Texas TRAIGA: Was Unternehmen mit Geschäft in Texas wissen müssen

Der Texas Responsible Artificial Intelligence Governance Act, kurz TRAIGA, ist nun in Kraft. Er wurde als House Bill 149 verabschiedet, im Juni 2025 unterzeichnet und trat am 1. Januar 2026 in Kraft. Für jedes Unternehmen, das KI entwickelt, einkauft oder so einsetzt, dass Menschen in Texas davon berührt werden, gehört er auf die Compliance-Agenda.

Als Unternehmen mit Hauptsitz in Dallas erleben wir zwei gegensätzliche Reaktionen. Manche Führungskräfte halten ihn für eine texanische Version der EU-KI-Verordnung (AI Act) und stellen sich auf umfangreiche neue Pflichten ein. Andere meinen, er gelte nur für Behörden des Bundesstaats, und legen ihn beiseite. Beides trifft nicht zu. Für private Unternehmen ist TRAIGA enger gefasst, als viele erwarten, schafft aber dennoch reale Risiken – und die Vorbereitung darauf erfordert dieselbe Disziplin, die gute KI-Governance ohnehin verlangt.

Was das Gesetz regelt – in Kürze

TRAIGA verfolgt einen absichtsbasierten Ansatz. Statt KI-Systeme in Risikokategorien mit jeweils langen Pflichtenkatalogen einzuteilen, verbietet es bestimmte schädliche Verwendungen und legt dem Staat zusätzliche Pflichten auf. Die wichtigsten Elemente sind:

• Verbotene Zwecke. Es verbietet, KI mit der Absicht zu entwickeln oder einzusetzen, bestimmte Schäden herbeizuführen. Beispiele sind die Manipulation von Menschen, sich selbst oder anderen zu schaden oder Straftaten zu begehen, die rechtswidrige Diskriminierung geschützter Gruppen und die Erzeugung bestimmter rechtswidriger sexueller Inhalte.
• Pflichten staatlicher Stellen. Staatliche und kommunale Stellen haben zusätzliche Pflichten, etwa Menschen offenzulegen, dass sie mit KI interagieren, und das Verbot, KI für Social Scoring einzusetzen.
• Offenlegung im Gesundheitswesen. Wird KI im Zusammenhang mit Gesundheitsleistungen eingesetzt, muss dies gegenüber Patienten offengelegt werden.
• Eine regulatorische Sandbox. Qualifizierte Organisationen können KI-Systeme in einem staatlich betriebenen Programm testen und sind während der Testphase von bestimmten Anforderungen teilweise entlastet.
• Ein texanischer KI-Rat. Das Gesetz schafft einen Rat, der den Bundesstaat in Fragen der KI-Politik, -Ethik und -Aufsicht berät.

Der Fokus auf die Absicht ist entscheidend. Für die meisten privaten Unternehmen lautet die Kernfrage nicht, ob ein System in eine regulierte Kategorie fällt, sondern ob Sie belegen können, wofür es konzipiert und eingesetzt wurde und dass Sie angemessene Schritte unternommen haben, um Schaden zu verhindern.

Wen es betrifft

TRAIGA gilt breit für Organisationen, die KI-Systeme in Texas entwickeln oder einsetzen, Produkte oder Dienstleistungen anbieten, die von Einwohnern von Texas genutzt werden, oder im Bundesstaat geschäftlich tätig sind. In der Praxis erfasst das die meisten landesweit tätigen Unternehmen, nicht nur jene mit Hauptsitz oder Niederlassung in Texas.

Die weitreichendsten konkreten Pflichten, etwa die allgemeine Offenlegung von KI-Interaktionen und das Verbot des Social Scoring, treffen staatliche Stellen. Private Unternehmen sind vor allem auf drei Arten betroffen:

1. Die Verbote vorsätzlich schädlicher Verwendungen gelten für sie.
2. Gesundheitsdienstleister und andere, die Gesundheitsleistungen erbringen, unterliegen einer Offenlegungspflicht.
3. Unternehmen, die KI an öffentliche Auftraggeber in Texas verkaufen, werden erleben, dass diese ihre eigenen Pflichten über Verträge und Beschaffungsanforderungen weitergeben.

Finanzdienstleister sollten besonders auf die Diskriminierungsbestimmungen achten. Modelle für Kreditvergabe, Underwriting, Betrugserkennung und Forderungsmanagement unterliegen bereits bundesrechtlichen Vorschriften zu fairer Kreditvergabe und Verbraucherschutz. TRAIGA fügt eine Durchsetzungsebene auf Ebene des Bundesstaats hinzu, und die Qualität Ihrer Dokumentation wird den Verlauf einer Untersuchung prägen. Ob ein bestimmter Anwendungsfall erfasst ist, ist eine Rechtsfrage; ziehen Sie für die Einzelheiten rechtlichen Rat hinzu.

Wie die Durchsetzung funktioniert

Die Durchsetzung ist der Teil von TRAIGA, der am stärksten bestimmt, wie Sie sich vorbereiten sollten.

