Trumps KI-Dekret ist deregulatorisch. Ihr Compliance-Risiko hat sich nicht verändert

Die Bundesregierung hat signalisiert, dass sie weniger Bürokratie rund um künstliche Intelligenz (AI) anstrebt. Verwechseln Sie dieses Signal nicht mit einem freien Weg in Sachen Compliance.

Am 2. Juni 2026 unterzeichnete Präsident Trump ein Dekret (Executive Order, EO) mit dem Titel "Promoting Advanced Artificial Intelligence Innovation and Security". Laut dem Weißen Haus basiert das Dekret auf einem freiwilligen Rahmen und sieht ausdrücklich keine Pflichtlizenzierung, Vorabgenehmigung oder Genehmigungspflichten für die Entwicklung oder den Vertrieb von AI vor. CNBC berichtete, dass die Unterzeichnung nicht öffentlich stattfand, Wochen nachdem eine geplante Zeremonie mit Führungskräften der Technologiebranche verschoben worden war.

Die Schlagzeile liest sich wie ein Sieg für AI-Entwickler und als Signal, dass Washington einen Rückzieher macht. Für die meisten Unternehmen ist diese Lesart auf Bundesebene zutreffend. Doch die rechtlichen und regulatorischen Anforderungen, die Ihre Abläufe tatsächlich binden, liegen auf anderen Ebenen des Compliance-Stapels, und dieses Dekret hat die meisten davon nicht berührt.

Was das Dekret tatsächlich bewirkt

Der Kernmechanismus ist ein freiwilliges 30-tägiges Zugriffsfenster. Entwickler können der Bundesregierung bis zu 30 Tage vor der öffentlichen Veröffentlichung Zugang zu sogenannten "Covered Frontier Models" gewähren. Während dieses Zeitraums gelten Schutzmaßnahmen für geistiges Eigentum (IP) und Vertraulichkeitsgarantien. Die Teilnahme ist freiwillig, nicht verpflichtend.

Wichtige Fakten

• Das Dekret ermöglicht es Entwicklern, der Bundesregierung bis zu 30 Tage vor der öffentlichen Veröffentlichung freiwillig Zugang zu "Covered Frontier Models" zu gewähren. (The White House, 2. Juni 2026)
• Es schreibt keine Pflichtlizenzierung, Vorabgenehmigung oder Genehmigungspflichten vor und gibt dem Bund keinen Vorrang vor staatlichen KI-Gesetzen. (The White House, 2. Juni 2026)
• Behördenfristen: Die Cybersecurity and Infrastructure Security Agency (CISA) hat 30 Tage für Cybersicherheitsrichtlinien; das Office of Personnel Management (OPM) hat 60 Tage, um Einstellungswege im Bereich Cybersicherheit zu erweitern. (The White House, 2. Juni 2026)

Die National Security Agency (NSA), gemeinsam mit Cybersicherheitsbeamten, ist damit beauftragt, ein klassifiziertes Benchmarking-Verfahren aufzubauen. Dieses Verfahren bewertet die Cyberfähigkeiten von AI-Modellen und legt fest, welche davon als "Covered Frontier Models" einzustufen sind und damit dem freiwilligen Zugriffsfenster unterliegen.

Das Dekret enthält auch kurzfristige Behördenfristen. Die CISA hat 30 Tage, um Cybersicherheitsrichtlinien zu erlassen. Das Finanzministerium, die NSA und die CISA haben gemeinsam 30 Tage, um eine Schwachstellendatenbank einzurichten. Das OPM hat 60 Tage, um Einstellungswege im Bereich Cybersicherheit zu erweitern.

Die Präambel des Dekrets rahmt die Regierung so, als hätte sie bereits bürokratische Hürden abgebaut, die die AI-Einführung verlangsamten. Der Ton ist durchgehend deregulatorisch. Es besteht keinerlei Unklarheit darüber, in welche Richtung Washington zeigt.

Ein Dekret, das besagt "wir werden keine Bundesbarrieren errichten", ist jedoch nicht dasselbe wie ein Dekret, das die bereits bestehenden Barrieren in anderen Rechtsgebieten beseitigt. Genau diese Unterscheidung wird in der Wirtschaftsberichterstattung häufig übergangen.

