China zieht die regulatorischen Zügel bei Cybersicherheit, Datenschutz und künstlicher Intelligenz weiter an. Zwei neue Regelwerke erweitern die staatlichen Kontrollmöglichkeiten und konkretisieren die rechtliche Verantwortung für KI-Anwendungen. Für europäische Unternehmen mit chinesischen Tochtergesellschaften entstehen daraus zusätzliche Anforderungen an Compliance, Dokumentation und Risikomanagement.
Seit dem 1. Oktober 2026 gelten neue Vorschriften des chinesischen Ministeriums für öffentliche Sicherheit zur Überwachung der Cybersicherheit. Sie ersetzen die bisherigen Regelungen von 2018 und erweitern die behördlichen Kontrollmöglichkeiten. Betroffen sind insbesondere Netzwerkbetreiber, Datenverarbeiter und Anbieter digitaler Dienste. Die Sicherheitsbehörden können die Einhaltung des Cybersecurity Law (CSL), Data Security Law (DSL) und Personal Information Protection Law (PIPL) überprüfen. Dazu gehören auch technische Sicherheitsprüfungen, Schwachstellenanalysen und unter bestimmten Voraussetzungen Penetrationstests. Unternehmen müssen deshalb ihre Datenklassifizierung, IT-Sicherheitsmaßnahmen, Zugriffsrechte und Compliance-Dokumentation auf behördliche Prüfungen vorbereiten.
Parallel dazu hat der Oberste Volksgerichtshof Chinas neue Leitlinien für die Behandlung von Rechtsstreitigkeiten im Zusammenhang mit künstlicher Intelligenz veröffentlicht. Die 24 Bestimmungen konkretisieren insbesondere die Verantwortung von KI-Entwicklern, Anbietern und Nutzern. Im Mittelpunkt stehen die rechtmäßige Verwendung personenbezogener Daten beim KI-Training, die Haftung für KI-generierte Inhalte, Deepfakes und algorithmische Entscheidungen sowie die Anforderungen an die Beweisführung. Besondere Bedeutung erhält die Frage, unter welchen Voraussetzungen öffentlich zugängliche personenbezogene Informationen für das Training von KI-Modellen verwendet werden dürfen.
Beide Entwicklungen zeigen, dass China seine KI- und Datenregulierung zunehmend von allgemeinen gesetzlichen Vorgaben auf konkrete Kontroll-, Haftungs- und Durchsetzungsmechanismen verlagert. Für deutsche Unternehmen reicht es deshalb nicht mehr aus, die formale Einhaltung einzelner Vorschriften nachzuweisen. Erforderlich ist ein integriertes Compliance-System, das Datenschutz, Datensicherheit, Cybersicherheit und KI-Governance miteinander verbindet. Besonders bei agentischen KI-Systemen, die eigenständig auf Unternehmensdaten zugreifen und Aktionen auslösen können, gewinnen technische Kontrollmechanismen, nachvollziehbare Entscheidungsprozesse und dokumentierte Verantwortlichkeiten an Bedeutung.
