Neuseelands Ansatz, Leitlinien statt Gesetzgebung

Neuseeland verfügt über kein eigenständiges KI-Gesetz. Anders als die Europäische Union, die eine umfassende risikobasierte Regulierung erlassen hat, hat Neuseeland einen akzeptanzorientierten, prinzipienbasierten Ansatz gewählt, der über die bestehende Gesetzgebung wirkt, in erster Linie den Privacy Act 2020, ergänzt durch freiwillige Rahmenwerke und behördliche Leitlinien. Dies ist eine bewusste politische Entscheidung und keine noch zu schließende Lücke: Die Haltung der Regierung, dargelegt in der National AI Strategy, die das Ministry of Business, Innovation and Employment (MBIE) im Juli 2025 veröffentlichte, besteht darin, die Einführung verantwortungsvoller KI zu ermöglichen, statt präskriptive Anforderungen aufzuerlegen, die Innovation hemmen könnten.

Für Organisationen, die in Neuseeland tätig sind, bedeutet dies, dass KI-Compliance-Pflichten aus den bestehenden Rechtsrahmen erwachsen, die bereits für Ihren Sektor und Ihre Tätigkeiten gelten, und nicht aus einem neuen KI-spezifischen Gesetz. Die zentralen Rahmenwerke sind: der Privacy Act 2020 (für jede KI, die personenbezogene Informationen verarbeitet); der Fair Trading Act 1986 (für KI-generierte Inhalte oder Aussagen, die Verbraucher irreführen könnten); der Companies Act 1993 und die Pflichten von Unternehmensleitungen (für Vorstände, die KI-Risiken steuern); sowie sektorspezifische Rahmenwerke, darunter die Risikomanagementanforderungen der Reserve Bank für Finanzdienstleistungen und der Health Information Privacy Code für KI im Gesundheitswesen. Der Biometric Processing Privacy Code 2025 des Privacy Commissioner (in Kraft seit 3. November 2025, Compliance-Frist 3. August 2026 für bestehende Systeme) ist ein weiteres verbindliches Instrument mit unmittelbarer Relevanz für KI-gestützte Gesichtserkennung und ähnliche biometrische Systeme.

Der Privacy Act 2020, die zentrale rechtliche Verpflichtung für KI

Neuseelands Privacy Act 2020 ist in der Praxis der unmittelbar relevanteste rechtliche Rahmen für KI-Governance. Die Information Privacy Principles (IPPs) des Gesetzes, dreizehn ursprüngliche Grundsätze plus der neue, 2026 hinzugefügte IPP 3A, gelten für jede "Agency" (Stelle), ein Begriff, der praktisch alle Unternehmen und Regierungsstellen erfasst, die personenbezogene Informationen erheben, nutzen oder offenlegen. KI-Systeme, die mit personenbezogenen Informationen trainiert werden, personenbezogene Informationen bei der Inferenz verarbeiten oder Entscheidungen über Einzelpersonen unter Verwendung personenbezogener Informationen treffen, unterliegen den IPPs.

Die für KI relevantesten Grundsätze sind: IPP 1 (personenbezogene Informationen nur für einen rechtmäßigen Zweck erheben); IPP 3 (Informationen direkt bei der betroffenen Person erheben, sofern keine Ausnahme greift); IPP 8 (vor der Nutzung prüfen, ob Informationen korrekt und aktuell sind); IPP 10 (personenbezogene Informationen nur für den Zweck nutzen, für den sie erhoben wurden); und IPP 11 (personenbezogene Informationen nicht ohne angemessenen Schutz an Empfänger im Ausland offenlegen). Für KI-Anbieter, die personenbezogene Informationen außerhalb Neuseelands verarbeiten, sind IPP 12 (Offenlegung vor Versand ins Ausland) und die Angemessenheit des Schutzniveaus im Ausland von besonderer Bedeutung.

