Südkoreas AI Basic Act, das zweite umfassende KI-Gesetz weltweit

Am 22. Januar 2026 trat das Framework Act on the Development of Artificial Intelligence and the Establishment of a Foundation for Trustworthiness der Republik Korea in Kraft, allgemein bekannt als AI Basic Act oder AI Framework Act. Südkorea ist weltweit die zweite Jurisdiktion (nach der EU), die einen umfassenden Regulierungsrahmen für KI verabschiedet hat, und die erste im asiatisch-pazifischen Raum. Das Gesetz wurde am 21. Januar 2025 verkündet (Gesetz Nr. 20676) und trat ein Jahr später in Kraft; die Durchführungsverordnung (Präsidialverordnung Nr. 36053) trat am selben Tag in Kraft.

Südkorea hat seinen Ansatz als Balance zwischen Industrieförderung und risikobasierter Regulierung positioniert. Das Gesetz fasst 19 einzelne KI-Gesetzentwürfe zu einem einheitlichen Rahmen zusammen, der Forschungsförderung, Talentprogramme, die Einrichtung eines KI-Sicherheitsinstituts, Transparenzpflichten und das KI-Risikomanagement für hochwirksame KI umfasst. Die Ausgestaltung spiegelt eine bewusste Abkehr vom verbotslastigen Ansatz der EU wider; die südkoreanische Regierung hat erklärt, sie werde „Förderung vor Regulierung stellen", wobei die Durchsetzung von Sanktionen um mindestens ein Jahr nach Inkrafttreten des Gesetzes verschoben wird.

Anwendungsbereich und Geltung

Der AI Basic Act gilt sowohl für inländische als auch für ausländische Organisationen, die KI-Systeme für koreanische Nutzer bereitstellen. Für ausländische KI-Unternehmen verlangt das Gesetz die Benennung eines koreanischen Vertreters, der als Ansprechpartner gegenüber der Regierung fungiert, und schließt damit eine Lücke, die es zuvor erlaubte, in formalen Compliance-Konstruktionen unbeteiligte Dritte als inländische Bevollmächtigte zu benennen, ohne dass eine echte Rechenschaftspflicht bestand. Die Änderung des Systems inländischer Vertreter im Personal Information Protection Act (PIPA), wirksam ab dem 1. April 2025, verpflichtet ausländische Unternehmen mit etablierten Geschäftseinheiten in Südkorea, diese lokalen Einheiten als ihre Vertreter zu benennen.

Zentrale Pflichten nach dem Gesetz

Transparenz und Offenlegung (Artikel 31). KI-Betreiber, die Produkte oder Dienste unter Einsatz von generativer KI oder hochwirksamer KI anbieten, müssen die Nutzer vorab darüber informieren, dass KI eingesetzt wird. Sofern KI-generierte Ausgaben nur schwer von nicht KI-generierten Inhalten zu unterscheiden sind, müssen die Betreiber kennzeichnen oder auf andere Weise darauf hinweisen, dass die Ausgabe KI-generiert ist. Artikel 23 der Durchführungsverordnung regelt im Einzelnen die Anforderungen an Wasserzeichen und Kennzeichnung für Ausgaben generativer KI.

Risikomanagement für hochwirksame KI (Artikel 32). KI-Betreiber müssen Risiken für KI-Systeme identifizieren, bewerten und mindern, sofern die kumulierte, für das Training eingesetzte Rechenleistung die vorgeschriebenen Standards überschreitet. Die Durchführungsverordnung legt den technischen Schwellenwert fest: KI-Systeme, die mit mindestens 10²⁶ Gleitkommaoperationen (FLOPs) trainiert wurden, modernste KI-Technologie einbinden und ein erhebliches Risiko bedeutender Auswirkungen darstellen. Dieser Schwellenwert ist weitgehend vergleichbar mit den Schwellenwerten für KI-Modelle mit allgemeinem Verwendungszweck des EU AI Act und den Definitionen für Frontier-Modelle aus der US-amerikanischen Executive Order, wenngleich die südkoreanische Umsetzung weniger präskriptiv ist.

Sektorale Anwendungen hochwirksamer KI. Das Gesetz führt spezifische Pflichten für „hochwirksame" KI-Systeme in kritischen Sektoren ein, darunter Gesundheitsversorgung, Energie und öffentliche Dienste. Digitale Medizinprodukte werden ausdrücklich in Artikel 2 Absatz 4 Buchstabe d behandelt, der zum 24. Januar 2026 in Kraft tritt, drei Tage nach dem Wirksamwerden des übrigen Gesetzes, um die regulatorische Abstimmung im Bereich der Medizinprodukte zu ermöglichen.

Der Personal Information Protection Act (PIPA) gilt weiterhin. Die PIPC hat ihre Policy Roadmap für 2025 veröffentlicht, die spezialisierte Aufsichtsbestimmungen für die KI-Entwicklung skizziert. Die PIPC-Bekanntmachung zur Datenschutz-Folgenabschätzung (Personal Information Impact Assessment) wurde mit Wirkung zum September 2025 geändert, um für die Datenschutz-Folgenabschätzungen öffentlicher Einrichtungen ausdrückliche KI-bezogene Unterfelder zu ergänzen. Die Work Direction der PIPC für 2025 umfasst vorbereitende Vor-Ort-Prüfungen KI-gestützter Dienste, darunter KI-Agenten.

