Südkoreas AI Basic Act, das zweite umfassende KI-Gesetz weltweit
Am 22. Januar 2026 trat das Framework Act on the Development of Artificial Intelligence and the Establishment of a Foundation for Trustworthiness der Republik Korea in Kraft, allgemein bekannt als AI Basic Act oder AI Framework Act. Südkorea ist weltweit die zweite Jurisdiktion (nach der EU), die einen umfassenden Regulierungsrahmen für KI verabschiedet hat, und die erste im asiatisch-pazifischen Raum. Das Gesetz wurde am 21. Januar 2025 verkündet (Gesetz Nr. 20676) und trat ein Jahr später in Kraft; die Durchführungsverordnung (Präsidialverordnung Nr. 36053) trat am selben Tag in Kraft.
Südkorea hat seinen Ansatz als Balance zwischen Industrieförderung und risikobasierter Regulierung positioniert. Das Gesetz fasst 19 einzelne KI-Gesetzentwürfe zu einem einheitlichen Rahmen zusammen, der Forschungsförderung, Talentprogramme, die Einrichtung eines KI-Sicherheitsinstituts, Transparenzpflichten und das KI-Risikomanagement für hochwirksame KI umfasst. Die Ausgestaltung spiegelt eine bewusste Abkehr vom verbotslastigen Ansatz der EU wider; die südkoreanische Regierung hat erklärt, sie werde „Förderung vor Regulierung stellen", wobei die Durchsetzung von Sanktionen um mindestens ein Jahr nach Inkrafttreten des Gesetzes verschoben wird.
Anwendungsbereich und Geltung
Der AI Basic Act gilt sowohl für inländische als auch für ausländische Organisationen, die KI-Systeme für koreanische Nutzer bereitstellen. Für ausländische KI-Unternehmen oberhalb der in der Durchführungsverordnung festgelegten Schwellenwerte (Vorjahresumsatz von mindestens 1 Billion KRW, Vorjahresumsatz aus KI-Diensten von mindestens 10 Milliarden KRW oder durchschnittlich mindestens eine Million tägliche Nutzer in Korea in den vorangegangenen drei Monaten) verlangt Artikel 36 die Benennung eines koreanischen Inlandsvertreters, der als Ansprechpartner gegenüber der Regierung fungiert, und schließt damit eine Lücke, die es zuvor erlaubte, in formalen Compliance-Konstruktionen unbeteiligte Dritte als inländische Bevollmächtigte zu benennen, ohne dass eine echte Rechenschaftspflicht bestand. Die Änderung des Systems inländischer Vertreter im Personal Information Protection Act (PIPA) wurde am 1. April 2025 verkündet und trat am 2. Oktober 2025 in Kraft; sie verpflichtet ausländische Unternehmen mit einer etablierten Geschäftseinheit in Südkorea, diese lokale Einheit als ihren Inlandsvertreter zu benennen.
Zentrale Pflichten nach dem Gesetz
Transparenz und Offenlegung (Artikel 31). KI-Betreiber, die Produkte oder Dienste unter Einsatz von generativer KI oder hochwirksamer KI anbieten, müssen die Nutzer vorab darüber informieren, dass KI eingesetzt wird. Sofern KI-generierte Ausgaben nur schwer von nicht KI-generierten Inhalten zu unterscheiden sind, müssen die Betreiber kennzeichnen oder auf andere Weise darauf hinweisen, dass die Ausgabe KI-generiert ist. Artikel 23 der Durchführungsverordnung regelt im Einzelnen die Anforderungen an Wasserzeichen und Kennzeichnung für Ausgaben generativer KI.
Sicherheitspflichten für besonders leistungsfähige KI (Artikel 32). KI-Betreiber müssen Risiken identifizieren, bewerten und mindern und ein Risikomanagementsystem betreiben, das Sicherheitsvorfälle abdeckt, sofern die kumulierte, für das Training eingesetzte Rechenleistung die vorgeschriebenen Standards überschreitet. Dies ist ein von den Pflichten für hochwirksame KI getrennter Strang; diese stehen in den Artikeln 33 bis 35: Feststellung der Einstufung als hochwirksame KI, Maßnahmen für Sicherheit und Vertrauenswürdigkeit sowie Folgenabschätzung. Ein System kann beiden Strängen zugleich unterfallen. Die Durchführungsverordnung legt den technischen Schwellenwert fest: KI-Systeme, die mit mindestens 10²⁶ Gleitkommaoperationen (FLOPs) trainiert wurden, modernste KI-Technologie einbinden und ein erhebliches Risiko bedeutender Auswirkungen darstellen. Dieser Wert liegt zehnmal höher als die Schwelle von 10²⁵ FLOPs, ab der der EU AI Act ein systemisches Risiko bei KI-Modellen mit allgemeinem Verwendungszweck vermutet, und er entspricht dem Wert von 10²⁶ aus der US-amerikanischen Executive Order 14110, die am 20. Januar 2025 aufgehoben wurde. Die südkoreanische Umsetzung ist weniger präskriptiv als die der EU.
