OpenAI unterstützt Kaliforniens SB 1119 – KI-Audits könnten Pflicht werden
OpenAI hat sich am 31. August 2026 hinter den vom kalifornischen Parlament verabschiedeten Gesetzentwurf SB 1119 gestellt und Gouverneur Gavin Newsom zur Unterzeichnung aufgefordert. In seiner öffentlichen Stellungnahme zu SB 1119 unterstützt das Unternehmen unter anderem Altersbestimmung, automatische Schutzvorkehrungen für Jugendliche und unabhängige Prüfungen.
Ebenfalls am 31. August schloss das Parlament die Abstimmungen über den Entwurf ab; die Los Angeles Times berichtete über die Verabschiedung und OpenAIs Unterstützung. Damit ist SB 1119 noch kein geltendes Recht: Der Entwurf benötigt weiterhin Newsoms Unterschrift und enthält zudem eine besondere Bedingung für das Inkrafttreten der Auditvorschriften.
OpenAIs Unterstützung ist zunächst ein politisches Signal
OpenAI verbindet seine Zustimmung mit bereits eingeführten Schutzmechanismen für jüngere ChatGPT-Nutzer. Nach Angaben des Unternehmens werden Personen automatisch ChatGPT for Teens zugeordnet, wenn das System sie als unter 18 einschätzt oder sie selbst ein Alter zwischen 13 und 17 Jahren angeben. Diese Produktregel ist von den möglichen gesetzlichen Pflichten für sämtliche erfassten Anbieter zu trennen.
SB 1119 würde Betreiber vor die Wahl stellen, das Alter ihrer Nutzer nach den vorgesehenen kalifornischen Verfahren zu bestimmen oder die gesetzlichen Kinderschutzvorgaben grundsätzlich auf alle Nutzer anzuwenden. Als Kind gilt im Entwurf jede Person unter 18 Jahren. Viele weitere Pflichten beträfen allerdings nur Betreiber, die Minderjährigen den Zugang nach der Altersbestimmung tatsächlich erlauben.
Der Regelungsgegenstand sind Companion-Chatbots, die Nutzern in Kalifornien angeboten werden. Die Rechtswirkung wäre damit territorial auf Kalifornien ausgerichtet, auch wenn ein Anbieter seinen Sitz außerhalb des Bundesstaates hat.
Die Pflichtenmatrix: Bewertung, Audit, Veröffentlichung und Klagen
Der offizielle Text der am 28. August geänderten Fassung verteilt die vorgesehenen Betreiberpflichten auf vier Ebenen:
- Risikobewertung: Bevor ein neuer oder wesentlich veränderter Companion-Chatbot in Kalifornien bereitgestellt wird, müsste der Betreiber mögliche Gefahren für Kinder bewerten und dokumentieren. Erfasst sind vorhersehbare körperliche oder finanzielle Schäden, schwere psychische oder emotionale Belastungen, besonders schwerwiegende Eingriffe in die Privatsphäre und rechtswidrige Diskriminierung. Festgestellte Risiken wären mit dokumentierten Maßnahmen angemessen zu mindern.
- Unabhängiges Kinderschutzaudit: Eine externe Stelle müsste prüfen, ob der Betreiber die erforderlichen internen Kontrollen, Prozesse und Schutzregeln eingerichtet und eingehalten hat. Das erste Audit wäre grundsätzlich bis zum 1. Januar 2029 oder vor der erstmaligen öffentlichen Bereitstellung fällig – maßgeblich wäre der jeweils spätere Zeitpunkt. Danach wären Prüfungen alle zwei Jahre sowie vor bestimmten Änderungen mit erhöhtem Kinderschutzrisiko vorgesehen.
- Bericht und Veröffentlichung: Binnen 30 Geschäftstagen nach Erhalt des Auditberichts müsste der Betreiber dem Attorney General eine Zusammenfassung übermitteln. Binnen 90 Tagen wäre zusätzlich eine allgemein gehaltene Ergebniszusammenfassung auf der Website des Betreibers zu veröffentlichen. Den vollständigen Bericht könnte der Attorney General aus konkretem Anlass anfordern; er wäre vertraulich und dürfte zum Schutz von Geschäftsgeheimnissen und individueller Privatsphäre angemessen redigiert werden.
- Durchsetzung: Befugte öffentliche Kläger könnten bei fahrlässigen Verstößen bis zu 5.000 US-Dollar und bei vorsätzlichen Verstößen bis zu 15.000 US-Dollar je betroffenem Kind und Verstoß verlangen. Unter engeren Voraussetzungen könnten auch geschädigte Kinder oder ihre Eltern Ansprüche geltend machen.
