Die KI-Compliance-Uhr in Connecticut ist offiziell in die Durchsetzungsphase übergegangen. Ab dem 1. Oktober 2026 treten im Bundesstaat der Artificial Intelligence Responsibility and Transparency Act (CART Act, Public Act 26-15, also SB 5) und das umfassende Datenschutz-Änderungsgesetz (Public Act 26-64, also SB 4, das den Connecticut Data Privacy Act, CTDPA, ändert) gemeinsam in Kraft. Beide Gesetze wurden im Mai 2026 von Gouverneur Ned Lamont unterzeichnet; am 16. September hielt Attorney General William Tong eigens eine Pressekonferenz ab, um Unternehmen und Verbraucher über die neuen Rechte und Pflichten zu informieren.
Was ist passiert: zwei Landesgesetze treten unmittelbar nacheinander in Kraft
Der CART Act ist eines der umfassendsten KI-Gesetze auf Ebene der US-Bundesstaaten, das dieses Jahr verabschiedet wurde. Es regelt unter anderem automatisierte beschäftigungsbezogene Entscheidungen, KI-Abonnementbedingungen, Whistleblower-Schutz bei Entwicklern von Frontier-Modellen, die Herkunftskennzeichnung synthetischer Inhalte sowie KI-Begleitbots, die von Minderjährigen genutzt werden. Am 1. Oktober tritt die erste Tranche in Kraft: Regeln für automatisierte beschäftigungsbezogene Entscheidungstechnologien, der Schutz vor Vergeltungsmaßnahmen bei großen Frontier-Modell-Entwicklern sowie Transparenzpflichten für generative Inhalte. Die Vorschriften zu KI-Begleitbots und dem Schutz Minderjähriger werden auf den 1. Januar 2027 verschoben.
Das gleichzeitig in Kraft tretende SB 4 weitet den Schutzbereich des CTDPA erheblich aus: Es begrenzt algorithmische Preisgestaltung auf Basis personenbezogener Daten („Surveillance Pricing") und schreibt deren Offenlegung vor, verpflichtet Unternehmen mit Gesichtserkennungstechnologie zu gut lesbarer Beschilderung in ihren Geschäftsräumen samt Link zu ihrer Gesichtserkennungsrichtlinie, verbietet den Verkauf präziser Standortdaten und genetischer Informationen von Einwohnern Connecticuts und verpflichtet Datenbroker, sich bis zum 1. Januar 2027 beim Department of Consumer Protection (DCP) zu registrieren.
Wen es betrifft: nicht nur Tech-Unternehmen
Als Erstes betrifft es Arbeitgeber mit Geschäftsbetrieb in Connecticut. Jedes Unternehmen, das KI-Tools in beschäftigungsbezogenen Entscheidungen einsetzt — Einstellung, Beförderung, Disziplinarmaßnahmen oder Kündigung, einschließlich Resume-Screening-Software, automatischer Interview-Bewertung und Plattformen zur Leistungsbeurteilung — muss Bewerbern und Beschäftigten ab dem 1. Oktober schriftlich mitteilen, wann und wie KI in diesen Entscheidungen zum Einsatz kommt. Entscheidend: Die Nutzung eines KI-Entscheidungstools entbindet das Unternehmen nicht von seiner Antidiskriminierungshaftung. Ein Arbeitgeber kann das rechtliche Risiko nicht mit dem Hinweis auslagern, es handle sich um „den Algorithmus des Anbieters" — der Arbeitgeber selbst ist der regulierte „Deployer".
Zweitens betrifft es generative KI-Abonnementprodukte für Verbraucher in Connecticut. Anbieter müssen Verbrauchern die wesentlichen Abonnementbedingungen schriftlich mitteilen und deren schriftliche Zustimmung einholen — die Abonnementtransparenz steht damit im Verbraucherschutzgesetz.