Sektorale Anwendungen hochwirksamer KI. Das Gesetz führt spezifische Pflichten für „hochwirksame" KI-Systeme in kritischen Sektoren ein, darunter Gesundheitsversorgung, Energie und öffentliche Dienste. Digitale Medizinprodukte werden ausdrücklich in Artikel 2 Absatz 4 Buchstabe d behandelt, der zum 24. Januar 2026 in Kraft tritt, drei Tage nach dem Wirksamwerden des übrigen Gesetzes, um die regulatorische Abstimmung im Bereich der Medizinprodukte zu ermöglichen.
Der Personal Information Protection Act (PIPA) gilt weiterhin. Die PIPC hat eine Policy Roadmap veröffentlicht, die spezialisierte Aufsichtsbestimmungen für die KI-Entwicklung skizziert; ihre politischen Leitlinien für 2026 verlagern das Regime hin zur Prävention und zu Pflichten, die nach Größe und Risikoprofil der Organisation abgestuft sind. Die PIPC-Bekanntmachung zur Datenschutz-Folgenabschätzung (Personal Information Impact Assessment) wurde mit Wirkung zum September 2025 geändert, um für die Datenschutz-Folgenabschätzungen öffentlicher Einrichtungen ausdrückliche KI-bezogene Unterfelder zu ergänzen. Am 6. August 2025 veröffentlichte die PIPC zudem ihre Guidelines for Personal Data Processing for the Development and Utilization of Generative AI, die rechtlich nicht bindend sind, in der Aufsichtspraxis aber als Maßstab dienen; die Work Direction der PIPC für 2025 umfasste vorbereitende Vor-Ort-Prüfungen KI-gestützter Dienste, darunter KI-Agenten.
Governance-Architektur
Zwei im Jahr 2024 geschaffene Institutionen bilden das Rückgrat des südkoreanischen Ökosystems zur KI-Absicherung. Das National AI Committee, das dem Präsidialamt untersteht, dient als zentrales Koordinierungsgremium für die nationale KI-Politik, setzt die nationale KI-Strategie um, treibt die öffentlich-private Zusammenarbeit voran, harmonisiert die Regulierungsansätze der einzelnen Ministerien und vertritt Südkorea in internationalen Initiativen zur KI-Governance. Das AI Safety Institute ist ein eigenes Forschungszentrum, das für die Bewertung fortgeschrittener KI-Modelle, die Entwicklung von Sicherheits-Benchmarks sowie den Umgang mit Deepfake- und Frontier-KI-Risiken zuständig ist. Das Ministry of Science and ICT (MSIT) ist das federführende Regulierungsministerium und verfügt über die delegierte Befugnis, untergesetzliche Vorschriften und Leitlinien zu erlassen.
Reaktionen aus Zivilgesellschaft und Industrie
Der Entwurf der Durchführungsverordnung stand vor der vollständigen Umsetzung des Gesetzes 40 Tage lang, bis zum 22. Dezember 2025, zur öffentlichen Kommentierung offen. Zivilgesellschaftliche Organisationen wie das Digital Justice Network kritisierten die Regulierung als „praktisch nicht existent" und argumentierten, die Definition der „hochwirksamen KI" sei zu eng gefasst und die Aussetzung der Sanktionen nehme den unmittelbaren Compliance-Druck. Aus der Industrie kam der Einwand, weitergehende Regulierung würde die Wettbewerbsfähigkeit im KI-Bereich beeinträchtigen. Das MSIT hat einen iterativen Ansatz gewählt und im Prozess der Fertigstellung der Verordnung das Feedback der Stakeholder berücksichtigt, zugleich aber die Absicht der Regulierungsbehörde signalisiert, der Entwicklung Vorrang einzuräumen.
