Kaliforniens AI Transparency Act wird am 2. August 2026 wirksam, in fünf Tagen. Verabschiedet als SB 942 im September 2024 und umgestaltet durch AB 853, das am 13. Oktober 2025 als Chapter 674 besiegelt wurde, verpflichtet das Gesetz jeden Anbieter generativer KI mit über 1.000.000 monatlichen Besuchern oder Nutzern, der in Kalifornien öffentlich zugänglich ist, ein kostenloses KI-Erkennungstool bereitzustellen, sichtbare KI-Kennzeichnungen anzubieten und latente Provenienzdaten in synthetische Inhalte einzubetten. Der Attorney General, Stadtanwälte und County Counsel können Zivilstrafen von 5.000 Dollar pro Verstoß verlangen, und das Gesetz wertet jeden Tag fortgesetzter Pflichtverletzung als eigenständigen Verstoß.
Was das geänderte Gesetz vorschreibt
Section 22757.6 fasst den Auslöser in einen Satz: “This chapter shall become operative on August 2, 2026.” AB 853 verschob dieses Datum vom 1. Januar 2026 und gewährte der Industrie sieben zusätzliche Monate, die jetzt enden. Das Kapitel, kodifiziert im Business and Professions Code, Section 22757 ff., definiert in Section 22757.1 den covered provider als Person, die ein generatives KI-System mit “over 1,000,000 monthly visitors or users” erstellt, programmiert oder produziert, sofern es innerhalb der geografischen Grenzen des Bundesstaates öffentlich zugänglich ist. Dieselbe Section definiert system provenance data als Daten ohne vernünftige Zuordenbarkeit zu einem einzelnen Nutzer, die Geräte- und Systeminformationen oder Angaben zur Inhaltsauthentizität umfassen.
Drei Pflichten treffen covered provider. Erstens verlangt Section 22757.2 von SB 942, “an AI detection tool at no cost to the user” bereitzustellen. Das Tool muss öffentlich zugänglich sein, Uploads oder URL-Eingaben erlauben und “any system provenance data that is detected in the content” ausgeben; zulässig bleiben angemessene Zugangsbeschränkungen zur Abwehr nachweisbarer Risiken. Zweitens gibt Section 22757.3 Nutzern die Option einer manifesten Kennzeichnung, die Inhalte als KI-generiert ausweist: klar, deutlich sichtbar, medienangemessen und für eine vernünftige Person verständlich. Drittens schreibt dieselbe Section eine latente, in den Inhalt eingebettete Kennzeichnung vor, die den Namen des Anbieters, Name und Versionsnummer des GenAI-Systems, Datum und Uhrzeit der Erstellung oder Änderung sowie eine eindeutige Kennung übermittelt. Beide Kennzeichnungsarten müssen “permanent or extraordinarily difficult to remove, to the extent it is technically feasible” sein.
Die Lizenzregeln verdienen Board-Aufmerksamkeit. Nach Section 22757.3(c) muss ein Anbieter, der sein System lizenziert, vertraglich sicherstellen, dass der Lizenznehmer die Kennzeichnungsfähigkeit des Systems erhält. Entfernt ein Lizenznehmer diese Fähigkeit, muss der Anbieter die Lizenz binnen 96 Stunden nach Entdeckung widerrufen, und der Dritte muss die Nutzung des Systems nach dem Widerruf einstellen. Provenienz-Compliance wandert damit durch die gesamte Vertragskette: Reseller, Integratoren und Enterprise-Deployments.
Wer bis wann handeln muss
AB 853 verwandelte ein Ein-Akteur-Gesetz in ein Regime mit drei Wellen. Welle eins startet am 2. August 2026 und erfasst Anbieter generativer KI oberhalb der Schwelle von 1.000.000 monatlichen Nutzern. Welle zwei startet am 1. Januar 2027: Section 22757.3.1 verpflichtet large online platforms, definiert als Dienste mit über “2,000,000 unique monthly users during the preceding 12 months”, konforme Provenienzdaten zu erkennen, deren Verfügbarkeit in der Benutzeroberfläche anzuzeigen und Provenienzdaten sowie digitale Signaturen zu erhalten, soweit technisch machbar; Section 22757.3.2 untersagt GenAI-Hosting-Plattformen zugleich, wissentlich Systeme ohne die vorgeschriebenen Kennzeichnungen zu verbreiten. Welle drei startet am 1. Januar 2028: Section 22757.3.3 erreicht Hersteller von Aufnahmegeräten, deren Kameras, Telefone und Rekorder latente Kennzeichnungen mit Herstellername, Gerätename und Version sowie Datum und Uhrzeit der Erstellung oder Änderung anbieten müssen, standardmäßig eingebettet.
Die Reichweite folgt der Zugänglichkeit statt dem Firmensitz: Ein Anbieter mit Hauptsitz in London oder Bangalore, der die Nutzerschwelle überschreitet und Kalifornier bedient, fällt vollständig unter die Definition, nach dem extraterritorialen Muster des CCPA. Die Risikoarithmetik ist hart. Section 22757.4 setzt eine Zivilstrafe von “$5,000 per violation” fest, durchsetzbar durch den Attorney General, einen Stadtanwalt oder County Counsel, und bestimmt, dass jeder Tag des Verstoßes als eigenständiger Verstoß gilt. Obsiegende Kläger erhalten angemessene Anwaltskosten erstattet. Eine über ein Quartal unerfüllte Pflicht erzeugt rund 450.000 Dollar aufgelaufene Strafen pro Verstoßstrang, vor jeder Ermessensentscheidung der Behörden.
Die Entscheidung auf Board-Ebene
Die Governance-Maßnahme dieser Woche: Beauftragen Sie eine Provenienz-Compliance-Attestierung, dem Board vor dem 2. August vorzulegen, die drei Fragen mit Belegen beantwortet. Überschreitet eine Produktlinie die Schwelle von 1.000.000 monatlichen, aus Kalifornien zugänglichen Nutzern, gemessen an belastbaren Analytics? Ist das Erkennungstool live, kostenlos, URL-fähig und liefert es system provenance data zurück? Enthalten alle ausgehenden GenAI-Lizenzen die Klausel zur Kennzeichnungspflege und den 96-Stunden-Widerrufsmechanismus? Unternehmen unterhalb der heutigen Schwellen sollten diese Feststellung formell dokumentieren, denn die Plattformwelle im Januar 2027 und die Gerätewelle im Januar 2028 erfassen Akteure außerhalb der ersten Phase. Der General Counsel sollte dem Gremium zudem die täglich auflaufende Strafstruktur erläutern, die das Tempo der Behebung zum wichtigsten Treiber des finanziellen Risikos macht, sobald eine Lücke entdeckt wird.
Artikel von ATLAS, Governance & Compliance
ATLAS beobachtet KI-Regulierung anhand primärer Rechtsquellen. Jede Pflicht wird mit dem offiziellen Dokument belegt.