KI-Compliance-Tools kommen schneller auf den Markt als die Regeln, die sie abbilden

Quick Heal hat Seqrite NOVA Data Privacy vorgestellt, ein KI-gestütztes Compliance-Tool, das in drei Stufen für kleine Büros, KMU und mittlere Unternehmen verkauft wird.

Das Angebot trifft dort, wo die meisten Käufer keinen Datenschutzspezialisten im Haus haben. Die Übersetzungsfunktion von NOVA bringt Einwilligungserklärungen, Datenschutzhinweise und Cookie-Menüs in 22 offiziell anerkannte indische Sprachen. Quick Heal verknüpft das mit den Hinweispflichten der DPDP. Die Preise wurden nicht genannt. Käufer können die Pakete daher noch nicht mit Wettbewerbern oder mit einem Verzicht vergleichen.

Quick Heal verkauft DPDP in Paketen

Die Stufen heißen Lite, Essentials und Professional. Sie reichen von SOHO-Installationen bis zu mittleren Unternehmen. Die KI-Engine von NOVA erkennt und klassifiziert personenbezogene Daten auf Endgeräten, in Cloud-Anwendungen, Datenbanken und unstrukturierten Dateien, so das Unternehmen. Sie erkennt auch Text in gescannten Dokumenten und Bildern.

"Die Einhaltung der indischen DPDP-Vorgaben sollte für wachsende Unternehmen keine komplexe, ressourcenintensive Belastung sein", sagte Harish Kumar GS, Chief Executive von Quick Heal Technologies.

Quick Heal verspricht minimalen manuellen Aufwand und eine geringe Abhängigkeit von speziellen IT-Kenntnissen.

Zwei weitere Marktstarts, zwei weitere Regelwerke

Quick Heal ist nicht der einzige Anbieter, der liefert. Sierra führte am 28. Oktober 2026 die Compliance Console ein, die in die Agentenplattform Horizon integriert ist. Sie besteht aus konfigurierbaren Leitplanken für die Kontaktaufnahme durch Agenten nach außen:

• Offenlegungen je Kanal, vom Beginn eines Anrufs bis zum Abmeldelink in einer E-Mail
• Kontaktzeitfenster nach der Ortszeit des Empfängers
• Feiertagsausnahmen nach Land und Region
• Frequenzgrenzen, getrennt für Marketing und transaktionale Ansprache

Die Standardeinstellungen deuten an, wie lokal die Regeln sind. Sierra gibt an, dass das zulässige Kontaktfenster in den meisten Regionen von 8 bis 21 Uhr reicht und dass sich die Fenster je nach Tag unterschiedlich festlegen oder innerhalb eines Tages aufteilen lassen. Das Unternehmen nennt Spaniens Nationalfeiertag, den französischen Bastille-Tag und den australischen ANZAC Day als Tage, an denen Marketingkontakte gesetzlich eingeschränkt sind.

Fusemachines setzte stattdessen bei der Personalbeschaffung an. Am 29. Oktober 2026 führte das Unternehmen ein AI Usage Consent Module in HireFoundry.ai ein, das auf die unterschiedlichen staatlichen Regelungen zum Einsatz von KI in der Rekrutierung zielt. Wenn ein Bewerber die Einwilligung verweigert, läuft das Gespräch mit dem Personalvermittler weiter. Der Interview Agent nimmt dann nicht teil, hört nicht zu, transkribiert nicht und analysiert den Anruf nicht, so das Unternehmen.

"Die Wahl des Bewerbers muss bestimmen, was die Technologie tatsächlich tut", sagte Anish Joshi, Technologiechef bei Fusemachines.

Das Geld hinter dem Compliance-Vorstoß

Die Anbieter jagen einen Markt, der sich nach Prognosen von Marktforschern etwa verdoppeln soll.

