EU, USA, China: Wer reguliert wirklich strenger und was das mit Innovation zu tun hat

"Europa reguliert, Amerika innoviert, China kopiert." Der Satz ist griffig, er wird auf Konferenzen zuverlässig beklatscht, und er ist in allen drei Teilen falsch. Wer sich die tatsächlichen Rechtsrahmen der drei Blöcke nebeneinanderlegt, sieht ein völlig anderes Bild.

China reguliert digitale Technologie enger als die EU, die USA regulieren nicht weniger, sondern unübersichtlicher, und die europäische Regeldichte ist an den Stellen, an denen sie Unternehmen wirklich trifft, gerade dabei, planbarer zu werden. Dieser Beitrag legt die Standards nebeneinander und ordnet danach ein, was daraus für die Innovationsdebatte folgt.

Drei Regulierungsmodelle, drei Logiken

Die drei Rechtsräume unterscheiden sich weniger im Ausmaß der Regulierung als in ihrem Zweck.

Die EU reguliert grundrechtsbasiert und horizontal. Schutzgut ist die Person, adressiert wird jede Branche, das Instrument ist die unmittelbar geltende Verordnung mit Risikostufen und Nachweispflichten. Das erzeugt Aufwand, aber auch einen einheitlichen Binnenmarktstandard.

Die USA regulieren sektoral und föderal zersplittert. Es gibt kein allgemeines Bundesdatenschutzgesetz, dafür HIPAA für Gesundheitsdaten, GLBA für Finanzdaten, COPPA für Kinder und rund zwanzig einzelstaatliche Datenschutzgesetze mit abweichenden Schwellenwerten. Bei KI kommt seit Ende 2025 ein offener Konflikt zwischen Bundesebene und Bundesstaaten dazu.

China reguliert staatszentriert und sicherheitsgetrieben. Schutzgut ist primär die nationale Sicherheit und die Kontrolle über Datenmacht, erst nachgelagert das Individuum. Das Instrument ist die Genehmigung: Wer einen generativen KI-Dienst öffentlich anbietet, muss ihn vorab bei der Cyberspace Administration registrieren lassen.

Der Vergleich im Überblick

Datenschutz und Datenrecht

Informationssicherheit und kritische Infrastruktur

Künstliche Intelligenz

Normen und freiwillige Rahmenwerke

Was der Vergleich zeigt

Drei Befunde springen ins Auge.

Erstens reguliert China nicht weniger, sondern anders und in Teilen enger. Ein generativer KI-Dienst braucht in China eine behördliche Registrierung, bevor er öffentlich angeboten werden darf. In der EU braucht er das nicht. Wer die These vertritt, Regulierung verhindere KI-Fortschritt, muss erklären, warum ausgerechnet der Rechtsraum mit Vorabgenehmigung, Inhaltsfilter und verpflichtender Wasserzeichen-Norm zu den führenden KI-Standorten zählt.

Zweitens ist der US-Rahmen für Unternehmen nicht einfacher, sondern unsicherer. Wer in den USA ein KI-Produkt ausrollt, muss kalifornisches, texanisches und illinoisisches Recht parallel prüfen, dazu je nach Sektor HIPAA oder GLBA, und muss zusätzlich damit rechnen, dass die Bundesregierung genau diese Landesgesetze gerade beklagt. Der Aufwand verschwindet nicht, er wird nur von der Verordnung zur Rechtsabteilung verschoben. Für ein europäisches KMU ist eine Verordnung mit klaren Risikoklassen billiger als eine Landkarte aus fünfzig Rechtsordnungen.

Drittens ist die EU-Regulierung nachjustierbar. Der Digital Omnibus on AI wurde am 16. Juni 2026 vom Parlament und am 29. Juni 2026 vom Rat angenommen, am 8. Juli unterzeichnet und tritt im Juli 2026 in Kraft. Er verschiebt die Hochrisiko-Pflichten auf Dezember 2027 beziehungsweise August 2028, präzisiert den Begriff der Sicherheitskomponente und streicht Registrierungspflichten für Systeme, die aufgrund eng umgrenzter Aufgaben nicht hochriskant sind. Ein starres System hätte das nicht getan.

Warum EU-Regulierung kein Innovationshemmnis ist

Die Behauptung, europäische Regulierung bremse Innovation, wird selten belegt und meist nur behauptet. Wo sie belegt wird, verwechselt sie Korrelation mit Kausalität.

Der europäische Rückstand ist älter als die Regulierung. Der Abstand bei Wagniskapital, bei der Skalierung von Wachstumsunternehmen und bei Rechenzentrumskapazität besteht seit den frühen 2000er-Jahren, also lange vor DSGVO, NIS2 und KI-VO. Die Ursachen sind gut dokumentiert: fragmentierte Kapitalmärkte, fehlende Kapitalmarktunion, 27 nationale Insolvenz- und Gesellschaftsrechte, hohe Energiekosten, eine öffentliche Beschaffung, die europäische Anbieter systematisch benachteiligt. Keine dieser Ursachen verschwindet, wenn man die DSGVO abschafft.

Rechtssicherheit ist ein Standortvorteil, kein Kostenfaktor. Ein Anbieter, der ein Produkt einmal nach KI-VO und DSGVO baut, kann es in 27 Mitgliedstaaten verkaufen. Ein Anbieter, der dasselbe Produkt in den USA ausrollt, prüft es gegen ein bewegliches Ziel aus Landesgesetzen und laufenden Verfahren. Vollharmonisierung ist genau das, was Draghi für andere Bereiche fordert, und im Digitalrecht liefert die EU sie bereits.

