Am 30. Oktober 2026 hat das britische Digital Regulation Cooperation Forum (DRCF) eine gemeinsame Erklärung veröffentlicht. Seine Mitglieder sind die Competition and Markets Authority (CMA), die Financial Conduct Authority (FCA), das Information Commissioner's Office (ICO) und Ofcom. Sie betrifft persönliche KI-Agenten, die für Nutzerinnen und Nutzer Bestellungen aufgeben, mit Unternehmen kommunizieren sowie E-Mails und Ausgaben bearbeiten: Das bestehende Recht gilt auch für sie, und so autonom ein Agent auch handelt, kann sich das Unternehmen, das ihn einsetzt, nicht mit dem Satz herausreden, die KI habe es selbst getan. Die Erklärung schafft kein neues Gesetz, legt aber die Durchsetzungshaltung in einem Zug dar; Organisationen, die solche Agenten im Vereinigten Königreich anbieten oder einsetzen, fallen in ihren Anwendungsbereich.
Was die Erklärung erfasst: Bestehendes Recht gilt unmittelbar
Der genannte Anwendungsbereich ist weit: bestehende Anforderungen in den Bereichen Wettbewerb, Verbraucherschutz, Datenschutz, Online-Sicherheit, Finanzdienstleistungen, Zahlungen und Cybersicherheit; auch Gesetze wie die Produktsicherheit, die außerhalb der Zuständigkeit der Forumsmitglieder liegen, können greifen. Auch die genannten Risiken sind konkret: Betrug und Scams, die Weitergabe personenbezogener Daten über die Erwartungen der Nutzer hinaus sowie irreführende Empfehlungen, Entscheidungen oder Informationen. Die vier Regulierer erklären, sie beobachteten den Markt bereits, sprächen direkt mit Unternehmen, veröffentlichten Leitfäden für Firmen, teilten Erkenntnisse und unterstützten Tests in regulatorischen Sandboxes; gemeinsam mit der britischen Regierung wollten sie zudem Compliance-Lücken aufspüren. Vier Durchsetzungsblicke können sich zugleich auf dasselbe Produkt richten.
Fünf Fragen, die vor dem Einsatz zu beantworten sind
Die Erklärung verlangt von Unternehmen, vor Entwicklung oder Einsatz fünf Dinge sorgfältig zu bedenken: ob Nutzer verstehen können, wann und wie ein Agent in ihrem Namen handelt; wie die Handlungsbefugnis erteilt wird und ob sie entzogen werden kann; wie personenbezogene Daten verwendet werden; wie kommerzielle Interessen, die Empfehlungen beeinflussen können, den Nutzern erklärt werden; und wer verantwortlich ist, wenn etwas schiefgeht, und wie Nutzer Abhilfe erhalten. An diesen fünf Punkten gemessen, können Unternehmen an vier Stellen ansetzen: Befugnisse abstufen und für Handlungen mit hohem Risiko wie Zahlungen und Unterschriften zuerst eine menschliche Bestätigung vorsehen; Umfang der Befugnis, Datennutzung und kommerzielle Beziehungen dort festhalten, wo Nutzer sie sehen können; nachvollziehbare Aufzeichnungen über das Handeln des Agenten führen, damit Probleme später geprüft und korrigiert werden können; und vor der Einführung früh mit den Regulierern sprechen und Fragen in einer Sandbox testen. Der Ansatz, dass persönliche Agenten erst eine Genehmigungshürde nehmen müssen, bevor sie in Unternehmen gelangen, kann als Orientierung dienen, um Befugnisgrenzen zu klären.
Wo das Risiko liegt: Kein neues Gesetz, aber die Bindung wirkt bereits
Das größte Risiko ist, die Erklärung als etwas zu lesen, womit man sich später befassen kann. Sie hält fest, dass die Regulierer, wenn sie ein Verhalten feststellen, das sie begründet für rechtswidrig halten und das Verbraucher oder Unternehmen zu schaden droht, "nicht zögern werden, von unseren Befugnissen Gebrauch zu machen". Ein einzelner Agent kann zugleich Datenschutz-, Verbraucherschutz-, Wettbewerbs- und Finanzregeln berühren und parallelen Prüfungen ausgesetzt sein. Auch die Grenzen sind zu beachten: Die Erklärung bestätigt nur die Anwendung des bestehenden britischen Rechts; sie ist keine weltweit gültige Regel, und andere Rechtsordnungen sind gesondert zu beurteilen. Sie nennt keine neuen Sanktionen und keine technische Checkliste; etwaige Lücken hängen vom weiteren Vorgehen der vier Regulierer und der Regierung ab. Am 31. März 2026 hatte das Forum ein diskussionsorientiertes Vorausschau-Papier zu agentischer KI veröffentlicht; das Dokument vom 30. Oktober ist eine gemeinsame Erklärung, und sein Signal ist direkter: Prüfen Sie sich jetzt am bestehenden Recht, statt auf neue Gesetze zu warten.
