Zusammenfassung

  • TRAIs Entwurf macht den lizenzierten oder autorisierten Anbieter für Ergebnisse von KI-Systemen verantwortlich, auch wenn ein externer Lieferant sie entwickelt hat.
  • Der Anbieter braucht eine vom Vorstand genehmigte KI-Politik, ein Systemregister, Prüfungen vor dem Einsatz, eine zentrale Vorfalldatenbank und ein von einer Führungskraft geleitetes Aufsichtsgremium.
  • TEC 57090:2025 liefert qualitative Schweregrade; für Vorfälle der Stufen critical und high lässt der Entwurf Meldeformular und Frist jedoch offen.

Der Vertrag verteilt Kosten. Die Aufsichtspflicht bleibt beim Betreiber.

Der Entwurf der Telecom Regulatory Authority of India (TRAI) setzt die Verantwortung bei der autorisierten Stelle an, die KI für ein Netz oder einen Telekommunikationsdienst einsetzt. Klausel 3.8 hält fest: Diese Stelle trägt die Verantwortung für das Ergebnis, unabhängig davon, ob das System intern entwickelt, von einem Dritten bezogen oder aus beidem zusammengesetzt wurde. Ein Beschaffungsvertrag kann Kosten, Prüfungsrechte und Haftung zwischen den Parteien verteilen. Er verschiebt nicht die regulatorische Verantwortung, die der Entwurf dem Anbieter zuweist.

Das ist eine konkrete Zuteilung von Macht und Risiko. KI kann in Netzbetrieb und Diensterbringung eingreifen und Verbraucher betreffen. Der Entwurf gilt für Inhaber von Telekommunikationslizenzen und für autorisierte Stellen, die Netze errichten, betreiben, warten oder erweitern dürfen, sofern sie KI in diesen Funktionen nutzen oder den Einsatz planen. TRAI veröffentlichte den Entwurf am 30. Oktober 2026; Kommentare sind bis zum 27. November möglich. Die Konsultationsseite und eine Mitteilung des Kommunikationsministeriums nennen diese Frist.

Die erste Kontrolle liegt beim Vorstand oder einem vergleichbaren Leitungsorgan. Es genehmigt eine interne KI-Politik. Jedes System wird nach seiner Bedeutung für Netz oder Dienst als high, medium oder low eingestuft; in die Bewertung fließen finanzielle und betriebliche Folgen sowie mögliche Auswirkungen auf Verbraucher ein. Eine benannte Person genehmigt den Einsatz. Je nach Risikoklasse darf diese Zustimmung delegiert werden.

Vor dem Einsatz eines neuen Systems oder einer Änderung an einem bestehenden System muss der Anbieter es validieren und Konformitäts- und Folgenabschätzungen durchführen. Der Entwurf nennt Genauigkeit, Erklärbarkeit, Fairness, Widerstand gegen Leistungsdrift und menschliche Aufsicht. Bei einem Fremdsystem kommen die Prüfung des Lieferanten, der Systemgrenzen und der Qualität und Eignung der Trainingsdaten hinzu. Das Register erfasst aktive, inaktive und stillgelegte Systeme samt Quelle, Zweck und Risikoklasse. Was nicht im Register steht, darf nicht betrieben werden.

Auch die Aufsicht ist organisatorisch festgelegt. Ein vom Vorstand genehmigter AI Governance and Safety Committee soll Betrieb, Servicebereitstellung, IT, Daten, Regulierung und Verbraucherangelegenheiten zusammenbringen. Den Vorsitz führt eine leitende Führungskraft als AI Governance and Safety Officer. Mindestens einmal pro Geschäftsjahr prüft das Gremium Systemleistung und Vorfälle; es kann eine Änderung oder Stilllegung verlangen. Die Politik und ihre Änderungen sind TRAI binnen sieben Arbeitstagen nach Inkrafttreten vorzulegen.

Das Risiko eines Systems ist nicht die Schwere eines Vorfalls

Der Entwurf enthält zwei verschiedene Skalen. High, medium und low bewerten die Bedeutung eines KI-Systems nach der Politik des Anbieters. Critical, high, moderate und low bewerten die Schwere eines Vorfalls. Jeder Vorfall muss erfasst, untersucht und analysiert werden. Für Vorfälle der Stufen critical und high verlangt der Entwurf eine Meldung an TRAI.

