KI-Regulierung in Kanada 2026: Der aktuelle Stand

Kanadas regulatorische Landschaft für KI ist 2026 ein Flickenteppich: ein auf Eis gelegtes föderales KI-Gesetz, eine Provinz mit voll wirksamer, KI-relevanter Datenschutzgesetzgebung, sektorspezifische Regeln und eine Entwicklungsrichtung, die klar erkennbar ist, auch wenn der Zeitplan es nicht ist.

Bill C-27 und AIDA: Das Bild auf Bundesebene

Der Digital Charter Implementation Act (Bill C-27) wurde im Juni 2022 eingebracht. Er umfasste drei Teile: den Consumer Privacy Protection Act (CPPA) als Ersatz für PIPEDA, den Personal Information and Data Protection Tribunal Act (PIDPTA) und den Artificial Intelligence and Data Act (AIDA), Kanadas erstes vorgeschlagenes föderales KI-spezifisches Gesetz. AIDA hätte Anforderungen für Hochrisiko-KI-Systeme festgelegt, darunter Maßnahmen zur Risikominderung, Aufzeichnungspflichten, Folgenabschätzungen, allgemeinverständliche Beschreibungen sowie Verbote bestimmter KI-Verhaltensweisen, die erheblichen Schaden verursachen können.

Bill C-27 wurde Anfang 2025 auf Eis gelegt und ist nicht in Kraft getreten. Am 15. Juni 2026 brachte die Regierung Bill C-36 (den Protecting Privacy and Consumer Data Act) ein, der die Reform des Datenschutzes im Privatsektor aus C-27 wiederbelebt (einen Nachfolger der CPPA, bislang nur in erster Lesung, noch nicht in Kraft), AIDA jedoch ausdrücklich nicht wiederbelebt; Minister Evan Solomon erklärte, die Regierung verfolge bei KI einen Ansatz nach dem Motto „light, tight, and right" statt eine Gesetzgebung nach dem Vorbild von AIDA neu einzubringen. Im Haushalt 2025 wurden 925,6 Millionen CAD über fünf Jahre für groß angelegte KI-Infrastruktur angekündigt. Die Entwicklungsrichtung, risikobasierte Governance-Erwartungen an Hochrisiko-KI-Systeme auch ohne ein verbindliches föderales KI-Gesetz, steht fest, auch wenn die konkrete KI-Gesetzgebung und ihr Zeitplan weiterhin ungewiss bleiben.

Gesetz 25 von Québec: Bereits in Kraft

Das Gesetz 25 von Québec (Loi modernisant des dispositions législatives en matière de protection des renseignements personnels) ist vollständig in Kraft und begründet Pflichten, die unmittelbar für KI relevant sind. Organisationen, die der Rechtshoheit von Québec unterliegen, müssen: Betroffene informieren, wenn Entscheidungen im Wege automatisierter Verarbeitung getroffen werden; Betroffenen die Möglichkeit einräumen, einer verantwortlichen Person gegenüber Stellung zu nehmen; vor dem Einsatz von KI-Systemen, die personenbezogene Daten verarbeiten, Datenschutz-Folgenabschätzungen durchführen. Die Bußgelder betragen bis zu 25 Millionen CAD oder 4 % des weltweiten Umsatzes.

Für jede Organisation mit Kundinnen, Kunden oder Beschäftigten in Québec, die KI einsetzt, begründet das Gesetz 25 schon jetzt aktive Compliance-Pflichten, nicht erst künftige Pflichten, die von einer föderalen Gesetzgebung abhängen.

Bestehendes Bundesrecht mit Anwendung auf KI

PIPEDA (Personal Information Protection and Electronic Documents Act) gilt für privatwirtschaftliche Organisationen, die im Rahmen kommerzieller Tätigkeiten in ganz Kanada personenbezogene Daten verarbeiten (mit Ausnahme von Provinzen mit im Wesentlichen gleichwertiger Gesetzgebung). Es verlangt Einwilligung, Zweckbindung und Rechenschaftspflicht, alles Anforderungen, die auch für die Verarbeitung personenbezogener Daten durch KI gelten.

Die Directive on Automated Decision-Making (2019) gilt für Bundesbehörden, die automatisierte Systeme für Verwaltungsentscheidungen einsetzen. Sie verlangt: eine algorithmische Folgenabschätzung; Transparenzanforderungen, die nach dem Grad der Auswirkungen gestaffelt sind; menschliche Beteiligung (Human-in-the-Loop) bei Entscheidungen mit höherer Auswirkung; ein Peer-Review-Verfahren für Systeme mit hoher Auswirkung.

Der Canadian Human Rights Act und der Employment Equity Act gelten für den Einsatz von KI bei Beschäftigungsentscheidungen. Der Chatbot-Fall von Air Canada (Moffatt v Air Canada, 2024 BCCRT 149) hat festgestellt, dass Organisationen für Zusagen haften, die von ihren KI-Systemen gemacht werden.

Was in Kanada tätige Unternehmen tun sollten

Halten Sie das Gesetz 25 von Québec ein, wenn Sie Kundinnen, Kunden oder Beschäftigte in Québec haben. Halten Sie PIPEDA für die Verarbeitung personenbezogener Daten ein. Implementieren Sie Praktiken der KI-Governance, die sich am AIDA-Rahmenwerk orientieren; auch wenn AIDA nicht verabschiedet wurde, verschafft Ihnen der Aufbau von Compliance schon jetzt einen Vorsprung. Behalten Sie den föderalen Gesetzgebungskalender im Blick, falls AIDA erneut eingebracht wird. Vertragspartner der Regierung sollten die Directive on Automated Decision-Making einhalten.

Primärquellen: ISED, AIDA Companion Document · Department of Justice, Bill C-27 Charter Statement

Weiterführende Beiträge