Ein Kontrast zum EU AI Act ist bemerkenswert: Das südkoreanische Gesetz verbietet Kategorien von KI, die die EU untersagt (Gesichtserkennung im öffentlichen Raum, Ausnutzung von Schutzbedürftigkeit, Emotionserkennung am Arbeitsplatz und in Schulen), nicht vollständig. Der südkoreanische Ansatz liegt näher bei Offenlegungs- und Risikomanagementanforderungen als bei einem Verbot.
Weitere Regulierungsrahmen
Generative AI Service User Protection Guideline (Februar 2025), am 28. Februar 2025 von der Korea Communications Commission (KCC) verabschiedet, deren Aufgaben im Oktober 2025 auf die Korea Media and Communications Commission (방송미디어통신위원회) übergegangen sind. Sie trat am 28. März 2025 als ausdrücklich nicht bindender Rahmen in Kraft, der Schäden für Nutzer durch generative KI-Dienste verhindern soll. Ihre vier Prinzipien sind Menschenwürde und menschliche Aufsicht, Transparenz, Sicherheit sowie Fairness.
AI Security Guide (Dezember 2025), herausgegeben vom MSIT und der Korea Internet & Security Agency (KISA), bietet einen Rahmen zur Absicherung von KI-Modellen und -Diensten gegen Cyberbedrohungen und legt 113 Sicherheitsanforderungen über den gesamten KI-Lebenszyklus hinweg dar. Der Leitfaden operationalisiert Aspekte der Risikomanagementpflichten des AI Basic Act.
DeepSeek-Maßnahme im Februar 2025: Die PIPC setzte neue Downloads der chinesischen generativen KI-Anwendung DeepSeek vorübergehend aus, weil mögliche Verstöße gegen das PIPA befürchtet wurden. Dies signalisierte die Bereitschaft der PIPC, aus Datenschutzgründen gegen ausländische KI-Dienste vorzugehen.
Was Organisationen tun sollten, die in Südkorea tätig sind oder dorthin liefern
Gleichen Sie KI-Systeme mit dem Anwendungsbereich des AI Basic Act ab. Bestimmen Sie, welche Systeme „hochwirksam" sind (sektor- und risikobasiert) und welche generative KI-Ausgaben umfassen, die einer Kennzeichnung bedürfen. Benennen Sie als nicht koreanische Organisation, die die Umsatz- oder Nutzerschwellen der Durchführungsverordnung erreicht, einen qualifizierten koreanischen Inlandsvertreter und stellen Sie sicher, dass dieser über die Befugnis und die Ressourcen verfügt, um sich substanziell mit den Regulierungsbehörden auszutauschen. Aktualisieren Sie die PIPA-Compliance-Dokumentation, um die KI-spezifische Verarbeitung gemäß den Leitlinien der PIPC von 2025 zu berücksichtigen. Implementieren Sie für Systeme, die den Schwellenwert von 10²⁶ FLOPs erreichen oder nahe daran liegen, eine Risikomanagement-Dokumentation im Einklang mit den Anforderungen von Artikel 32 des Gesetzes. Die Durchführungsverordnung ist inzwischen in Kraft; verfolgen Sie daher stattdessen die ergänzenden Leitlinien und Bekanntmachungen des MSIT, denn dort werden die technischen Details, die den Umfang der Compliance bestimmen, während der Übergangsfrist weiter ausgefüllt. Diese Frist läuft mindestens ein Jahr ab dem 22. Januar 2026, und Bußgelder werden in dieser Zeit ausgesetzt, außer in Ausnahmefällen mit Todesfolge oder schwerwiegenden Menschenrechtsverletzungen. Ziehen Sie die Implementierung von ISO/IEC 42001 als belastbaren internationalen Standard in Betracht, der sich auf die entstehenden Anforderungen Südkoreas abbilden lässt. Setzen Sie die Zertifizierung mit dem AI Trust Mark (das im Rahmen des Gesetzes entwickelte freiwillige Schema) dort um, wo sie eine Differenzierung im Markt bietet.
Quellen: Framework Act on the Development of Artificial Intelligence, amtlicher Text (Korea Law Information Center) · Library of Congress, South Korea: Comprehensive AI Legal Framework Takes Effect · US International Trade Administration, South Korea AI Basic Act (Mai 2026) · Future of Privacy Forum, Analyse des AI Framework Act Artikel für Artikel