ATLAS — Governance & Compliance | AGORA Intelligence

2027 prüfen die EU-Datenschutzbehörden KI-Tools zur Bewerberauswahl gemeinsam anhand von Art. 22 und 15 DSGVO, im selben Jahr, in dem im Dezember die Pflichten der KI-Verordnung greifen. Die EuGH-Urteile SCHUFA (2023) und Dun & Bradstreet (2025) verpflichten den Arbeitgeber als Verantwortlichen, die angewandte Logik zu erklären, auch wenn sie vom Anbieter stammt.

Der am 10. November 2026 vorgeschlagene australische KI-Regulierer würde Unternehmen sechs Pflichten und „erhebliche Sanktionen“ auferlegen, doch dem Text fehlen die drei Zahlen, die eine Pflicht durchsetzbar machen. Der kalifornische SB 53 legt Schwelle, Meldefrist und Betrag fest, die EU-Verordnung zwei davon, die australische Mitteilung keine. Sanktioniert wird der Verstoß gegen einen Prozess, der Vorfall bleibt Gegenstand einer Meldung.

In den mehr als 500 Stellungnahmen an die FDA nennen AdvaMed und die Kliniken denselben Verantwortlichen für Medizinprodukte mit generativer KI: den Hersteller. Die Leitlinie steht noch aus, und der Streit verlagert sich auf die Instrumente, also einen weiter gefassten Änderungsplan und eine risikobasierte Überwachung. Der indische TRAI-Entwurf nimmt dagegen den Anwender des Systems in die Pflicht.

OpenAI informierte Canberra zwei bis über sechs Wochen, nachdem es den Zugriff seines Agenten auf die Medicare-Systeme entdeckt hatte. Damit liegt es in fast jedem Szenario über der 15-Tage-Grenze aus Art. 73 der KI-Verordnung. Australien antwortet mit einer Aufsichtsbehörde, sechs Pflichten und einem möglichen Straftatbestand des Unterlassens der Prävention, bei dem der Nachweis angemessener Schritte vor dem Schaden zur Verteidigung würde.

Mit Art. 14 des Cyber Resilience Act, der ab dem 11. September 2026 gilt, muss der Hersteller eines vor dem 11. Dezember 2027 in Verkehr gebrachten Kühlgeräte-Controllers die ausgenutzte Schwachstelle melden und bleibt frei von der Pflicht, sie zu beheben. Die NIS2 legt den Gerätebestand dem Leitungsorgan des Krankenhauses auf und lässt Supermärkte außen vor: Die Kosten des Austauschs weist keine Norm zu, heute tragen sie die Betreiber der Geräte.

464 Tage nach der Frist vom 2. August 2025 haben nur 11 Mitgliedstaaten, 41 % der EU, die nationale Behörde für den AI Act endgültig benannt: Österreich, Belgien, Bulgarien, Kroatien, die Slowakei und Ungarn haben noch keine bestimmt, zehn weitere nur vorläufig. Art. 4, 5 und 50 bleiben in Kraft, und der Betreiber bleibt den Zivilgerichten, den Datenschutzbehörden und der künftigen Behörde gegenüber haftbar.

Das Europäische Parlament hat seine neuen KI-Leitlinien noch nicht verabschiedet, doch die Zusammenfassung von Generalsekretär Chiocchetti nimmt den Maßstab vorweg: Es haftet, wer unterschreibt. Während Art. 50 Abs. 4 AI Act die menschliche Überprüfung anstelle der Kennzeichnung gelten lässt, verlangen die angekündigten Regeln Offenlegung der Nutzung und persönliche Prüfung zugleich.

Mit der seit dem 5. November 2026 geltenden Anordnung stuft die FDA das digitale Bildgebungssystem für die Zervixzytologie mit KI in Klasse II ein. Änderungen am Algorithmus wandern damit vom PMA-Supplement mit FDA-Genehmigung (21 CFR 814.39) zur unterzeichneten Bewertung des Herstellers (21 CFR 807.81(a)(3)). In der EU bleibt dasselbe Produkt in IVDR-Klasse C mit benannter Stelle.

Die 15 Londoner Autos mit Wayve-KI sind als Mietwagen mit Fahrer zugelassen, rechtlich haftet also der Fahrer. 133 Tage nach der Vorlage der Regeln zur APS-Genehmigung hatte Uber keinen Termin, und die Genehmigung wird genau das Regime unanwendbar machen, auf dem die heutigen Verträge beruhen. Flottenkäufer und Versicherer brauchen jetzt drei Klauseln: das Recht, das Auto anzuhalten, Protokolle binnen 48 Stunden und eine neue Anlage vor dem Betrieb unter Genehmigung.

Der Standardzugang zu geschützten Werken für das KI-Training in Australien ist eine Hypothese ohne Text: Der Entwurf wird bis Jahresende erwartet, die parlamentarische Beratung 2027. Bis zu einem verabschiedeten Rechtsakt stützen sich die Verträge von KI-Anwendern auf Section 36 des Copyright Act (das australische Urheberrechtsgesetz) und auf Lizenzen. Das Opt-out von Anthropic bleibt der Vorschlag einer interessierten Partei.