Kolumbiens KI-Gesetzentwurf ahmt EU-Regeln nach, verfügt aber nicht über die Durchsetzungskapazitäten

Der kolumbianische Kongress debattiert einen Gesetzentwurf zur künstlichen Intelligenz, der wirkt, als wäre er in Brüssel verfasst worden, aber in Bogotá funktionieren muss. Der Gesetzentwurf 025 von 2026, der von der Kongressfraktion der scheidenden Partei Historischer Pakt wenige Wochen vor ihrem Machtverlust eingebracht wurde, übernimmt die risikobasierte Architektur des KI-Gesetzes der Europäischen Union fast vollständig. Er definiert Risikokategorien, schreibt Auswirkungsbewertungen vor, verlangt Transparenz und menschliche Aufsicht und schafft eine nationale KI-Behörde mit der Befugnis, die Liste der Hochrisikosysteme zu aktualisieren. Was er jedoch nicht tut, ist zu erklären, wie ein Land, das nur über einen Bruchteil der Verwaltungskapazität, des technischen Fachwissens und der finanziellen Ressourcen der EU verfügt, all dies durchsetzen will.

Ein europäischer Bauplan ohne europäische Infrastruktur

Das KI-Gesetz der EU ist nicht im luftleeren Raum entstanden. Es ruht auf einem Binnenmarkt von 450 Millionen Menschen, gestützt von nationalen Aufsichtsbehörden in jedem Mitgliedsstaat, einem Netzwerk von Benannten Stellen und einer Rechtsordnung, die Pflichten auf Entwickler, Anbieter, Betreiber und Aufsichtsbehörden verteilen kann. Kolumbien verfügt über keine dieser Infrastrukturen. Die Datenschutzbehörde des Landes, die erst 2021 gegründet wurde, ist noch immer beim Aufbau grundlegender operativer Kapazitäten. Das Ministerium für Wissenschaft, Technologie und Innovation, das durch den Entwurf als KI-Regulierungsbehörde bestimmt wird, verfügt über ein Budget, das die weiterreichenden fiskalischen Zwänge des Landes widerspiegelt. Ein Gesetz zu verabschieden, das die Existenz einer europäischen Durchsetzungsmaschinerie voraussetzt, erschafft diese Maschinerie noch nicht.

Dies ist ein Lehrbuchbeispiel für das Scheitern regulatorischer Transplantationen. Wenn ein Rahmen, der für ein institutionelles Umfeld entwickelt wurde, ohne Anpassung in ein anderes übertragen wird, ist das Ergebnis oft eine Reihe von Pflichten, die lokale Akteure nicht erfüllen können und ausländische Akteure ignorieren können. Im Falle Kolumbiens ist diese Asymmetrie akut. Die leistungsstärksten KI-Systeme werden von Unternehmen entwickelt, die sich auf die Vereinigten Staaten und China konzentrieren. Kolumbianische Unternehmen und öffentliche Einrichtungen sind überwiegend Betreiber, keine Anbieter. Sie integrieren Modelle, die sie nicht gebaut haben, die mit Daten trainiert wurden, die sie nicht gesammelt haben, und die auf Infrastruktur laufen, die sie nicht kontrollieren.

Die Betreiber-Anbieter-Falle

Das KI-Gesetz der EU unterscheidet sorgfältig zwischen Anbietern, die Hochrisikosysteme bauen und in Verkehr bringen, und Betreibern, die diese unter eigener Verantwortung nutzen. Anbieter tragen die schweren Pflichten: technische Dokumentation, Risikomanagementsysteme, Konformitätsbewertung, Überwachung nach dem Inverkehrbringen. Betreiber haben leichtere, aber dennoch erhebliche Pflichten: menschliche Aufsicht, Qualität der Eingabedaten, Meldung von Vorfällen. Diese Aufteilung funktioniert in Europa, da viele Anbieter europäisch sind oder über EU-Niederlassungen verfügen und die Verordnung extraterritoriale Geltung hat. Der kolumbianische Entwurf übernimmt die Pflichten der Betreiber, errichtet aber keine entsprechende extraterritoriale Zuständigkeit über ausländische Anbieter. Ein kleines kolumbianisches Startup, das ein geschlossenes Modell eines US-Unternehmens nutzt, könnte gesetzlich verpflichtet werden, die Erklärbarkeit zu garantieren und algorithmische Audits eines Systems durchzuführen, dessen Architektur, Trainingsdaten und Evaluationsverfahren es nicht einsehen kann.

Das Problem ist nicht theoretischer Natur. Im Gesundheitswesen, in der Justiz, bei der Überwachung und in der öffentlichen Verwaltung beschaffen kolumbianische Einrichtungen bereits KI-gestützte Werkzeuge aus dem Ausland. Der Entwurf würde der kolumbianischen Seite der Transaktion Compliance-Kosten auferlegen, während die vorgelagerten Entscheidungen über Modellgestaltung, Daten-Governance und Risikominderung vollständig außerhalb der kolumbianischen Zuständigkeit blieben. Das ist keine wirksame Regulierung. Es ist eine Verlagerung der regulatorischen Last auf die Seite, die am wenigsten in der Lage ist, die Technologie zu beeinflussen.