Die drei Ebenen der AI-Compliance (weiterhin in Kraft)

Das Compliance-Bild für jedes US-Unternehmen, das AI einsetzt, ist keine einheitliche Bundesfrage. Es hat drei verschiedene Ebenen, und das EO vom Juni 2026 hat nur die erste berührt.

Ebene 1: Bundesebene (freiwillig und dünn). Hier ist das neue Dekret angesiedelt. Washington gibt sich bei AI nun ausdrücklich zurückhaltend. Kein Bundesmandat, Modelle bei einer Behörde zu genehmigen. Kein Lizenzierungsregime. Keine Vorabgenehmigung. Für die meisten Unternehmen ist die KI-Compliance auf Bundesebene derzeit eine Frage branchenspezifischer Vorschriften in regulierten Branchen (Finanzen, Gesundheitswesen, Verteidigung) und kein allgemeiner AI-Rahmen. Dieses Dekret bekräftigt diese Haltung und treibt sie weiter in eine deregulatorische Richtung.

Ebene 2: Staatliche Ebene (wachsender Flickenteppich, verbindlich). Kalifornien, Colorado, Texas, New York und mehr als ein Dutzend andere Bundesstaaten haben aktive KI-Gesetzgebungen in verschiedenen Phasen der Verabschiedung oder Durchsetzung. Das EO vom Juni 2026 hat staatliche KI-Gesetze ausdrücklich NICHT außer Kraft gesetzt. Wenn Kaliforniens Anforderungen an KI-Transparenz oder Bias-Audits auf Ihre Abläufe zutreffen, gelten sie weiterhin. Wenn Colorados Regeln für den Einsatz von Hochrisiko-AI Ihr Unternehmen betreffen, tun sie das noch immer. Ihre Compliance-Karte auf staatlicher Ebene hat sich durch das, was Washington diese Woche unterzeichnet hat, nicht verändert.

Ebene 3: International (extraterritorial und verbindlich). Der EU AI Act gilt für jedes Unternehmen, das AI-fähige Produkte oder Dienstleistungen für Nutzer in der Europäischen Union anbietet, unabhängig davon, wo das Unternehmen seinen Sitz hat. Wenn Sie EU-Kunden haben, Mitarbeiter in EU-Mitgliedstaaten beschäftigen oder ein Produkt auf dem EU-Markt anbieten, gelten für Sie die Fristen und Verpflichtungen des EU AI Act. Die Haltung der US-Bundesregierung zur inländischen AI-Regulierung hat keinerlei Auswirkung auf die EU-Durchsetzung. Einen genaueren Blick auf die operativen Anforderungen des EU AI Act bietet der EU AI Act-Strategieleitfaden für CEOs, der die praktischen Compliance-Pflichten nach Risikoklassen aufschlüsselt.

Das EO hat Ebene 1 berührt, und das nur leicht. Die Ebenen 2 und 3 sind intakt.

Die Falle: "Innovation zuerst" als "Compliance später" verstehen

Diese Denkweise ist genau verkehrt, und dieses Dekret macht es besonders leicht, in diese Falle zu tappen.

Wenn eine Regierung deregulatorische Absichten signalisiert, ist die naheliegende organisatorische Reaktion, die Compliance-Investitionen zu reduzieren. Governance-Programme fühlen sich wie Overhead an. Rechtliche Prüfungen fühlen sich wie Reibung an. Wenn der Bund zurücktritt, warum dann die gleiche Haltung beibehalten?

Hier ist die Antwort: Ihr Governance-Programm ist in erster Linie kein Bundes-Compliance-Programm. Es ist Ihre Antwort auf Ebene 2 (ein wachsender Flickenteppich staatlicher Gesetze mit echter Durchsetzungskraft) und Ebene 3 (den EU AI Act, der bei Verstößen Bußgelder von bis zu 3 % des weltweiten Jahresumsatzes vorsieht). Keiner dieser Rahmen hat sich am 2. Juni geändert. Keiner wird sich ändern, weil Washington etwas unterzeichnet hat.