Drittens betrifft es alle, die Daten von Einwohnern Connecticuts verarbeiten: Datenbroker, Direktvertriebs-Gentestunternehmen, Unternehmen mit Gesichtserkennung oder präzisen Standortdaten sowie alle Händler, die personenbezogene Daten für Preisdifferenzierung nutzen.
Was zu tun ist: eine Aktions-Checkliste
- Einstellungs-Toolchain inventarisieren: Alle KI-Tools auflisten, die an beschäftigungsbezogenen Entscheidungen beteiligt sind (eigene Entwicklung wie zugekaufte), und für jedes Tool einen schriftlichen Hinweistext vorbereiten, der vor dem 1. Oktober live geht.
- Lieferantenverträge überarbeiten: Transparenz- und Kooperationspflichten in die Einkaufsbedingungen schreiben — das Versprechen „der Lieferant ist compliant" ersetzt nicht die eigene Hinweispflicht des Arbeitgebers.
- Abo-Seiten prüfen: Sind Preise, Verlängerung und Kündigung von KI-Abo-Produkten schriftlich offengelegt und wurde die schriftliche Zustimmung eingeholt?
- Datenschutz-Selbstcheck: Werden personenbezogene Daten zur Preisdiskriminierung genutzt? Werden präzise Standort- oder Gendaten verkauft? Läuft Gesichtserkennung ohne Beschilderung?
- Separater Zeitplan für Datenbroker: Die Registrierungspflicht gilt ab dem 1. Januar 2027 — nicht mit dem 1. Oktober verwechseln.
Wo die Risiken liegen: drei häufige Fallen
Erstens: „Landesrecht" ist nicht „Bundesrecht", geschweige denn globales Recht — der CART Act gilt nur in Connecticut. Doch er gehört zur selben Familie wie die algorithmischen Preisbeschränkungen, die gerade in Kalifornien, New York und Maryland verabschiedet werden, und Attorney General Tong erklärte auf der Pressekonferenz ausdrücklich, dass die Durchsetzung auf Bundesstaatenebene die Lücken aktiv schließen werde. Unternehmen sollten diese Konvergenz der Bundesstaaten als Langfristtrend behandeln und nicht von Staat zu Staat löschen. Der Umsetzungszeitplan des New York RAISE Act, der sich ebenfalls in einer intensiven Rollout-Phase befindet, lohnt die Gegenlektüre: Umsetzungszeitplan des New York RAISE Act.
Zweitens sind die Inkrafttretensdaten gestaffelt. Der 1. Oktober ist nur die erste Tranche: Begleitbot-Vorschriften am 1. Januar 2027, Datenbroker-Registrierung am 1. Januar 2027, einzelne Anforderungen sogar erst zwischen 2027 und 2031. Sich vorzubereiten, als ob „alles am 1. Oktober wirksam wird", oder abzuwarten, weil „noch nichts gilt" — beides ist falsch.
Drittens ist das Durchsetzungssignal eindeutig. Tong äußerte sich nicht zu Details der von Connecticut geführten multistaatlichen Untersuchung gegen OpenAI, betonte aber, die Behörden seien „in Höchstgeschwindigkeit dabei, aufzuholen". Der EU AI Act ist bereits in die operative Durchsetzungsphase eingetreten: EU AI Act tritt in die operative Durchsetzungsphase ein — auf beiden Seiten des Atlantiks beschleunigt sich das Tempo. Compliance-Budgets, die jetzt nicht ausgegeben werden, werden später als Bußgelder fällig.
Im Kontext des bundesstaatlichen Gesetzgebungswettbewerbs in den USA: In dem Moment, in dem Connecticut „der Arbeitgeber ist der KI-Deployer, und Risiken lassen sich nicht auslagern" ins Gesetz schrieb, müssen alle Unternehmen, die in mehreren Bundesstaaten operieren und KI in Personalentscheidungen einsetzen, Compliance auf der Deployer-Seite umsetzen statt Verantwortung auf Anbieter abzuwälzen. Nächstes Jahr wird es mehr solcher Landesgesetze geben, nicht weniger.
