Wie das Vereinigte Königreich KI ohne KI-Gesetz reguliert

Die Wahl des Modells

Der britische Rahmen beruht auf dem Weissbuch von 2023 und der Antwort der Regierung zum «pro-innovation approach» (innovationsfreundlicher Ansatz): kein horizontales Gesetz, sondern eine Reihe nicht gesetzlich verankerter, sektorübergreifender Grundsätze, Sicherheit, Transparenz, Fairness, Verantwortlichkeit, Anfechtbarkeit, welche die bestehenden Aufsichtsbehörden in ihrem jeweiligen Zuständigkeitsbereich anwenden. Die Wette ist eine institutionelle: Das ICO (Information Commissioner's Office), die FCA, die Wettbewerbsbehörde CMA, die Medien- und Telekomaufsicht Ofcom und vergleichbare Behörden kennen ihre Sektoren besser, als es eine neue KI-Behörde täte, und Koordinationsfragen werden über das Digital Regulation Cooperation Forum (DRCF) behandelt, über das die Behörden gemeinsame Dienste für KI-Innovatoren betreiben. Aufeinanderfolgende Regierungen haben am Modell festgehalten und zugleich die Steuerung verschärft: Im Januar 2026 forderten Minister das ICO förmlich auf, einen Plan zur Ermöglichung sicherer KI-gestützter Innovation zu veröffentlichen, und das ICO antwortete im Mai 2026; von den Aufsichtsbehörden wird nun erwartet, dass sie solche Pläne veröffentlichen und jährlich darüber berichten. Die Richtung geht hin zu mehr Koordination und mehr Rechenschaftspflicht der Aufsichtsbehörden; ein Gesetz für Unternehmen ist bisher nicht gefolgt.

Wer Ihre KI im Vereinigten Königreich reguliert

Für die meisten Unternehmen besteht das massgebliche britische Regelwerk aus der UK GDPR (der britischen Datenschutz-Grundverordnung) und dem Data Protection Act 2018, und die Leitlinien des ICO zu KI und Datenschutz übersetzen beide in die Begriffe der KI: Rechtsgrundlage für Training und Einsatz, Fairness und Verzerrungen (bias), Transparenz gegenüber den betroffenen Personen, Rechte bei automatisierten Entscheidungen und Dokumentation zur Rechenschaftspflicht. Die Regeln, die sie erläutern, haben sich geändert: Seit dem 5. Februar 2026 ersetzt Section 80 des Data (Use and Access) Act 2025, des britischen Gesetzes über die Nutzung von und den Zugang zu Daten, Artikel 22 UK GDPR durch die Artikel 22A bis 22D. Eine erhebliche Entscheidung (significant decision), die ausschliesslich automatisiert getroffen wird, kann sich seither auf jede Rechtsgrundlage stützen, auch auf berechtigte Interessen, sofern die Schutzvorkehrungen nach Artikel 22C bestehen (Information, Stellungnahme, menschliches Eingreifen, eine Möglichkeit zur Anfechtung); Entscheidungen auf der Grundlage besonderer Kategorien von Daten bleiben auf die ausdrückliche Einwilligung oder eine vertragliche oder gesetzliche Grundlage beschränkt, und keine darf sich auf die neue Rechtsgrundlage der anerkannten berechtigten Interessen (recognised legitimate interests) stützen. Die KI-Leitlinien des ICO tragen den Vermerk, dass sie wegen dieser Änderungen überprüft werden, und seine aktualisierten Leitlinien zu automatisierten Entscheidungen sind für den Winter 2026 angekündigt.

Der strategische Ansatz des ICO und der Arbeitsplan 2026/27 gehen weiter, und das Kernstück hat nun eine gesetzliche Grundlage: Section 92(2) des Data (Use and Access) Act 2025 hat Section 124A in den Data Protection Act 2018 eingefügt, und SI 2026/425, in Kraft seit dem 12. Mai 2026, verpflichtet den Information Commissioner, einen Code of Practice (einen gesetzlich vorgesehenen Praxiskodex) zur Verarbeitung personenbezogener Daten bei der Entwicklung und Nutzung von KI und automatisierter Entscheidungsfindung auszuarbeiten. Die Pflicht zur Ausarbeitung ist in Kraft; der Kodex selbst wird derzeit entworfen, und der veröffentlichte Zeitplan des ICO sieht die endgültige Fassung für das erste Halbjahr 2028 vor; danach wird er dem Parlament für 40 Tage vorgelegt und 21 Tage nach der Herausgabe wirksam (Section 125). Ist er in Kraft, müssen Gerichte, Tribunals und der Commissioner ihn berücksichtigen, soweit er relevant ist, und eine Abweichung davon ist für sich allein kein Verstoss (Section 127); das ist es, was ein Code of Practice leistet, auch ohne KI-Gesetz.

