FPF fordert Colorado auf, Regeln für automatisierte Entscheidungsfindung zu vereinfachen und aufeinander abzustimmen

Worum es bei dem Regelsetzungsverfahren geht

Die Stellungnahme betrifft den Colorado Automated Decision-Making Technology Act (SB 26-189), der im Mai 2026 in Kraft gesetzt wurde. Laut FPF hebt das Gesetz den Colorado AI Act (SB 24-205) auf und ersetzt ihn. Es legt neue Anforderungen für Entwickler und Betreiber von Technologie zur automatisierten Entscheidungsfindung (ADMT) fest, die Entscheidungen von erheblicher Tragweite wesentlich beeinflusst.

Entwickler müssen eine allgemeine Erklärung zur erfassten ADMT abgeben, einschließlich ihrer vorgesehenen Einsatzzwecke und bekannten Einschränkungen. Betreiber müssen Verbraucher benachrichtigen und ihnen erläutern, wie die Technologie bei folgenreichen Entscheidungen eingesetzt wird. Zudem räumt das Gesetz Verbrauchern Rechte ein, auf bestimmte personenbezogene Daten zuzugreifen und sie zu berichtigen sowie nach nachteiligen Entscheidungen von erheblicher Tragweite eine substanzielle menschliche Überprüfung zu verlangen. Es tritt am 1. Januar 2027 in Kraft.

Im August 2026 leitete die Behörde ein förmliches Regelsetzungsverfahren ein, um SB 26-189 und den Colorado Chatbot Safety Act (HB 26-1263) zu konkretisieren und umzusetzen. Nach einer ersten Runde öffentlicher Stellungnahmen veröffentlichte sie am 6. Oktober 2026 den aktualisierten Zwischenentwurf.

Empfehlung eins: den Anwendungstest eingrenzen

Der Zwischenentwurf nennt sechs Kriterien, anhand derer sich beurteilen lässt, ob das Ergebnis einer ADMT bei einer Entscheidung von erheblicher Tragweite nur ein geringfügiger Faktor war. Davon hängt ab, ob die Technologie die Entscheidung wesentlich beeinflusst hat und damit unter das Gesetz fällt.

FPF empfiehlt, die ersten vier Kriterien beizubehalten, die auf die menschliche Beteiligung abstellen. Sie prüfen, ob ein Entscheidungsträger das ADMT-Ergebnis geprüft, andere relevante Informationen eigenständig analysiert, das nötige Fachverständnis besessen und die Befugnis gehabt hat, die Entscheidung zu treffen oder zu ändern. Laut FPF decken sich diese Kriterien mit den ADMT-Vorschriften Kaliforniens und den bestehenden Regeln zum Privacy Act in Colorado, die beide eine ausreichende menschliche Beteiligung betonen.

Die letzten beiden Kriterien, die sich auf organisatorische Richtlinien sowie auf Umfang, Art oder Komplexität der Verarbeitung personenbezogener Daten beziehen, sollten dagegen gestrichen werden. Aus Sicht von FPF betreffen sie die Rahmenbedingungen der menschlichen Beteiligung, nicht die Beteiligung selbst. FPF schlägt vor, organisatorische Richtlinien und die zugehörige Dokumentation als unterstützenden Nachweis zu behandeln, im Einklang mit der vorgeschlagenen Regel 6.1(B).

Außerdem argumentiert FPF, die Komplexität der Datenverarbeitung zeige nicht zwangsläufig, ob ein ADMT-Ergebnis eine Entscheidung wesentlich beeinflusst hat, insbesondere wenn ein Mensch eigenständig urteilt. Da die gesetzliche Definition von ADMT die Verarbeitung personenbezogener Daten bereits einschließe, berge dieses zusätzliche Kriterium laut FPF das Risiko einer doppelten Prüfung.

Empfehlung zwei: Pflichten von Entwicklern und Betreibern verknüpfen

Mit der zweiten Empfehlung adressiert FPF eine Lücke, die es im Entwurf sieht. Entwickler müssen vorgesehene Einsatzzwecke, bekannte Einschränkungen und bekannte Risiken dokumentieren, doch die Informationen, die sie liefern müssen, decken sich womöglich nicht mit dem, was Betreiber gegenüber Verbrauchern offenlegen müssen. Betreiber könnten dann Aspekte eines Systems erklären müssen, die sie nicht selbst beurteilen können.

Auf Grundlage seiner Updated Best Practices schlägt FPF der Behörde Folgendes vor:

• Entwicklerdokumentation an Betreiberpflichten koppeln, indem Informationen verlangt werden, die Betreibern genügen, um ihren gesetzlichen Verpflichtungen nachzukommen, soweit sie dem Entwickler bekannt sind.
• „Bekannte Einschränkungen“ und „bekannte Risiken“ präzisieren, sodass sie relevante Leistungsgrenzen, vorgesehene Nutzergruppen und vernünftigerweise vorhersehbare Risiken umfassen, die bei Tests des Entwicklers erkannt wurden.
• Fortlaufende Offenlegungspflichten klären, indem festgelegt wird, wann Entwickler Betreiber über wesentliche Aktualisierungen, Änderungen des vorgesehenen Einsatzzwecks oder neu erkannte wesentliche Risiken informieren sollten.
• Standardisierte Formate fördern, etwa Model Cards und System Cards, für eine einheitliche Kommunikation zwischen Entwicklern und Betreibern.

Was das für Entwickler und Betreiber bedeutet

Die Regelentwürfe befinden sich noch im Regelsetzungsverfahren, und die Behörde hat die Vorschläge von FPF nicht übernommen. FPF erklärt, es wolle die Interoperabilität fördern, Compliance-Pflichten klären sowie echte Transparenz und menschliche Aufsicht bei folgenreichen Entscheidungen unterstützen. Für Unternehmen, die in Colorado automatisierte Entscheidungssysteme entwickeln oder einsetzen, wird das Ergebnis mitbestimmen, wie sie beurteilen, ob ein System erfasst ist, und welche Dokumentation sie vor Inkrafttreten des Gesetzes am 1. Januar 2027 weitergeben müssen.