Was mit AIDA geschah

Kanadas KI-Gesetzgebung auf Bundesebene nahm ein schwieriges Ende. Der Gesetzentwurf C-27 (Bill C-27), der den Consumer Privacy Protection Act (CPPA), den Personal Information and Data Protection Tribunal Act und den Artificial Intelligence and Data Act (AIDA) zu einem Paket bündelte, wurde im Juni 2022 eingebracht, passierte im April 2023 die zweite Lesung und befand sich in der Ausschussberatung, als der Rücktritt von Premierminister Trudeau im Januar 2025 zur Prorogation des Parlaments führte. Der Gesetzentwurf verfiel auf der parlamentarischen Tagesordnung.

Nach der Parlamentswahl im Frühjahr 2025 machte die neue Regierung deutlich, dass AIDA in seiner ursprünglichen Form nicht zurückkehren wird. Industrieminister Evan Solomon bestätigte im Juni 2025, dass das AIDA-Rahmenwerk in der entworfenen Fassung vom Tisch ist. Einzelne Elemente könnten in künftige Gesetzgebung einfließen, für ein neues umfassendes KI-Bundesgesetz in Kanada gibt es jedoch keinen Zeitplan.

Was Kanada tatsächlich hat

PIPEDA (Bundesebene): Der Personal Information Protection and Electronic Documents Act, inzwischen 25 Jahre alt, bleibt die datenschutzrechtliche Grundlage des Bundes für den Privatsektor. PIPEDA gilt für personenbezogene Daten, die im Rahmen kommerzieller Tätigkeiten erhoben, verwendet oder offengelegt werden. Er enthält Bestimmungen zu Einwilligung, Zweckbindung und Auskunftsrechten, die auch für KI-gestützte Datenverarbeitung gelten, ihm fehlen jedoch spezifische KI-Pflichten, und er wurde konzipiert, bevor es moderne KI gab.

Quebec Law 25: Quebecs Gesetz zur Modernisierung der Rechtsvorschriften über den Schutz personenbezogener Daten (Act to modernize legislative provisions respecting the protection of personal information) ist nach einer dreijährigen, im September 2024 abgeschlossenen stufenweisen Einführung nun vollständig in Kraft. Law 25 ist deutlich strenger als PIPEDA und enthält spezifische Bestimmungen mit KI-Bezug: Organisationen müssen betroffene Personen informieren, wenn eine sie betreffende Entscheidung ausschließlich durch automatisierte Verarbeitung getroffen wird; vor der Umsetzung neuer Technologieprojekte, die personenbezogene Daten betreffen, sind Datenschutz-Folgenabschätzungen (Privacy Impact Assessments, PIAs) erforderlich; und die Commission d'accès à l'information verfügt über aktive Durchsetzungsbefugnisse. Für Organisationen mit Geschäftstätigkeit in Quebec ist Law 25 der maßgebliche Compliance-Rahmen.

Canadian AI Safety Institute (CAISI): Ende 2024 im Rahmen von Kanadas internationalem Engagement für KI-Sicherheit eingerichtet, hat CAISI ein Beratungs- und Forschungsmandat, das dem des UK AI Safety Institute ähnelt. Es verfügt über keine Durchsetzungsbefugnisse und begründet keine Compliance-Pflichten für Organisationen.

Treasury Board und Leitlinien von Bundesbehörden: Das Treasury Board Secretariat des Bundes hat Richtlinien zum KI-Einsatz in der Verwaltung erlassen, die Anforderungen für Bundesbehörden und Auftragnehmer der Regierung begründen. Dabei handelt es sich nicht um gesamtwirtschaftlich geltende Regulierung, sie signalisiert jedoch die Erwartungen der Regierung an die KI-Governance.

Die praktische Compliance-Landschaft

Ohne ein KI-Bundesgesetz stehen kanadische Organisationen vor einem Flickenteppich: PIPEDA als datenschutzrechtliche Grundlage des Bundes, Quebec Law 25 für Geschäftstätigkeit in Quebec, sektorspezifische Regulierung durch OSFI (Finanzdienstleistungen), Health Canada und weitere Stellen sowie die EU-KI-Verordnung für alle Tätigkeiten mit Bezug zu Kundinnen und Kunden in der EU. Das Fehlen einer KI-Gesetzgebung auf Bundesebene bedeutet nicht, dass KI unreguliert ist, sondern dass die Regulierung aus bestehendem Recht stammt, das auf KI-Kontexte angewendet wird, was eine sorgfältige Analyse statt KI-spezifischer Compliance erfordert.

Organisationen, die KI-Governance-Programme für Kanada aufbauen, sollten die KI-relevanten Anforderungen von Quebec Law 25 als landesweite Compliance-Untergrenze und die Anforderungen von PIPEDA an Einwilligung und Zweckbindung als Grundlage auf Bundesebene heranziehen. Für Aktivitäten mit EU-Bezug kommt die Einhaltung der EU-KI-Verordnung hinzu. Diese Kombination bietet eine umfassende Abdeckung für die meisten kanadischen KI-Governance-Situationen, solange der bundesgesetzliche Rahmen ungeklärt bleibt.

Weiterführende Lektüre: NIST AI RMF

Verwandte Beiträge

Weiterführende Lektüre: NIST AI RMF