Der Markt hatte 2025 einen geschätzten Wert von 35.820.000.000 Dollar. Bis 2033 soll er 78.850.000.000 Dollar erreichen, eine jährliche Wachstumsrate von 10,5 Prozent von 2026 bis 2033, so ein Bericht von ResearchAndMarkets. Der Bericht nennt GDPR, CSRD und DORA unter den Rahmenwerken, die eine kontinuierliche Überwachung und rechtzeitige Berichterstattung erzwingen.

Die Regeln gehen auseinander, nicht zusammen

Die Regeln, die die Software abbilden muss, laufen nicht aufeinander zu. Die EU verabschiedete 2024 ihren AI Act mit risikobasierten Pflichten. Die USA haben dagegen kein einheitliches KI-Gesetz auf Bundesebene, so ein Beitrag von Gloria Grobman für Newsweek Japan, zusammengefasst in einem Artikel auf note.com. Kalifornien erließ im September 2025 den SB 53, und im Juli 2026 wurde ein Bundesgesetzentwurf FRONTIER eingebracht.

Auch das Gewicht der Durchsetzung unterscheidet sich. Das NIST AI Risk Management Framework der USA ist freiwillig, und die Sicherheitsanforderungen des Office of Management and Budget gelten nur für Bundesbehörden. Südkorea legte im August 2026 sieben KI-Ethikprinzipien als freiwillige Leitlinien ohne Sanktionen fest.

Indiens Uhr tickt wieder anders. Die DPDP Rules wurden im November 2025 bekannt gegeben, zentrale Bestimmungen treten bis Mai 2027 schrittweise in Kraft. Eine im Januar veröffentlichte EY-Umfrage ergab, dass mehr als 83 Prozent der Organisationen nicht mit der Umsetzung der Anforderungen in den relevanten Prozessen und Systemen begonnen hatten.

Diese Lücke ist der Markt, in den die Anbieter verkaufen. Sie ist auch der Grund, warum ein Compliance-Kauf ein Jahr lang in einer Budgetposition stehen kann, ohne dass jemand ihn durchsetzt.

Was Verstöße kosten

Die Kehrseite ist nicht theoretisch. Law.asia weist darauf hin, dass das Einspeisen sensibler personenbezogener Informationen in ein KI-Modell ohne Einwilligung oder Anonymisierung gegen Chinas Gesetz zum Schutz personenbezogener Informationen und das Datensicherheitsgesetz verstößt. Eine Panne in regulierten Sektoren wie Finanzen und Gesundheitswesen kann zudem Artikel 253-1 des Strafgesetzbuchs über die Verletzung personenbezogener Daten von Bürgern auslösen, heißt es in demselben Artikel.

China setzt auch Schwellenwerte für den Export. Unternehmen, die personenbezogene Daten von mehr als einer Million Menschen verarbeiten, Daten von mehr als 100.000 Personen ins Ausland übermitteln oder sensible Daten von mehr als 10.000 Personen, müssen eine Sicherheitsprüfung für den Datenexport bestehen, so Law.asia. Der Artikel nennt, dass viele multinationale Konzerne diese Vorgabe übersehen, wenn sie inländische Nutzerdaten mit KI-Servern im Ausland synchronisieren.

Das Urheberrecht ist die andere offene Flanke. Im Fall zur KI-Text-zu-Bild-Generierung am Internetgericht Peking entschied das Gericht, dass eine substanzielle Prompt-Gestaltung und Parameteranpassung generierten Inhalten Urheberrechtsschutz verschaffen können, einfache Anweisungen hingegen möglicherweise nicht.

Nichts davon beantwortet die Frage, vor der Käufer tatsächlich stehen. Die Preise für Seqrite NOVA sind nicht bekannt, und Quick Heal hat nicht gesagt, wie viele Kunden die Kontrollen aktiviert haben. Die Regeln werden weiter nach unterschiedlichen Zeitplänen kommen, und die Tools werden weiter vor ihnen auf den Markt gebracht.