Mit dem Privacy Amendment Act 2025 (königliche Zustimmung am 24. September 2025) trat zum 1. Mai 2026 eine bedeutende Änderung in Kraft: Der neue IPP 3A verpflichtet Stellen, betroffene Personen zu benachrichtigen, wenn personenbezogene Informationen indirekt erhoben werden, das heißt aus anderen Quellen als von der betroffenen Person selbst. Für KI-Systeme, die personenbezogene Informationen aus mehreren Quellen zusammenführen (soziale Medien, Datenhändler Dritter, Verhaltensanalysen), ist diese Benachrichtigungspflicht nun in Kraft und macht eine Überprüfung der Datenerhebungspraktiken erforderlich.

Das Office of the Privacy Commissioner (OPC) ist befugt, Datenschutzbeschwerden zu untersuchen und Empfehlungen auszusprechen. Bei schwerwiegenden Verstößen gegen den Privacy Act kann der Privacy Commissioner Fälle an das Human Rights Review Tribunal verweisen, das Schadensersatz zusprechen kann. Das OPC hat spezifische Leitlinien zu KI und den IPPs veröffentlicht, die bestätigen, dass KI-Systeme nach den Grundsätzen von Privacy by Design zu gestalten sind und dass automatisierte Entscheidungen mit Auswirkungen auf betroffene Personen transparent und anfechtbar sein müssen.

Die Algorithm Charter for Aotearoa New Zealand

Die Algorithm Charter for Aotearoa New Zealand ist eine freiwillige Selbstverpflichtung, die staatliche Stellen unterzeichnen können, um sich zur Entwicklung und Nutzung von Algorithmen (einschließlich KI) auf faire, ethische und transparente Weise zu verpflichten. Unterzeichner verpflichten sich zu sechs Grundsätzen: Aufrechterhaltung menschlicher Aufsicht über algorithmische Entscheidungen; Verankerung des Treaty of Waitangi und der Māori-Perspektiven in der Gestaltung von Algorithmen; Sicherstellung von Transparenz darüber, wie Algorithmen funktionieren; Bewertung der Auswirkungen auf Einzelpersonen und Gemeinschaften; Veröffentlichung von Informationen über bedeutsame Algorithmen; sowie klare Verfahren, über die Betroffene Bedenken zu algorithmischen Entscheidungen äußern können, die sie betreffen.

Die Algorithm Charter ist rechtlich nicht bindend, und Organisationen des Privatsektors können sie in ihrer jetzigen Form nicht unterzeichnen. Dennoch spiegelt sie die Erwartungen der Regierung an eine verantwortungsvolle Nutzung von Algorithmen wider und bietet einen praktischen Governance-Rahmen, den Organisationen des Privatsektors sinngemäß übernehmen können. Für jede Organisation, die Daten über Māori-Gemeinschaften verarbeitet oder KI in Zusammenhängen einsetzt, die Māori betreffen, sind die in der Charter verankerten Erwägungen zum Treaty of Waitangi von besonderer Bedeutung, die Grundsätze der Māori-Datensouveränität betonen kollektive Rechte an Daten und verlangen, dass KI-Systeme, die Daten von oder über Māori-Gemeinschaften nutzen, die Governance von Iwi und Hapū über diese Daten respektieren.

National AI Strategy 2025, was sie für Unternehmen bedeutet

Das MBIE veröffentlichte im Juli 2025 Neuseelands erste National AI Strategy, zusammen mit Responsible AI Guidance für Unternehmen. Die Strategie ist ausdrücklich akzeptanzorientiert: Sie zielt darauf ab, Hürden für KI-Investitionen abzubauen, zu klären, wie bestehende Gesetze auf KI anzuwenden sind, und den Aufbau staatlicher Kompetenzen zu koordinieren. Sie führt keine neuen verbindlichen Pflichten ein.

