Colorado hat sein KI-Gesetz ersetzt: Was SB 26-189 im Jahr 2027 erfordert

SB 26-189 hat Colorado Teil 17 aufgehoben und neu in Kraft gesetzt¶

Das erlassene Sitzungsgesetz verwendet den Ausdruck „Aufhebung und Neuinkraftsetzung mit Änderungen“. Colorado verfügt daher immer noch über ein Gesetz zur Regelung automatisierter Entscheidungen. SB 26-189 ersetzt den durch das Sitzungsgesetz 2024, SB 24-205 geschaffenen Rahmen durch einen anderen Teil 17 mit dem Titel „Automatisierte Entscheidungsfindungstechnologie bei Folgeentscheidungen“.

SB 24-205 wurde am 17. Mai 2024 genehmigt. Seine Hauptaufgaben waren ursprünglich für den 1. Februar 2026 geplant. Die Generalversammlung erließ dann im August 2025 SB 25B-004 und verschob diese Aufgaben auf den 30. Juni 2026. SB 26-189 wurde am 14. Mai 2026 vor diesem verschobenen Datum genehmigt und lieferte die Ersatzpflichten, die ab dem 1. Januar 2027 gelten.

Das auf einer Rechnungsseite aufgedruckte Datum kann die Handlung, einen bestimmten Abschnitt oder das regulierte Verhalten beschreiben. Hier ist das Genehmigungsdatum der 14. Mai 2026. Die Bestimmungen zur Regelung, Aneignung, zum Datum des Inkrafttretens und zur Sicherheitsklausel traten mit der Verabschiedung in Kraft. Die meisten materiellen Pflichten treten am 1. Januar 2027 in Kraft, und das Gesetz gilt für Folgeentscheidungen, die an oder nach diesem Datum getroffen werden.

Der Abdeckungstest: ADMT, materieller Einfluss, Folgeentscheidung¶

Der erlassene Text definiert ADMT als Technologie, die personenbezogene Daten verarbeitet und mithilfe von Berechnungen eine Ausgabe generiert, die dazu dient, eine Entscheidung über eine Person zu treffen, zu leiten oder zu unterstützen. Als Beispiele werden Vorhersagen, Empfehlungen, Klassifizierungen, Rankings und Scores genannt. Die vollständigen Definitionen und Ausschlüsse finden Sie in Abschnitt 6-1-1701.

Ein ADMT wird zu einem abgedeckten ADMT, wenn es dazu verwendet wird, eine Folgeentscheidung wesentlich zu beeinflussen. Wesentlicher Einfluss setzt voraus, dass es sich bei der Ausgabe um einen Nicht-De-minimis-Faktor handelt, der bei der Entscheidung verwendet wird und deren Ergebnis beeinflusst, beispielsweise durch Einschränkung, Einstufung, Bewertung, Empfehlung oder Klassifizierung. Beiläufige, triviale und kirchliche Verwendungen fallen nicht unter diese Definition.

Die sieben abgedeckten Bereiche sind: Einschreibung oder Chancen für Bildung; Beschäftigungsmöglichkeiten, die ein Arbeitgeber-Arbeitnehmer-Verhältnis begründen oder begründen könnten; die Vermietung oder der Kauf von Wohnimmobilien in Colorado; Finanz- oder Kreditdienstleistungen; Versicherung; Gesundheitsdienstleistungen; und wesentliche staatliche Dienstleistungen oder öffentliche Vorteile.

Das Gesetz schließt mehrere Kategorien von der Definition der Folgeentscheidung aus. Dazu gehören Routineprozesse mit geringem Einsatz, Werbung und Marketing, administrative Zusammenfassungen, die keine einflussreichen Schlussfolgerungen liefern, enge Verfahrensverarbeitung, bestimmte Cybersicherheits-, Geldwäsche-, Terrorismusfinanzierungs-, Sanktions- und Betrugspräventionsaktivitäten sowie routinemäßige akademische Verwaltung. Für jeden Ausschluss gelten Bedingungen im erlassenen Text.

Was hat sich gegenüber SB 24-205 geändert?¶

Das Gesetz von 2024 regelte „Hochrisiko-Systeme der künstlichen Intelligenz“, die wichtige Entscheidungen trafen oder ein wesentlicher Faktor dabei waren. Es wurden angemessene Sorgfaltspflichten im Zusammenhang mit algorithmischer Diskriminierung, Risikomanagementprogrammen für Betreiber, mindestens einmal jährlichen Folgenabschätzungen und öffentlichen Erklärungen zum Risikomanagement auferlegt.

