Indiens DPDP-⁠Gesetz und Unternehmens-⁠KI: Was MeitY, CERT-⁠In und RBI von Ihnen erwarten

Indien baut seine KI-Wirtschaft und sein Rechenschaftsregime gleichzeitig auf. Das Unionskabinett bewilligte im März 2024 die IndiaAI Mission mit einem Budget von 10.371,92 Crore Rupien, während die Responsible-AI-Leitlinien von NASSCOM die Branche zu Governance by Design drängen. Auf der Pflichtenseite notifizierte MeitY am 14. November 2025 die DPDP Rules 2025, die den DPDP Act 2023 mit einer gestaffelten Übergangsfrist von bis zu 18 Monaten operationalisieren. CERT-In setzt seit 2022 eine Sechs-Stunden-Meldefrist für Cybervorfälle durch. Und der FREE-AI-Ausschussbericht der RBI vom 13. August 2025 formuliert sieben Leitprinzipien und 26 Empfehlungen für KI im Finanzsektor. Die Botschaft an Unternehmen ist einheitlich: Setzen Sie KI ein — aber seien Sie bereit zu beweisen, wie sie sich verhält.

Was verlangt der DPDP Act von Unternehmens-KI?

Der DPDP Act behandelt jede Organisation, die digitale personenbezogene Daten verarbeitet, als Data Fiduciary — und KI-Pipelines sind Verarbeitung. Drei Pflichten wiegen am schwersten:

• Einwilligung und Zweckbindung — personenbezogene Daten in Prompts, RAG-Indizes oder Fine-Tuning-Datensätzen müssen einem mitgeteilten Zweck zugeordnet sein; Kundendaten als Modellkontext umzuwidmen ist Verarbeitung, die eine Rechtsgrundlage braucht.
• Meldung von Datenpannen — nach den DPDP Rules 2025 müssen Betroffene unverzüglich informiert werden, und das Data Protection Board muss innerhalb von 72 Stunden einen detaillierten Bericht erhalten.
• Pflichten für Significant Data Fiduciaries — jährliche Datenschutz-Folgenabschätzungen, Audits und algorithmische Sorgfaltsprüfungen für entsprechend eingestufte Unternehmen.

Die Bußgelder des Gesetzes reichen bis zu 250 Crore Rupien pro Verstoßkategorie. Eine KI-Plattform, die nicht zeigen kann, welche personenbezogenen Daten wann und warum in welches Modell geflossen sind, kann nichts davon beantworten.

Übersteht Ihr KI-Stack CERT-Ins Sechs-Stunden-Frist?

Die CERT-In-Direktiven vom 28. April 2022 verpflichten erfasste Unternehmen, Cybervorfälle innerhalb von sechs Stunden nach Kenntnisnahme zu melden und Logs 180 Tage lang in Indien vorzuhalten. Sechs Stunden reichen nicht, um Ereignisse aus der intransparenten Cloud eines Anbieters zu rekonstruieren. Gefordert sind KI-Audit-Trails, die bereits existieren: Aufzeichnungen pro Aufruf — wer welches Modell mit welchen Daten über welchen Konnektor aufgerufen hat und was zurückkam. Wenn die Beweissicherung ein Support-Ticket bei einer fremden Plattform erfordert, gewinnt die Uhr.

MeitY beschleunigt, RBI mahnt zur Vorsicht

MeitYs IndiaAI Mission finanziert Rechenkapazität, Foundation Models und Safe & Trusted AI, und die Advisories des Ministeriums signalisieren strengere Prüfung eingesetzter Modelle. Für Finanzunternehmen ist RBIs FREE-AI-Rahmenwerk deutlicher: Verantwortung auf Vorstandsebene, Erklärbarkeit, Resilienz und verhältnismäßige Aufsicht über risikoreiche Anwendungsfälle. Für eine Bank oder NBFC heißt das praktisch: KI-Governance muss im Ausführungspfad leben — mit Human-in-the-Loop-Freigaben vor folgenreichen Aktionen, nicht mit Richtliniendokumenten danach.

Was sollte ein indisches Unternehmen von einer KI-Plattform verlangen?

• Datenresidenz per Architektur — Inferenz, Retrieval und Logs innerhalb Ihres Perimeters, air-gap-fähig; keine vertraglichen Versprechen über ausländische Regionen.
• Nachweise auf Abruf — ein unveränderliches Protokoll jeder KI-Aktion, bereit für das Data Protection Board, CERT-In oder die RBI-Aufsicht.
• Menschliche Aufsicht — Freigabeschranken für agentische Aktionen, mit wahrheitsgemäßer Statusanzeige.
• Kostenkontrolle — tokenintensive RAG- und Agenten-Workloads brauchen Budgets und Routing, sonst stockt die Einführung.
• Native Passung für indische Abläufe — GST-E-Invoicing über das IRP, IRN-Erzeugung und governte Konnektoren für Tally und Zoho Books.

Indiens Richtung ist über MeitY, CERT-In und RBI hinweg einheitlich: Mit KI gewinnen die Unternehmen, die innerhalb ihres eigenen Perimeters exakt beweisen können, was ihre KI getan hat.