Die Responsible AI Guidance für Unternehmen im Rahmen der Strategie empfiehlt Organisationen: ein KI-Inventar zu führen; vor dem Einsatz von KI Datenschutz- und Ethikprüfungen durchzuführen; vor der Inbetriebnahme auf Verzerrungen (Bias) und Robustheit zu testen; menschliche Aufsicht über bedeutsame KI-gestützte Entscheidungen aufrechtzuerhalten; eine fortlaufende Überwachung einzurichten; und Governance-Prozesse zu dokumentieren. Dies sind freiwillige Empfehlungen, die jedoch mit den gesetzlichen Anforderungen des Privacy Act sowie den zunehmenden Erwartungen der Branchenregulierer übereinstimmen. Für regulierte Branchen bestätigt die Strategie ausdrücklich, dass sektorspezifische Pflichten, etwa von der Reserve Bank, der Financial Markets Authority und dem Health and Disability Commissioner, Vorrang haben und vollumfänglich gelten.

Die Regierung kündigte im Juli 2025 zudem das New Zealand Institute for Advanced Technology an, eine mit 231 Millionen $ ausgestattete Initiative (2025 bis 2029), die im MBIE angesiedelt ist, um die Verbreitung von KI in wirtschaftlich bedeutsamen Branchen zu beschleunigen. Obwohl auf Innovation ausgerichtet, signalisiert dies eine erhebliche staatliche Investition in KI-Infrastruktur und zeigt die Richtung der regulatorischen Entwicklung an: die Ermöglichung der Einführung mit angemessenen Schutzmaßnahmen statt einer restriktiven Ex-ante-Regulierung.

Was Organisationen in Neuseeland jetzt tun sollten

Für jede Organisation in Neuseeland, die KI einsetzt, welche personenbezogene Informationen verarbeitet, bestehen die unmittelbaren Compliance-Anforderungen darin: KI-Systeme anhand der IPPs des Privacy Act 2020 zu überprüfen; die Benachrichtigungspflicht nach IPP 3A bei indirekter Erhebung für jedes KI-System umzusetzen, das Daten aus anderen Quellen als von den betroffenen Personen selbst zusammenführt (wirksam ab 1. Mai 2026); KI-Anbieterverträge zu überprüfen, um sicherzustellen, dass die Pflichten zur Offenlegung bei Auslandsübermittlung nach IPP 11 und 12 erfüllt sind; und zu dokumentieren, wie bedeutsame KI-gestützte Entscheidungen betroffenen Personen erklärt und von ihnen angefochten werden können.

Für Organisationen in regulierten Branchen, Finanzdienstleistungen, Gesundheitswesen, kritische Infrastruktur, gelten die sektorspezifischen Pflichten der Financial Markets Authority, der Reserve Bank und des Health and Disability Commissioner zusätzlich zum Privacy Act. Für staatliche Stellen und ihre Auftragnehmer bietet die Algorithm Charter einen praktischen Governance-Rahmen und zeigt den von Regulierern erwarteten Standard auf.

Die wahrscheinlichste kurzfristige Entwicklung, die es zu beobachten gilt: die Leitlinien des Privacy Commissioner zu KI und den IPPs sowie jede Bewegung hin zu einem präskriptiveren Rahmen, sollten sich freiwillige Ansätze als unzureichend erweisen. Neuseelands Angemessenheitsbeschluss der Europäischen Kommission (der Datenübermittlungen von der EU nach Neuseeland ohne zusätzliche Garantien erlaubt) schafft einen fortbestehenden Anreiz, Datenschutzstandards aufrechtzuerhalten, die weitgehend mit der DSGVO übereinstimmen, einschließlich der Schutzvorkehrungen für automatisierte Entscheidungsfindung, die die EU nach Artikel 22 DSGVO vorsieht.

Weiterführende Lektüre: OECD AI Policy Observatory

Weiterführende Artikel

Weiterführende Lektüre: OECD AI Policy Observatory