Colorado AI Act: Zu schließende Compliance-Lücken

Das KI-Gesetz in Colorado hat sich geändert. Wenn Ihre Organisation ihren Compliance-Plan auf dem ursprünglichen Colorado AI Act aufgebaut hat, muss dieser möglicherweise überarbeitet werden.

Das Problem ist nicht, dass KI-Governance Das spielt plötzlich eine geringere Rolle. Es geht darum, dass Colorado seine Definition der Technologie, die Zuweisung von Verantwortlichkeiten und den Schutz von Menschen, die von automatisierten Entscheidungen betroffen sind, geändert hat.

Im Mai 2026 trat in Colorado Folgendes in Kraft: Senatsvorlage 26-189, wodurch der ursprüngliche Rahmen ersetzt wurde von SB 24-205. Das neue Gesetz über automatisierte Entscheidungstechnologien soll am 1. Januar 2027 in Kraft treten.

Für Organisationen, die KI in den Bereichen Personalbeschaffung, Kreditvergabe, Gesundheitswesen, Versicherung, Wohnungsbau, Bildung oder öffentliche Dienstleistungen einsetzen, stellt sich daraus eine wichtige Frage:

Können Sie erläutern, wie automatisierte Technologien Entscheidungen über Personen beeinflussen, welche personenbezogenen Daten sie verwenden und wer das Ergebnis überprüfen kann?

Diese Lücke untersucht der vorliegende Artikel. Wir werden uns ansehen, was sich geändert hat, welche Anforderungen relevant sind und wo Organisationen ihre Governance-Programme stärken können, bevor der neue Rahmen in Kraft tritt.

Was ist das Colorado AI-Gesetz?

Der Colorado AI Act bezieht sich üblicherweise auf Senatsvorlage 24-205, das im Jahr 2024 erlassen wurde, um algorithmische Diskriminierung im Zusammenhang mit risikoreichen Systemen künstlicher Intelligenz zu bekämpfen.

Das ursprüngliche Gesetz legte Anforderungen fest, die angemessene Sorgfalt, Risikomanagement, Folgenabschätzungen, Entwicklerdokumentation, Verbraucherinformationen und andere Schutzmaßnahmen im Zusammenhang mit weitreichenden Entscheidungen betrafen.

Colorado änderte diesen Rahmen jedoch später.

Im Mai 2026 verabschiedeten die Gesetzgeber SB 26-189, wodurch die ursprünglichen Bestimmungen aufgehoben und mit einer anderen Regulierungsstruktur neu erlassen werden.

Die Ersatzgesetzgebung ist bekannt als die Gesetz über Technologien zur automatisierten Entscheidungsfindung. Die inhaltlichen Anforderungen sollen am 1. Januar 2027 in Kraft treten.

Diese Unterscheidung ist wichtig, da Organisationen, die sich mit dem Colorado AI Act befassen, möglicherweise immer noch auf Compliance-Leitfäden stoßen, die Anforderungen aus SB 24-205 so beschreiben, als ob diese weiterhin der zukünftige Standard wären.

Für eine vorausschauende Compliance-Planung sollten Organisationen SB 26-189 in Betracht ziehen, anstatt sich ausschließlich auf den ursprünglichen Rahmen von SB 24-205 zu verlassen.

BigIDs Globaler KI-Regulierungs-Tracker bietet einen umfassenderen Überblick über die KI-Gesetzgebung in verschiedenen Rechtsordnungen.

Was hat sich durch das Colorado SB 26-189 geändert?

Das neue Gesetz verlagert den regulatorischen Fokus vom ursprünglichen Rahmenwerk für risikoreiche KI hin zu Technologien für automatisierte Entscheidungsfindung, die maßgeblichen Einfluss auf weitreichende Entscheidungen ausüben.

Das verändert die Art und Weise, wie Organisationen Umfang, technische Dokumentation, Verbraucherschutz und operative Einsatzbereitschaft bewerten sollten.

Wann tritt das Colorado AI-Gesetz in Kraft?

Das Nachfolgegesetz für automatisierte Entscheidungstechnologien soll in Kraft treten. 1. Januar 2027.

Der ursprüngliche Rahmenplan SB 24-205 von Colorado war zuvor verzögert worden, unter anderem durch SB 25B-004, bevor die Gesetzgeber im Jahr 2026 die Ersatzgesetzgebung verabschiedeten.

Stand Oktober 2026 arbeitet der Generalstaatsanwalt von Colorado auch an der Ausarbeitung von Regelungen im Zusammenhang mit automatisierten Entscheidungstechnologien.

