KI-Compliance wird zum Produkt, während Regeln zersplittert bleiben und Fristen rutschen

Compliance wird heute modulweise verkauft. Quick Heal hat Seqrite NOVA Data Privacy vorgestellt, ein KI-gestütztes Angebot für kleine Büros, kleine und mittlere Unternehmen sowie mittelgroße Betriebe, die sich mit Indiens DPDP-Gesetz befassen.

Für Käufer verschiebt sich mit diesem Angebot die entscheidende Frage. Ob ein Werkzeug regelkonform ist, reicht als Prüfstein nicht mehr aus. Entscheidend ist, welcher konkreten Anforderung eines Bundesstaates oder des Bundes es zugeordnet ist und wer die Kosten trägt, wenn es danebenliegt. Was die neuen Module kosten, hat keines der beiden Unternehmen gesagt.

NOVA gibt es in drei Stufen: Lite, Essentials und Professional. Die Übersetzungsfunktion bringt Einwilligungshinweise und Cookie-Menüs in 22 offiziell anerkannte indische Sprachen. Quick Heal erklärt, die Plattform finde und klassifiziere personenbezogene Daten auf Endgeräten, in Cloud-Anwendungen, Datenbanken und unstrukturierten Dateien, einschließlich Text in eingescannten Bildern. Das Unternehmen argumentiert, kleinere Käufer könnten diese Arbeit nicht selbst personell abdecken. „Navigating India's DPDP compliance shouldn't be a complex, resource-heavy ordeal for growing businesses“, sagte Harish Kumar GS, Vorstandsvorsitzender von Quick Heal.

Fusemachines setzte vier Tage früher auf eine vergleichbare Wette. Am 29. Oktober 2026 brachte das Unternehmen ein AI Usage Consent Module in HireFoundry.ai heraus, gerichtet an Arbeitgeber, die in allen 50 US-Bundesstaaten einstellen. Bewerber, die ablehnen, werden trotzdem interviewt. Der Interview Agent steigt dann nicht in das Gespräch ein, hört nicht zu, transkribiert nicht und analysiert nicht. „Enterprises should be able to focus on finding the right talent without having to build a separate AI consent process for every state where they hire“, sagte Giovanni Lemus, Vice President of Product bei Fusemachines.

Die Prognose stützt sich auf die Menge der Vorschriften, nicht auf ein einzelnes Gesetz. ResearchAndMarkets führt die Nachfrage auf KI- und Cloud-Einführung zurück, die Kosten senkt und Echtzeitüberwachung über mehrere Rechtsordnungen hinweg ermöglicht. Als Treiber nennt das Unternehmen DSGVO, CSRD und DORA.

Indiens DPDP-Frist erzeugt Druck

Indiens Zeitplan ist der engste. Indien hat die DPDP Rules im November 2025 bekannt gegeben. Zentrale Bestimmungen treten gestaffelt bis Mai 2027 in Kraft.

Die Vorbereitung ist dünn. Eine im Januar veröffentlichte EY-Umfrage ergab, dass mehr als 83% der Organisationen nicht damit begonnen hatten, die Anforderungen in den relevanten Prozessen und Systemen umzusetzen. Genau diese Lücke ist die Verkaufschance, auf die Quick Heal zielt. Ob ein kleines Unternehmen eine Aufsichtsbehörde auf diesem Weg zufriedenstellen kann, ist unerprobt. Das gestaffelte Inkrafttreten bedeutet, dass die Pflichten Stück für Stück kommen.

Europa verlängert die Sandbox-Frist

Europa ging den umgekehrten Weg, behielt sein Recht und kaufte sich Zeit. Die AI Omnibus Regulation trat am 27. Juli 2026 in der gesamten EU in Kraft.

Ihre konkreteste Änderung ist eine Verzögerung. Die Mitgliedstaaten haben jetzt bis 2. August 2027 Zeit, mindestens eine nationale KI-Rechtsaufsichts-Sandbox zu betreiben, ein Jahr später als die ursprüngliche Frist. Die Verordnung führt außerdem eine Sandbox auf EU-Ebene ein, die das AI Office mit den zuständigen Behörden einrichten kann.

Eine Sandbox ist keine Befreiung von der Regulierung. Unternehmen testen Systeme unter Aufsicht und lernen vor dem Marktstart, was die Aufsichtsbehörden erwarten.

US-Regeln bleiben zersplittert, Gerichte füllen Lücken

Washington hat kein bundesweites KI-Gesetz. Kalifornien erließ im September 2025 SB 53, und im Juli 2026 wurde ein bundesweiter FRONTIER-Gesetzentwurf eingebracht, laut einer Analyse von note.com unter Berufung auf Newsweek Japan. Der AI Act selbst trat am 1. August 2024 in Kraft und führt seine Pflichten schrittweise ein.

Wo die Gesetzgeber zögern, bewegen sich die Gerichte. Im Oktober 2026 reichten Kläger beim Northern District of Illinois putative Sammelklagen gegen Grok von xAI ein. Die Klagen behaupten, die Plattform habe von Nutzern hochgeladene Fotos ohne die erforderlichen Offenlegungen oder schriftlichen Freigaben verarbeitet. BIPA, 2008 erlassen, zählt das Scannen der Gesichtsgeometrie zu den biometrischen Identifikatoren, schließt Fotos aber ausdrücklich aus. Die Kläger sagen, die Verarbeitung habe diese Grenze überschritten. Die Vorwürfe sind nicht bewiesen, und die Verfahren stehen am Anfang.

Die Aufsicht bleibt bei den Arbeitgebern

In jedem Fall verkauft der Anbieter den Workflow, und der Käufer behält die Haftung. Fusemachines erklärt, die Recruiter entschieden, was gefragt werde, und blieben für die Bewertung der Bewerber und die Einstellungsentscheidungen verantwortlich.

Die Fristen bleiben offen. Die Kläger haben die BIPA-Ansprüche nicht belegt.