Colorado AI Act und KI-Gesetze der US-Bundesstaaten: Der vollständige Compliance-Leitfaden für 2026

Am 17. Mai 2024 unterzeichnete Colorados Gouverneur Jared Polis das Senate Bill 24-205, den Colorado Artificial Intelligence Act, und machte Colorado damit zum ersten US-Bundesstaat, der umfassende, branchenübergreifende Gesetze zum Einsatz künstlicher Intelligenz bei Entscheidungen mit hohem Gewicht erlassen hat. Eine Änderung vom Mai 2026 (von Gouverneur Polis am 14. Mai 2026 unterzeichnet) verschob dann das Inkrafttreten auf den 1. Januar 2027 und schränkte das Gesetz erheblich ein, und für jede Organisation, die KI-Systeme entwickelt oder betreibt, die Einwohner Colorados betreffen, tickt die Compliance-Uhr bereits.

Aber Colorado steht nicht allein. In den gesamten Vereinigten Staaten formt eine Welle bundesstaatlicher KI-Gesetzgebung das regulatorische Umfeld neu. Von den Sicherheitsanforderungen Kaliforniens für Frontier-Modelle bis zu Illinois' Beschränkungen für KI in Videointerviews stehen national tätige Unternehmen nun vor einem Flickenteppich sich überschneidender und teils widersprüchlicher KI-Pflichten, der die Komplexität rivalisiert, mit der europäische Organisationen unter dem EU AI Act konfrontiert sind.

Dieser Leitfaden liefert eine detaillierte Aufschlüsselung von Colorado SB 205, der breiteren KI-Regulierungslandschaft der US-Bundesstaaten und der praktischen Schritte, um ein Compliance-Programm aufzubauen, das über Rechtsordnungen hinweg funktioniert. Wenn Sie sowohl in den USA als auch in der EU tätig sind, siehe unseren globalen KI-Regulierungsvergleich.

• Colorado SB 24-205 ist das umfassendste KI-Gesetz eines US-Bundesstaats, aber eine Änderung vom Mai 2026 verschob das Inkrafttreten auf den 1. Januar 2027 und verengte den Anwendungsbereich. Es gilt für jede Einrichtung, die "Hochrisiko-KI-Systeme" entwickelt oder betreibt, die "folgenreiche Entscheidungen" über Einwohner Colorados treffen oder wesentlich beeinflussen.
• Acht Bereiche sind abgedeckt: Beschäftigung, Kreditvergabe, Wohnen, Versicherung, Gesundheitswesen, Bildung, staatliche Dienstleistungen und Rechtsdienstleistungen. Wenn Ihr KI-System in einem dieser Bereiche arbeitet, sind Sie im Anwendungsbereich.
• Entwickler müssen Trainingsdaten dokumentieren, bekannte Diskriminierungsrisiken offenlegen, entdeckte Schwachstellen innerhalb von 90 Tagen an Betreiber und den Generalstaatsanwalt Colorados melden und eine öffentliche Erklärung zu jedem Hochrisiko-System veröffentlichen.
• Betreiber stehen nach der Änderung vom Mai 2026 vor einem verengten Pflichtenkatalog, der sich auf die Offenlegung automatisierter Entscheidungstechnologie (ADMT) konzentriert: eine Vorab-Mitteilung, dass KI eingesetzt wird, eine Offenlegung nach einem nachteiligen Ergebnis, die die Rolle der KI erklärt, und einen begrenzten Satz von Verbraucherrechten. Die Sorgfaltspflicht, das Risikomanagementprogramm und die jährlichen Folgenabschätzungen des ursprünglichen Gesetzes wurden durch die Änderung gestrichen.
• Es besteht eine affirmative Verteidigung für Organisationen, die dem NIST AI Risk Management Framework und ISO 42001 (oder im Wesentlichen gleichwertigen Frameworks) folgen und einen Prozess unterhalten, um Verstöße zu entdecken und zu beheben.
• Die Sanktionen erreichen 20.000 USD pro Verstoß (bis zu 50.000 USD bei Verstößen, die Personen ab 60 Jahren betreffen), durchgesetzt ausschließlich vom Generalstaatsanwalt Colorados, ein privates Klagerecht gibt es nicht.
• Colorado ist nicht allein. Allein in den Sitzungsperioden 2024-2025 wurden über 700 KI-bezogene Gesetzentwürfe in den Parlamenten der US-Bundesstaaten eingebracht, wobei Kalifornien, New York, Illinois, Texas und Connecticut zu den aktivsten gehörten.
• Praktische Strategie: Bauen Sie Ihr Compliance-Programm nach dem EU AI Act als höchstem gemeinsamen Nenner auf und legen Sie dann Colorado-spezifische Anforderungen an Verbraucherbenachrichtigung und AG-Meldung darüber. Nutzen Sie ISO 42001 und das NIST AI RMF als operatives Rückgrat.

Die KI-Regulierungslandschaft der US-Bundesstaaten 2026

Kein umfassendes Bundes-KI-Gesetz

Trotz jahrelanger Kongressanhörungen und mehrerer Gesetzentwürfe fehlt den Vereinigten Staaten Stand Mitte 2026 immer noch ein umfassendes Bundes-KI-Gesetz. Die Executive Order 14110 aus der Biden-Ära (Oktober 2023) führte Meldepflichten für Entwickler von Frontier-KI ein, aber Executive Orders haben nicht die Kraft eines Gesetzes, und zentrale Bestimmungen wurden Anfang 2025 aufgehoben.

