RAISE Act: Was New Yorks KI-Sicherheitsgesetz bedeutet

New Yorks RAISE Act verpflichtet die größten KI-Entwickler ab dem 1. Januar 2027 zu Registrierung, veröffentlichten Sicherheitskonzepten und der Meldung kritischer Vorfälle binnen 72 Stunden. Betroffen sind Unternehmen mit mehr als 500 Millionen US-Dollar Jahresumsatz, darunter OpenAI und Anthropic. Wie TechCrunch berichtet, hat der Bundesstaat dafür am 10. November 2026 ein Registrierungsportal geöffnet.

Das klingt nach einem rein amerikanischen Thema. Es lohnt sich trotzdem, genauer hinzusehen: Das Gesetz zeigt, wie Aufsicht über KI-Modelle in der Praxis aussehen kann, und es lässt sich gut mit dem EU AI Act vergleichen.

Was ist der RAISE Act und wen betrifft er?

Der RAISE Act ist ein Sicherheits- und Transparenzgesetz des Bundesstaats New York. Er richtet sich an sogenannte große Frontier-Entwickler. „Frontier“ meint Anbieter, die an der Spitze der Modellentwicklung arbeiten, also die leistungsfähigsten Sprachmodelle trainieren und betreiben.

Die Schwelle ist in diesem Fall finanziell definiert: mehr als 500 Millionen US-Dollar Jahresumsatz. Wer darunter liegt, fällt laut TechCrunch-Bericht nicht in diese Kategorie. Ein kleines Start-up mit einem Open-Source-Modell wäre also nicht automatisch betroffen, ein Konzern mit Milliardenumsatz schon.

Du als Nutzer oder Unternehmenskunde hast keine Pflichten. Das Gesetz adressiert die Entwickler, nicht diejenigen, die ChatGPT oder Claude im Alltag einsetzen.

Welche Pflichten kommen auf die Anbieter zu?

Drei Bausteine stehen im Zentrum, dazu kommt die Registrierung selbst.

Ein Safety Framework ist im Kern ein Dokument, in dem ein Anbieter beschreibt, wie er Risiken seiner Modelle erkennt, bewertet und begrenzt. Der Wert liegt weniger im Papier als darin, dass es öffentlich und damit überprüfbar ist. Wer etwas verspricht, kann daran gemessen werden.

Offen bleibt aus den vorliegenden Informationen, was genau als „kritischer Sicherheitsvorfall“ zählt und an wen die Meldung konkret geht. Diese Details nennt der Bericht nicht.

Ich habe über drei Jahre als Testanalyst in der Softwarequalität gearbeitet, mit Testplänen und Dokumentation. Deshalb schaue ich bei solchen Gesetzen zuerst auf die Nachweise: Entscheidend ist, ob ein Anbieter belegen kann, was er tut, nicht ob er es behauptet.

Wer kontrolliert das, und was kostet ein Verstoß?

Zuständig ist die neu gegründete Behörde DIGIT, die Abkürzung steht für Office of Digital Innovation, Governance, Integrity, and Trust. Sie setzt den RAISE Act um und beaufsichtigt die großen KI-Labore.

Die Strafen sind gestaffelt: bis zu 1 Million US-Dollar für einen Verstoß, bis zu 3 Millionen für Folgeverstöße. Für Konzerne mit Umsätzen in Milliardenhöhe ist das überschaubar. Die Wirkung dürfte deshalb eher über Öffentlichkeit und Reputation entstehen als über die Summe. Das ist unsere Einschätzung, der Bericht bewertet die Höhe nicht.

Der Bundesstaat kann außerdem gegen Unternehmen vorgehen, die sich nicht im Portal registrieren. Ein Sprecher nannte dazu laut TechCrunch keine Einzelheiten.

Parallel startete Gouverneurin Kathy Hochul das New York Center for AI Responsibility and Research an der Binghamton University. Es soll Sicherheit und Betrieb fortgeschrittener KI-Systeme unabhängig bewerten und mit DIGIT die Sicherheitskonzepte der Firmen prüfen. Angekündigt wurde es im Januar mit 55 Millionen US-Dollar an Spenden und Kapital. Hochul spricht von einem „national model for smart, sensible AI regulation“.

Wie fügt sich das in die übrigen US-Regeln ein?