Exekutives Ermessen und verfassungsrechtliche Fragen

Artikel 5 des Entwurfs legt allgemeine Kriterien für die Risikoklassifizierung fest, erlaubt es der nationalen KI-Behörde, dem Ministerium für Wissenschaft, Technologie und Innovation jedoch, die Liste der Hochrisikoverwendungen nach einer öffentlichen Anhörung durch einen begründeten Verwaltungsakt zu erstellen und zu aktualisieren. Artikel 7 ermächtigt das Ministerium, verbindliche technische Empfehlungen zum Risikoniveau bestimmter Systeme herauszugeben. Tatsächlich würde eine Exekutivbehörde entscheiden, welche KI-Anwendungen die belastendsten rechtlichen Pflichten auslösen, wobei endgültige Interventionsmaßnahmen anderen Behörden vorbehalten sind. Aus der Perspektive des algorithmischen Rechtsstaatsprinzips wirft dies ernsthafte Fragen auf. Entscheidungen, die bestimmen, ob ein System überhaupt eingesetzt werden kann und unter welchen Einschränkungen, berühren Grundrechte. Der Interamerikanische Gerichtshof für Menschenrechte hat schon lange festgestellt, dass die formelle Anerkennung eines Rechts nicht ausreicht; der Staat muss die Bedingungen schaffen, um es zu garantieren. Eine derart weitreichende Klassifizierungsbefugnis, die einem Ministerium ohne klare gesetzgeberische Kriterien oder effektive gerichtliche Überprüfung obliegt, droht zu einem regulatorischen Blankoscheck zu werden.

Technologische Abhängigkeit und die Kolonialität von Daten

Hinter der technischen Debatte verbirgt sich eine strukturelle. Länder des Globalen Südens konsumieren zunehmend technologische Infrastrukturen, die von Unternehmen entwickelt wurden, die in einer Handvoll Staaten ansässig sind. Sie können regulieren, wie diese Systeme genutzt werden, aber sie haben kaum echte Kontrolle über die Modelle, die Rechenleistung oder das Wissen, das erforderlich ist, um Daten in wirtschaftliche und technologische Macht umzuwandeln. Der Entwurf konfrontiert diese Asymmetrie nicht. Er reguliert das kolumbianische Ende der Wertschöpfungskette und lässt die vorgelagerte Machtkonzentration unangetastet. Eine wirklich souveräne KI-Politik würde fragen, wer die Infrastruktur kontrolliert, wer die Modelle baut und wer die echte Kapazität hat, ihnen Grenzen zu setzen. Stattdessen reproduziert der Entwurf regulatorische Kategorien, die für einen europäischen Kontext entwickelt wurden, in dem die Machtverteilung eine andere ist.

Wie eine proportionale Regulierung aussehen könnte

Nichts davon spricht gegen eine KI-Regulierung in Kolumbien. Die Technologie transformiert bereits Arbeit, Bildung, Sicherheit und öffentliche Dienstleistungen, und das Fehlen von Regeln birgt eigene Risiken. Die Regulierung muss jedoch proportional zu den Risiken sein, die in Kolumbien tatsächlich eintreten, und kompatibel mit den Institutionen, die sie durchsetzen müssen. Die stärksten Schutzvorkehrungen sollten sich zunächst auf Bereiche konzentrieren, in denen KI schwerwiegende Schäden für Grundrechte verursachen kann: Gesundheitsdiagnostik, Unterstützung richterlicher Entscheidungen, polizeiliche Überwachung, Zuweisung sozialer Sicherung. Pflichten sollten nicht nur mit dem Risikoniveau skalieren, sondern auch mit dem Grad der Kontrolle, den jeder Akteur über die Technologie ausübt. Ein Betreiber, der nicht auf das Innere eines Modells zugreifen kann, sollte nicht an denselben Erklärbarkeitsstandards gemessen werden wie sein Anbieter. Der risikobasierte Ansatz des Entwurfs ist im Prinzip richtig; sein Fehler liegt in der Annahme, dass die kolumbianische Staatskapazität mit dem europäischen Ehrgeiz mithalten kann.

Es gibt auch eine Frage der Reihenfolge. Bevor neue Verwaltungsstrukturen geschaffen werden, könnte Kolumbien bestehende Sektoraufsichtsbehörden stärken, die Gesundheitsaufsicht, die Finanzaufsicht, die Datenschutzbehörde, indem es ihnen technische Teams und rechtliche Mandate gibt, um KI in ihren Bereichen zu überwachen. Dies baut Durchsetzungskapazitäten dort auf, wo sie bereits existieren, anstatt anzunehmen, dass eine neue Zentralbehörde alles auf einmal erledigen kann. Die EU selbst brauchte Jahre, um die Governance-Architektur aufzubauen, die nun das KI-Gesetz stützt. Kolumbien kann das Ergebnis nicht ohne den Prozess importieren.