Texas Responsible AI Governance Act (TRAIGA, HB 149)

Der Texas Responsible Artificial Intelligence Governance Act — HB 149, am 22. Juni 2025 von Gouverneur Greg Abbott unterzeichnet und seit dem 1. Januar 2026 in Kraft — gilt mit ziemlicher Sicherheit für Ihre AI-Tools und verlangt Ihnen operativ mit ziemlicher Sicherheit nichts ab. Kodifiziert in Kapitel 552 des Texas Business & Commerce Code, erfasst er jede Person, die in Texas Geschäfte betreibt, ein Produkt oder eine Leistung herstellt, die von Einwohnern von Texas genutzt wird, oder ein AI-System in Texas entwickelt oder betreibt. Das ist ein weites Zuständigkeitsnetz ohne Umsatz- oder Mitarbeiterschwelle. Was darin liegt, ist schmal: vier vorsatzbasierte Verbote, Offenlegungspflichten, die Behörden und Gesundheitsdienstleister treffen statt gewöhnliche Arbeitgeber, und kein laufendes Compliance-Programm irgendeiner Art. Die Arbeit, die TRAIGA einem Ops-Team macht, ist dokumentarisch — nachzuweisen, warum Sie ein System eingeführt haben — nicht prozedural.

Was TRAIGA NICHT ist

• Kein Risikomanagement-Gesetz. Es gibt keine Folgenabschätzungen, keine Bias-Audits, kein AI-Risikomanagementprogramm und keinen Klagegrund wegen algorithmischer Diskriminierung. Wenn Sie ein Compliance-Konzept gegen Colorados ursprünglichen SB 24-205 oder gegen das Hochrisiko-Regime des EU AI Act gebaut haben: Nichts von dieser Architektur ist hier gefordert.
• Kein Offenlegungsgesetz für private Arbeitgeber. Der vorherige Hinweis “Sie sprechen mit einer AI” trifft Behörden; eine gesonderte Pflicht trifft zugelassene Gesundheitsdienstleister am Behandlungstag. Ein privater Arbeitgeber, der Bewerber aus Texas mit einem AI-Tool vorselektiert, schuldet diesen unter TRAIGA keinen Hinweis.
• Nicht durchsetzbar durch die Geschützten. Der Attorney General von Texas hat die ausschließliche Durchsetzungsbefugnis, es gibt kein privates Klagerecht, und kommunale AI-Satzungen werden verdrängt.

Wer erfasst ist und wer ausgenommen

Die Erfassung greift über jeden der drei genannten Anknüpfungspunkte, angewandt sowohl auf Developer (die ein AI-System in Texas anbieten, verkaufen oder bereitstellen) als auch auf Deployer (die es für texanische Zwecke einsetzen). Anders als Kaliforniens Regeln zu automatisierten Entscheidungssystemen, die bei fünf Beschäftigten einsetzen, kennt TRAIGA keine Größenschwelle — ein zwölfköpfiges RevOps-Team, das einen AI SDR gegen texanische Prospects laufen lässt, ist zu denselben Bedingungen erfasst wie ein Konzern.

Zwei Ausnahmen sind für Käufer relevant: Versicherer unter dem Texas Insurance Code und bundesversicherte Finanzinstitute unter Aufsicht ihrer Bankenregulierer fallen nicht unter das Diskriminierungsverbot. Krankenhausdistrikte und Hochschulen sind von der behördlichen Offenlegungspflicht ausgenommen.

Die Verbote

Vier gelten für jede erfasste Person:

1. Verhaltensmanipulation — Entwicklung oder Einsatz eines AI-Systems, das vorsätzlich zu körperlicher Selbstverletzung, zur Schädigung anderer oder zu Straftaten anstiftet oder ermutigt.
2. Verletzung von Verfassungsrechten — ein System, das mit dem alleinigen Vorsatz entwickelt wurde, die Verfassungsrechte einer Person zu verletzen.
3. Rechtswidrige Diskriminierung — Entwicklung oder Einsatz eines AI-Systems mit dem Vorsatz, eine geschützte Gruppe rechtswidrig zu diskriminieren.
4. Darstellungen sexuellen Kindesmissbrauchs und explizite Deepfakes Minderjähriger.