New York ist nicht allein. Die USA haben keine einheitliche Bundesregelung, deshalb entsteht ein Flickenteppich aus Landesgesetzen:

• Kalifornien, SB 53: seit Januar in Kraft. Frontier-Labore müssen Sicherheitskonzepte haben und veröffentlichen, Hinweisgeber schützen und kritische Vorfälle binnen 15 Tagen melden.
• Illinois, SB 315: gilt ab Anfang 2027, ähnliche Anforderungen, dazu unabhängige Prüfungen der Einhaltung.
• New York, RAISE Act: Registrierung, Konzepte, Transparenzberichte und die mit 72 Stunden besonders kurze Meldefrist.

Der Vergleich zeigt Unterschiede im Detail. New York verlangt die schnellste Meldung, Illinois setzt auf externe Audits, Kalifornien betont den Schutz von Whistleblowern.

New York hat zudem Gesetze zu Chatbots erlassen. Seit dem vergangenen Jahr müssen Betreiber von KI-Begleitern Nutzer regelmäßig darauf hinweisen, dass sie mit einer Maschine sprechen, und angemessen versuchen, Suizidgedanken und Selbstverletzung zu erkennen. Ein weiteres Gesetz zum Schutz Minderjähriger, im Oktober unterzeichnet, greift am 1. Juni 2027. Es schränkt täuschend menschliches Verhalten, emotional manipulative oder schmeichlerische Antworten und die Ermutigung zu Suizid oder Essstörungen ein.

Was heißt das für Nutzer und Unternehmen in Deutschland, Österreich und der Schweiz?

Rechtlich zunächst wenig. Das Gesetz gilt in New York und adressiert Anbieter, nicht Kunden. Ob und wie sich die Pflichten auf Produkte auswirken, die in Europa angeboten werden, geht aus den Quellen nicht hervor.

Praktisch kann es trotzdem nützen. Veröffentlichte Safety Frameworks und Transparenzberichte werden öffentlich einsehbar. Wenn du in deinem Unternehmen einen KI-Anbieter auswählst, ist das zusätzliches Material neben Datenschutzerklärung und Auftragsverarbeitungsvertrag. Viele Mittelständler fragen heute nur nach Preis und DSGVO-Konformität. Die Frage „Wie geht der Anbieter mit Vorfällen um?“ gehört mittlerweile dazu.

Wer wissen will, wie sich die Unternehmen hinter den Modellen aufstellen, findet Hintergründe in unserer Einordnung zum Anthropic-Börsengang. Mehr Offenlegungspflichten und Kapitalmarkt gehen oft Hand in Hand.

Wie unterscheidet sich der EU AI Act?

Der AI Act verfolgt ein ähnliches Ziel, setzt aber anders an. Aus allgemein bekanntem Hintergrund, nicht aus der TechCrunch-Quelle:

• Anknüpfung: Der AI Act nutzt nicht den Umsatz, sondern die Eigenschaften des Modells. Für Allzweckmodelle gibt es Grundpflichten, etwa technische Dokumentation. Strengere Auflagen gelten für Modelle mit „systemischem Risiko“, vermutet ab einer sehr hohen Trainingsrechenleistung.
• Aufsicht: Zuständig ist auf EU-Ebene das AI Office der Kommission, nicht eine Landesbehörde.
• Reichweite: Der AI Act deckt neben Frontier-Modellen auch Hochrisiko-Anwendungen ab, etwa in Personalwesen oder Kreditvergabe. Das ist ein deutlich breiterer Ansatz als der RAISE Act.
• Sanktionen: Der AI Act arbeitet mit Prozentsätzen vom weltweiten Jahresumsatz, nicht mit festen Höchstbeträgen.

Die Fristen und Auslegungsfragen des AI Act entwickeln sich weiter. Prüfe bei konkretem Bedarf den aktuellen Stand, statt dich auf Faustregeln zu verlassen.

Unser Eindruck: Die US-Landesgesetze sind enger, dafür konkreter bei Meldefristen. Der AI Act ist breiter, verlangt aber von Unternehmen in der Praxis mehr Auslegungsarbeit.

Was ist noch offen?

Offen sind vor allem drei Punkte. Erstens, wie streng DIGIT bei Nichtregistrierung vorgeht. Zweitens, wie das Zusammenspiel mit den Regeln in Kalifornien und Illinois funktioniert, wenn ein Anbieter dreifach berichten muss. Drittens, ob ein Bundesgesetz die Landesregeln später ersetzt. Dazu liefern die Quellen nichts.

Beobachte ab Januar 2027 vor allem zwei Dinge: Welche Anbieter ihre Sicherheitskonzepte tatsächlich veröffentlichen, und wie konkret diese Dokumente sind. Daran wirst du erkennen, ob aus dem Gesetz echte Transparenz wird.