KI und kalifornisches Datenschutzrecht (CCPA/CPRA): Was Unternehmen wissen müssen

Hier die kurze Antwort. Der CCPA erlaubt Ihnen den Einsatz von KI, aber nicht mit den rohen personenbezogenen Daten eines Kaliforniers. Der California Consumer Privacy Act (CCPA), geändert durch den California Privacy Rights Act (CPRA), gibt Verbrauchern starke Rechte. Sie können Auskunft verlangen, löschen und berichtigen lassen sowie dem Verkauf oder der Weitergabe ihrer Daten widersprechen. Sie können auch beschränken, wie ihre Sensitive Personal Information verwendet wird. Diese Daten in eine Verbraucher-KI einzufügen, ist eine Verarbeitung. Wenn der Anbieter sie weiterverwendet, kann das wie ein Verkauf oder eine unbefugte Zweitnutzung aussehen. Die saubere Lösung ist einfach. De-identifizieren Sie kalifornische Identifikatoren, bevor sie in einen KI-Prompt gelangen.

Was der CCPA und der CPRA kalifornischen Verbrauchern geben

Halten wir die Ebenen klar getrennt. Der CCPA ist das zugrunde liegende Gesetz. Der CPRA ist die Volksabstimmung von 2020, die ihn geändert hat. Der CPRA hat neue Rechte und eine neue Datenkategorie hinzugefügt. Er hat außerdem eine eigene Aufsichtsbehörde geschaffen, die CPPA (California Privacy Protection Agency). Zusammen geben sie kalifornischen Einwohnern echte Kontrolle über ihre personenbezogenen Daten.

Die zentralen Rechte lassen sich leicht aufzählen. Verbraucher können erfragen, was ein Unternehmen über sie erhebt. Sie können die Löschung oder Berichtigung verlangen. Sie können dem Verkauf oder der Weitergabe ihrer personenbezogenen Daten widersprechen. Und sie können die Nutzung ihrer Sensitive Personal Information beschränken.

Sensitive Personal Information, kurz SPI, ist eine im CPRA definierte Kategorie. Sie umfasst die Identifikatoren, die für Betrüger am nützlichsten sind. Das fällt darunter.

• Sozialversicherungsnummer, Führerschein und staatliche Ausweisnummern.
• Finanzkontodaten in Verbindung mit Zugangsdaten.
• Präzise Standortdaten.
• Rassische oder ethnische Herkunft, religiöse Überzeugungen und Gewerkschaftszugehörigkeit.
• Genetische und biometrische Daten sowie Gesundheitsinformationen.
• Der Inhalt von Post, E-Mails und SMS, wenn das Unternehmen nicht der vorgesehene Empfänger ist.

Verbraucherdaten in eine KI einzufügen, ist eine Verarbeitung

Denken Sie daran, was beim Einfügen passiert. Sie kopieren die personenbezogenen Daten eines Kaliforniers in ein Verbraucher-KI-Tool. Nach dem CCPA ist das eine Verarbeitung. Diese Daten hören nicht auf, personenbezogen zu sein, nur weil ein Chatbot sie verarbeitet.

Das Risiko hängt von den Bedingungen des Anbieters ab. Manche KI-Anbieter dürfen Ihre Eingaben weiterverwenden, etwa um ihre eigenen Modelle zu trainieren. Diese Weiterverwendung kann nach dem CCPA einem Verkauf oder einer Weitergabe gleichkommen. Sie kann auch als unbefugte Zweitnutzung gelten. Angemessene Verträge sind der Mechanismus, der dies verhindert. Klauseln zum Dienstleister oder Auftragnehmer verhindern, dass ein Anbieter als Käufer gilt. Sie müssen außerdem Widersprüche beachten und den erforderlichen Hinweis bei der Erhebung geben.