Die Bundesregulierung von KI bleibt sektorspezifisch: Die FDA regelt KI in Medizinprodukten, die EEOC wendet Title VII auf algorithmische Diskriminierung bei der Einstellung an, und die FTC nutzt ihre Befugnis nach Section 5 gegen irreführende KI-Praktiken. Es gibt keine einzige Bundesbehörde und kein einziges Regelwerk, das horizontal über alle KI-Anwendungsfälle hinweg gilt.

Bundesstaaten füllen die Lücke

In Ermangelung von Maßnahmen auf Bundesebene sind die bundesstaatlichen Parlamente offensiv eingesprungen. Mehr als 700 KI-bezogene Gesetzentwürfe wurden während der Sitzungsperioden 2024-2025 in 45 Bundesstaaten eingebracht. Während viele enge Themen adressieren, Deepfake-Wahlinhalte, öffentliche Beschaffung, legt eine wachsende Zahl breite, branchenübergreifende KI-Governance-Pflichten für private KI-Entwickler und -Betreiber auf.

Das bedeutendste davon ist Colorado SB 24-205, aber es steht in einem sich rasant entwickelnden Ökosystem, das umfasst:

• California SB 53, Sicherheitstests und -berichte für Frontier-KI-Modelle
• New Yorks RAISE Act, vorgeschlagene umfassende KI-Rechenschaftspflicht
• Illinois AI Video Interview Act (AIVIRA), Einwilligung und Offenlegung für KI-analysierte Bewerbungsgespräche
• Connecticut SB 2, KI-Transparenz und -Rechenschaftspflicht (unterzeichnet Mai 2024)
• Texas TRAIGA (HB 149), Responsible AI Governance Act, in Kraft gesetzt und wirksam ab 1. Januar 2026 (nur AG-Durchsetzung, 60-tägige Nachbesserungsfrist)
• Utah AI Policy Act (SB 149), Anforderungen an KI-Governance und -Offenlegung (unterzeichnet März 2024)

Die Herausforderung des Flickenteppichs

Für national tätige Organisationen schafft dieser Flickenteppich eine vervielfachte Compliance-Last: sich überschneidende Anwendungsbereiche (ein einziges KI-Recruiting-Tool kann gleichzeitig Colorado SB 205, Illinois AIVIRA und EEOC-Leitlinien auslösen), inkonsistente Definitionen von "Hochrisiko" und "algorithmischer Diskriminierung", unterschiedliche Durchsetzungsmechanismen und sich schnell ändernde Anforderungen. Die praktische Konsequenz: Nach dem strengsten Standard zu bauen, ist die effizienteste Strategie. Für die meisten Organisationen bedeutet das, den EU AI Act als Compliance-Obergrenze zu nutzen und bundesstaatsspezifische Anforderungen als lokale Ergänzungen zu ordnen.

Colorado SB 24-205, das umfassendste KI-Gesetz eines US-Bundesstaats

Colorado SB 24-205, kodifiziert unter C.R.S. § 6-1-1701 ff., stellt den weitreichendsten Versuch eines US-Bundesstaats dar, KI branchenübergreifend zu regulieren. Anders als engere bundesstaatliche Gesetze, die spezifische Anwendungsfälle adressieren (Einstellungsalgorithmen, Versicherungsprüfung), gilt Colorados Gesetz horizontal für jedes KI-System, das "folgenreiche Entscheidungen" trifft oder wesentlich beeinflusst.

Inkrafttreten: 1. Januar 2027

Das Gesetz wurde am 17. Mai 2024 unterzeichnet, aber eine Änderung vom Mai 2026 (von Gouverneur Polis am 14. Mai 2026 unterzeichnet) verschob das Inkrafttreten auf den 1. Januar 2027 und verengte den Anwendungsbereich des Gesetzes, am bedeutsamsten strich sie die Sorgfaltspflicht, das Risikomanagementprogramm und die Folgenabschätzungsanforderungen für Betreiber und richtete das Gesetz auf die Offenlegung automatisierter Entscheidungstechnologie (ADMT) aus. Das Büro des Generalstaatsanwalts Colorados wird vor dem Inkrafttreten weitere Auslegungsleitlinien veröffentlichen, aber Organisationen sollten nicht warten, die gesetzlichen Anforderungen sind klar genug, um jetzt zu handeln.

Anwendungsbereich: "Folgenreiche Entscheidungen" in acht Bereichen

SB 205 gilt für "Hochrisiko-Systeme künstlicher Intelligenz", definiert als jedes KI-System, das bei seinem Einsatz eine "folgenreiche Entscheidung" über einen Verbraucher trifft oder ein wesentlicher Faktor bei deren Treffen ist. Das Gesetz definiert "folgenreiche Entscheidung" als eine Entscheidung, die eine wesentliche rechtliche oder ähnlich bedeutende Auswirkung auf den Zugang eines Verbrauchers zu, oder auf die Kosten, Bedingungen oder Verfügbarkeit von, Dienstleistungen oder Möglichkeiten in einem der folgenden acht Bereiche hat.

Die acht Bereiche folgenreicher Entscheidungen

Die Breite dieser Bereiche bedeutet, dass die meisten Unternehmens-KI-Anwendungen im Anwendungsbereich sind, wenn sie Einwohner Colorados betreffen. Ein KI-gestütztes Bewerbermanagementsystem, ein Kredit-Scoring-Modell, ein Versicherungstarifierungsalgorithmus oder ein klinisches Entscheidungsunterstützungstool würden alle in die Reichweite des Gesetzes fallen.