Organisationen sollten die endgültigen Regelungen im Auge behalten, da diese möglicherweise Klarheit darüber schaffen, wie bestimmte Offenlegungs- und andere gesetzliche Anforderungen umgesetzt werden müssen.

Die praktische Priorität besteht darin, die erfassten Entscheidungsprozesse zu identifizieren und festzulegen, welche Nachweise, Dokumentationen und kundenorientierten Prozesse erforderlich sind.

Welche KI-Systeme fallen unter Colorados neues Gesetz?

SB 26-189 definiert die Technologie der automatisierten Entscheidungsfindung (ADMT) so weit, dass sie auch Technologien umfasst, die personenbezogene Daten verarbeiten und Berechnungen nutzen, um Vorhersagen, Empfehlungen, Klassifizierungen, Ranglisten, Bewertungen oder andere Informationen zu generieren, die dazu dienen, Entscheidungen in Bezug auf Einzelpersonen zu treffen, zu steuern oder zu unterstützen.

Die Kernpflichten des Gesetzes für Entwickler und Betreiber konzentrieren sich jedoch auf Die ADMT-Einsätze hatten einen wesentlichen Einfluss auf weitreichende Entscheidungen..

Zu den folgenreichen Entscheidungen gehören Entscheidungen im Zusammenhang mit dem Zugang zu, der Anspruchsberechtigung auf oder der Entschädigung für:

• Anstellung
• Ausbildung
• Gehäuse
• Finanz- und Kreditdienstleistungen
• Versicherung
• Gesundheitsdienstleistungen
• Wesentliche staatliche Dienstleistungen und öffentliche Leistungen

Nicht jede KI-Funktion oder jeder automatisierte Workflow fällt zwangsläufig unter dieselben Anforderungen. Unternehmen müssen die Rolle der Technologie, die jeweilige Entscheidung sowie geltende gesetzliche Definitionen und Ausnahmen prüfen.

Ein System, das beispielsweise dabei hilft, interne Besprechungsnotizen zusammenzufassen, wirft eine andere regulatorische Frage auf als ein System, das Bewerber einstuft oder die Kreditwürdigkeit maßgeblich beeinflusst.

Die entscheidende Frage ist nicht einfach, ob eine Organisation KI einsetzt. Es geht vielmehr darum, ob automatisierte Technologie eine Entscheidung über eine Einzelperson wesentlich beeinflusst.

Was müssen Entwickler und Bereitsteller tun?

Colorado unterscheidet zwischen Organisationen, die geschützte automatisierte Entscheidungsfindungstechnologien entwickeln, und Organisationen, die diese Technologien einsetzen.

Ein Unternehmen kann die eine oder die andere Rolle oder auch beide einnehmen, je nachdem, wie es die Technologie entwickelt, modifiziert, bereitstellt oder nutzt.

Fünf Compliance-Lücken, die Unternehmen oft übersehen

Die meisten Organisationen verfügen bereits über eine Kombination aus KI-Richtlinien, Anbieterbewertungen, Dateninventaren und Sicherheitskontrollen.

Das Problem ist, dass diese Prozesse nicht immer mit den Entscheidungen, zu denen KI beiträgt, in Verbindung stehen.

Diese Diskrepanz könnte unter Colorados neuem Rahmenwerk besonders wichtig werden.

Wie ein Einstellungsalgorithmus die Lücke aufdeckt

Stellen Sie sich einen Arbeitgeber vor, der ein automatisiertes System zur Rangfolge der Bewerber einsetzt.

Der Anbieter hat die Sicherheitsüberprüfungen abgeschlossen. Die Anwendung ist im KI-Inventar des Unternehmens aufgeführt. Personalverantwortliche wissen, dass das System Kandidatenbewertungen erstellt.

Ein Antragsteller erhält jedoch eine negative Entscheidung und verlangt Auskunft darüber, wie die automatisierte Technologie das Ergebnis beeinflusst hat.

Nun stellen sich mehrere dringende Fragen:

• Hat die Technologie die Einstellungsentscheidung wesentlich beeinflusst?
• Welche personenbezogenen Daten flossen in die Empfehlung bzw. die Bewertung ein?
• Wurde dem Antragsteller die entsprechende Mitteilung zugestellt?
• Kann die Organisation die Rolle der Technologie bei der Entscheidung erläutern?
• Können unrichtige personenbezogene Daten identifiziert und korrigiert werden?
• Wer kann eine aussagekräftige menschliche Überprüfung durchführen?
• Welche Dokumente untermauern die Antwort der Organisation?

Die Organisation hat die Technologie möglicherweise genehmigt, ohne einen vollständigen Prozess zur Beantwortung dieser Fragen einzurichten.