Für die Auditpflicht gilt eine wichtige Einschränkung: Der entsprechende Abschnitt soll nur wirksam werden, wenn auch Assembly Bill 1405 rechtzeitig Gesetz wird und spätestens am 1. Januar 2027 in Kraft tritt. Außerdem wären Betreiber mit weniger als 500 Millionen US-Dollar Umsatz im vorangegangenen Kalenderjahr bis Anfang 2032 von diesem Abschnitt ausgenommen. Der Titel spricht deshalb zutreffend von Audits, die Pflicht werden könnten.
Welche Schutzmaßnahmen das Audit erfassen würde
Das Audit wäre keine allgemeine Qualitätsnote für das zugrunde liegende KI-Modell. Es soll kontrollieren, ob der Betreiber die gesetzlichen Verfahren und Schutzvorkehrungen umgesetzt hat. Dazu gehören Altersbestimmung, dokumentierte Risikobewertungen, Krisenprotokolle, Inhaltsbeschränkungen, Elternkontrollen sowie Regeln für Werbung und persönliche Daten.
Für Kinderkonten sieht der Entwurf standardmäßig deaktivierte Push-Mitteilungen sowie Grenzen von einer Stunde je ununterbrochener Sitzung und zwei Stunden Chatzeit pro Tag vor. Eltern könnten diese Einstellungen verändern; ohne verknüpftes Elternkonto blieben die Standardwerte bestehen. Das dauerhafte Gesprächsgedächtnis wäre grundsätzlich deaktiviert, wobei für Nutzer ab 16 Jahren begrenzte Ausnahmen mit zusätzlichen Schutzkontrollen vorgesehen sind.
Bei einer glaubhaften und unmittelbar bevorstehenden Gefahr von Suizid oder Selbstverletzung müsste der Betreiber Krisenhilfe bereitstellen. Ist das Konto mit einem Elternkonto verbunden, wäre eine Benachrichtigung der Eltern vorgesehen, sofern sie das Kind nicht der Gefahr eines schweren Schadens aussetzt; alternativ müsste ein direkter Zugang zur US-Krisenhilfe 988 oder einer gleichwertigen Stelle ermöglicht werden.
Der Prüfer müsste außerhalb des kontrollierten Unternehmens stehen, objektiv urteilen und nach professionellen Prüfstandards arbeiten. Weder eine finanzielle Beteiligung am Betreiber noch eine erfolgsabhängige Vergütung wäre zulässig. Eine Prüfung nach einem anderen Gesetz könnte anerkannt werden, wenn ihr Umfang im Wesentlichen dem von SB 1119 entspricht.
Private Haftung setzt einen konkreten Schaden voraus
SB 1119 trennt staatliche Durchsetzung von privaten Ansprüchen. Die vorgesehenen öffentlichen Geldbußen könnten Verstöße gegen das gesamte Kapitel erfassen. Eine private Klage wäre dagegen nur bei einem tatsächlichen Schaden möglich, der aus der Verletzung bestimmter Krisen-, Standard-, Hinweis- oder Inhaltsvorgaben entstanden ist.
Bei einem finanziellen Schaden müsste der geltend gemachte Betrag 1.000 US-Dollar pro Kind übersteigen. Ein emotionaler Schaden müsste als schwere seelische Belastung einzustufen sein. Verlangt werden könnten tatsächlicher Schadensersatz, Anwalts- und Verfahrenskosten sowie Unterlassungs- oder Feststellungsentscheidungen; Strafschadensersatz ist in der verabschiedeten Fassung nicht mehr vorgesehen.
Eine einzelne problematische Chatbot-Antwort würde daher nicht automatisch einen privaten Haftungsfall auslösen. Erforderlich wären eine Verletzung der ausdrücklich erfassten Pflichten, ein nachweisbarer Schaden und ein ursächlicher Zusammenhang.
SB 1119 bleibt vom europäischen AI Act getrennt
Der kalifornische Entwurf und der europäische AI Act sind eigenständige Regelwerke mit unterschiedlichen Anwendungsbereichen, Behörden und Pflichten. Ein Kinderschutzaudit nach SB 1119 wäre deshalb nicht automatisch ein Konformitätsnachweis für die EU; umgekehrt würde die Erfüllung europäischer Vorgaben die kalifornischen Anforderungen nicht ohne Weiteres ersetzen.
Als Nächstes entscheidet Newsom über Unterzeichnung oder Veto. Erst eine Unterzeichnung würde die für Juli 2027 vorgesehenen Produkt- und Datenschutzpflichten relevant machen. Ob die späteren unabhängigen Audits tatsächlich greifen, hängt zusätzlich vom rechtzeitigen Inkrafttreten von AB 1405 ab.
Lesen Sie auch:
Newsletter abonnieren
Erhalten Sie die neuesten Nachrichten zu Web3, KI und Krypto direkt in Ihren Posteingang.