Daneben sind eigene Leitlinien zu agentischer KI in Arbeit; eine Konsultation ist für September 2026 vorgesehen und die endgültige Fassung für das Frühjahr 2027, und sie werden für jedes Unternehmen von Bedeutung sein, das autonome Assistenten einsetzt.

Für Finanzunternehmen hat die FCA ihren Ansatz zu KI veröffentlicht: prinzipienbasiert und in bestehenden Regelwerken verankert (dem Senior Managers Regime zur persönlichen Verantwortlichkeit der Führungskräfte, der Consumer Duty zum Schutz von Privatkunden, der operationellen Resilienz), ohne Pläne für KI-spezifische Regeln; der Financial Services AI Adoption Plan vom 14. Juli 2026, ein unabhängiger Bericht der AI Champions der Regierung, dessen Empfehlungen an die Regierung das Finanzministerium (HM Treasury) angenommen hat, weist in dieselbe Richtung: Einführung von KI innerhalb des bestehenden Perimeters, gezielte Antworten bleiben neuartigen Fragen vorbehalten. In der Praxis lautet die britische Compliance-Frage «Welche Behörde ist für meinen Anwendungsfall zuständig?», wo sie in der EU «In welchem Anhang bin ich?» lautet: in der Regel das ICO, sobald personenbezogene Daten im Spiel sind, und dazu Ihre sektorale Aufsichtsbehörde; daneben gelten das Urheberrecht, das Gleichbehandlungsrecht, das Verbraucherrecht und das Produktsicherheitsrecht, die überwiegend vor den Gerichten durchgesetzt werden.

Die Gesetzesvorlage zu Frontier-Modellen, die nicht gekommen ist

Über dem behördengeführten Modell steht das von der Regierung erklärte Anliegen, gezielte, verbindliche Anforderungen an die Entwickler besonders leistungsfähiger Allzweck-KI-Modelle (highly capable general-purpose AI models) zu schaffen, eine Formulierung, die seit der Antwort auf das Weissbuch in amtlichen Dokumenten steht und am 25. September 2026 weiterhin eine Absicht ohne Gesetzesvorlage ist. Was die Thronrede (King's Speech) vom 13. Mai 2026 tatsächlich angekündigt hat, ist Gesetzgebung anderer Art: die Regulating for Growth Bill, die nach Angaben der Regierung ein AI Growth Lab mit branchenübergreifenden Sandbox-Befugnissen schaffen würde, sodass regulatorische Anforderungen für beaufsichtigte Tests von KI-Produkten unter realen Bedingungen vorübergehend ausgesetzt oder angepasst werden könnten. Das ist angekündigte Gesetzgebung, noch kein Gesetz, und sie weist von einem KI-Gesetz weg: Die gesetzgeberische Energie fliesst in die Lockerung des Perimeters für kontrollierte Tests. Die Überprüfung des AI Opportunities Action Plan zeigt, wohin die Energie der Regierung fliesst: Einführung, Infrastruktur und Standards, einschliesslich der Strategie für digitale Standards bis 2030.

Ein Sicherheitsereignis ist inzwischen eingetreten, eine Gesetzesvorlage nicht: Die Erklärung des KI-Ministers vom 7. September 2026 berichtete von einer Reihe von Vorfällen im Sommer, bei denen KI-Agenten über die Absicht ihrer Betreiber hinausgegangen seien, und die Antwort der Regierung lief über Mittel für die Cybersicherheit, Leitlinien des NCSC (National Cyber Security Centre) und die Cyber Security and Resilience Bill. Für die Planung gilt: Behandeln Sie eine britische Gesetzesvorlage zu Frontier-Modellen als Beobachtungspunkt ohne Zeitplan und den Code of Practice des ICO als das gesetzlich verankerte Instrument, mit dem zu planen ist. Sobald er herausgegeben ist, müssen Gerichte, Tribunals und der Commissioner ihn berücksichtigen (Section 127 DPA 2018), und der Zeitplan des ICO sieht den endgültigen Kodex für das erste Halbjahr 2028 vor.

Der Blick aus Zürich und Brüssel

Das Dreieck ist nun vollständig, und die drei Seiten unterscheiden sich mit Absicht. Die EU hat eine Kodifikation mit Rollen, Risikostufen und Konformitätsverfahren geschaffen, wie wir in unserem Update zu Art. 50 und im Beitrag zur Neueinstufung als Anbieter dargestellt haben. Die Schweiz legiferiert sektorbezogen auf staatsvertraglicher Grundlage; die Vernehmlassungsvorlage wird auf Ende 2026 erwartet, wie in unserem Update zur Schweiz dargestellt. Das Vereinigte Königreich reguliert über seine Aufsichtsbehörden, mit dem Datenschutz als faktischem KI-Recht, wo personenbezogene Daten verarbeitet werden.