Das bedeutet nicht automatisch, dass die Organisation gegen das Gesetz verstoßen hat. Es verdeutlicht aber den Unterschied zwischen der Verwaltung einer KI-Anwendung und der Kontrolle der von ihr beeinflussten Entscheidungen.

Die Genehmigung stellt sicher, dass ein System genutzt werden kann. Die Governance muss erläutern, wie es angewendet wird und was geschieht, wenn jemand das Ergebnis anfechtet.

Welche Verbraucherrechte sieht Colorado vor?

SB 26-189 führt Verbraucherschutzmaßnahmen im Zusammenhang mit der erfassten automatisierten Entscheidungsfindungstechnologie ein.

Für Anwender umfassen diese Schutzmaßnahmen auch die entsprechenden Benachrichtigungspflichten, wenn die abgedeckte Technologie dazu genutzt wird, weitreichende Entscheidungen wesentlich zu beeinflussen.

Wenn eine automatisierte Entscheidung, die unter diese Regelung fällt, zu einem negativen Ergebnis führt, verlangt das Gesetz außerdem, dass innerhalb von 30 Tagen eine Beschreibung der Rolle der Technologie in einfacher Sprache vorgelegt wird, vorbehaltlich der gesetzlichen Bestimmungen und der Durchführungsbestimmungen.

Verbrauchern stehen außerdem Rechte zu, die die Auskunft über personenbezogene Daten, die Berichtigung sachlich unrichtiger Informationen sowie eine sinnvolle menschliche Überprüfung und Neubewertung nach bestimmten negativen Ereignissen umfassen.

Diese Anforderungen werfen praktische Fragen darüber auf, wie Organisationen personenbezogene Daten im Rahmen automatisierter Entscheidungsprozesse verwalten.

Beispielsweise gestaltet sich die Korrektur ungenauer Daten schwieriger, wenn Teams nicht feststellen können, woher die Informationen stammen, welche Systeme sie verarbeitet haben oder wie sie einen bestimmten Arbeitsablauf beeinflusst haben.

Ebenso wird eine sinnvolle menschliche Überprüfung schwieriger, wenn den Entscheidungsträgern der Zugang zu relevanten Dokumenten und Datenkontexten fehlt.

Verbraucherrechte sind betriebliche Anforderungen. Organisationen benötigen Prozesse, die diese Rechte unterstützen, nicht nur Richtlinien, die deren Existenz anerkennen.

Welche Durchsetzungsrisiken bestehen?

Der Generalstaatsanwalt von Colorado ist für die Durchsetzung des Gesetzes über automatisierte Entscheidungstechnologien im Rahmen des Verbraucherschutzgesetzes von Colorado zuständig.

Verstöße werden gemäß den geltenden gesetzlichen Bestimmungen als irreführende Geschäftspraktiken behandelt.

Bevor der Generalstaatsanwalt vor dem 1. Januar 2030 ein Durchsetzungsverfahren einleitet, muss er eine 60-tägige Frist einhalten und dem Betroffenen Gelegenheit zur Behebung des mutmaßlichen Verstoßes geben, sofern eine Behebung als möglich erachtet wird.

Das Gesetz begründet kein neues Klagerecht für Privatpersonen. Es regelt jedoch, wie die Verantwortung zwischen Entwicklern und Betreibern in Zivilprozessen wegen angeblicher unrechtmäßiger Diskriminierung nach geltendem Recht aufgeteilt werden kann.

Für Organisationen unterstreicht dies den Wert der Führung von Aufzeichnungen, aus denen hervorgeht, welche Systeme verwendet wurden, welche Kontrollen angewendet wurden und wie relevante Bedenken behandelt wurden.

Wie sollten sich Organisationen auf Januar 2027 vorbereiten?

Anstatt ein KI-Governance-Programm auf der Grundlage einer weiteren eigenständigen Checkliste neu aufzubauen, können Organisationen damit beginnen, bestehende Technologien, Daten und Compliance-Prozesse mit folgenreichen Entscheidungen zu verknüpfen.

Wie BigID die Operationalisierung der KI-Governance unterstützt

Die sich wandelnden Anforderungen in Colorado verdeutlichen eine umfassendere Herausforderung für Unternehmen: Governance-Teams müssen die automatisierte Technologie im Kontext der von ihr verwendeten Daten und der von ihr unterstützten Geschäftsentscheidungen verstehen.

BigID hilft Unternehmen beim Aufbau dieser Grundlage, indem es KI-Erkennung, sensible Datenanalyse, Identitäts- und Zugriffskontext, Herkunft und Risiko miteinander verbindet.

