KI-Dekret in Virginia: Neue Pflichten für Rechenzentren

Am 18. September 2026 unterzeichnet Virginia die Executive Order 22

Am 18. September 2026 hat die Gouverneurin von Virginia, Abigail D. Spanberger, die Executive Order 22 (2026) unterzeichnet. Der Erlass richtet eine staatliche AI Task Force ein. Zudem weist er eine Reihe von Behörden an, umgehend einen Austausch mit der Öffentlichkeit, mit anderen Verwaltungen, mit der Industrie und mit den Bundesbehörden zu eröffnen, um Vorschläge und Umsetzungspläne zu sammeln.

Der vollständige Text ist vom Büro der Gouverneurin als PDF veröffentlicht^[1]. Drei Bestimmungen wirken sofort: Sie schränken den Vertraulichkeitsschutz ein, sehen den Ausschluss der größten Standorte von Effizienzprogrammen vor und fügen eine Aufsicht über den industriellen Wasserverbrauch hinzu.

Die am 23. September 2026 auf LexBlog veröffentlichte juristische Analyse^[2] verweist auf eine unmittelbare Wirkung für die bundesstaatliche Regulierung. Die rechtlichen und wirtschaftlichen Folgen betreffen Unternehmen, Gemeinden, Versorger, Technologiekonzerne, Kommunen und Anwohner. Die Zuständigkeit bleibt eine einzige: der Bundesstaat Virginia.

Die Verfügung trägt die Unterschrift der Gouverneurin und bewegt sich damit im Rahmen der Exekutivgewalt: Sie verändert die Praxis der Behörden, noch bevor das Parlament geschriebenes Recht schafft.

Die regulatorische Verschiebung: vom Modell zur Infrastruktur

Die KI-Gesetze der US-Bundesstaaten haben bislang auf das System gezielt: Risikoklassifizierung, Transparenzpflichten, Kontrolle automatisierter Entscheidungen. Virginia wählt einen anderen Hebel. Reguliert werden das Gebäude, das Stromnetz und das Kühlwasser, noch vor dem Modell, das darin läuft.

Die Verschiebung ist messbar. Vor dem 18. September 2026 entschied sich die KI-Compliance in Virginia an der Nutzung des Systems; jetzt entscheidet sich ein Teil der Akte am Standort, der es beherbergt.

Der Wechsel des Regelungsgegenstands hat eine praktische Folge für alle, die das Risikoregister führen. Ein Compliance-Profil, das auf das Modell zugeschnitten ist, greift zu kurz in einem Umfeld, in dem Genehmigung, Stromrechnung und Kubikmeter Wasser zu prüfbaren Positionen werden.

Virginia ist einer der weltweiten Knotenpunkte der Rechenleistung, weshalb die Wahl des Hebels über die Landesgrenze hinaus Gewicht hat.

Die drei Bestimmungen, die bereits gelten

Die Einschränkung des Vertraulichkeitsschutzes trifft die Methode, nach der Rechenzentren entstehen. Die Verhandlungen mit den Kommunen laufen häufig unter NDA, und die Einschränkung verschiebt Material aus der vertraulichen in die offene Akte.

Der Ausschluss der größten Standorte von den Effizienzprogrammen verschiebt Kosten. Wer den Schwellenwert überschreitet, verliert den Zugang zu einem Tarifvorteil. Der genaue Schwellenwert muss in den Umsetzungsplänen festgelegt werden, die die Behörden vorlegen müssen.

Die Aufsicht über den industriellen Wasserverbrauch fügt der Compliance-Akte eine weitere Kennzahl hinzu. Die Kühlung wird zu einem gemeldeten und damit von Dritten überprüfbaren Wert. Eine dem Staat mitgeteilte Zahl wird vergleichbar mit jener, die in der Nachhaltigkeitsberichterstattung steht.

Drei verschiedene Hebel, eine einzige Wirkung: Die KI-Infrastruktur tritt in den Kontrollbereich des Bundesstaates ein, nach derselben Logik, die für Versorgungsunternehmen gilt.

Wer haftet, und wofür

Die Verfügung weist den Landesbehörden Aufgaben zu, und die Verantwortungskette reicht weiter nach außen. Versorger, Rechenzentrumsbetreiber, Kommunen und Cloud-Anbieter landen in derselben Akte. Jeder liefert einen Teil der Daten, die die Aufsicht verlangt.

Hier gilt die Grundregel dieses Desks: Eine Accountability ohne Namen erzeugt Dokumentation statt Governance. Welche interne Funktion haftet, namentlich und schriftlich, für das Wasser- und Energieprofil eines Standorts vor dem Deployment?

Die Frage gilt für alle, die einen Colocation-Vertrag unterzeichnen, und für alle, die Rechenkapazität nach Verbrauch einkaufen. Ein Vertrag, der zur Weitergabe der Verbrauchsdaten schweigt, belässt die Exponierung beim Kunden.

Das Thema betrifft auch den Anbieter. Wer in Virginia Kapazität verkauft, muss vertraglich festlegen, welche Daten er an den Staat weitergibt und welche er vertraulich halten darf.

Vertraulichkeit wird zum zentralen Risikoposten

Die Einschränkung des Vertraulichkeitsschutzes ist die Bestimmung mit der unmittelbarsten rechtlichen Wirkung, weil sie bereits unterzeichnete Dokumente berührt.