Algorithmische Diskriminierung definiert

Im Zentrum von SB 205 steht das Konzept der "algorithmischen Diskriminierung", definiert als jeder Zustand, in dem der Einsatz eines KI-Systems zu einer unrechtmäßigen unterschiedlichen Behandlung oder Auswirkung führt, die eine Person oder Personengruppe aufgrund eines oder mehrerer geschützter Merkmale benachteiligt.

Diese Definition ist wichtig, weil sie den Colorado AI Act ausdrücklich an bestehendes Antidiskriminierungsrecht knüpft, statt einen neuartigen Standard zu schaffen. Wenn die unterschiedliche Behandlung nach Title VII, dem Fair Housing Act, dem Equal Credit Opportunity Act oder Colorados eigenem Anti-Discrimination Act (C.R.S. § 24-34-301 ff.) unrechtmäßig wäre, dann stellt sie auch nach SB 205 algorithmische Diskriminierung dar.

Eine Anleitung zum Testen Ihrer KI-Systeme auf Bias und Diskriminierung finden Sie in unserem Leitfaden zu Bias-Tests und Fairness.

Erfasste geschützte Merkmale

SB 205 erfasst einen breiten Satz geschützter Merkmale, darunter:

• Rasse, Hautfarbe, Ethnie und nationale Herkunft
• Geschlecht, Geschlechtsidentität und sexuelle Orientierung
• Religion und Weltanschauung
• Behinderung (körperlich und geistig)
• Alter (mit erhöhten Sanktionen bei Schaden für Personen ab 60 Jahren)
• Veteranenstatus
• Familienstand
• Genetische Informationen

Diese Liste ist erheblich breiter als das, was manche föderalen Antidiskriminierungsgesetze in einem einzelnen Bereich abdecken, und deckt sich eng mit den geschützten Merkmalen, die unter den Bestimmungen des EU AI Act zu Hochrisiko-Systemen anerkannt sind.

Pflichten von Entwicklern unter Colorado SB 205

SB 205 unterscheidet zwischen "Entwicklern" (Einrichtungen, die ein KI-System gestalten, programmieren oder wesentlich verändern) und "Betreibern" (Einrichtungen, die ein KI-System nutzen, um folgenreiche Entscheidungen zu treffen oder zu beeinflussen). Das spiegelt die Unterscheidung zwischen Anbieter/Betreiber im EU AI Act wider, wenngleich sich die konkreten Pflichten unterscheiden.

Entwickler von Hochrisiko-KI-Systemen tragen unter SB 205 vier primäre Pflichtenkategorien.

1. Dokumentation und Offenlegung gegenüber Betreibern

Entwickler müssen Betreibern hinreichend ausreichende Dokumentation bereitstellen, damit der Betreiber seine eigenen Pflichten verstehen und erfüllen kann. Diese Dokumentation muss enthalten:

• Eine allgemeine Beschreibung der Arten von Hochrisiko-KI-Systemen, die der Entwickler bereitstellt, sowie der bekannten nützlichen Anwendungen und vorhersehbaren Risiken dieser Systeme.
• Eine Zusammenfassung auf hoher Ebene der Trainingsdaten, die zur Entwicklung des Systems verwendet wurden, einschließlich der Arten und Quellen der Daten.
• Bekannte oder vernünftigerweise vorhersehbare Grenzen des Systems, einschließlich bekannter Umstände, unter denen das System ungenaue, unzuverlässige oder diskriminierende Ergebnisse erzeugen kann.
• Eine Beschreibung der Datentypen, die das System als Eingaben verarbeitet, und der Ergebnisse, die es erzeugt.
• Dokumentation aller durchgeführten Bewertungen zur Beurteilung der Leistung des Systems, einschließlich etwaiger Tests auf algorithmische Diskriminierung über die vom Gesetz erfassten geschützten Merkmale hinweg.

Diese Anforderung verpflichtet Entwickler faktisch, technische Dokumentation zu erstellen und zu pflegen, die dem entspricht, was der EU AI Act unter Anhang IV verlangt, wenngleich die Colorado-Anforderungen im Format etwas weniger vorschreibend sind.

2. Offenlegung bekannter Diskriminierungsrisiken

Wenn ein Entwickler entdeckt oder eine glaubwürdige Meldung erhält, dass ein von ihm entwickeltes Hochrisiko-KI-System algorithmische Diskriminierung verursacht hat oder vernünftigerweise wahrscheinlich verursachen wird, muss der Entwickler diese Information offenlegen gegenüber:

• Dem Generalstaatsanwalt Colorados
• Allen bekannten Betreibern des Systems

Diese Offenlegung muss innerhalb von 90 Tagen nach der Entdeckung erfolgen. Die 90-Tage-Uhr beginnt, wenn der Entwickler "tatsächliche Kenntnis" hat oder "vernünftigerweise hätte wissen müssen" vom Diskriminierungsrisiko, ein Standard, der proaktive Überwachung statt vorsätzlicher Unkenntnis anreizt.

3. Öffentliche Erklärung zu Hochrisiko-Systemen

Entwickler müssen auf ihrer Website oder über andere leicht zugängliche Mittel eine Erklärung öffentlich verfügbar machen, die beschreibt:

• Die Arten von Hochrisiko-KI-Systemen, die sie entwickelt oder absichtlich und wesentlich verändert haben.
• Wie diese Systeme bekannte oder vernünftigerweise vorhersehbare Risiken algorithmischer Diskriminierung handhaben.