Der 2026-Ersatz nutzt abgedecktes ADMT und materiellen Einfluss als zentralen Auslöser. Im in Kraft getretenen Teil 17 entfallen die früheren Anforderungen an das Risikomanagementprogramm, die jährliche Folgenabschätzung und die öffentliche Risikoerklärung. Im Mittelpunkt stehen Entwicklerdokumentation, Aktualisierungsmitteilungen, Drei-Jahres-Aufzeichnungen, Verbrauchermitteilungen, Erklärungen nach unerwünschten Ergebnissen, Korrekturverfahren und aussagekräftige menschliche Überprüfungen.

Es gelten weiterhin die bestehenden Diskriminierungs- und Verbraucherschutzgesetze. Abschnitt 6-1-1707 befasst sich mit der Haftung nach dem staatlichen Antidiskriminierungsrecht und teilt das Verschulden zwischen einem Entwickler und einem Betreiber auf der Grundlage ihres relativen Verschuldens zu. Die Einhaltung von Teil 17 bietet keinen Schutz vor Verstößen gegen ein anderes geltendes Recht.

Entwickleraufgaben ab 1. Januar 2027¶

Gemäß Abschnitt 6-1-1702 des Sitzungsgesetzes muss ein Entwickler jedem Bereitsteller ein einigermaßen verständliches Paket für abgedeckte Verwendungszwecke zur Verfügung stellen. Das Paket muss Geschäftsgeheimnisse und Informationen schützen, die durch Landes- oder Bundesgesetze geschützt sind.

Das Paket muss den vorgesehenen Verwendungszweck und bekannte schädliche oder unangemessene Verwendungszwecke beschreiben. die bekannten Kategorien von Trainingsdaten, einschließlich personenbezogener Daten; bekannte Einschränkungen, Risiken und Umstände, unter denen das ADMT nicht verwendet werden sollte; Anweisungen zur angemessenen Verwendung, Überwachung und gegebenenfalls sinnvollen menschlichen Überprüfung; und Informationen, die der Betreiber vernünftigerweise für seine Offenlegungspflichten benötigt.

Ein Entwickler muss jeden Bereitsteller innerhalb einer angemessenen Zeit über wesentliche Aktualisierungen, absichtliche und wesentliche Änderungen sowie Änderungen der beabsichtigten Verwendung, Einschränkungen oder Risikominderung informieren. Öffentliche Versionshinweise können den Inhalt enthalten, wenn der Entwickler auch jeden Bereitsteller direkt über die Version informiert.

Aufzeichnungen von Entwicklern, die zum Nachweis der Einhaltung vernünftigerweise erforderlich sind, müssen nach der Erstellung mindestens drei Jahre lang aufbewahrt werden, oder länger, wenn ein anderes Gesetz dies vorschreibt. Die Satzung nennt Systemversionskennungen, Änderungsprotokolle, Dokumentation und Hinweise zu Materialaktualisierungen.

• Umfang der abgedeckten Nutzung: Zeichnen Sie für Folgeentscheidungen auf, wie das ADMT vermarktet, konfiguriert, vertraglich vereinbart, verkauft oder lizenziert wurde.
• Versionieren Sie die Dokumentation: Binden Sie die beabsichtigte Verwendung, Einschränkungen, Eingabekategorien, Überwachung und Anweisungen zur menschlichen Überprüfung an eine Systemversion.
• Bereitsteller benachrichtigen: Zeichnen Sie das Update, die betroffenen Versionen, die Empfänger, die Lieferzeit und alle geänderten Abhilfemaßnahmen auf.
• Bewahren Sie die Aufzeichnungen auf: Bewahren Sie das Compliance-Paket und den Liefernachweis für die gesetzliche Frist auf.

Mitteilungs-, Erklärungs- und Aufzeichnungspflichten des Auftraggebers¶

Bevor ein Betreiber ein abgedecktes ADMT nutzt, um eine Folgeentscheidung wesentlich zu beeinflussen, muss er dem Verbraucher eine klare und deutliche Mitteilung machen. Ein deutlich sichtbarer Hinweis, der einigermaßen nah an der Interaktion platziert wird, kann diese Anforderung an den Interaktionspunkt erfüllen. Abschnitt 6-1-1704 verlangt, dass in der Mitteilung angegeben wird, dass das abgedeckte ADMT verwendet wurde oder wird, und erläutert wird, wie zusätzliche Informationen erhalten werden können.

Wenn diese Verwendung zu einem negativen Ergebnis führt, hat der Betreiber 30 Tage nach der Entscheidung Zeit, eine klare Beschreibung der Entscheidung und der ADMT-Rolle bereitzustellen. Die Bekanntmachung muss auch ein einfaches Verfahren zur Anforderung von Informationen über das ADMT und seine Eingaben enthalten, einschließlich seines Namens, seiner Version (sofern zutreffend), seines Entwicklers sowie der Arten, Kategorien und Quellen personenbezogener Daten, sofern der Entwickler die erforderlichen Informationen bereitgestellt hat. Der Betreiber muss die Verbraucherrechte in Abschnitt 6-1-1705 und deren Ausübung erläutern.

