New Yorker RAISE Act: Analyse zur Registrierung vor Januar

Die Papierarbeitsphase ist der Moment, in dem KI-Sicherheitsrecht real wird. Nicht die Unterzeichnungszeremonie, nicht das Konferenzpanel und nicht das Anbieter-Webinar mit einem Compliance-Abzeichen in der Ecke. Das Büro von Gouverneurin Kathy Hochul sagt, New York werde große KI-Entwickler anweisen, sich ab November beim Bundesstaat zu registrieren, als Teil der Umsetzung des Responsible AI Safety and Education Act. Dieselbe Mitteilung sagt, dass erfasste KI-Entwickler Sicherheitsvorfälle innerhalb von 72 Stunden melden müssen. Übersetzt heißt das: Bevor das Gesetz im Januar in Kraft tritt, will New York eine Liste, einen Behördenweg und jemanden, den man anrufen kann, wenn die Vorfall-Uhr startet.

Was sich laut dem Büro von Gouverneurin Kathy Hochul im November geändert hat

Das Büro von Gouverneurin Kathy Hochul stellt den Registrierungsschritt im November als Umsetzung dar, nicht als Zukunftswunsch. Die Mitteilung sagt außerdem, Hochul habe eine stellvertretende Direktorin bzw. einen stellvertretenden Direktor des neuen DIGIT Office des Bundesstaates ernannt, um die Umsetzung des RAISE Act zu beaufsichtigen. Das ist wichtig, denn sobald ein Gesetz eine zuständige Stelle hat, entstehen Formulare, Eingangsfragen, interne Weiterleitungen und die Art von E-Mail, die fragt, warum Ihre Einreichung noch nicht eingegangen ist.

Wileys Analyse vom April sagt, Hochul habe am 27. März 2026 eine Kapiteländerung unterzeichnet, mit der die endgültige Fassung des RAISE Act geschaffen wurde, und dass das Gesetz am 1. Januar 2027 in Kraft tritt. Das New York Law Journal beschreibt über Law.com, dass New York mit der Umsetzung beginnt, während Hochul weitere KI-Regulierung in Aussicht stellt. Zusammengenommen ist die Abfolge nicht länger theoretisch, auch wenn der erste harte Compliance-Termin noch bevorsteht.

Die praktische Lesart ist einfach. Ein erfasster Entwickler sollte wissen, wer für die Registrierung in New York verantwortlich ist, wer den Anwendungsbereich bestätigen kann und wer befugt ist, mit dem Bundesstaat zu kommunizieren. Wenn die Antwort ein Slack-Thread mit einem Namen wie „legal maybe“ ist, dann ist das Compliance-Programm noch kein echtes Programm.

Wer laut Jones Walker und Wiley in den Anwendungsbereich fällt

Jones Walkers Analyse sagt, der vereinbarte Rahmen verwende nach Kapiteländerungen eine Umsatzanforderung von 500 Millionen US-Dollar und ersetze damit die Schwellenwerte für Rechenkosten, wie sie im ursprünglich verabschiedeten Gesetz standen. Das ist keine Regel für jede App, die ein Modell über eine API aufruft. Sie zielt auf große Entwickler von Frontier-Modellen ab. Deshalb ist der Registrierungsschritt im November am besten als Aufnahmeverfahren für große Entwickler zu verstehen, nicht als allgemeine Gewerbeerlaubnis für KI-Unternehmen.

Wiley sagt, der RAISE Act lege detaillierte Pflichten für Entwickler von Frontier-Modellen fest und übertrage einer neuen Stelle innerhalb des New York Department of Financial Services die Befugnis zur Regelsetzung. Dieses Detail kann man leicht überlesen, sollte es aber nicht ignorieren. Regelsetzungsbefugnis bedeutet: Das Gesetz ist der Grundtext, während die Arbeitsanweisungen über ein Behördenverfahren kommen können. Für nachgelagerte Entwickler kann die unmittelbare Pflicht eher indirekt als direkt sein.