TRAI überlässt die gesamte Schwere-Terminologie nicht dem freien Ermessen der Anbieter. Der Entwurf verweist auf TEC 57090:2025 oder eine gleichwertige Taxonomie. Der Standard ordnet einen großen landesweiten Ausfall oder Totalausfall als critical ein, eine erhebliche Störung oder starke Dienstverschlechterung als high, regionale Ausfälle oder teilweise Verschlechterungen als moderate und kurze Verlangsamungen oder geringfügige Unterbrechungen als low. In der amtlichen Liste notifizierter TEC-Standards ist die Notifizierung vom 24. April 2026 vermerkt.

Die Beispiele schaffen gemeinsame Begriffe, aber keine Zahlenformel. TRAI erlaubt zudem gleichwertige Taxonomien. Meldungen der Stufen critical und high sollen in der vorgeschriebenen Form, auf dem vorgeschriebenen Weg und innerhalb der vorgeschriebenen Frist erfolgen. Im Konsultationstext stehen weder das Formular noch eine Frist in Stunden oder Tagen.

Der Anbieter soll eine zentrale Vorfalldatenbank führen, einschließlich der während Tests entdeckten Fälle. Eine zweite Datenbank erfasst von Nutzern gemeldete KI-Schäden und deren Behebung. Beschwerden sind innerhalb einer vom Anbieter selbst festgelegten „angemessenen Frist“ zu bearbeiten. TRAI kann Bewertungen, Berichte und weitere Nachweise verlangen; Vorfallsmeldungen können laut Entwurf in sektorweite Erkenntnisse und Risikobewertungen einfließen. Eine Veröffentlichung interner Datenbanken oder aggregierter Branchendaten schreibt der Entwurf nicht vor.

Eine öffentliche, anbieterübergreifende Vorfalldatenbank für Vergleiche ähnlicher Fälle liegt nicht vor. Erst wenn TRAI Auslöser, Pflichtfelder und den Startpunkt der Meldefrist festlegt, lassen sich Meldungen hoher Schweregrade zwischen Anbietern vergleichen.

Eine gemeinsame Meldeuhr, betriebliche Entscheidungen vor Ort

Diese Verantwortungsverteilung folgt der betrieblichen Kontrolle: Der Anbieter wählt Systeme aus, genehmigt ihren Einsatz, prüft Lieferanten, überwacht Änderungen und verwahrt die Vorfallsdaten. Das TRAI-Gesetz von 1997 gibt der Behörde Aufgaben bei Dienstqualität und Verbraucherschutz. Die indischen KI-Governance-Leitlinien benennen TRAI als sektorale Aufsicht mit Spielraum für branchenspezifische Regeln. Die offizielle Chronologie ist offen: Der TRAI-Entwurf und eine PIB-Mitteilung vom 30. Oktober 2026 datieren die Veröffentlichung auf Februar 2026; eine PIB-Mitteilung vom 5. November 2025 meldet die Vorstellung an diesem Tag, und ein PIB-Überblick vom 15. Februar 2026 beschreibt die Veröffentlichung beim India AI Impact Summit; eine öffentliche Versionsgeschichte würde zeigen, ob verschiedene Ausgaben gemeint sind.

TRAI sollte vereinheitlichen, was Meldungen vergleichbar macht: den meldepflichtigen Vorfall, den Startpunkt der Frist, die Mindestangaben und die Anerkennung gleichwertiger Taxonomien. Die Entscheidung, welche Systeme enger überwacht werden, wie Lieferanten geprüft werden, wer eine Versionsänderung freigibt und welches Team die Ausgaben beaufsichtigt, kann beim jeweiligen Anbieter bleiben. Netze brauchen unterschiedliche Betriebskontrollen. Für die Meldung desselben schweren Ereignistyps an dieselbe Behörde braucht es keine zehn verschiedenen Uhren.

Die Kommentierungsfrist endet am 27. November. Der endgültige Text wird zeigen, ob TRAI den schärfsten Satz des Entwurfs beibehält — der Anbieter trägt die Verantwortung auch für extern entwickelte KI — und dazu ein Meldeverfahren schreibt, das diese Verantwortung praktisch prüfbar macht.

Quellen