Governance-Architektur

Zwei im Jahr 2024 geschaffene Institutionen bilden das Rückgrat des südkoreanischen Ökosystems zur KI-Absicherung. Das National AI Committee, das dem Präsidialamt untersteht, dient als zentrales Koordinierungsgremium für die nationale KI-Politik, setzt die nationale KI-Strategie um, treibt die öffentlich-private Zusammenarbeit voran, harmonisiert die Regulierungsansätze der einzelnen Ministerien und vertritt Südkorea in internationalen Initiativen zur KI-Governance. Das AI Safety Institute ist ein eigenes Forschungszentrum, das für die Bewertung fortgeschrittener KI-Modelle, die Entwicklung von Sicherheits-Benchmarks sowie den Umgang mit Deepfake- und Frontier-KI-Risiken zuständig ist. Das Ministry of Science and ICT (MSIT) ist das federführende Regulierungsministerium und verfügt über die delegierte Befugnis, untergesetzliche Vorschriften und Leitlinien zu erlassen.

Reaktionen aus Zivilgesellschaft und Industrie

Der Entwurf der Durchführungsverordnung stand vor der vollständigen Umsetzung des Gesetzes 40 Tage lang, bis zum 22. Dezember 2025, zur öffentlichen Kommentierung offen. Zivilgesellschaftliche Organisationen wie das Digital Justice Network kritisierten die Regulierung als „praktisch nicht existent" und argumentierten, die Definition der „hochwirksamen KI" sei zu eng gefasst und die Aussetzung der Sanktionen nehme den unmittelbaren Compliance-Druck. Aus der Industrie kam der Einwand, weitergehende Regulierung würde die Wettbewerbsfähigkeit im KI-Bereich beeinträchtigen. Das MSIT hat einen iterativen Ansatz gewählt und im Prozess der Fertigstellung der Verordnung das Feedback der Stakeholder berücksichtigt, zugleich aber die Absicht der Regulierungsbehörde signalisiert, der Entwicklung Vorrang einzuräumen.

Ein Kontrast zum EU AI Act ist bemerkenswert: Das südkoreanische Gesetz verbietet Kategorien von KI, die die EU untersagt (Gesichtserkennung im öffentlichen Raum, Ausnutzung von Schutzbedürftigkeit, Emotionserkennung am Arbeitsplatz und in Schulen), nicht vollständig. Der südkoreanische Ansatz liegt näher bei Offenlegungs- und Risikomanagementanforderungen als bei einem Verbot.

Weitere Regulierungsrahmen

Generative AI Service User Protection Guideline (Februar 2025), von der Korea Communications Commission (KCC) als praxisorientierter freiwilliger Rahmen veröffentlicht, der Schäden für Nutzer durch generative KI-Dienste verhindern soll. Zu den Prinzipien zählen Menschzentriertheit, Erklärbarkeit, Sicherheit und Rechenschaftspflicht.

AI Security Guide (Dezember 2025), herausgegeben vom MSIT und der Korea Internet & Security Agency (KISA), bietet einen Rahmen zur Absicherung von KI-Modellen und -Diensten gegen Cyberbedrohungen und legt 113 Sicherheitsanforderungen über den gesamten KI-Lebenszyklus hinweg dar. Der Leitfaden operationalisiert Aspekte der Risikomanagementpflichten des AI Basic Act.

DeepSeek-Maßnahme im Februar 2025: Die PIPC setzte neue Downloads der chinesischen generativen KI-Anwendung DeepSeek vorübergehend aus, weil mögliche Verstöße gegen das PIPA befürchtet wurden. Dies signalisierte die Bereitschaft der PIPC, aus Datenschutzgründen gegen ausländische KI-Dienste vorzugehen.

Was Organisationen tun sollten, die in Südkorea tätig sind oder dorthin liefern

Gleichen Sie KI-Systeme mit dem Anwendungsbereich des AI Basic Act ab. Bestimmen Sie, welche Systeme „hochwirksam" sind (sektor- und risikobasiert) und welche generative KI-Ausgaben umfassen, die einer Kennzeichnung bedürfen. Benennen Sie als nicht koreanische Organisation, die KI für koreanische Nutzer bereitstellt, einen qualifizierten koreanischen Vertreter und stellen Sie sicher, dass dieser über die Befugnis und die Ressourcen verfügt, um sich substanziell mit den Regulierungsbehörden auszutauschen. Aktualisieren Sie die PIPA-Compliance-Dokumentation, um die KI-spezifische Verarbeitung gemäß den Leitlinien der PIPC von 2025 zu berücksichtigen. Implementieren Sie für Systeme, die den Schwellenwert von 10²⁶ FLOPs erreichen oder nahe daran liegen, eine Risikomanagement-Dokumentation im Einklang mit den Anforderungen von Artikel 32 des Gesetzes. Verfolgen Sie die Fertigstellung der Durchführungsverordnung genau; die technischen Details, die den Umfang der Compliance bestimmen, werden im Rahmen der Stakeholder-Konsultation noch weiter ausgearbeitet. Ziehen Sie die Implementierung von ISO/IEC 42001 als belastbaren internationalen Standard in Betracht, der sich auf die entstehenden Anforderungen Südkoreas abbilden lässt. Setzen Sie die Zertifizierung mit dem AI Trust Mark (das im Rahmen des Gesetzes entwickelte freiwillige Schema) dort um, wo sie eine Differenzierung im Markt bietet.

Primärquellen: Library of Congress, South Korea AI Basic Act · US International Trade Administration

Weiterführende Lektüre