Regulierung als Bühne: Wie sich Technologieunternehmen in komplexen regulatorischen Umgebungen zurechtfinden

Jedes Mal, wenn eine neue Verordnung in Sicht ist, spaltet sich die Unternehmensdebatte in zwei vorhersehbare Lager: diejenigen der Unternehmen, die sich über die Kosten der Einhaltung beschweren, und diejenigen, die ein strategisches Fenster sehen, bevor es sich schließt. Diejenigen, die sich beschweren, liegen nicht unbedingt falsch – eine schlecht abgestimmte Regulierung ist mit echten Kosten verbunden. Doch während sie ihre Energie darauf verwenden, Widerstand zu leisten, sind die anderen in dem Raum, in dem die Regeln geschrieben stehen.

Regulierung als Instrument der Marktmacht

Es gibt einen Grund, warum große Technologieunternehmen Niederlassungen in Brasilia, Brüssel und Washington mit Teams aus Dutzenden von Mitarbeitern unterhalten. Es ist kein bürgerlicher Altruismus. Die Teilnahme an öffentlichen Konsultationen, die Teilnahme an Arbeitsgruppen in Regulierungsbehörden und die Unterbreitung von Entwürfen technischer Standards sind Möglichkeiten, das Wettbewerbsumfeld zu gestalten, bevor es von anderen definiert wird.

Der Mechanismus funktioniert folgendermaßen: Wenn ein Unternehmen über genügend Größe verfügt, um seine aktuellen Praktiken als Referenz für gute Regulierungspraktiken zu platzieren, erhöht es effektiv die Eintrittskosten für kleinere Wettbewerber. Compliance wird zum Wettbewerbsvorteil, getarnt als Branchenverantwortung. Das ist kein Zynismus – es ist Strategie, und sie funktioniert, weil die Alternative, das Feld leer zu lassen, garantiert, dass das Endergebnis den Interessen anderer Akteure dient.

Wie das regulatorische Playbook in der Praxis funktioniert

Unternehmen, die komplexe regulatorische Umgebungen meistern, agieren in der Regel an drei Fronten gleichzeitig. Die erste ist die Präsenz in Standardisierungsgremien – ISO-, IEEE-, ABNT- und ITU-Arbeitsgruppen. Wer den technischen Standard definiert, definiert den Markt. Die zweite Front sind Sandbox-Programme, die von den Regulierungsbehörden in Brasilien (Zentralbank, ANATEL, ANVISA) zunehmend als Raum für Experimente vor der endgültigen Standardisierung genutzt werden. Die Teilnahme an einer Sandbox bedeutet nicht nur das Testen eines Produkts, sondern auch den privilegierten Zugriff auf den Prozess der Regelerstellung, während die Wettbewerber draußen warten.

Die dritte Front sind Pilotpartnerschaften mit Regierungen. Wenn ein Unternehmen ein Pilotprojekt mit einem Rathaus oder einer Bundesbehörde durchführt, generiert es nicht nur Einnahmen – es sammelt auch Daten, Referenzen und Beziehungen, die Barrieren schaffen, die schwer zu reproduzieren sind. Der Pilot wird zum Anwendungsfall, der Anwendungsfall wird zum Ausschreibungskriterium, das Ausschreibungskriterium begünstigt diejenigen, die beim Aufbau geholfen haben. Der Zyklus ist lang, aber robust.

Der brasilianische Fall: ein sich beschleunigendes Umfeld

Brasilien verfügt in den letzten Jahren nicht mehr über das regulatorische Vakuum, das es während des Ausbaus digitaler Plattformen gab. LGPD ist in Kraft und wird von der ANPD mit zunehmender Strenge angewendet. Der KI-Rechtsrahmen schreitet im Kongress mit Versionen voran, die sich mit jeder Lobbyrunde ändern. Der Finanzsektor unterliegt einem offenen Finanzsystem, das weiter expandiert. Nach Jahren des Stillstands steht die Regulierung digitaler Medien wieder mit aller Macht auf der Tagesordnung.

Für in Brasilien tätige Technologieunternehmen geht es nicht nur darum, was die einzelnen Standards erfordern, sondern auch darum, zu verstehen, wer die Nachrichtenredaktion beeinflusst, in welchem Stadium sich jeder Prozess befindet und wo es Ansatzpunkte für legitime Beiträge gibt. Agenturen wie ANPD, ANATEL und CADE veröffentlichen regelmäßig öffentliche Konsultationen. Die Frage, die sich nur wenige Unternehmen stellen, lautet: Wer in unserem Team hat die Konsultation gelesen und Kommentare abgegeben?

Das Risiko, zu spät zu kommen

Es entstehen konkrete Kosten, wenn Vorschriften ohne Ihr Mitwirken verfasst werden. Standards, die auf die Praktiken anderer Akteure abgestimmt sind, können ein gesamtes Geschäftsmodell technisch – und nicht nur wirtschaftlich – undurchführbar machen. Dies geschah bei Fintechs, die in den ersten Jahren von PIX nur langsam mit der Zentralbank in Kontakt kamen und sich außerhalb der Kernfunktionen der Infrastruktur befanden. Es passierte Streaming-Plattformen, die Diskussionen über nationale Content-Quoten ignorierten und von Auflagen überrascht wurden, die ihre Content-Strategien umschrieben.

Die Ironie besteht darin, dass kleinere Unternehmen häufig mangelnde Ressourcen als Rechtfertigung für die Nichtteilnahme am Regulierungsprozess heranziehen. Aber Abwesenheit reduziert die Gefährdung nicht – sie überträgt lediglich die Kontrolle auf andere. Ein Startup, das eine öffentliche ANPD-Konsultation aus Zeitmangel ignoriert, könnte feststellen, dass der resultierende Standard Datenarchitekturen erfordert, die mit seinem aktuellen Produkt nicht kompatibel sind.

Was in Brasilien jetzt zu überwachen ist

Es gibt vier Fronten, die von jedem im Land tätigen Technologieunternehmen sofortige Aufmerksamkeit verdienen. Der Gesetzgebungsprozess des KI-Rechtsrahmens ist am dringlichsten: Der Text befindet sich noch in der Gestaltung und das Fenster zur Einflussnahme auf kritische Punkte zur zivilrechtlichen Haftung, zu Transparenzpflichten und zur Klassifizierung von Hochrisikosystemen ist eng. Der zweite Punkt ist die Ausweitung des ANPD – die Behörde strukturiert ihre Aufsichtskapazitäten und veröffentlicht Resolutionen, in denen Verpflichtungen detailliert beschrieben werden, die der LGPD-Text offen ließ.

Die dritte Front ist die Diskussion über die Besteuerung digitaler Plattformen und die Datenwirtschaft, an der sowohl die Bundesfinanzbehörde als auch Debatten in internationalen Organisationen beteiligt sind, an denen Brasilien beteiligt ist. Der vierte Punkt ist die Weiterentwicklung der Regulierung kritischer digitaler Infrastrukturen – Cloud-Dienste, Telekommunikationsnetze und Zahlungssysteme werden unter Sicherheitsvorschriften gestellt, die Datenlokalisierungs- und Prüfanforderungen auferlegen, die die Betriebskosten erheblich verändern.