Drei weitere gelten nur für Behörden: Social Scoring, das zu nachteiliger Behandlung führt, biometrische Identifizierung von Personen aus öffentlich verfügbaren Quellen ohne Einwilligung, sowie der vorherige AI-Hinweis.

Der Vorsatzmaßstab ist die ganze Geschichte

Für alle, die AI im Recruiting, im Outbound oder in kreditnahen Entscheidungen einsetzen, trägt ein Satz des Gesetzes das gesamte praktische Gewicht: Eine mittelbare Benachteiligung genügt für sich allein nicht, um Diskriminierungsvorsatz nachzuweisen. Texas hat unter eigenem Recht genau die Theorie ausgeschlossen, die Title VII, ADA und ADEA auf Bundesebene weiterhin zulassen und auf der NYC Local Law 144 und die Illinois-Änderungen zu AI im Recruiting aufbauen.

Deshalb ist eine reine Texas-Lesart der Compliance eine Falle. TRAIGA hat Ihr Risiko nach Landesrecht gesenkt und an Ihrem bundesrechtlichen Risiko nichts geändert. Ein Screening-Modell, das Bewerber über 50 doppelt so häufig ablehnt wie jüngere, bleibt in Dallas ein ADEA-Problem; es ist nur kein TRAIGA-Problem.

Vorsatz wird allerdings mit Dokumenten bewiesen. Die Artefakte, die aus einem neutralen Tool einen Vorsatzfall machen, entstehen in Ops-Teams beiläufig: eine Marketingaussage des Anbieters über das Herausfiltern einer demografischen Gruppe, ein Konfigurationsticket, das ein Ergebnis vorgibt, das vollständige Fehlen jeder Testdokumentation. TRAIGA belohnt es, den legitimen Zweck vor dem Einsatz schriftlich festzuhalten, denn die Dokumentation ist die Verteidigung.

Safe Harbor und Durchsetzung

Abschnitt 552.105(e) gewährt eine Verteidigung, wenn ein Verstoß über Stakeholder-Feedback, Red-Teaming oder adversariales Testen, über die Befolgung behördlicher Leitlinien oder über einen internen Review-Prozess entdeckt wird, der einem anerkannten Rahmenwerk wie dem NIST AI Risk Management Framework im Wesentlichen entspricht. Missbrauch Ihres Systems durch Dritte ist ebenfalls ein Schutzschild. Dies ist der einzige Teil von TRAIGA, den aufzubauen sich lohnt statt ihn nur zu dokumentieren.

Die Durchsetzung läuft über den Attorney General, der eine Civil Investigative Demand ausstellen kann, ohne zuvor einen Verstoß anzuzeigen. Eine CID kann Systembeschreibungen, beabsichtigten Zweck, Trainingsdaten, Ein- und Ausgaben, Leistungskennzahlen, bekannte Grenzen, Monitoring nach dem Rollout und Nutzer-Schutzmaßnahmen erfassen. Nach der Verstoßanzeige haben Sie 60 Tage zur Heilung. Sanktionen: 10.000 bis 12.000 USD je heilbarem, aber ungeheiltem Verstoß, 80.000 bis 200.000 USD je nicht heilbarem Verstoß und 2.000 bis 40.000 USD pro Tag bei fortdauernden Verstößen.

Das Datum für den Kalender ist der 1. September 2026, bis zu dem das gesetzlich geforderte Online-Beschwerdeportal des Attorney General betriebsbereit sein muss. Die Behörde veröffentlichte im Juli 2026 eine Consumer-AI-Rights-Seite, die Verbote und Sanktionen erläutert; in der ersten Jahreshälfte 2026 wurde kein förmliches TRAIGA-Durchsetzungsverfahren und keine CID öffentlich bekannt. Der Beschwerdeeingang, nicht eine Rechtsetzung, dürfte die ersten Fälle erzeugen.

Sandbox und Council

Das Texas Department of Information Resources betreibt eine regulatorische Sandbox — bis zu 36 Monate, Befreiung von staatlichen Lizenz- und Genehmigungspflichten, Quartalsberichte zu Leistung, Risikominderung und Stakeholder-Feedback. Die Kernverbote binden Sandbox-Teilnehmer weiterhin. Ein siebenköpfiger Texas Artificial Intelligence Council sitzt beim DIR mit beratender Rolle und ohne Rechtsetzungsbefugnis.

