Illinois verpflichtet Entwickler von KI-Spitzentechnologie zu externen Sicherheitsaudits

Gouverneur J.B. Pritzker von Illinois bestätigte diese Woche, dass er den Senatsentwurf 315 in Kraft setzen wird. Damit wird Illinois der erste US-Bundesstaat, der von Entwicklern leistungsfähigster KI-Modelle unabhängige Drittaudits verlangt. Der Gesetzesentwurf passierte das Repräsentantenhaus von Illinois am 27. Mai mit 110:0 Stimmen und den Senat in der Vorwoche mit 52:5.

Was das Gesetz tatsächlich vorschreibt

SB 315 richtet sich an die leistungsfähigsten KI-Modelle der größten Unternehmen – insbesondere an solche mit einem Umsatz von mindestens 500 Millionen Dollar und einem bestimmten Rechenleistungs-Schwellenwert. Betroffene Entwickler müssen einen Transparenzrahmen erstellen und öffentlich machen, in dem sie erläutern, wie sie die Fähigkeiten ihrer Modelle bewerten, katastrophale Risiken messen und auf Sicherheitsvorfälle reagieren.

Das Gesetz schreibt jährliche unabhängige Drittaudits dieser Sicherheitsprotokolle vor – eine Anforderung, die auf Bundesebene in den USA derzeit ohne Beispiel ist. Entwickler müssen kritische Sicherheitsvorfälle innerhalb von 72 Stunden den Behörden in Illinois melden – oder innerhalb von 24 Stunden, wenn unmittelbare Lebensgefahr oder schwere körperliche Schäden drohen. Mitarbeiter betroffener Unternehmen erhalten geschützten Whistleblower-Status, wenn sie intern auf neu auftretende Sicherheitsrisiken hinweisen.

Zivilstrafen bei Verstößen belaufen sich auf bis zu 3 Millionen Dollar pro Vorfall, durchgesetzt ausschließlich durch den Generalstaatsanwalt von Illinois. Das Gesetz sieht kein privates Klagerecht vor. Die Bestimmungen treten am 1. Januar 2027 in Kraft.

OpenAI und Anthropic unterstützten das Gesetz

Bemerkenswerterweise unterstützten die beiden US-KI-Unternehmen, deren Modelle offensichtlich unter das Gesetz fallen – OpenAI und Anthropic – die Gesetzgebung. Cesar Fernandez von Anthropic nannte SB 315 eine Grundlinie, die jeder führende KI-Entwickler erfüllen sollte. Chris Lehane von OpenAI sagte gegenüber Wired, das Unternehmen dränge aktiv auf ähnliche Maßnahmen in anderen Bundesstaaten.

Adam Kovacevich, CEO von Chamber of Progress – zu dessen Mitgliedern Google und Apple gehören – argumentierte, das Gesetz würde Unternehmen zwingen, sensible Systeme ungeprüften Auditoren in einem Regulierungsregime auszusetzen, das nur Haftung, aber keine Standards kennt.

Warum die Bundesstaaten einspringen

Das Gesetz in Illinois folgt auf Regulierungsinitiativen in New York und Kalifornien im Jahr 2025 und kommt wenige Tage, nachdem die Trump-Regierung eine bundesstaatliche Executive Order auf Eis legte. Da der US-Kongress kein KI-Gesetz auf Bundesebene verabschiedet hat, füllen die Bundesstaaten das Vakuum. Der Abgeordnete Daniel Didech sagte: Die Bundesstaaten sollten das nicht machen müssen, aber der Kongress hat sich dieses Themas nicht angenommen, und die Technologie entwickelt sich so rasant, dass den Bundesstaaten keine andere Wahl blieb, als einzuspringen.

Scott Wisor vom Secure AI Project formulierte das Kernproblem unverblümt: ohne Durchsetzungsanforderungen befinden wir uns in einer Situation, in der die KI-Unternehmen ihre eigenen Hausaufgaben benoten. Der Rahmen von Illinois ist explizit als mögliche Vorlage für Bundesmaßnahmen gedacht.