Diese öffentliche Transparenzanforderung geht über das hinaus, was die meisten US-Gesetze verlangen, und ist vergleichbar mit den Transparenzpflichten nach Artikel 50 des EU AI Act.

Geändert im Mai 2026. Das ursprüngliche Gesetz begründete eine allgemeine Sorgfaltspflicht, die von Entwicklern verlangte, "angemessene Sorgfalt" walten zu lassen, um Verbraucher vor bekannten oder vernünftigerweise vorhersehbaren Risiken algorithmischer Diskriminierung zu schützen. Die Änderung vom Mai 2026 strich diese Sorgfaltspflicht und richtete das Gesetz eher auf die Offenlegung automatisierter Entscheidungstechnologie (ADMT) aus als auf einen affirmativen Standard angemessener Sorgfalt. Entwickler sollten dennoch die oben genannten Dokumentations- und Offenlegungspflichten verfolgen, die vor dem Inkrafttreten am 1. Januar 2027 die operativen Anforderungen bleiben.

Pflichten von Betreibern unter Colorado SB 205

Betreiber, die Organisationen, die Hochrisiko-KI-Systeme tatsächlich nutzen, um folgenreiche Entscheidungen zu treffen oder wesentlich zu beeinflussen, standen ursprünglich vor dem detailliertesten und operativ anspruchsvollsten Pflichtenkatalog unter SB 205. Die Änderung vom Mai 2026 verengte diese Pflichten erheblich, richtete das Gesetz auf die Offenlegung automatisierter Entscheidungstechnologie (ADMT) aus und strich die Anforderungen an das Risikomanagementprogramm und die jährliche Folgenabschätzung, die das ursprüngliche Gesetz von 2024 prägten.

Was die Änderung vom Mai 2026 gestrichen hat. Unter dem ursprünglichen Gesetz musste jeder Betreiber eine Risikomanagement-Policy umsetzen (vernünftigerweise darauf ausgelegt, das Risiko algorithmischer Diskriminierung zu erkennen und zu mindern) und jährliche Folgenabschätzungen für jedes Hochrisiko-System durchführen, vor dem Einsatz, jährlich aktualisiert und drei Jahre lang aufbewahrt. Die Änderung vom Mai 2026 strich beide Anforderungen samt der Sorgfaltspflicht des Betreibers. Betreiber müssen kein formelles Risikomanagementprogramm mehr aufstellen und keinen jährlichen FRIA-artigen Folgenabschätzungszyklus mehr durchführen, um Colorados Recht zu erfüllen.

1. ADMT-Vorab-Mitteilung

Nach der Änderung ist die zentrale verbleibende Pflicht die Offenlegung. Bevor ein Betreiber automatisierte Entscheidungstechnologie in einer folgenreichen Entscheidung einsetzt, muss er dem Verbraucher eine Vorab-Mitteilung geben, dass ein KI-System eingesetzt wird, um die Entscheidung zu treffen oder wesentlich zu beeinflussen. Das ist eine Transparenzanforderung, kein materielles Risikomanagement-Gebot.

2. Offenlegung nach nachteiligem Ergebnis und Verbraucherrechte

Wenn ein Betreiber ein KI-System nutzt, um eine folgenreiche Entscheidung zu treffen oder wesentlich zu beeinflussen, die für einen Verbraucher nachteilig ist, muss der Betreiber nach der Entscheidung Folgendes bereitstellen:

• Eine Erklärung, dass ein KI-System eingesetzt wurde, um die Entscheidung zu treffen oder wesentlich zu beeinflussen.
• Eine Beschreibung der Rolle des KI-Systems bei der Entscheidung, in klarer Sprache.
• Kontaktinformationen des Betreibers, damit der Verbraucher weitere Informationen anfordern kann.
• Eine Gelegenheit zur Korrektur unrichtiger personenbezogener Daten, die das KI-System verarbeitet hat.
• Eine Gelegenheit zum Widerspruch gegen die nachteilige Entscheidung und zur Erlangung einer menschlichen Überprüfung.

Diese Offenlegungen nach nachteiligem Ergebnis und der begrenzte Satz von Verbraucherrechten (Korrektur und Widerspruch) sind nach der Änderung die operativen verbraucherbezogenen Anforderungen. Betreiber sollten sie in bestehende kundenbezogene Entscheidungs-Workflows einbauen.

3. Meldung an den Generalstaatsanwalt

Wenn ein Betreiber entdeckt, dass ein von ihm genutztes Hochrisiko-KI-System algorithmische Diskriminierung verursacht hat, muss er den Generalstaatsanwalt Colorados innerhalb von 90 Tagen nach der Entdeckung benachrichtigen. Die Meldung muss die Art der Diskriminierung, das betroffene System, die Zahl der betroffenen Verbraucher (falls bekannt) und die zur Schadensminderung ergriffenen Schritte enthalten.

Die affirmative Verteidigung nach NIST/ISO

Eine der bemerkenswertesten Bestimmungen von SB 205 ist ihre affirmative Verteidigung, ein rechtlicher Mechanismus, der es Entwicklern und Betreibern erlaubt, eine Haftung zu vermeiden, wenn sie nachweisen können, dass sie anerkannten KI-Governance-Frameworks gefolgt sind.

Voraussetzungen für die Verteidigung

Um die affirmative Verteidigung geltend zu machen, muss eine Organisation drei Dinge nachweisen:

1. Framework-Compliance: Die Organisation hat das NIST AI Risk Management Framework (AI RMF 1.0) und ISO/IEC 42001:2023 (die internationale Norm für KI-Managementsysteme) oder im Wesentlichen in Strenge und Umfang gleichwertige Frameworks übernommen und eingehalten.