Strukturell gelesen: Keine Behörde wird Regeln erlassen, die TRAIGAs Lücken füllen. Das Gesetz ist das gesamte Regime und bleibt so dünn, bis der Gesetzgeber es erneut aufgreift.

Fallstricke

• TRAIGA als Obergrenze lesen. Der Vorsatzmaßstab ist eine landesrechtliche Verteidigung, keine bundesrechtliche. Absicherung: Führen Sie Adverse-Impact-Tests gegen die bundesrechtliche Vier-Fünftel-Konvention unabhängig davon weiter, was Texas verlangt, und bewahren Sie die Ergebnisse auf.
• “Keine Offenlegungspflicht” als “nirgendwo ein Hinweis” lesen. Der Standort der Bewerber, nicht der Unternehmenssitz, entscheidet, welche Hinweisregel für eine Stelle gilt. Absicherung: Führen Sie eine Zuständigkeitsmatrix zu NYC LL 144, Illinois, Kalifornien und EU-Artikel 50 und koppeln Sie die Hinweisvorlage an die Jurisdiktion der Bewerber.
• Die biometrische Falle. TRAIGA hat das texanische CUBI-Gesetz geändert: Öffentlich verfügbares Material stellt keine Einwilligung in die biometrische Erfassung dar, außer die Person hat es selbst veröffentlicht. Face-Matching in einem Identitätsprüfungsschritt ist eine CUBI-Frage, bevor es eine TRAIGA-Frage ist. Absicherung: Holen Sie vor jeder Erfassung der Gesichtsgeometrie im Funnel eine schriftliche Einwilligung ein und protokollieren Sie sie, und bestätigen Sie den Aufbewahrungsplan des Anbieters im Vertrag.
• Sandbox-Zulassung als Sicherheitsnachweis nehmen. Die Sandbox befreit von Lizenzpflichten, nicht von den Verboten. Absicherung: Wenn ein Anbieter im Security-Review auf seine Sandbox-Teilnahme verweist, fragen Sie, welche Lizenzpflicht damit entfällt; die Antwort ist meist nichts für Sie Relevantes.
• Undokumentierter Zweck. Eine CID kommt mit einer Antwortfrist, nicht mit einem Recherchefenster. Absicherung: Halten Sie je AI-System mit Texas-Bezug eine einseitige schriftliche Zweckerklärung plus Testdokumentation vor, bei jeder Verlängerung aktualisiert.

Was jetzt zu tun ist

1. Inventarisieren Sie jedes AI-System mit Texas-Bezug — Bewerber, Prospects oder Kunden aus Texas oder ein dort ansässiger Betrieb.
2. Schreiben Sie je System die Zweckdokumentation: Zweck, beeinflusste Entscheidung, wer die Ausgabe prüft, welche Tests gelaufen sind.
3. Bilden Sie Ihren internen Review-Prozess auf das NIST AI RMF ab, denn diese Zuordnung ist der ausdrücklich benannte Weg in den Safe Harbor.
4. Nehmen Sie eine CID-Kooperationsklausel in AI-Anbieterverträge auf. Innerhalb einer 60-Tage-Heilungsfrist brauchen Sie vom Anbieter Unterlagen zu Trainingsdaten und bekannten Grenzen, und kein Standard-MSA verpflichtet ihn dazu.
5. Tragen Sie den 1. September 2026 ein und prüfen Sie dann die Haltung des Attorney General erneut.

Ziehen Sie für eine jurisdiktionsspezifische Bewertung Ihre Rechtsberatung hinzu.

Verwandt

• Colorado AI Act (SB 24-205, jetzt SB 26-189) — das Risikomanagement-Modell, das Texas bewusst nicht übernommen hat
• NYC Local Law 144 — das Bias-Audit-Regime, das operativ weiterhin die Untergrenze für AI im Recruiting setzt
• AI-Richtlinie für Legal-Teams — die interne Governance-Vorlage, die genau die Zweckdokumentation trägt, die TRAIGA belohnt
• Bias beim AI-Screening — was ein Adverse-Impact-Test tatsächlich misst und warum Sie ihn unter einem reinen Vorsatzgesetz weiter durchführen
• EU AI Act für Legal-Teams — die Transparenz- und Hochrisikopflichten, die für EU-gerichtete Tools weiter gelten