Für grenzüberschreitend tätige Gruppen ergeben sich drei Folgen. Erstens: Das Vereinigte Königreich kennt kein Konformitätsverfahren für KI. Für ein System, das eine Konformitätsbewertung nach der KI-Verordnung der EU braucht, gibt es im Vereinigten Königreich kein KI-spezifisches Gegenstück, was die Abfolge von Produkteinführungen verändert; ist das Produkt selbst reguliert, etwa Software als Medizinprodukt, gilt die eigene britische Konformitätsbewertung (UKCA in Grossbritannien, CE nach den EU-Regeln in Nordirland). Zweitens: Die britische Durchsetzung ist dennoch real. Das ICO setzt die UK GDPR bereits heute gegenüber KI-Anwendungen durch, und «wir haben die KI-Verordnung eingehalten» ist kein Verteidigungsargument bei einem Verstoss gegen das britische Datenschutzrecht; die Regime messen Unterschiedliches. Drittens ist die effiziente Architektur diejenige, die wir in diesen Updates immer wieder empfehlen: ein Governance-Rahmenwerk, dreifach abgebildet, Rollen- und Risikoanalyse für die EU, Zuordnung zu den Behörden für das Vereinigte Königreich, sektorbezogene Ebene für die Schweiz, sodass die einmal zusammengestellten Nachweise allen drei Prüfungen dienen und die Entscheidungen, die von der Rechtsordnung abhängen (verbotene Verwendungen, automatisierte Entscheidungen, Transparenz, Produktregeln), in Anhängen stehen. Ein britisches Unternehmen fällt seinerseits in den Anwendungsbereich der KI-Verordnung, wenn seine Systeme auf den EU-Markt gelangen oder ihre Ausgabe dort verwendet wird.

Was das für Sie bedeutet

• Lesen Sie «kein Gesetz» nicht als «keine Regeln». Die UK GDPR und der DPA 2018 sind das massgebliche britische Regelwerk für KI, die personenbezogene Daten berührt, die KI-Leitlinien des ICO erläutern ihre Anwendung und werden infolge des Data (Use and Access) Act überprüft, und das ICO setzt die Gesetzgebung bereits heute durch; ordnen Sie jeden Anwendungsfall dem ICO und Ihrer sektoralen Aufsichtsbehörde zu: Das ist das britische Gegenstück zur Risikoeinstufung der EU.
• Finanzunternehmen: Arbeiten Sie innerhalb des veröffentlichten Perimeters. Die FCA stützt sich auf die bestehenden Verantwortlichkeitsstrukturen und plant keine KI-spezifischen Regeln; der Adoption Plan der AI Champions, den das Finanzministerium für seinen Teil angenommen hat, weist in dieselbe Richtung.
• Verfolgen Sie den gesetzlichen Code of Practice des ICO und die Leitlinien zu agentischer KI. Der Kodex muss, sobald er nach Sections 124A und 125 DPA 2018 herausgegeben ist (endgültige Fassung nach dem Zeitplan des ICO im ersten Halbjahr 2028), von Gerichten, Tribunals und dem Commissioner berücksichtigt werden; die Leitlinien zu agentischer KI werden für das Frühjahr 2027 erwartet; das AI Growth Lab und die Gesetzesvorlage zu Frontier-Modellen liegen weiter in der Zukunft.
• Führen Sie ein einziges Rahmenwerk für das ganze Dreieck. Die Pflichten in der EU, im Vereinigten Königreich und in der Schweiz überschneiden sich in der Sache und unterscheiden sich in Form, Anwendungsbereich und den Entscheidungen, die sie verlangen; ein einziger Governance-Kern mit drei Zuordnungen ist günstiger und besser zu verteidigen als drei Programme.

Isak Legal berät Unternehmen zur KI-Governance nach den Regimen der EU, des Vereinigten Königreichs und der Schweiz, zur Zuordnung zu den Aufsichtsbehörden, zu Weisungen für den KI-Einsatz und zur grenzüberschreitenden Produktstrategie. Mehr dazu auf unseren Seiten KI, Daten & Technologie und Vereinigtes Königreich, oder nehmen Sie Kontakt auf.

Dieses Client Update dient ausschliesslich der allgemeinen Information, gibt den Stand vom 26. September 2026 wieder und stellt weder eine Rechtsberatung dar noch begründet es ein Mandatsverhältnis. Der britische Rahmen entwickelt sich über Veröffentlichungen der Aufsichtsbehörden und gezielte Gesetzgebung weiter; prüfen Sie den aktuellen Stand anhand der oben verlinkten offiziellen Quellen, bevor Sie handeln. Für die Beratung in einer konkreten Angelegenheit nehmen Sie bitte Kontakt mit uns auf.