2. Prozess zum Entdecken und Beheben: Die Organisation hat einen Prozess umgesetzt, um Verstöße gegen das Gesetz zu entdecken und zu beheben, einschließlich laufender Überwachung und Tests auf algorithmische Diskriminierung.

3. Nachbesserung in gutem Glauben: Wenn ein Verstoß durch diesen Prozess entdeckt wird, hat die Organisation rechtzeitige und angemessene Korrekturmaßnahmen ergriffen, um ihn zu beheben.

Was das in der Praxis bedeutet

Die affirmative Verteidigung ist kein sicherer Hafen, sie immunisiert Organisationen nicht gegen Ermittlungen. Sie ist vielmehr eine Verteidigung, die erhoben wird, nachdem der Generalstaatsanwalt eine Durchsetzungsmaßnahme eingeleitet hat. Organisationen, die in strukturierte KI-Governance investieren, gewinnen eine verteidigungsfähige Rechtsposition, falls Probleme auftreten.

Für Organisationen, die Compliance-Programme von Grund auf aufbauen, liefert die Verteidigung eine klare Roadmap:

1. NIST AI RMF umsetzen, ordnen Sie Ihre KI-Systeme über die vier Kernfunktionen ein: Govern, Map, Measure und Manage. Siehe unseren Leitfaden zum KI-Governance-Framework für Schritt-für-Schritt-Anweisungen.
2. Nach ISO 42001 zertifizieren, oder deren Anforderungen materiell umsetzen, auch ohne formelle Zertifizierung. Unser Leitfaden zur ISO-42001-Zertifizierung behandelt den Prozess im Detail.
3. Laufende Überwachung einrichten, setzen Sie Bias-Tests, Drift-Erkennung und Fairness-Auditing-Tools kontinuierlich oder periodisch ein. Siehe unseren Leitfaden zu Bias-Tests für Methoden.
4. Nachbesserungsbemühungen dokumentieren, wenn Probleme gefunden werden, dokumentieren Sie den Befund, die Ursachenanalyse, die ergriffene Korrekturmaßnahme und das Ergebnis. Diese Nachweiskette macht die Verteidigung glaubwürdig.

Für Organisationen, die bereits EU-AI-Act-Compliance verfolgen, ist die Überschneidung erheblich, harmonisierte EU-Normen schöpfen stark aus ISO 42001 und decken sich mit den Prinzipien des NIST AI RMF. Ein einziges Governance-Framework aufzubauen, das beide Regime erfüllt, ist der empfohlene Ansatz.

Sanktionen und Durchsetzung

Bußgeldstruktur

Der Generalstaatsanwalt Colorados kann zivilrechtliche Durchsetzungsmaßnahmen bei Verstößen gegen SB 205 verfolgen, mit folgender Sanktionsstruktur:

Jeder einzelne betroffene Verbraucher zählt als separater Verstoß, was bedeutet, dass ein einziges diskriminierendes KI-System, das im großen Maßstab eingesetzt wird, eine Sanktionsexposition in Millionenhöhe erzeugen könnte.

Ausschließliche Durchsetzung durch den Generalstaatsanwalt

Entscheidend ist, dass SB 205 kein privates Klagerecht schafft. Einzelne Verbraucher können Entwickler oder Betreiber nicht direkt nach dem Colorado AI Act verklagen. Die Durchsetzungsbefugnis liegt ausschließlich beim Generalstaatsanwalt Colorados, der potenzielle Verstöße untersuchen, zivile Ermittlungsersuchen stellen und Durchsetzungsmaßnahmen vor einem Gericht des Bundesstaats einleiten kann.

Auch wenn das bedeutet, dass Einzelklagen kein direktes Risiko sind, birgt eine AG-Durchsetzungsmaßnahme ein erhebliches Reputationsrisiko und kann zu Zustimmungsbeschlüssen und verpflichtenden Compliance-Programmen führen.

Teilweise Ausnahme für KMU

SB 205 enthält eine teilweise Ausnahme für kleine und mittlere Unternehmen. Organisationen mit weniger als 50 Vollzeitbeschäftigten sind von bestimmten Anforderungen ausgenommen. Da die Änderung vom Mai 2026 die jährliche Folgenabschätzung und die Risikomanagement-Policy-Pflichten bereits flächendeckend gestrichen hat, ist die praktische Wirkung, dass KMU weiterhin dem Kernverbot algorithmischer Diskriminierung und den ADMT-Offenlegungspflichten unterliegen.

KMU-Betreiber müssen weiterhin:

• Verbraucherbenachrichtigung für nachteilige KI-beeinflusste Entscheidungen bereitstellen
• Bekannte algorithmische Diskriminierung innerhalb von 90 Tagen an den AG melden
• Davon absehen, KI-Systeme in einer Weise einzusetzen, die unrechtmäßige Diskriminierung verursacht

Für Startups und kleinere Unternehmen, die KI-Compliance breiter navigieren, siehe unseren EU-AI-Act-Compliance-Leitfaden für Startups und KMU für zusätzliche Strategien.

Weitere wichtige KI-Gesetze der US-Bundesstaaten

Auch wenn Colorado SB 205 das umfassendste ist, haben mehrere andere Bundesstaaten bedeutende KI-Gesetze erlassen oder treiben sie voran, die Organisationen verfolgen müssen.