Compliance ist im B2B-Geschäft zum Verkaufsargument geworden. Jede größere Ausschreibung im DACH-Raum fragt heute nach ISO 27001, nach Auftragsverarbeitungsvertrag, nach NIS2-Betroffenheit, nach Datenstandort. Anbieter, die das sauber beantworten, gewinnen Aufträge gegen billigere Konkurrenz. Regulierung erzeugt hier keinen Aufwand ohne Gegenwert, sie erzeugt einen Markt. Der Aufstieg europäischer Cloud- und Kollaborationsanbieter in den letzten drei Jahren ist ohne DSGVO und Schrems II nicht erklärbar.

Der Brüssel-Effekt senkt die Grenzkosten europäischer Anbieter. Wenn Drittstaaten DSGVO-ähnliche Gesetze erlassen, wird das europäische Produkt exportfähig, ohne umgebaut zu werden. Der Vorwurf, die EU exportiere ihre Regeln, ist aus Sicht eines europäischen Anbieters kein Vorwurf, sondern eine Beschreibung eines Wettbewerbsvorteils.

Regulierung verhindert Fehlinvestitionen. Die Verbote in Art. 5 KI-VO treffen Geschäftsmodelle, die in Europa ohnehin weder gesellschaftlich noch gerichtlich Bestand hätten: Social Scoring, ungezieltes Scraping von Gesichtsbildern, Emotionserkennung am Arbeitsplatz gehen einfach nicht. Kapital, das nicht in solche Modelle fließt, ist nicht verlorenes Kapital, sondern umgeleitetes.

Was dagegen vorgebracht wird

Die Debatte ist nicht einseitig, und redlich bleibt nur, wer die Gegenargumente nennt.

Der Draghi-Bericht verweist auf über 100 digitalbezogene EU-Rechtsakte und mehr als 270 aktive Regulierungsbehörden in den Mitgliedstaaten und sieht darin einen realen Wettbewerbsnachteil. Empirische Arbeiten finden nach Inkrafttreten der DSGVO Rückgänge bei Datenhaltung und Rechenaufwand europäischer Unternehmen gegenüber US-Vergleichsgruppen sowie eine höhere Marktkonzentration, weil Fixkosten der Compliance große Anbieter begünstigen. Institute wie das ITIF argumentieren, das Vorsorgeprinzip verlagere Teile der KI-Wertschöpfungskette aus der EU heraus.

Diese Einwände treffen einen wahren Kern, aber einen anderen als den behaupteten. Sie sprechen gegen Fragmentierung, Vollzugsdefizite und Öffnungsklauseln, nicht gegen Schutzniveau. Die DSGVO erlaubt den Mitgliedstaaten in rund 15 Bereichen eigene Regeln, und genau daraus entsteht ein Gutteil der beklagten Komplexität. Die Antwort darauf ist mehr Harmonisierung, nicht weniger Regulierung. Der Digital Omnibus geht in diese Richtung.

Was das praktisch bedeutet

Für Unternehmen im DACH-Raum ergibt sich daraus eine nüchterne Arbeitsagenda.

Ein integriertes Managementsystem trägt weiter als Einzelprojekte. Wer ISO 27001 sauber betreibt, deckt große Teile von NIS2 und DORA mit ab und hat für ISO 42001 bereits die Struktur. Die Anhänge unterscheiden sich, der Rahmen aus Kontext, Risiko, Kontrollen und interner Auditierung nicht.

Die aufgeschobenen Fristen der KI-VO sind kein Grund zur Pause. Die Pflichten selbst wurden nicht entschärft, nur zeitlich gestreckt. Wer die gewonnene Zeit für Inventarisierung und Risikoeinstufung der eingesetzten KI-Systeme nutzt, steht Ende 2027 gut da. Wer sie ignoriert, hat dasselbe Problem später.

Für Produkte mit US- oder China-Bezug lohnt eine frühe Rechtsraumentscheidung. Ein EU-konformes Produkt lässt sich in der Regel für den US-Markt anpassen. Umgekehrt ist der Weg deutlich teurer.

Fazit

Der Vergleich der drei Rechtsräume stützt die verbreitete Erzählung nicht. China reguliert digitale Technologie mit Genehmigungsvorbehalt und Inhaltskontrolle strenger als die EU. Die USA regulieren nicht weniger, sondern verteilt auf Bundesstaaten, Sektorgesetze und Gerichte, mit entsprechend höherer Unsicherheit. Die EU hat den einzigen der drei Rahmen, der horizontal, vorhersehbar und binnenmarktweit gilt.

Europas Innovationsschwäche hat Ursachen. Sie liegen in der Kapitalversorgung, in der Fragmentierung des Binnenmarkts, in Energiekosten und in der öffentlichen Beschaffung. Die DSGVO gehört nicht dazu. Wer Regulierung abbaut, ohne diese Ursachen anzugehen, verliert das Schutzniveau und gewinnt keine Innovation.

Transparenzhinweis: Dieser Beitrag wurde unter anderem mit Unterstützung generativer KI (Claude Opus 4.8, Anthropic) recherchiert und vor Veröffentlichung redaktionell geprüft.