Der General Counsel steht vor einer Inventurarbeit. Welche Vereinbarungen decken Verbrauchsdaten ab, welche Klauseln halten einer staatlichen Offenlegungspflicht stand, welche Gegenpartei ist zu informieren. Das Audit bleibt Pflicht, der Umfang ändert sich.

Eine Vertraulichkeitsvereinbarung, die geschrieben wurde, als der Schutz noch vollständig war, ist wenig wert, sobald der Schutz nur noch teilweise gilt. Die Überprüfung beginnt bei den Standorten in Virginia und nimmt dann die identischen Klauseln in anderen Bundesstaaten in den Blick.

Der Chief Risk Officer aktualisiert einen anderen Posten: das Reputationsrisiko durch die Veröffentlichung der Wasser- und Energieverbräuche. Die Zahl verlässt die technische Akte und tritt in die lokale Debatte ein, wo sie die Genehmigungserteilung beeinflusst.

Das Governance-Signal

Das Governance-Signal lautet: KI-Regulierung kommt künftig auch aus den Ämtern, die Genehmigungen, Tarife und Wasserrechte erteilen.

Die regulatorische Fragmentierung in den USA ist das Grundmuster, nicht der Ausnahmefall. Colorado hat sein Gesetz noch vor dem Inkrafttreten neu geschrieben, Hawaii hat eigenständig legiferiert, New Jersey und Kalifornien sind unterschiedliche Wege gegangen. Ein kohärentes Bundesgesetz kommt nach Lesart dieses Desks kaum vor dem Zeitraum 2028-2030.

Die Executive Order 22 fügt der Landkarte eine neue Achse hinzu. Wer in mehreren Bundesstaaten tätig ist, verwaltet Systempflichten in der einen und Anlagenpflichten in der anderen Jurisdiktion. Die Kontrollkarte wird zweidimensional: was das System tut, wo die Maschine steht.

Der Wettbewerbsvorteil bleibt, wo er war: in der Risikoklassifizierung vor dem Enforcement. Wer jetzt den Audit Trail zu Energie, Wasser und Vertraulichkeit aufbaut, gewinnt Monate Vorsprung vor der Konkurrenz.

Drei Entscheidungen für den Verwaltungsrat

Der Prüfungs- und Risikoausschuss steht vor drei Entscheidungen, jede mit einer intern zu setzenden Frist.

1. Standorte kartieren: Welche genutzten Einrichtungen, im Eigentum oder in Colocation, überschreiten einen plausiblen Größenschwellenwert und verlieren in Virginia den Zugang zu den Effizienzprogrammen.
2. Vertraulichkeitsvereinbarungen überprüfen: Welche Abreden zu Verbrauchsdaten halten der von der Verfügung eingeführten Einschränkung stand.
3. Die Offenlegung definieren: Welche Information zu Wasser- und Energieverbrauch geht in den Jahresbericht ein, mit welcher Kennzahl und welcher externen Prüfung.

Die Reihenfolge zählt. Die Standortkarte geht der Vertragsprüfung voraus, und die Vertragsprüfung geht der Entscheidung über die Offenlegung voraus.

Der CEO findet hier eine konkrete strategische Restriktion. Die Wahl des Rechenstandorts hat jetzt neben den Kosten pro Kilowattstunde auch einen regulatorischen Preis. Eine Expansionsentscheidung, die allein auf den Tarif schaut, übersieht eine Variable, die der Bundesstaat öffentlich gemacht hat.

Der Chief Compliance Officer ergänzt den Prüfplan um eine Zeile: die Kohärenz zwischen den dem Staat gemeldeten Verbrauchsdaten und jenen in der Nachhaltigkeitsberichterstattung. Zwei unterschiedliche Zahlen zum selben Standort eröffnen ein Problem der Kapitalmarktkommunikation.

Die Task Force arbeitet parallel, weshalb sich das Bild in den kommenden Monaten weiter verändert.

Regulatory Horizon

Aktueller Stand: Die Executive Order 22 (2026) gilt seit dem 18. September 2026 im Bundesstaat Virginia. Die drei operativen Bestimmungen wirken sofort. Die auf Accountability gestützten Initiativen befinden sich noch in der Umsetzungsphase, mit Vorschlägen und Plänen, die die Behörden nach Abschluss des Austauschs vorlegen müssen.

Zu Bußgeldhöhen schweigt der Text, weshalb das unmittelbare Risiko verwaltungsrechtlicher und vertraglicher Natur bleibt, bevor es finanziell wird. Die Zusammensetzung der Task Force und der Zeitplan ihrer Arbeit werden die tatsächliche Reichweite der Maßnahme bestimmen.

Auf europäischer Seite läuft der Rahmen nach einer anderen Uhr. Die Verordnung (EU) 2024/1689 hält an der Transparenzpflicht des Artikels 50 fest, und der Zeitplan für den Hochrisikobereich liegt nach dem Digital Omnibus im Dezember 2027. Wer Rechenzentren in Virginia und Hochrisikosysteme in Europa betreibt, arbeitet mit zwei getrennten Fristen.

Die Frage, wer die Modelle reguliert, hat eine Antwort erhalten. Eine zweite Frage hat sich geöffnet: wer die Maschinen reguliert, auf denen die Modelle laufen.