California SB 53, Sicherheitstests und -berichte für Frontier-KI

California SB 53, der Transparency in Frontier Artificial Intelligence Act (TFAIA), im September 2025 in Kraft gesetzt und wirksam ab 1. Januar 2026, zielt auf Frontier-KI-Modelle, großskalige Modelle mit Fähigkeiten, die definierte Rechenschwellen überschreiten. Das Gesetz verlangt von Entwicklern erfasster Modelle, Sicherheitstests vor dem Einsatz durchzuführen (einschließlich Red-Teaming für katastrophale Risikoszenarien), Sicherheitsberichte zu veröffentlichen, Notabschaltmechanismen für eine schnelle Abschaltung umzusetzen und Prozesse zur Vorfallmeldung zu unterhalten. Der Generalstaatsanwalt Kaliforniens kann zivilrechtliche Sanktionen von bis zu 1 Million USD pro Verstoß verfolgen. SB 53 ist enger als Colorado SB 205, es gilt nur für Entwickler von Frontier-Modellen, nicht für Betreiber, aber Kaliforniens Einfluss auf die Techbranche bedeutet, dass seine Anforderungen wahrscheinlich zu faktischen nationalen Standards werden.

New York RAISE Act

New Yorks Responsible AI Safety and Education (RAISE) Act ist ein vorgeschlagener umfassender Gesetzentwurf zur KI-Rechenschaftspflicht, der ein staatliches KI-Register, algorithmische Folgenabschätzungen vor dem Einsatz, Verbraucherbenachrichtigungsrechte ähnlich denen Colorados und, entscheidend, ein privates Klagerecht schaffen würde, das Einzelpersonen erlaubt, direkt zu klagen. Stand Anfang 2026 bleibt der RAISE Act in der Ausschussberatung, aber falls er erlassen wird, würde sein privates Klagerecht ihn zum klägerfreundlichsten KI-Gesetz des Landes machen.

Illinois AI Video Interview Act (AIVIRA)

Illinois war ein früher Vorreiter mit dem Artificial Intelligence Video Interview Act (820 ILCS 42/), wirksam ab 1. Januar 2020. Das Gesetz verlangt von Arbeitgebern, die KI zur Analyse von Videointerviews einsetzen, jeden Bewerber zu benachrichtigen, zu erklären, was die KI bewertet, eine schriftliche Einwilligung einzuholen, die Weitergabe des Videos auf qualifizierte Prüfer zu beschränken und Aufnahmen innerhalb von 30 Tagen nach Aufforderung eines Bewerbers zu vernichten. AIVIRA ist eng auf Videointerviews fokussiert, aber es etablierte die Vorlage für KI-Einwilligungs- und Offenlegungsanforderungen, auf denen spätere bundesstaatliche Gesetze aufgebaut haben.

Texas, Connecticut und weitere aufkommende Gesetzentwürfe

Vergleichstabelle: Zentrale KI-Gesetze der US-Bundesstaaten

Vergleich EU AI Act vs. Colorado AI Act

Für Organisationen, die beiden Regimen unterliegen, ist das Verständnis von Überschneidung und Abweichung zwischen dem EU AI Act und Colorado SB 205 entscheidend, um ein effizientes, einheitliches Compliance-Programm aufzubauen.

Wie man beide gleichzeitig erfüllt

Die gute Nachricht ist, dass eine Organisation, die den EU AI Act erfüllt, bereits die Mehrheit der Anforderungen von Colorado SB 205 erfüllt. Die zentralen Ergänzungen für eine doppelte Compliance sind:

1. Verbraucherbenachrichtigung: Die Transparenzanforderungen des EU AI Act (Artikel 50) fokussieren auf die Offenlegung, dass KI eingesetzt wird, aber Colorados Anforderungen sind vorschreibender, Sie müssen die Rolle der KI offenlegen, Kontaktinformationen bereitstellen und speziell für nachteilige Entscheidungen Widerspruchs- und Datenkorrekturrechte anbieten.

2. AG-Meldung: Der EU AI Act verlangt die Meldung an zuständige nationale Behörden; Colorado verlangt eine separate Meldung an den Generalstaatsanwalt des Bundesstaats innerhalb von 90 Tagen. Bauen Sie das als parallelen Benachrichtigungs-Workflow in Ihren Vorfallreaktionsprozess ein.

3. Ausrichtung am NIST AI RMF: Wenn Sie primär harmonisierte EU-Normen nutzen, ordnen Sie sie dem NIST AI RMF zu, um sicherzustellen, dass die affirmative Verteidigung verfügbar ist. Unser Leitfaden zum Aufbau eines KI-Governance-Frameworks behandelt den Crosswalk zwischen NIST, ISO 42001 und den Anforderungen des EU AI Act.

4. Harmonisierung der Offenlegung: Colorado schreibt keine eigenständige Folgenabschätzung mehr vor (durch die Änderung vom Mai 2026 gestrichen), sodass die EU-FRIA Ihr maßgebliches Bewertungsartefakt bleibt. Verwenden Sie sie wieder, um Colorados ADMT-Vorab-Mitteilung und die Offenlegungen nach nachteiligem Ergebnis über die acht erfassten Bereiche hinweg zu steuern. Siehe unseren FRIA-Leitfaden für die Basisvorlage.

Umsetzungs-Roadmap

Für Organisationen, die sich auf die Colorado-SB-205-Compliance bis zum Inkrafttreten am 1. Januar 2027 vorbereiten, liefert die folgende gestufte Roadmap einen strukturierten Ansatz. Beachten Sie, dass die Änderung vom Mai 2026 die Risikomanagement-Policy- und jährliche-Folgenabschätzungs-Pflichten strich, sodass die Roadmap sich nun auf Scoping, ADMT-Offenlegung und verbraucherbezogene Prozesse konzentriert.