Die CPPA und die neuen KI-Regeln

Kalifornien steht nicht still. Die CPPA (California Privacy Protection Agency) setzt das Gesetz gemeinsam mit dem California Attorney General durch. Sie hat außerdem Rechtsetzungsbefugnis. 2025 hat sie ein neues Regelungspaket fertiggestellt.

Der Zeitplan ist wichtig, hier ist er. Der Vorstand der CPPA hat das Paket am 24. Juli 2025 verabschiedet. Das Office of Administrative Law hat die Regeln genehmigt. Sie wurden am 22. September 2025 eingereicht und traten am 1. Januar 2026 in Kraft. Das Paket umfasst Technologie zur automatisierten Entscheidungsfindung, Risikoanalysen und Cybersicherheitsaudits.

Aber das Datum des Inkrafttretens ist nicht die Frist zur Einhaltung. Die inhaltlichen Fristen sind gestaffelt und liegen überwiegend in der Zukunft. Diese Regeln enthalten außerdem Schwellenwerte für Unternehmensgröße und Umsatz. Sie gelten also für bestimmte qualifizierte Unternehmen, nicht für alle. Die CPPA hat einen Zeitplan festgelegt, der wie folgt beginnt.

1. 1Unternehmen, die automatisierte Entscheidungsfindung für wesentliche Entscheidungen einsetzen, müssen ab dem 1. Januar 2027 die Vorgaben erfüllen.
2. 2Die Pflichten zur Risikoanalyse beginnen 2026, wobei die erste Dokumentation der CPPA bis zum 1. April 2028 vorzulegen ist.
3. 3Die Zertifizierungen für Cybersicherheitsaudits sind nach Umsatz gestaffelt, die erste ist für die größten Unternehmen am 1. April 2028 fällig.

Ein Thema zieht sich durch die ADMT-Regeln. Wenn ein Unternehmen automatisierte Entscheidungsfindung für wesentliche Entscheidungen nutzt, muss es die betroffenen Verbraucher informieren. Es muss ihnen außerdem ermöglichen, zu widersprechen und Informationen über diese Nutzung zu erhalten.

De-Identifizierung nimmt Daten aus dem Anwendungsbereich

Hier ist der praktische Hebel. Der CCPA gilt nicht für Daten, die ordnungsgemäß de-identifiziert oder aggregiert sind. Entfernen Sie die Verbindung zu einer realen Person, und die Definition personenbezogener Daten passt nicht mehr. Deshalb ist das Anonymisieren vor dem Prompt so nützlich. Es senkt Ihr Risiko und kann die Daten aus dem Gesetz heraushalten.

Ein Wort ist hier entscheidend: ordnungsgemäß. De-Identifizierung ist keine magische Ausnahme. Das Gesetz erwartet angemessene Maßnahmen und die Verpflichtung, nicht zu re-identifizieren. Richtig gemacht, ist sie jedoch Ihr stärkster Zug. Die KI denkt über einen Fall nach, den sie niemals auf einen namentlich genannten Verbraucher zurückführen kann.

Die Methode ist also unkompliziert. Halten Sie allgemeine Fragen allgemein. Wenn Sie einen echten Fall einbeziehen müssen, de-identifizieren Sie ihn zuerst. Ersetzen Sie jeden kalifornischen Identifikator durch ein Token. Die KI arbeitet mit der Struktur, niemals mit dem Rohwert. Die echten Werte stellen Sie später auf Ihrem eigenen Rechner wieder her.

Genau das leistet ONYRI Sanitize. Der Motor erkennt sensible Daten – Sozialversicherungsnummern, Führerschein- und Kontonummern, Standortdaten, Gesundheitsangaben. Er ersetzt diese Daten durch umkehrbare Token, bevor irgendetwas gesendet wird. Erkennung und Zuordnung bleiben in Ihrem Browser. Nur de-identifizierter Text erreicht das Modell. Die KI sieht Token, niemals die echten Identifikatoren eines Kaliforniers. Sie erhalten die Hilfe und halten die Daten auf der sicheren Seite des CCPA.