Erforderliche Hinweise und Offenlegungen müssen im Einklang mit geltendem Recht für Verbraucher mit Behinderungen und Verbraucher mit eingeschränkten Englischkenntnissen einigermaßen zugänglich sein. Das Gesetz enthält branchenspezifische Bestimmungen für Kredite, Bildung gemäß FERPA, Versicherer, HIPAA-gedeckte Unternehmen und medizinische Geräte.

Betreiber müssen Aufzeichnungen, die vernünftigerweise zum Nachweis der Einhaltung erforderlich sind, mindestens drei Jahre nach der Folgeentscheidung aufbewahren. Als Beispiele werden Versionskennungen, Änderungsprotokolle und eine Dokumentation zur Materialminderung genannt.

Eine aussagekräftige menschliche Überprüfung ist ein definiertes Verbraucherrecht¶

Nach einem negativen Ergebnis einer Folgeentscheidung, die maßgeblich von einem abgedeckten ADMT beeinflusst wurde, kann ein Verbraucher gemäß Abschnitt 6-1-1705 zwei Formen des Rückgriffs beantragen. Der Betreiber muss Anweisungen zur Abfrage der verwendeten personenbezogenen Daten und zur Berichtigung sachlich unrichtiger oder sachlich unrichtiger personenbezogener Daten erteilen. Der Betreiber muss im wirtschaftlich vertretbaren Umfang auch die Möglichkeit einer sinnvollen menschlichen Überprüfung und erneuten Überlegung bieten.

Für eine aussagekräftige menschliche Überprüfung gibt es eine gesetzliche Definition. Der Bereitsteller benennt eine Person mit der Befugnis, die daraus resultierende Entscheidung zu genehmigen, zu ändern oder außer Kraft zu setzen. Diese Person berücksichtigt relevante verfügbare Primärbeweise, ist für die Überprüfung geschult, bewertet den Fall, ohne auf die Systemausgabe zurückzugreifen, und erhält genügend Informationen, um die beabsichtigte Verwendung der Ausgabe, Materialbeschränkungen, Eingabekategorien und Hauptfaktoren zu verstehen.

Das Berichtigungsrecht erfordert keine Korrektur von Meinungen, Vorhersagen, Wertungen oder geschützten Bewertungen. Bildungseinrichtungen, die FERPA unterliegen, können qualifizierte Studentenakten- und Berufungsverfahren nutzen. Der Generalstaatsanwalt muss die umfassenderen Korrektur-, Überprüfungs- und erneuten Prüfungsanforderungen bis zum 1. Januar 2027 durch Regeln klarstellen und umsetzen.

Ein funktionsfähiger Überprüfungsprozess erfordert daher eine benannte Autorität, ein Beweispaket, geschulte Gutachter, einen unabhängigen Entscheidungsschritt, ein neu überdachtes Ergebnis und eine dauerhafte Aufzeichnung. Das Human-Oversight-Modell zeigt, wie eine Folgehandlung an eine Person mit ausdrücklicher Entscheidungsbefugnis weitergeleitet werden kann, während Kontrollzuordnung die gesetzliche Pflicht mit der operativen Kontrolle und den Beweisen verknüpft.

• Autorität: Der Prüfer kann die Entscheidung genehmigen, ändern oder außer Kraft setzen.
• Primärbeweis: Der Gutachter erhält das relevante Quellenmaterial hinter dem Fall.
• Schulung: Der Prüfer versteht die Entscheidung, die Prüfmethode und das abgedeckte ADMT.
• Unabhängige Beurteilung: Der Prozess erfordert die Bewertung der Beweise und die Aufzeichnung der eigenen Begründung des Gutachters.
• Systemkontext: Verwendungszweck, Einschränkungen, Eingabekategorien und Hauptfaktoren sind zum Zeitpunkt der Überprüfung verfügbar.
• Überprüfungsprotokoll: Der Antrag, die Beweise, der Prüfer, die Begründung, das Ergebnis und die Lieferung werden aufbewahrt.

Erlassene Pflichten und zukünftige Regeln des Generalstaatsanwalts¶

In der Satzung sind zwei zwingende Regelungen verankert. Der Generalstaatsanwalt muss bis zum 1. Januar 2027 Regeln für die Offenlegung nach unerwünschten Ergebnissen gemäß Abschnitt 6-1-1704(4) und für Korrekturen, sinnvolle Überprüfung und erneute Prüfung gemäß Abschnitt 6-1-1705(3) erlassen. Der Generalstaatsanwalt ist auch befugt, andere Durchführungsbestimmungen zu erlassen, einschließlich Regeln zur Klarstellung des „materiellen Einflusses“.

