Die indische Regulierungsbehörde TRAI hat einen Richtlinienentwurf für den verantwortungsvollen Einsatz von Künstlicher Intelligenz in Telekommunikationsnetzen und bei der Bereitstellung von Telekommunikationsdiensten zur Konsultation vorgelegt.
Das Papier mit dem Titel Guidelines on Responsible Use of Artificial Intelligence (AI) in Telecommunication Networks and Provision of Telecommunication Services steht auf der Website der Regulierungsbehörde bereit. Branchenteilnehmer und Stakeholder können bis zum 27.11.2026 Stellungnahmen und Kommentare zu den vorgeschlagenen Regelungen einreichen.
Die neuen Vorgaben richten sich an lizenzierte und autorisierte Telekommunikationsunternehmen, die KI-Technologien nutzen oder deren Einsatz planen. Die Anforderungen sind gegenwärtig noch nicht finalisiert.
Der Entwurf sieht jedoch vor, dass Telekommunikationsunternehmen künftig uneingeschränkt für die Ergebnisse und Auswirkungen der von ihnen genutzten KI-Systeme haften müssen. Diese Haftung soll unabhängig davon greifen, ob die Systeme intern entwickelt, von Drittanbietern bezogen oder aus beiden Quellen kombiniert wurden.
Governance-Strukturen, Risikoklassen und Inventarpflicht
Um die Kontrollmechanismen innerhalb der Unternehmen zu stärken, fordert die Aufsichtsbehörde eine vom Unternehmensvorstand genehmigte KI-Richtlinie. Nach ihrer Umsetzung muss diese Police innerhalb von 7 Werktagen an die TRAI übermittelt und im Anschluss jährlich überprüft werden.
Wer sich mit der Einführung regulatorischer Vorgaben für künstliche Intelligenz befasst, benötigt einen klaren Überblick über Fristen und Risikoklassen. Dieser kostenlose Download verschafft Ihnen die Orientierung, die Ihre Rechts- und IT-Abteilung jetzt für die Umsetzung braucht. EU AI Act in 5 Schritten verstehen
Zudem wird den Betreibern vorgeschrieben, ein eigenes Komitee für KI-Governance und -Sicherheit einzurichten, dessen Leitung bei einem eigens benannten Beauftragten für KI-Governance und -Sicherheit liegen soll.
Ein weiterer Schwerpunkt des Papiers liegt auf Transparenz und Risikomanagement. Unternehmen müssen ein Pflichtinventar führen, das ausnahmslos alle aktiven, inaktiven und bereits stillgelegten KI-Systeme umfasst; der Betrieb eines nicht inventarisierten Systems ist unzulässig.
Vor der Inbetriebnahme müssen KI-Systeme einer Prüfung unterzogen und in die Risikoklassen hoch, mittel oder niedrig eingestuft werden. Zu den weiteren im Entwurf formulierten Pflichten zählen Vorgaben zur menschlichen Aufsicht, Maßnahmen zur Daten-Governance, verbindliche Sorgfaltspflichten bei der Auswahl von Zulieferern sowie strukturierte Prozesse für das Beschwerdemanagement von Verbrauchern.
Die rechtssichere Einstufung und Dokumentation von Systemen ist entscheidend, um empfindliche Strafen durch neue Regulierungen zu vermeiden. Dieser kostenlose Umsetzungsleitfaden klärt auf, welche Pflichten Unternehmen beim Einsatz von KI-Systemen jetzt konkret erfüllen müssen. Kostenlosen KI-Leitfaden jetzt herunterladen
Einstufung von Sicherheitsvorfällen und Reaktionen aus der Branche
Für Betriebsstörungen und Sicherheitsereignisse legt der Entwurf vier Schweregrade fest: kritisch, hoch, moderat und niedrig. Tritt ein Vorfall der Stufen kritisch oder hoch ein, ist eine Meldung an die TRAI zwingend vorgeschrieben. Vorgesehen sind neben internen Registern bei den Betreibern auch behördliche, zentrale Datenbanken zur Erfassung von KI-Vorfällen und damit verbundenen Beschwerden.
In Indien setzen Anbieter wie Jio und Airtel KI-Systeme bereits in der Praxis ein, unter anderem zur Kundenidentifikation sowie zur Erkennung und Vermeidung von Betrugsfällen.
Der Vorstoß der Behörde trifft in der Branche auf unterschiedliche Resonanz. Der ehemalige TRAI-Vertreter Satya N. Gupta sprach sich für eine weniger restriktive Regulierung aus und empfahl stattdessen die Einführung eines freiwilligen Verhaltenskodex.
Ein Branchenveteran verwies demgegenüber darauf, dass die Regierung die Telekommunikationsbetreiber stärker in die Pflicht nehmen wolle. Hintergrund seien zurückliegende Sicherheitsvorfälle, darunter PHP-Schwachstellen, Vorfälle im Zusammenhang mit eMudhra-Zertifikaten sowie Datenlecks bei Kundendaten der State Bank of India.