Wenn Ihr Produkt von einem erfassten Modellanbieter abhängt, sollte Ihre Anbieterprüfung damit beginnen zu fragen, ob der Anbieter eine Registrierung erwartet, wie er meldepflichtige Sicherheitsvorfälle behandelt und welche Benachrichtigung Sie erhalten, falls die Einreichung beim Bundesstaat die Servicebedingungen beeinflusst. Artikelzusammenfassungen ändern keine Verträge. Beschaffungssprache schon.

Die 72-Stunden-Uhr ist der Arbeitsablauf, nicht der Slogan, laut dem Bundesstaat New York

Die Mitteilung der Gouverneurin sagt, der RAISE Act verlange von KI-Entwicklern, Sicherheitsvorfälle innerhalb von 72 Stunden zu melden. Das ist der Satz, der Politik in Betrieb verwandelt. Eine Frist von 72 Stunden erfordert Triage-Kriterien, Eskalationsbefugnis, Protokolle, rechtliche Prüfung und eine Person, die den Bericht einreichen kann, während der Vorfall noch läuft.

STACK Cybersecurity beschreibt New York als einen Bundesstaat, der sektorspezifische KI-Regeln mit breiteren Sicherheitsanforderungen für fortgeschrittene KI-Systeme kombiniert, wobei die Durchsetzung am 1. Januar 2027 beginnt. Außerdem wird darauf hingewiesen, dass das New York City Local Law 144 für KI-gestützte Einstellungsentscheidungen bereits in Kraft ist. Einfach gesagt: New Yorks KI-Regime ist mehrschichtig, und der RAISE Act kommt zu Regeln hinzu, die bereits Beschäftigung und verbraucherorientierte Systeme betreffen.

Diese Schichtung ist der Punkt, an dem Entwickler ins Stolpern geraten können. Der RAISE Act kann sich auf Entwickler von Frontier-Modellen konzentrieren, während ein Einstellungstool, ein Begleitsystem oder ein anderer regulierter Anwendungsfall eine andere Pflicht in New York auslösen kann. Die Compliance-Frage lautet nicht, ob das Unternehmen KI nutzt. Sie lautet, welche Rolle das Unternehmen spielt, welches System eingesetzt wird und welche Melde- oder Prüfungsuhr daran hängt.

Was Entwickler als Nächstes tun sollten, laut STACK Cybersecurity und Law.com

Der Leitfaden von STACK Cybersecurity stellt New York als einen Bundesstaat dar, der KI-Regeln für Beschäftigungsentscheidungen, verbraucherorientierte Systeme und die Entwicklung risikoreicher Frontier-Modelle durchsetzt und weiterentwickelt. Der Bericht des New York Law Journal auf Law.com setzt den Umsetzungsschritt zum RAISE Act in den Kontext weiterer bevorstehender KI-Regulierung. Diese Kombination deutet auf ein vertrautes Regulierungsmuster hin: zuerst die größten Akteure definieren, dann die Verwaltungskraft aufbauen, dann die Aufsicht dort ausweiten, wo Gesetzgeber Lücken sehen.

Für große Entwickler ist der nächste Schritt kein Manifest über verantwortungsvolle KI. Es ist ein Zuständigkeitsplan. Legen Sie fest, wer die Registrierung übernimmt, wer die Regelsetzung des Department of Financial Services verfolgt, wer entscheidet, ob ein Ereignis ein Sicherheitsvorfall ist, und wer innerhalb von 72 Stunden einreichen kann. Wenn Juristinnen und Juristen sagen, sie begrüßten Klarheit von den Regulierungsbehörden, gehen Sie davon aus, dass sie damit meinen: Der Arbeitsablauf ist noch nicht fertig.

Für Startups und Lernende ist die Lektion enger, aber nützlich. Staatliche KI-Sicherheitsgesetze werden bereits vor ihrem Inkrafttreten operativ, durch Registrierungsanfragen, Personalankündigungen und Behördenplanung. Beobachten Sie den Registrierungsprozess im November, und beobachten Sie dann, nach welchen Formularen und Definitionen New York fragt. Die Zukunft der KI-Governance wird nicht als Rede erscheinen. Sie wird als Einreichungsfrist erscheinen.