Phase 1: Erfassung und Scoping (jetzt, H1 2026)

• Inventarisieren Sie alle KI-Systeme, die Entscheidungen über Einwohner Colorados treffen oder wesentlich beeinflussen. Siehe unseren Leitfaden zum KI-Systeminventar für die Methodik.
• Klassifizieren Sie jedes System als Hochrisiko (folgenreiche Entscheidung in einem der acht Bereiche) oder außerhalb des Anwendungsbereichs.
• Bestimmen Sie Ihre Rolle für jedes System: Entwickler, Betreiber oder beides.
• Ordnen Sie bestehende Compliance-Assets zu, wenn Sie EU-AI-Act-Dokumentation, NIST-AI-RMF-Mappings oder ISO-42001-Zertifizierungen haben, katalogisieren Sie, was bereits die Colorado-Anforderungen erfüllt.

Phase 2: Governance und verantwortliche Rollen (H2 2026)

• Benennen Sie verantwortliche Rollen, weisen Sie Personen zu, die für KI-Governance, ADMT-Offenlegung, AG-Meldung und die Bearbeitung von Verbraucherrechten zuständig sind.
• Richten Sie sich am NIST AI RMF und ISO 42001 aus als Governance-Best-Practice. Auch wenn die Änderung die formelle Risikomanagementprogramm-Pflicht strich, bleiben diese Frameworks das effizienteste Rückgrat für rechtsordnungsübergreifende Compliance (einschließlich des EU AI Act). Siehe unseren ISO-42001-Leitfaden.
• Dokumentieren Sie Ihre Diskriminierungsrisiko-Haltung, halten Sie Test- und Minderungsnachweise als gute Praxis vor, auch wenn jährliche Folgenabschätzungen nach Colorados Recht nicht mehr vorgeschrieben sind.

Phase 3: ADMT-Offenlegung und Tests (H2 2026)

• Erstellen Sie ADMT-Vorab-Mitteilungen für Systeme, die folgenreiche Entscheidungen über Einwohner Colorados treffen oder wesentlich beeinflussen.
• Führen Sie Tests auf algorithmische Diskriminierung über alle geschützten Merkmale hinweg durch. Dokumentieren Sie Methodik, Ergebnisse und Minderungsschritte. Siehe unseren Leitfaden zu Bias-Tests.
• Richten Sie laufende Überwachungspläne ein, definieren Sie eine Wiederholungstest-Frequenz, die Ihrer Risikoexposition angemessen ist.

Phase 4: Verbraucherbezogene Prozesse (H2 2026)

• Bauen Sie Workflows für die Offenlegung nach nachteiligem Ergebnis in jeden Prozess ein, in dem KI nachteilige folgenreiche Entscheidungen trifft oder wesentlich beeinflusst.
• Setzen Sie Widerspruchs- und menschliche Überprüfungsmechanismen um, stellen Sie sicher, dass Verbraucher nachteilige KI-beeinflusste Entscheidungen anfechten und von einem Menschen überprüfen lassen können.
• Schaffen Sie Datenkorrekturprozesse, Verbraucher müssen unrichtige personenbezogene Daten korrigieren können, die von KI-Systemen genutzt werden.

Phase 5: Meldung und Dokumentation (laufend ab 1. Januar 2027)

• Richten Sie AG-Meldeverfahren ein, definieren Sie den internen Prozess, um meldepflichtige Vorfälle zu erkennen und innerhalb von 90 Tagen beim Generalstaatsanwalt Colorados einzureichen.
• Veröffentlichen Sie öffentliche Erklärungen (Entwickler) zu Hochrisiko-KI-Systemen und zum Umgang mit Diskriminierungsrisiken.
• Führen Sie Offenlegungs- und Nachbesserungsaufzeichnungen, halten Sie Nachweise über ADMT-Mitteilungen, die Bearbeitung von Verbraucherrechten und ergriffene Korrekturmaßnahmen vor.

Schnellstart: Bewerten Sie Ihre KI-Risikoexposition

Nicht sicher, ob Ihre KI-Systeme in den Anwendungsbereich von Colorado SB 205 oder des EU AI Act fallen? Nutzen Sie unser kostenloses AI-Act-Risikoklassifizierungstool, um Ihre Systeme in unter fünf Minuten zu bewerten und eine erste Compliance-Roadmap zu erhalten.

Häufig gestellte Fragen

Gilt Colorado SB 205 für mein Unternehmen, wenn wir nicht in Colorado ansässig sind?

Ja, wenn Ihr KI-System folgenreiche Entscheidungen über Einwohner Colorados trifft oder wesentlich beeinflusst. Wie viele Verbraucherschutzgesetze gilt SB 205 auf Basis des Standorts des betroffenen Verbrauchers, nicht des Standorts des Unternehmens. Wenn Sie ein KI-gestütztes Recruiting-Tool einsetzen, das Bewerbungen von Einwohnern Colorados bewertet, sind Sie ein Betreiber, der SB 205 unterliegt, unabhängig davon, ob Ihr Unternehmen in Kalifornien, New York oder anderswo seinen Sitz hat.

Wie unterscheidet sich "algorithmische Diskriminierung" von herkömmlicher Beschäftigungsdiskriminierung?