• KI-Entdeckung: Identifizieren Sie KI-Assets, Modelle, Anwendungen, Agenten und Schatten-KI in unternehmensweiten Umgebungen.
• Ermittlung sensibler Daten: Persönliche und regulierte Informationen, die von automatisierten Systemen verwendet werden können, finden und klassifizieren.
• Datenherkunft: Verstehen, woher relevante Informationen stammen und wie sie sich in vernetzten Umgebungen verbreiten.
• KI-Zugriffssteuerung: Untersuchen Sie Zugriffsbeziehungen zwischen Personen, Servicekonten, Anwendungen und KI-Identitäten.
• KI-Risikomanagement: Verknüpfen Sie Sensibilität, Zugriffsrechte, Geschäftskontext und Richtlinien, um potenzielle Gefährdungen zu identifizieren und zu priorisieren.
• Nachweise zur Regierungsführung: Unterstützung bei Bedarf hinsichtlich Bedarfsanalysen, Verantwortlichkeiten, Aufsicht und Dokumentation für die Einhaltung regulatorischer Vorgaben.

Diese Funktionen können Sicherheits-, Datenschutz-, Daten- und KI-Governance-Teams dabei helfen, relevante Datenrisiken zu untersuchen und die Kontrollen im Zusammenhang mit automatisierten Entscheidungsprozessen zu unterstützen.

BigID prüft nicht eigenständig, ob eine Entscheidung dem Recht des US-Bundesstaates Colorado entspricht, und ersetzt auch nicht die für betroffene Organisationen vorgeschriebenen manuellen Prüfverfahren. Sein Nutzen besteht darin, Teams dabei zu helfen, die Unternehmensdaten und Zugriffsbeziehungen, die ihren KI-Programmen zugrunde liegen, zu verstehen und zu steuern.

Warum die Einhaltung der KI-Vorschriften in Colorado kein isoliertes Thema sein sollte

Colorado ist Teil eines umfassenderen regulatorischen Wandels hin zu mehr Verantwortlichkeit für KI und automatisierte Entscheidungsfindung.

Organisationen, die in mehreren Rechtsordnungen tätig sind, können mit unterschiedlichen Anforderungen in Bezug auf Offenlegungspflichten, weitreichende Entscheidungen, Risikomanagement, menschliche Aufsicht, Datenschutz und regulatorische Nachweise konfrontiert sein.

Die Führung separater Bestandslisten und die Einrichtung separater Verwaltungsprozesse für jedes einzelne Gesetz können zu Doppelarbeit und uneinheitlicher Transparenz führen.

Ein nachhaltigerer Ansatz besteht darin, ein gemeinsames Verständnis von KI-Systemen, personenbezogenen Daten, Identitäten, Geschäftszweck, Entscheidungsprozessen und Risiken zu schaffen und darauf aufbauend die jeweiligen Verpflichtungen der einzelnen Rechtsordnungen abzubilden.

BigIDs Globaler KI-Regulierungs-Tracker hilft Organisationen dabei, die sich verändernde regulatorische Landschaft im Bereich KI in den US-Bundesstaaten und internationalen Rechtsordnungen zu erkunden.

Colorado AI Act: Häufig gestellte Fragen

Gilt das ursprüngliche Colorado AI Act noch immer als aktueller Compliance-Rahmen?

Colorado verabschiedete im Mai 2026 das Gesetz SB 26-189, das die ursprünglichen Bestimmungen des SB 24-205 aufhob und durch ein neues Gesetz zur automatisierten Entscheidungsfindung ersetzte. Organisationen, die sich auf zukünftige Verpflichtungen vorbereiten, sollten die neue Gesetzgebung und die zugehörigen Durchführungsbestimmungen prüfen und sich nicht allein auf die älteren Richtlinien des SB 24-205 verlassen.

Wann tritt Colorados neues KI-Gesetz in Kraft?

Die inhaltlichen Anforderungen des Colorado Automated Decision-Making Technology Act sollen am 1. Januar 2027 in Kraft treten. Der Generalstaatsanwalt von Colorado ist für die Umsetzung der Regelungen im Rahmen des neuen Gesetzes verantwortlich.

Was versteht man unter automatisierter Entscheidungsfindungstechnologie nach dem Recht von Colorado?

SB 26-189 definiert automatisierte Entscheidungstechnologie als Technologie, die personenbezogene Daten verarbeitet und mithilfe von Berechnungen Informationen wie Vorhersagen, Empfehlungen, Ranglisten, Klassifizierungen oder Bewertungen generiert, die zur Entscheidungsfindung, -leitung oder -unterstützung in Bezug auf Einzelpersonen dienen. Die Kernverpflichtungen konzentrieren sich auf die erfasste Technologie, die maßgeblichen Entscheidungen dient.

