Colorados Gesetz über automatisierte Entscheidungstechnologien (SB 26-189) steht vor der entscheidenden Phase: Am 26. Oktober 2026 hält das Büro des Attorney General eine öffentliche Anhörung zu den Durchführungsregeln ab, und schriftliche Stellungnahmen enden am selben Tag um 23:59 Uhr Mountain Time. Läuft die Anhörung über den 26. Oktober hinaus, bleibt die Kommentierungsfrist bis zu ihrem letzten Tag geöffnet. Das Gesetz gilt für folgenreiche Entscheidungen, die am oder nach dem 1. Januar 2027 getroffen werden, den Unternehmen bleiben also nur gut zwei Monate zur Vorbereitung.
Was regelt dieses Gesetz überhaupt?
Zunächst die Abgrenzung: Es handelt sich um ein einzelnes US-Bundesstaatengesetz aus Colorado, keine landesweite Regel und erst recht keinen weltweiten Standard. Erfasst ist automatisierte Entscheidungstechnologie, die folgenreiche Entscheidungen in den Bereichen Bildung, Beschäftigung, Wohnen, Kreditvergabe und andere Finanzdienstleistungen, Versicherung, Gesundheitsversorgung und wesentliche staatliche Leistungen wesentlich beeinflusst. Das parallel verabschiedete Chatbot-Sicherheitsgesetz (HB 26-1263) durchläuft dasselbe Regelungsverfahren und betrifft konversationelle KI-Dienste, einschließlich Schutzmaßnahmen für Minderjährige und jährlicher Berichte an den Attorney General.
Hinzu kommt eine leicht zu übersehende Vorgeschichte: SB 24-205, 2024 verabschiedet und ursprünglich ab dem 30. Juni 2026 wirksam, wurde durch SB 26-189 aufgehoben und ersetzt, das am 14. Mai 2026 unterzeichnet wurde. Ein Compliance-Programm, das noch auf dem Folgenabschätzungsmodell des alten Gesetzes aufbaut, muss neu aufgestellt werden, denn das neue Gesetz rückt näher an die einzelne Entscheidung heran, und manche seiner Pflichten sind schwerer umzusetzen.
Der Zwischenentwurf vom 6. Oktober: ein praktikabler Maßstab für wesentliche Beeinflussung
Das Büro des Attorney General reichte am 11. August 2026 vorgeschlagene Regeln ein und veröffentlichte am 6. Oktober einen überarbeiteten Zwischenentwurf. Seine wichtigste Ergänzung ist eine praktikable Vermutung: Wenn ein Entscheidungsträger ein Ergebnis über die betroffene Person, etwa einen Score, ein Ranking, eine Empfehlung oder einen Schwellenwert, prüft und dieses Ergebnis mit der endgültigen Entscheidung übereinstimmt, wird vermutet, dass das System die Entscheidung wesentlich beeinflusst hat. Der Anwender kann die Vermutung widerlegen, indem er zeigt, dass das Ergebnis nur ein minimaler Faktor war. Umgekehrt fallen Werkzeuge, die ausschließlich Informationen zusammenfassen, ordnen oder zur menschlichen Prüfung präsentieren, nicht unter die Definition dieser Technologie.
Das Beispiel des Entwurfs ist eindeutig: Eine Kreditgenossenschaft, die Darlehen an Antragsteller unterhalb eines Risiko-Scores ablehnt, beeinflusst die Entscheidung wesentlich. Ebenso wichtig: Die Auslagerung an Dritte verlagert keine Verantwortung. Wer die Ergebnisse eines Dritten für eine Entscheidung nutzt, bleibt für diese Entscheidung verantwortlich.
Was Entwickler und Anwender jeweils schulden
Entwickler schulden Dokumentation: vorgesehene Verwendungen, Kategorien von Trainingsdaten, bekannte Grenzen und geeignete Methoden menschlicher Prüfung müssen an nachgelagerte Nutzer gehen, und Compliance-Unterlagen sind mindestens drei Jahre aufzubewahren. Anwender schulden das, was nach der Entscheidung kommt: Information vor dem Einsatz des Systems, eine verständliche Erläuterung innerhalb von 30 Tagen nach einer nachteiligen folgereichen Entscheidung, die Möglichkeit zur Berichtigung unrichtiger personenbezogener Daten sowie eine echte menschliche Prüfung und erneute Erwägung.
Wo das Risiko liegt: Eine Vollzugspause ist kein Arbeitsstopp
Derzeit untersagt eine Anordnung eines Bundesgerichts, die auf einem gemeinsamen Antrag der Parteien beruht, dem Attorney General für den in der Anordnung festgelegten Zeitraum die Einleitung von Vollzugsmaßnahmen. Das ändert nichts am gesetzlichen Stichtag 1. Januar 2027, und das Regelungsverfahren zielt darauf ab, die Regeln vorher fertigzustellen. Wichtiger noch: Die Pause betrifft den Vollzug durch den Attorney General, nicht andere rechtliche Risiken wie Diskriminierungsansprüche, und eine Vertragsklausel, die dem Kunden die volle Verantwortung zuschiebt, kann den eigenen Verantwortungsanteil eines Entwicklers nicht übertragen.
Drei Dinge sind jetzt zu tun: Erstens inventarisieren, welche Systeme folgenreiche Entscheidungen über Einwohner Colorados wesentlich beeinflussen, allen voran Einstellung, Kreditvergabe und Versicherungsprüfung. Zweitens Lücken bei der Protokollierung von Ergebnissen, bei Hinweistexten und bei Prüfabläufen schließen, denn Aufzeichnungslücken lassen sich nicht in ein oder zwei Wochen füllen. Drittens vor Ablauf der Frist am 26. Oktober Stellungnahmen zu den unklaren Punkten einreichen, etwa zum Maßstab der wesentlichen Beeinflussung und zur Verantwortungsteilung mit Dritten, denn eine fertige Regel zu ändern, kostet weit mehr, als einen Entwurf mitzugestalten.
