KI-Governance in Indien 2026, DPDP Act und darüber hinaus

Indiens Rahmenwerk für KI-Governance reift rasch. Der Digital Personal Data Protection Act 2023 (DPDP Act) und die DPDP Rules 2025 (notifiziert am 13. November 2025, veröffentlicht im Amtsblatt am 14. November 2025) schaffen durchsetzbare Datenschutzpflichten, die unmittelbar auf KI-Systeme anwendbar sind, die personenbezogene Daten verarbeiten. Indien verfügt noch nicht über ein eigenständiges KI-Gesetz, doch der DPDP-Rahmen, branchenspezifische Regulierung und die KI-Entwicklungsagenda der Regierung bilden zusammen eine substanzielle Governance-Landschaft.

DPDP Act und Rules, was für KI gilt

Der DPDP Act gilt für jede Verarbeitung digitaler personenbezogener Daten in Indien, einschließlich KI-Systemen. Kernbestimmungen: Einwilligungspflichten für die Datenverarbeitung mit spezifischen Informationspflichten (Section 6); Zweckbindung, das heißt, für einen Zweck erhobene Daten dürfen ohne gesonderte Einwilligung oder Rechtsgrundlage nicht für das Training von KI verwendet werden; Rechte der Data Principals, einschließlich Auskunft, Berichtigung, Löschung und Beschwerdemöglichkeiten (Section 11 bis 14); Significant Data Fiduciaries (Verarbeiter mit großem Datenvolumen) unterliegen erweiterten Pflichten, darunter die Bestellung eines Data Protection Officer und eines unabhängigen Datenprüfers sowie die Durchführung von Datenschutz-Folgenabschätzungen (Data Protection Impact Assessments).

Die DPDP Rules 2025 setzen diese Pflichten in drei Phasen um und geben Organisationen damit Vorlaufzeit, verlangen jedoch schon jetzt eine Compliance-Planung. Die Strafen erreichen bis zu ₹250 Crore (etwa 30 Millionen US-Dollar) je Verstoß. Die Bestimmungen zur Errichtung des Data Protection Board of India traten am 13. November 2025 in Kraft, das Board ist jedoch mangels Berufung seines Vorsitzenden und seiner Mitglieder noch nicht vollständig arbeitsfähig, sodass die Bearbeitung von Beschwerden und die Durchsetzung noch nicht begonnen haben.

Branchenspezifische KI-Regulierung

Finanzdienstleistungen. Das FREE-AI Framework der RBI (Framework for Responsible and Ethical Enablement of AI) befasst sich mit KI im Bank- und Finanzsektor. Die IRDAI hat Leitlinien zu KI im Versicherungswesen veröffentlicht. Die SEBI hat sich mit der Regulierung des algorithmischen Handels befasst.

Gesundheitswesen. Die ethischen Leitlinien des ICMR (Indian Council of Medical Research) für biomedizinische und gesundheitsbezogene Forschung gelten auch für KI in der Gesundheitsforschung. Die CDSCO reguliert Medizinprodukte, einschließlich KI-gestützter Geräte.

IT und digitale Dienste. Der IT Act 2000 und die IT Rules gelten weiterhin. Das MeitY (Ministry of Electronics and Information Technology) beaufsichtigt die Politik der digitalen Governance, einschließlich KI.

Indiens Agenda zur KI-Entwicklung

Gleichzeitig verfolgt Indien eine ambitionierte KI-Entwicklungsstrategie: die IndiaAI Mission (März 2024) mit einer Investition von ₹10.372 Crore, die Recheninfrastruktur, Innovationszentren, Datensätze, Anwendungsentwicklung und Qualifizierung umfasst. Indien hatte 2024 den Vorsitz der Global Partnership on AI (GPAI) inne. Indien war 2025 Ko-Vorsitzender des Paris AI Action Summit. Die Spannung zwischen Entwicklungsambition und Governance-Pflichten ist eine aktuelle politische Frage.

Was Unternehmen, die in Indien tätig sind, tun sollten

KI-Systeme, die personenbezogene Daten verarbeiten, gegen die Anforderungen des DPDP Act abgleichen. Einwilligungsmechanismen und Zweckbindung für die Nutzung von Daten durch KI implementieren. Sich auf Datenschutz-Folgenabschätzungen für bedeutende KI-Einsätze vorbereiten. Die Durchsetzungshaltung des Data Protection Board beobachten. Im Finanzsektor eine Ausrichtung am RBI FREE-AI Framework sicherstellen. Bei KI im Gesundheitswesen die Anforderungen der CDSCO an Medizinprodukte einhalten.

Primärquellen: MeitY, Data Protection Framework · Reserve Bank of India

Weiterführende Lektüre