Auf der Seite des Generalstaatsanwalts zur KI-Regelsetzung heißt es, dass das Büro am 13. Juli 2026 eine informelle Kommentierungsfrist vor der Regelsetzung abgeschlossen habe und dass die formelle Regelsetzung noch nicht begonnen habe. Vorgeschlagene Regeln, Anhörungsdetails, verabschiedete Regeln und Inkrafttretensdaten werden dort veröffentlicht. Informelle Diskussionsthemen und mögliche Regelungstexte begründen keine geltende Pflicht.

Das erlassene Gesetz legt bereits Hauptaufgabe, Akteur, Auslöser und Enddatum fest. Regeln können Inhalt, Format, Branchenbeispiele, die Beschreibung der ADMT-Rolle, Kategorien personenbezogener Daten, Überprüfungsverfahren und Anwendung sowie andere Gesetze klarstellen. Implementierungsteams können jetzt die gesetzliche Basis erstellen und die konfigurierbaren Details für die formalen Regeln unter Änderungskontrolle halten.

Durchsetzung und ein praktischer Vorbereitungsplan¶

Der Generalstaatsanwalt hat die ausschließliche Befugnis, die Offenlegungspflichten und Verbraucherrechte gemäß Teil 17 durch den Colorado Consumer Protection Act durchzusetzen. Ein Verstoß ist eine betrügerische Handelspraxis. Das Gesetz schafft kein neues privates Klagerecht. Bestehende staatliche und bundesstaatliche Rechte und Rechtsbehelfe bleiben bestehen.

Wenn der Generalstaatsanwalt einen Verstoß als heilbar erachtet, muss das Büro vor der Vollstreckung eine Mitteilung ausstellen und 60 Tage Zeit für die Behebung haben. Eine Heilungsfrist ist nicht erforderlich, wenn der Generalstaatsanwalt einen wissentlichen oder wiederholten Verstoß nachweisen kann. Der gesamte Unterabschnitt, der diese vorläufige Heilungsregelung und die damit verbundenen jährlichen Berichtspflichten enthält, soll am 1. Januar 2030 aufgehoben werden.

Die Vorbereitung beginnt mit einer Bestandsaufnahme der Folgeentscheidungen Colorados und der Technologie, die sie beeinflusst. Erfassen Sie für jeden Kandidaten die Domäne, den Colorado-Nexus, die persönlichen Daten, die Ausgabe, die Entscheidungsrolle, die Ausschlussanalyse, den Entwickler, die Version, den Kontaktpunkt mit dem Verbraucher, den Pfad für negative Ergebnisse, die Autorität des Prüfers und den Eigentümer der Retention.

Binden Sie dann die Entscheidung an Laufzeitkontrollen: Zeigen Sie den Hinweis zum Zeitpunkt der Interaktion an, bewahren Sie die genaue Systemversion und Eingaben auf, generieren Sie die Erklärung, wenn ein unerwünschtes Ergebnis auftritt, leiten Sie eine Überprüfungsanfrage an eine autorisierte Person weiter und bewahren Sie die vollständige Aufzeichnung drei Jahre lang auf. Der Anforderungsleitfaden zum EU-KI-Gesetz bietet eine separate Verpflichtungskarte für in Europa tätige Organisationen; Halten Sie die beiden Zuständigkeitsanalysen getrennt.

• Bestandsaufnahme: Finden Sie jede Colorado-Entscheidung in den sieben abgedeckten Bereichen und identifizieren Sie jede Recheneingabe.
• Klassifizieren: Dokumentieren Sie den ADMT-Status, den wesentlichen Einfluss, den Status der Folgeentscheidung, Ausschlüsse, Entwickler und Bereitsteller.
• Vertrag: Erhalten Sie versionierte Entwicklerdokumentation, Einschränkungen, Aktualisierungshinweise und Datenquelleninformationen.
• Betreiben: Platzieren Sie Hinweise, Erklärungen, Korrekturaufnahmen und aussagekräftige Überprüfungen im Entscheidungsprozess.
• Aufbewahren: Bewahren Sie Mitteilungen, Versionen, Eingaben, Ergebnisse, Offenlegungen, Anfragen, Überprüfungen und Änderungen mindestens drei Jahre lang auf.
• Regeln überwachen: Verfolgen Sie die Regelungsseite des Generalstaatsanwalts von Colorado und aktualisieren Sie die Kontrollen anhand des übernommenen Textes.