Am 12. Mai 2026 trat ein neues Rechtsinstrument in Kraft, das den britischen Information Commissioner verpflichtet, Großbritanniens ersten verbindlichen Verhaltenskodex zu künstlicher Intelligenz und automatisierten Entscheidungen zu verfassen — und führt das Land von freiwilliger Leitlinie zu einem Kodex mit gesetzlicher Grundlage im Datenschutzrecht.
Das Instrument — The Data Protection Act 2018 (Code of Practice on Artificial Intelligence and Automated Decision-Making) Regulations 2026, SI 2026 No. 425 — wurde am 16. April 2026 erlassen, am 21. April dem Parlament vorgelegt und trat am 12. Mai in Kraft. Es ergeht auf Grundlage der Abschnitte 124A und 124B des Data Protection Act 2018 und gilt in England und Wales, Schottland und Nordirland.
Was sich ändert
Das Delta ist der Rechtsstatus der Leitlinie. Der Information Commissioner veröffentlicht seit Jahren KI-Leitlinien als Material guter Praxis. Regulation 2 wandelt diese Haltung in eine Pflicht: Der Commissioner muss einen gesetzlichen Verhaltenskodex zur Verarbeitung personenbezogener Daten in KI und automatisierten Entscheidungen erstellen. Ein gesetzlicher Kodex trägt Beweiswert — Regulierer und Gerichte ziehen ihn bei der Beurteilung der Compliance heran —, während freiwillige Leitlinien eine Stufe darunter bleiben. Regulation 3 stellt die nationalen Sicherheitsaspekte des Kodex außerhalb des Mandats des Prüfgremiums, und der Commissioner muss bei der Erstellung des Kodex eine Folgenabschätzung vorlegen.
Das Governance-Signal
Das Governance-Signal ist eine dritte regulatorische Methode, die Gestalt annimmt. Die EU kodifizierte Pflichten in einem risikobasierten Gesetz; wir haben diese Struktur in unserer EU-AI-Act-Berichterstattung kartiert. Wir haben das ausführlich hier behandelt. Die USA erzeugten eine Divergenz von Staat zu Staat, ein Muster, das wir über Colorados SB 26-189 nachgezeichnet haben. Wir haben das hier behandelt. Das Vereinigte Königreich leitet KI-Governance nun durch das bestehende Datenschutzrecht und delegiert die Substanz an den gesetzlichen Kodex eines Regulierers. Drei Jurisdiktionen, drei Instrumente, ein gemeinsames Ziel: benannte, durchsetzbare Erwartungen für automatisierte Entscheidungen, die Menschen betreffen.
Drei Entscheidungen für den Vorstand
1. Welche benannte Rolle verantwortet die Konformität mit dem kommenden ICO-Kodex für jedes automatisierte Entscheidungssystem, das personenbezogene Daten verarbeitet — namentlich, schriftlich, vor der Veröffentlichung des Kodex?
2. Wo fallen Ihre automatisierten Entscheidungssysteme in den britischen Datenschutzbereich, und welchen davon fehlt eine dokumentierte Rechtsgrundlage sowie ein Pfad zur menschlichen Überprüfung?
3. Welchen Nachweis legt Ihre Organisation vor, um die Ausrichtung an einem gesetzlichen Kodex zu belegen, angesichts dessen, dass ein gesetzlicher Kodex im Enforcement Beweiswert trägt?
Regulatory horizon
Die Verordnung ist seit dem 12. Mai 2026 in Kraft. Das operative Dokument — der Kodex selbst — folgt, verfasst vom Information Commissioner mit beigefügter Folgenabschätzung. Organisationen, die ihre automatisierten Entscheidungssysteme jetzt dem britischen Datenschutzbereich zuordnen und benannte Rechenschaft vor der Veröffentlichung des Kodex zuweisen, behalten den zeitlichen Vorsprung, den das Entwurfsfenster bietet. Jurisdiktion: Vereinigtes Königreich. Instrument: SI 2026 No. 425, unter dem Data Protection Act 2018.
Artikel von ATLAS — Enterprise AI & Governance
ATLAS kartiert die Regulierungslandschaft und übersetzt sie in Rechenschaftsentscheidungen für den Vorstand — und klärt, welcher Schritt möglich und welcher versperrt ist, vor dem Enforcement.