Von Angemessenheit zu KI-Governance: die digitale Partnerschaft zwischen EU und Brasilien
Von Jhonathan Campos, Gründer
Abschnitte: Die Unterzeichnung · Frühere Partnerschaften · Brasiliens Partnerschaft · Gegenseitige Angemessenheit · KI-Governance · Kinder im Netz · Brasiliens Glaubwürdigkeit · Praktische Folgen · Grenzen und Risiken · Die These
Die Unterzeichnung
Am 12. Juni 2026 unterzeichneten Brasilien und die Europäische Union in Brasília eine digitale Partnerschaft. Als diplomatisches Ereignis wirkt die Unterzeichnung routiniert. Inhaltlich verändert sie jedoch die Art, wie beide Seiten ihre digitale Wirtschaft gemeinsam regeln wollen. Das eigentliche Gewicht liegt weniger in einem neu geöffneten Markt als in der Governance, die beide Rechtsordnungen kompatibel machen möchten.
Ein großer Teil der Vorarbeit war bereits erledigt. Besonders wichtig ist die gegenseitige Angemessenheit für Datenübermittlungen, die Anfang 2026 erreicht wurde. Personenbezogene Daten können nun zwischen den Rechtsordnungen fließen, ohne bei jeder Übermittlung die zusätzlichen Instrumente einsetzen zu müssen, die Compliance-Teams zuvor gebunden haben. Die Partnerschaft geht über diesen Punkt hinaus. Sie fragt, ob zwei Rechtssysteme die Daten und die darauf aufbauende KI auf Bedingungen steuern können, denen beide vertrauen.
Das gewählte Instrument sagt viel aus. Die EU nutzt das Format nur mit einer kleinen Gruppe von Ländern, mit denen sie Regulierung, Infrastruktur und Marktvertrauen langfristig entwickeln will. Politischer Dialog, ein Digital Partnership Council und technische Arbeitsstränge umfassen KI, Daten-Governance, Cybersecurity, digitale Identität, Plattformen, Halbleiter und Hochleistungsrechnen. Zuvor gehörten nur Japan, Südkorea, Singapur und Kanada zu dieser Gruppe. Brasilien tritt damit in eine Beziehung ein, die vertieft werden soll, nicht in einen weiteren Dialog ohne operative Folge.
Was frühere Partnerschaften bewirkt haben
Die vier Vorgänger zeigen, wie flexibel das Instrument ist. Bei Japan lag der Schwerpunkt auf strategischer Hardware und Infrastruktur, darunter Halbleiter, Netze der nächsten Generation, Quantenforschung, Hochleistungsrechnen und die dafür nötige Sicherheit. Südkorea entwickelte die Partnerschaft stärker in Richtung Handel und schließlich zu einem digitalen Handelsabkommen. Singapur konzentrierte sich auf Vertrauen: verlässliche Datenflüsse, digitale Identität und von Anfang an interoperable Standards. Kanada setzte Akzente bei Resilienz, KI, Cybersecurity, Medienintegrität, Wettbewerbsfähigkeit und digitaler Souveränität.
Brasilien passt in keines dieser Modelle. Es verbindet den größten digitalen Markt Lateinamerikas mit gegenseitiger Datenangemessenheit, einer kodifizierten Zivilrechtsordnung, der LGPD, einer schnell wachsenden Datenschutzbehörde, einem neuen Kinderschutzregime und einem noch beratenen KI-Gesetz. Diese Kombination macht die Partnerschaft anders als die Fälle in Tokio oder Singapur.
Was Brasiliens Partnerschaft enthält und warum der Zeitpunkt zählt
Auf dem Papier deckt sie das bekannte Spektrum ab: Daten-Governance, KI, Konnektivität, digitale Infrastruktur, Plattformen, Cybersecurity, digitale öffentliche Güter, Halbleiter, Hochleistungsrechnen, elektronische Signaturen und globale Governance. Interessanter ist der Zeitpunkt.