• Allein der Attorney General. Der Attorney General von Texas ist ausschließlich für die Durchsetzung zuständig. Es gibt kein privates Klagerecht; Einzelpersonen können also nicht auf Grundlage des Gesetzes selbst klagen.
• Mitteilung und Abhilfe. Bevor der Attorney General ein Durchsetzungsverfahren einleitet, muss er den mutmaßlichen Verstoß mitteilen; anschließend hat die Organisation 60 Tage Zeit, ihn zu beheben.
• Gestaffelte Sanktionen. Die zivilrechtlichen Geldstrafen sind für Verstöße, die nicht behoben werden können oder nach Ablauf der Abhilfefrist fortbestehen, höher als für behebbare Verstöße.
• Anerkannte Rahmenwerke zählen. Die weitgehende Einhaltung eines anerkannten Rahmenwerks für KI-Risikomanagement, etwa des NIST AI Risk Management Framework, ist für die Verteidigungsmöglichkeiten einer Organisation von Bedeutung.

Zusammengenommen belohnen diese Merkmale Organisationen, die schnell und glaubwürdig reagieren können. Geht eine Mitteilung ein, bleibt nur ein begrenztes Zeitfenster, um das betreffende System zu verstehen, seinen beabsichtigten Zweck zu belegen, ein etwaiges Problem zu beheben und die Behebung zu dokumentieren. Ohne Vorbereitung ist das kaum zu schaffen.

Praktische Schritte zur Vorbereitung

Nichts davon ist ungewöhnlich. Es ist das Fundament eines soliden KI-Governance-Programms, ausgerichtet auf die spezifische Gestalt von TRAIGA.

1. KI-Anwendungen mit Bezug zu Texas erfassen. Erstellen oder aktualisieren Sie ein Register Ihrer KI-Systeme – einschließlich Tools von Anbietern und in Unternehmenssoftware eingebetteter KI-Funktionen – und kennzeichnen Sie jene, die Einwohner, Kunden oder Beschäftigte in Texas betreffen. Ohne Inventar ist eine Abhilfefrist von 60 Tagen nicht realistisch.
2. Zweck und Tests dokumentieren. Halten Sie für jedes wesentliche System seinen beabsichtigten Zweck, die unterstützten Entscheidungen und die Grenzen seiner Nutzung fest. Bewahren Sie Nachweise über Tests vor der Inbetriebnahme auf, einschließlich Tests auf Verzerrungen und Missbrauch. Bei einem absichtsbasierten Gesetz ist zeitnahe Dokumentation Ihr bester Beleg.
3. Am NIST AI RMF ausrichten. Ordnen Sie Ihre Richtlinien und Kontrollen den Funktionen Govern, Map, Measure und Manage des Rahmenwerks zu. Das stützt die vom Gesetz anerkannten Verteidigungsmöglichkeiten und gibt Ihnen eine Struktur, die auch andere Aufsichtsbehörden und Prüfer verstehen.
4. Erforderliche Offenlegungen vornehmen. Prüfen Sie, ob Ihre Tätigkeiten eine Offenlegungspflicht auslösen, insbesondere im Gesundheitswesen oder bei Aufträgen für staatliche Kunden, und führen Sie klare, einheitliche Hinweise ein.
5. Systeme im Betrieb überwachen. Modelle driften, und Einsatzbereiche wachsen. Richten Sie eine Überwachung von Leistung, Ergebnissen über verschiedene Gruppen hinweg und Anzeichen von Missbrauch ein, mit namentlich benannten Verantwortlichen, die die Ergebnisse prüfen.
6. Einen Vorfallprozess aufbauen, der die Abhilfefrist einhält. Legen Sie fest, wer eine behördliche Mitteilung entgegennimmt, wie das betroffene System identifiziert und bewertet wird, wer eine Korrektur freigeben darf und wie die Abhilfe dokumentiert wird. Üben Sie den Ablauf einmal, bevor Sie ihn brauchen.
7. Andere bundesstaatliche Gesetze verfolgen. Texas ist einer von mehreren Bundesstaaten, die KI regulieren. Der Colorado AI Act verfolgt einen anderen, risikobasierten Ansatz, und weitere Bundesstaaten sind aktiv. Bauen Sie ein einheitliches Programm für mehrere Bundesstaaten mit gemeinsamem Kontrollset auf, statt für jedes Gesetz ein eigenes Projekt aufzusetzen.

Wie TRAIGA in ein umfassenderes Programm passt

Es wäre ein Fehler, TRAIGA als eigenständiges Compliance-Projekt zu behandeln. Inventar, Dokumentation, Tests und Überwachung, die das Gesetz belohnt, sind dieselben Fähigkeiten, die Sie für Branchenaufsichten, die Due Diligence Ihrer Kunden, die EU-KI-Verordnung (AI Act) bei Geschäft in Europa und – falls Sie diese anstreben – eine Zertifizierung nach ISO/IEC 42001 benötigen.

Am effizientesten ist es, Ihr Programm auf einem Rahmenwerk zu verankern – für Unternehmen mit Schwerpunkt USA typischerweise das NIST AI RMF – und jedes neue Gesetz darauf abzubilden. Kommt eine neue Anforderung hinzu, bewerten Sie die Lücke gegenüber Kontrollen, die Sie bereits betreiben, statt neu anzufangen.

Auch die Sandbox ist für Organisationen, die neuartige KI-Produkte entwickeln, einen Blick wert. Sie ersetzt keine Governance, kann aber Spielraum bieten, verantwortungsvoll zu testen und dabei im Austausch mit dem Bundesstaat zu stehen.

Dieser Beitrag dient der allgemeinen Information und stellt keine Rechts- oder Aufsichtsberatung dar.