Kalifornien hat mit SB 1119 ein Kinderschutzgesetz für Companion-Chatbots verabschiedet, das Produktsicherheit in dokumentierte Kontrollen, öffentliche Angaben und unabhängige Audits übersetzt. Laut amtlichem Gesetzgebungsregister genehmigte Gouverneur Gavin Newsom das Gesetz am 10. September 2026. Am selben Tag wurde es als Chapter 190 registriert.
Die meisten betrieblichen Pflichten gelten ab dem 1. Juli 2027. Betroffene Betreiber sollten die Vorlaufzeit nutzen, um den Produktumfang festzulegen, Verantwortliche zu benennen und Nachweise aufzubauen. Das Gesetz erfasst nicht jeden Chatbot. Es gilt für Companion-Chatbots, die Nutzern in Kalifornien bereitgestellt werden. Ausgenommen sind unter anderem Systeme, die ausschließlich Beschäftigten und Auftragnehmern für die Arbeit zur Verfügung stehen, sowie bestimmte Hochschulangebote.
Die Compliance-Folge ist konkret. Vor der Veröffentlichung eines neuen oder wesentlich geänderten erfassten Chatbots muss der Betreiber vorhersehbare Schäden für Kinder bewerten, Minderungsmaßnahmen dokumentieren und das Ergebnis mit der Produktkonfiguration verbinden. Das Gesetz schafft zudem wiederkehrende Prüfpflichten statt einer einmaligen Freigabe.
Was SB 1119 verlangt
Betreiber haben zwei Wege für den Umgang mit dem Alter. Sie können das Alter nach dem einschlägigen Altersprüfungsrahmen bestimmen oder bestimmte Kinderschutzmaßnahmen auf alle Nutzer anwenden. Wenn Kinder den Dienst verwenden dürfen, muss der Betreiber eine öffentliche Kinderschutzrichtlinie bereitstellen. Sie beschreibt, wie das Produkt erfasste Schäden verhindert und auf erkannte Gefahren reagiert.
Vor der Bereitstellung eines neuen oder wesentlich geänderten Companion-Chatbots ist eine umfassende Risikobewertung für Kinder erforderlich. Sie muss die Ergebnisse der Prüfungen erfasster Schäden zusammenfassen, die Methodik beschreiben, öffentliche Benchmarks und relevante Forschung nennen und nicht öffentliche Bewertungen erklären. Anschließend muss der Betreiber angemessene Maßnahmen zur Minderung erkannter Risiken dokumentieren.
Die Produktkontrollen sind ungewöhnlich konkret. Dazu gehören ein dokumentiertes Krisenprotokoll, altersgerechte Hinweise, wiederkehrende Angaben zum KI-Charakter, Elternkontrollen, Zeitlimits und schützende Standardeinstellungen. Dauerhafte Gesprächserinnerung und Push-Nachrichten sind für Kinder standardmäßig deaktiviert, wobei das Gesetz detaillierte Ausnahmen und Elternrechte vorsieht. Es behandelt außerdem schädliche Ermutigung, simuliertes romantisches Interesse, emotionale Abhängigkeit, irreführende Aussagen über Bewusstsein, Dark Patterns, zielgerichtete Werbung und unnötige Nutzung oder Weitergabe von Kinderdaten.
Unabhängige Audits schaffen Nachweispflichten
Das erste Kinderschutzaudit ist bis zum 1. Januar 2029 oder vor der ersten öffentlichen Bereitstellung fällig, je nachdem, welcher Zeitpunkt später liegt. Danach ist alle zwei Jahre ein unabhängiges Audit erforderlich. Zeigt die Risikobewertung bei einer wesentlichen Änderung ein höheres Kinderschutzrisiko, muss auch vor dieser Veröffentlichung geprüft werden.
Der Auditor bewertet, ob der Betreiber die verlangten Richtlinien und Verfahren eingerichtet und eingehalten hat. Der Bericht muss Kontrollen, Minderungen, Tests, wesentliche Abweichungen, verantwortliche Führungskräfte und die Auditmethodik beschreiben. Der leitende Auditor bestätigt das Ergebnis unter Strafandrohung bei Meineid. Betreiber müssen relevante Unterlagen und den ungekürzten Bericht während des Einsatzes und fünf weitere Jahre aufbewahren.
Innerhalb von 30 Arbeitstagen nach Erhalt eines Audits muss der Betreiber eine Zusammenfassung an den kalifornischen Attorney General übermitteln. Der Gesetzestext enthält weitere Zeit- und Umfangsregeln, darunter eine vorübergehende Auditregel für Betreiber unter einer festgelegten Umsatzschwelle. Teams sollten die für ihre Organisation gültige Vorschrift einzeln zuordnen.
Was Betreiber jetzt aufbauen sollten
Der erste Schritt ist ein belastbares Produktinventar. Es sollte festhalten, welche Angebote die gesetzliche Definition erfüllen, wer Zugriff hat, ob Kinder zugelassen sind und welche Versionen als wesentliche Änderungen gelten. Jedes Produkt braucht einen Verantwortlichen, einen Freigabeprozess und einen Ablageort für Nachweise.
Danach sollten die gesetzlichen Pflichten in Kontrolltests übersetzt werden. Ein Freigabetor sollte Risikobewertung, geprüfte Schäden, Benchmarks, Minderungsresultate und Entscheidungsträger zeigen. Konfigurationsnachweise müssen die tatsächlichen Vorgaben für Erinnerung, Benachrichtigungen, Sitzungszeiten und Elternkontrollen belegen. Vorfallprozesse sollten relevante Gespräche unter den gesetzlichen Bedingungen sichern und zugleich Datenschutz- und Zugriffsregeln beachten.
Maetras Checkliste für KI-Compliance-Nachweise hilft dabei, Pflichten mit Eigentümern, Kontrollen und aktuellen Belegen zu verbinden. Der Leitfaden zu KI-Auditprotokollen zeigt, wie Entscheidungen und Aktionen nachvollziehbar bleiben, ohne unkontrollierte Datenspeicher zu schaffen.
Wichtige Grenzen
SB 1119 ist verabschiedet, doch das neue Kinderschutzkapitel gilt überwiegend noch nicht. Das Gesetz beweist nicht, dass ein heutiger Chatbot sicher oder konform ist. Es ersetzt auch keine genaue Prüfung von Definitionen, Ausnahmen, anderen kalifornischen Regeln und Bundesrecht.
Unabhängige Berichte von AP und CalMatters bestätigen die Verabschiedung und den Kinderschutzfokus. Die hier genannten Pflichten und Termine stammen aus dem registrierten Gesetzestext. Für endgültige Anwendbarkeitsentscheidungen sind dieser Text und qualifizierte Rechtsberatung maßgeblich.
Maetra-Analyse
Der entscheidende Wandel führt von Versprechen zu nachvollziehbaren Abläufen. Eine öffentliche Richtlinie muss mit einer Risikobewertung verbunden sein. Eine Minderung braucht Tests. Eine Produktänderung braucht eine erneute Prüfung. Ein Audit braucht aufbewahrte Nachweise und verantwortliche Führungskräfte.
Diese Kette ist auch außerhalb Kaliforniens nützlich. Teams können sich vorbereiten, indem sie kindgerichtete dialogbasierte KI als gesondert gesteuertes System behandeln. Strengere Vorgaben, Freigabetore und Vorfallnachweise gehören dazu. Der schnellste Weg beginnt mit Produktumfang und Kontrollverantwortung. Danach muss geprüft werden, ob die Belege einer unabhängigen Kontrolle standhalten.