Der EU AI Act und der RevOps-Implementierungsleitfaden dokumentiert die operativen Schritte, die Unternehmen unternehmen, um sich auf die Durchsetzung des EU AI Act vorzubereiten. Diese Schritte werden nicht optional, weil die US-Bundespolitik eine freundlichere Richtung eingeschlagen hat.

Zum Vergleich von Governance-Rahmen verschiedener Regulierungsbehörden lohnt es sich, den Vergleich des OpenAI Frontier Governance Frameworks mit NIST für CTOs neben dieser Analyse zu lesen. Freiwillige Branchenrahmen und verbindliche Regulierungsrahmen sind parallele Pfade, keine Substitute füreinander.

Dasselbe Prinzip gilt hier. Ein freiwilliges Bundeszugriffsfenster für Frontier Models und eine verbindliche EU AI Act-Compliance-Pflicht sind keine Alternativen. Sie gelten gleichzeitig.

Was sich am Rand tatsächlich geändert hat

Das EO ist kein Nichtereignis. Zwei Dinge haben sich verschoben, die es wert sind, angemerkt zu werden.

Erstens wird das klassifizierte Benchmarking-Verfahren der NSA festlegen, welche Modelle unter dem freiwilligen Zugangsrahmen als "Covered Frontier Models" gelten. Diese Einstufung hat nachgelagerte Auswirkungen. Wenn Ihr Unternehmen auf einem Frontier Model eines großen AI-Anbieters aufbaut und dieser Anbieter beginnt, Modellversionen 30 Tage vor der öffentlichen Veröffentlichung mit der Regierung zu teilen, befinden Sie sich in einer Welt, in der die Bundesregierung die Cyberfähigkeiten des Modells bewertet, bevor Sie es erhalten.

Das ist ein direktes Gespräch mit Ihrem AI-Anbieter beim nächsten Vertrags- oder Verlängerungsgespräch wert. Fragen Sie, ob der Anbieter plant, am freiwilligen Zugangsrahmen teilzunehmen. Fragen Sie, welche IP-Schutzmaßnahmen gelten. Fragen Sie, wie der frühe Zugang die Freigabezeiträume oder die Versionssequenz der Modelle beeinflussen könnte, die Ihr Unternehmen erhält.

Zweitens sind die im EO verankerten Behördenfristen echte Verpflichtungen. Die 30-Tage-Frist der CISA für Cybersicherheitsrichtlinien und die 30-Tage-Frist zur Einrichtung der Schwachstellendatenbank werden konkrete Ergebnisse liefern. Die Datenbank insbesondere könnte eine nützliche Ressource für Organisationen werden, die das Cyberrisikoprofil bestimmter AI-Implementierungen verstehen wollen. Behalten Sie sie im Blick.

Beide sind nachrichtendienstliche Inputs, keine Compliance-Anforderungen. Aber sie sind es wert, verfolgt zu werden. Die Analyse der Governance-Lücken bei agentischer AI behandelt die übergreifende Governance-Frage, wie die meisten Unternehmen noch dabei sind, autonome AI-Systeme einzuholen, was genau die Lücke ist, die das NSA-Benchmarking-Verfahren auf Bundesebene schließen soll.

Für die strategische Investorenperspektive auf die Entwicklung von AI-Anbieterbeziehungen bietet die BCG AI Radar 2026-Analyse für CEOs einen breiteren Marktkontext für Entscheidungen zur Auswahl von Frontier Models und zur Anbieterkonzentration.

Was jetzt zu tun ist

Eine kurze Handlungsliste, kein umfassendes Compliance-Programm zum Überarbeiten.

Pausieren Sie Ihre Governance-Investitionen nicht. Die Compliance-Anforderungen, die für Ihr Unternehmen jetzt relevant sind, befinden sich auf Ebene 2 und Ebene 3. Die haben sich nicht verändert. Ihr Budget dafür sollte es auch nicht.