Welche Entscheidungen gelten als folgenschwer?

Zu den folgenreichen Entscheidungen gehören Entscheidungen über den Zugang zu, die Berechtigung zu oder die Entschädigung im Zusammenhang mit Beschäftigung, Bildung, Wohnraum, Finanz- und Kreditdienstleistungen, Versicherungen, Gesundheitsdienstleistungen und wesentlichen staatlichen Dienstleistungen oder öffentlichen Leistungen.

Verpflichtet Colorado jedes Unternehmen, das KI einsetzt, zur Durchführung einer Folgenabschätzung?

Das Nachfolgegesetz übernimmt nicht einfach den ursprünglichen Rahmen für die Folgenabschätzung gemäß SB 24-205 als universelle Anforderung für alle Organisationen, die KI einsetzen. Organisationen sollten die spezifischen Pflichten gemäß SB 26-189, ihre Rolle als Entwickler oder Anwender, geltende Ausnahmen und Durchführungsbestimmungen prüfen. Risikobewertungen können auch dann wertvolle Governance-Praktiken bleiben, wenn sie für eine bestimmte Anwendung nicht ausdrücklich vorgeschrieben sind.

Welche Rechte haben Verbraucher nach dem neuen Gesetz in Colorado?

Für die erfassten automatisierten Entscheidungstechnologien legt das Gesetz die geltenden Benachrichtigungs- und Erläuterungspflichten, die Rechte im Zusammenhang mit Anfragen zu personenbezogenen Daten und der Berichtigung sachlich unrichtiger Daten sowie die sinnvolle menschliche Überprüfung und Neubewertung nach bestimmten nachteiligen Entscheidungen fest.

Welche Aufzeichnungen müssen Entwickler und Bereitsteller führen?

SB 26-189 verpflichtet Entwickler und Anwender, Aufzeichnungen, die die Einhaltung der geltenden Anforderungen belegen, mindestens drei Jahre lang aufzubewahren. Organisationen sollten prüfen, welche technischen Dokumentationen, Mitteilungen, Anfragen, Entscheidungen und sonstigen Nachweise für ihre Verpflichtungen relevant sind.

Wie unterstützt BigID die Bereitschaft Colorados zur Einhaltung der KI-Vorschriften?

BigID unterstützt Unternehmen bei der Ermittlung von KI-Assets, der Identifizierung und Klassifizierung sensibler Daten, dem Verständnis von Herkunft und Zugriffsbeziehungen, der Bewertung datenbezogener KI-Risiken und der Erstellung von Governance-Dokumentationen. Diese Funktionen helfen Teams bei der Umsetzung von KI-Sicherheit und -Governance, gewährleisten jedoch nicht eigenständig die Einhaltung gesetzlicher Bestimmungen.

Quellen und weiterführende Literatur

• Generalversammlung von Colorado: SB 26-189 Automatisierte Entscheidungsfindungstechnologie
• Generalversammlung von Colorado: SB 24-205 Verbraucherschutz für künstliche Intelligenz
• Generalstaatsanwalt von Colorado: Regelungserstellung für Technologien zur automatisierten Entscheidungsfindung
• BigID Global AI Regulation Tracker

Dieser Artikel dient allgemeinen Informationszwecken und stellt keine Rechtsberatung dar. Organisationen sollten sich hinsichtlich der Anwendbarkeit des Rechts von Colorado auf ihre Aktivitäten von qualifizierten Rechtsberatern beraten lassen. Regulatorische Anforderungen und Durchführungsbestimmungen können sich ändern.

Autor

Lonnie Ross

Leiter für Digital Experience-Marketing

Lonnie ist Digital Experience Marketing Lead bei BigID und bringt über ein Jahrzehnt SEO- und Digitalmarketing-Expertise für B2C- und B2B-Unternehmen in den Bereichen SaaS und E-Commerce mit. Durch seine Tätigkeit sowohl im Technologiebereich als auch auf Agenturebene verbindet Lonnie fundierte Kenntnisse in Suchstrategie, UX und Content-Entwicklung mit einer Leidenschaft für die sich entwickelnde Landschaft des Datenschutzes. Von der Ausrichtung von Inhalten auf die Suchabsicht bis hin zur Schärfung der Markenstimme sorgt Lonnie dafür, dass Unternehmen sich nicht nur im wettbewerbsintensiven SaaS-Markt abheben, sondern auch durch ihre Vordenkerrolle bei kritischen Themen wie Compliance, Datenrisiken und verantwortungsvoller Innovation Vertrauen aufbauen.