprise-Deals gewinnen werden, sind die, die ihre Behauptungen auf Abruf belegen können.
Häufig gestellte Fragen
Was ist der Illinois AI Safety Measures Act (SB 315)?
SB 315, der Artificial Intelligence Safety Measures Act, ist ein Landesgesetz, das Illinois-Gouverneur JB Pritzker am 6. Juli 2026 unterzeichnete. Es verpflichtet die größten KI-Entwickler, Sicherheits- und Transparenz-Frameworks zu veröffentlichen, schwerwiegende Sicherheitsvorfälle zu melden und jährliche unabhängige Drittprüfungen ihrer Sicherheitspraktiken zu durchlaufen. Illinois ist damit der erste US-Bundesstaat, der externe Audits von KI-Sicherheit durch Prüfer ohne finanzielle Interessenkonflikte vorschreibt. Das Gesetz tritt am 1. Januar 2027 in Kraft; Prüfpflichten beginnen am 1. Januar 2028.
Für wen gilt das Illinois KI-Gesetz?
Die strengsten Pflichten treffen “große Frontier-Entwickler” — Unternehmen mit mehr als 500 Mio. USD Jahresumsatz, die “Frontier-Modelle” trainieren, definiert als Modelle mit mehr als 10^26 Floating-Point-Operationen (FLOPs). Dieser Schwellenwert erfasst die größten KI-Labs, nicht ein Startup, das ein offenes Modell feinabstimmt. Kleinere Frontier-Entwickler unterliegen weiterhin leichteren Transparenzpflichten, wie der Offenlegung des Veröffentlichungsdatums, der Sprachen, der Modalitäten, der vorgesehenen Verwendungen und der Einschränkungen eines Modells.
Ab wann gelten die Illinois-Prüfanforderungen?
Das Gesetz wird am 1. Januar 2027 wirksam, doch die Kern-Sicherheits-Framework- und unabhängigen Prüfpflichten beginnen erst am 1. Januar 2028. Ab diesem Datum müssen große Frontier-Entwickler jährlich von einem unabhängigen Dritten geprüft werden und eine Zusammenfassung des Audits innerhalb von 30 Tagen nach Erhalt des Berichts veröffentlichen.
Wie wird das Illinois KI-Gesetz durchgesetzt?
Der Generalstaatsanwalt von Illinois setzt das Gesetz durch und kann zivilrechtliche Strafen bei Nichteinhaltung einfordern. Es gibt kein privates Klagerecht für Einzelpersonen, ausgenommen Whistleblower-Schutz für Mitarbeiter, die Sicherheitsbedenken melden. Die Durchsetzung läuft über den Staat, und die veröffentlichten Transparenz-Frameworks und Audit-Zusammenfassungen geben dem Generalstaatsanwalt eine dokumentarische Grundlage zum Handeln.
Was bedeutet das Gesetz für Unternehmen, die auf KI aufbauen oder KI kaufen?
Die meisten Unternehmen sind keine “großen Frontier-Entwickler”, sodass das Gesetz sie nicht direkt bindet. Die Auswirkungen fließen jedoch nachgelagert: Frontier-Anbieter werden reichhaltigere Modelldokumentation und Risikohinweise veröffentlichen, und Unternehmenskunden — insbesondere in regulierten Sektoren wie FinTech und HealthTech — werden zunehmend dieselben Nachweise von jedem KI-Lieferanten erwarten. Das Muster von Audit-first — wie SOC 2 vor sich — tendiert dazu, von Gesetzen in Verträge überzugehen.
Quellen
Office of Gov. JB Pritzker — Gov. Pritzker Signs Nation-Leading Artificial Intelligence Safety Law
StateScoop — Illinois governor signs AI safety law requiring audits of frontier models
Capitol News Illinois — Pritzker signs landmark AI regulation bill that aims to mitigate risks
Crowell & Moring LLP — Illinois Imposes Transparency and Safety Obligations on Frontier AI Systems