Kartieren Sie Ihr tatsächliches Risiko nach Rechtsgebiet, nicht nach Schlagzeile. Die Frage ist nicht "Hat die US-Regierung die AI-Regulierung gelockert?" (das hat sie, auf Bundesebene). Die Frage ist: "Welche konkreten Gesetze gelten für unsere spezifischen AI-Implementierungen in jedem Rechtsgebiet, in dem wir tätig sind?" Diese Karte ist Ihr tatsächliches Compliance-Dokument. Aktualisieren Sie sie vierteljährlich.

Fügen Sie Ihrer nächsten Überprüfung von Frontier-Model-Anbietern eine Frage hinzu. Fragen Sie, ob der Anbieter plant, am freiwilligen Frühzugangsrahmen teilzunehmen. Fragen Sie, welche IP- und Vertraulichkeitsschutzmaßnahmen bei Teilnahme gelten. Fragen Sie, wie die Teilnahme den Zeitplan der Modellversionen beeinflussen könnte, die Ihr Unternehmen erhält. Das sind keine alarmierenden Fragen. Sie sind normale Vertragshygiene in einem neuen Umfeld.

Halten Sie einen staatlichen Gesetzestracker aktuell. Die Zahl der aktiven staatlichen KI-Gesetze wächst. Kalifornien, Colorado und Texas sind für die meisten US-Unternehmen die wichtigsten Rechtsgebiete, aber die Liste ist länger und wächst weiter. Weisen Sie jemandem die Aufgabe zu, diese Liste zu pflegen und monatlich zu aktualisieren.

Behandeln Sie die Durchsetzungsfristen des EU AI Act als unveränderlich. Das sind sie. Lassen Sie das innenpolitische deregulatorische Signal kein falsches Gefühl der Erleichterung bezüglich der EU-Verpflichtungen erzeugen. Wenn Ihr Unternehmen irgendwo in der EU tätig ist, sollte Ihr Compliance-Team die EU AI Act-Readiness als harte Frist behandeln, nicht als künftiges Problem.

Das Dekret ist eine gute Nachricht für AI-Entwickler, die sich über ein bundesweites Lizenzierungsregime Sorgen gemacht haben. Aber es ist nicht die Compliance-Geschichte. Die Compliance-Geschichte wird noch immer von staatlichen Generalstaatsanwälten und EU-Regulierungsbehörden geschrieben, und sie hat am 2. Juni nicht pausiert.

Häufig gestellte Fragen

Ersetzt oder schwächt Trumps KI-Dekret den EU AI Act?

Nein. Der EU AI Act ist Recht der Europäischen Union. Ein US-amerikanisches Dekret hat keine Autorität über EU-Gesetzgebung oder EU-Durchsetzungsfristen. Jedes Unternehmen, das AI-fähige Produkte oder Dienstleistungen für EU-Nutzer anbietet, unterliegt weiterhin dem EU AI Act, unabhängig von Änderungen der US-Bundespolitik. Die beiden Rahmen sind voneinander unabhängig.

Setzt das Dekret staatliche KI-Gesetze außer Kraft?

Nein, und das Dekret sagt dies ausdrücklich. Staatliche KI-Gesetze, einschließlich der Transparenzanforderungen Kaliforniens, der Hochrisiko-AI-Regeln Colorados und anderer, bleiben vollständig in Kraft. Das Dekret übergeht die Befugnis der Bundesstaaten, AI in ihren Rechtsgebieten zu regulieren, nicht. Ihre staatlichen Compliance-Pflichten sind unverändert.

Was sollte ein CEO aufgrund dieses Dekrets tatsächlich ändern?

Sehr wenig in der unmittelbaren Compliance-Haltung. Die eine neue Maßnahme, die es wert ist, ergriffen zu werden, ist das Hinzufügen einer Frage zum freiwilligen Frühzugangsrahmen bei Ihrer nächsten Überprüfung des Frontier-AI-Anbieters: ob der Anbieter plant teilzunehmen, welche IP-Schutzmaßnahmen gelten und wie die Teilnahme Ihren Modell-Freigabezeitplan beeinflussen könnte. Darüber hinaus halten Sie Ihre Governance- und Compliance-Investitionen stabil. Die verbindlichen Anforderungen (staatliches Recht, EU AI Act) haben sich nicht verändert.

Quelle: The White House, 2. Juni 2026 | CNBC, 2. Juni 2026