Der rechtliche Standard ist derselbe, die Diskriminierung muss nach bestehendem Antidiskriminierungsrecht unrechtmäßig sein. Was SB 205 hinzufügt, ist ein Offenlegungs- und Transparenzrahmen: Entwickler und Betreiber müssen den Einsatz von KI bei folgenreichen Entscheidungen aufdecken und offenlegen. Seit der Änderung vom Mai 2026 sind die operativen Pflichten die ADMT-Offenlegung (Vorab-Mitteilung und Offenlegung nach nachteiligem Ergebnis), begrenzte Verbraucherrechte und die 90-tägige AG-Meldung, ein leichteres Regime als der Folgenabschätzungszyklus des ursprünglichen Gesetzes.

Kann ich die Colorado-Anforderungen erfüllen, indem ich den EU AI Act einhalte?

Im Wesentlichen ja, aber nicht vollständig. Die EU-AI-Act-Compliance deckt die meisten Governance-, Dokumentations- und Risikomanagementanforderungen ab, und da die Änderung vom Mai 2026 Colorados Gesetz auf die ADMT-Offenlegung verengt hat, ist die Lücke kleiner als früher. Die Colorado-spezifischen Ergänzungen, die es aufzusetzen gilt, sind: das ADMT-Offenlegungsformat (Vorab-Mitteilung plus eine Offenlegung nach nachteiligem Ergebnis mit Widerspruchs- und Datenkorrekturrechten) und die 90-tägige AG-Meldepflicht. Bauen Sie diese auf Ihr EU-Programm auf. Siehe unsere EU-AI-Act-Compliance-Checkliste für den Basisrahmen.

Was gilt als "nachteilige" folgenreiche Entscheidung?

SB 205 liefert keine abschließende Definition, aber die gesetzgeberische Absicht ist klar: Eine nachteilige Entscheidung ist eine, die den Verbraucher negativ betrifft, ein abgelehnter Kredit, eine abgelehnte Bewerbung, eine höhere Versicherungsprämie oder ein abgelehnter Leistungsantrag. Im Zweifel entscheiden Sie sich für die Benachrichtigung, die Kosten einer Mitteilung sind minimal im Vergleich zum Durchsetzungsrisiko, es zu unterlassen.

Haben Open-Source-KI-Entwickler Pflichten unter SB 205?

Möglicherweise ja. Die Entwicklerpflichten von SB 205 gelten für Einrichtungen, die Hochrisiko-KI-Systeme "gestalten, programmieren oder wesentlich verändern". Wenn ein Open-Source-Entwickler ein Modell erstellt, das speziell für folgenreiche Entscheidungen bestimmt ist, etwa ein Kredit-Scoring-Modell, gelten die Entwicklerpflichten. Ein Entwickler eines Open-Source-Modells mit allgemeinem Verwendungszweck, das nicht speziell für folgenreiche Entscheidungen konzipiert ist, ist jedoch weniger wahrscheinlich im Anwendungsbereich. Die Unterscheidung hängt von beabsichtigter Nutzung und Vorhersehbarkeit ab.

Wie wirkt Colorado SB 205 mit der Bundes-KI-Regulierung zusammen?

SB 205 bestimmt ausdrücklich, dass es kein Bundesrecht verdrängt oder einschränkt. Bundesbehörden behalten die volle Durchsetzungsbefugnis in ihren jeweiligen Bereichen, was bedeutet, dass ein einziges KI-System gleichzeitig Colorado SB 205, sektorspezifischen Bundesvorschriften und anderen bundesstaatlichen Gesetzen unterliegen könnte. Das untermauert das Argument für den Aufbau eines einheitlichen KI-Governance-Frameworks, das den strengsten geltenden Standard erfüllt.

Nächste Schritte

Der Colorado AI Act stellt einen Wendepunkt in der US-KI-Regulierung dar, das erste umfassende, branchenübergreifende bundesstaatliche Gesetz, das sowohl KI-Entwicklern als auch -Betreibern detaillierte Governance-, Transparenz- und Antidiskriminierungspflichten auferlegt. Auch wenn die Änderung vom Mai 2026 das Inkrafttreten auf den 1. Januar 2027 verschob und das Gesetz auf die ADMT-Offenlegung verengte, sollten Organisationen jetzt handeln, um:

1. Ihre KI-Systeme gegen die acht Bereiche folgenreicher Entscheidungen zu prüfen.
2. Ihr KI-Governance-Framework rund um NIST AI RMF und ISO 42001 aufzubauen oder zu erweitern.
3. Bias-Tests durchzuführen und die Ergebnisse zu dokumentieren.
4. Prozesse für Verbraucherbenachrichtigung und Widerspruch für nachteilige KI-beeinflusste Entscheidungen umzusetzen.
5. AG-Meldeworkflows für entdeckte Diskriminierung einzurichten.

Die Organisationen, die sich früh vorbereiten, vermeiden nicht nur das Durchsetzungsrisiko, sie bauen auch den Governance-Muskel auf, der nötig ist, um den wachsenden Flickenteppich der US-Bundesstaaten-KI-Gesetze und den EU AI Act zu navigieren.

Bereit, Ihre Compliance-Haltung zu bewerten? Beginnen Sie mit unserem kostenlosen AI-Act-Risikobewertungstool oder erkunden Sie unsere EU-AI-Act-Compliance-Checkliste.

Dieser Artikel dient nur zu Informationszwecken und stellt keine Rechtsberatung dar. Konsultieren Sie qualifizierten Rechtsbeistand für auf Ihre Umstände zugeschnittene Beratung. Für eine globale Perspektive siehe unseren Leitfaden KI-Regulierung im Vergleich: EU, USA, UK, China.