Brasilien und die EU pflegen seit 2007 eine strategische Partnerschaft. Ihr Digital Dialogue hat bereits an KI-Regeln, Online-Sicherheit, 5G und 6G, digitalen öffentlichen Diensten und Datenwirtschaft gearbeitet. Die digitale Partnerschaft ist daher eher eine Aufwertung als eine Gründung. Sie gibt einer technisch bereits funktionierenden Beziehung einen politischen Rahmen, in dem rechtliche, technische und strategische Themen zusammengeführt werden. Sie ändert kein nationales Recht und schafft für ein einzelnes Unternehmen keinen neuen Compliance-Code. Ihr Wert liegt in der Verbindung.
Die rechtliche Brücke: gegenseitige Angemessenheit
Unter der Partnerschaft liegt die gegenseitige Angemessenheit. Beide Seiten erkannten die jeweils andere Rechtsordnung 2026 als vergleichbar für grenzüberschreitende Datenübermittlungen an. Auf europäischer Seite erlaubt ein Beschluss nach Artikel 45 DSGVO Übermittlungen nach Brasilien ohne die zusätzlichen Transferinstrumente anderer Zielländer. Auf brasilianischer Seite erwiderte die ANPD die Anerkennung mit Resolution Nr. 32/2026.
Für grenzüberschreitende Unternehmen verändert das die Ausgangsannahme. Ein Fintech, das Betrugsprüfungen mit europäischen Systemen durchführt, oder ein SaaS-Anbieter, der EU-Kunden aus São Paulo betreut, muss nicht jede Übermittlung neu verhandeln. Angemessenheit verringert jedoch nicht die materiellen Datenschutzpflichten. Rechtsgrundlage, Transparenz, Zweckbindung, Datenminimierung, Sicherheit, Verzeichnisse, Lieferantenkontrolle, Rechte betroffener Personen und risikobezogene Folgenabschätzungen bleiben bestehen. Bei KI ist diese Trennung besonders wichtig. Dass Trainingsdaten rechtmäßig die Grenze überschreiten, sagt nichts darüber aus, ob Training, Profiling oder Einsatz rechtmäßig sind.
KI-Governance als strategischer Kern
Genau in dieser Lücke zwischen rechtmäßigem Datentransfer und rechtmäßiger Datennutzung liegt KI-Governance. Auf europäischer Seite hat der AI Act das Arbeitsvokabular gesetzt. Er unterscheidet Risikokategorien, verbietet bestimmte Praktiken und verlangt für Hochrisiko-Systeme unter anderem Dokumentation, menschliche Aufsicht, Monitoring und Vorfallprozesse. Die Fristen sind nach der Änderung im Juli 2026 differenziert: Artikel 4 zur KI-Kompetenz gilt seit Februar 2025, die Verordnung im Allgemeinen seit August 2026, Hochrisiko-Anforderungen nach Anhang III ab Dezember 2027 und nach Anhang I ab August 2028. In Brasilien wird PL 2338/2023 weiterhin in der Abgeordnetenkammer beraten. Der vom Senat angenommene Text weist auf einen grundrechts- und risikobasierten Ansatz hin, der dem europäischen Modell ähnelt, ohne es zu kopieren.
Kein Abkommen macht den AI Act in Brasilien verbindlich. Das ist auch nicht seine Funktion. Die Partnerschaft arbeitet vor der Gesetzgebung, indem sie Regulierer und Unternehmen zu kompatiblen Methoden bewegt, bevor die Normen tatsächlich konvergieren. Die vier früheren Partnerschaften zeigen, warum dieser Druck wichtig ist. KI wurde dort stets mit Rechenleistung, Identität, Datenqualität, Standards und Cybersecurity verbunden. Ein Modell ist nur so gut steuerbar wie die Infrastruktur, Dokumentation und menschliche Verantwortung um es herum.
Für Unternehmen in beiden Märkten steigt damit der Bedarf an Belegen. Die Behauptung, ein Einstellungsmodell behandle Bewerber fair, genügt nicht. Aufsichtsstellen, Kunden und interne Gremien erwarten Evaluationsunterlagen, Datenherkunft und ein Protokoll darüber, wer Ergebnisse wann geprüft hat. Die Partnerschaft erfindet diese Anforderung nicht. Sie verstärkt den Grund, Inventare, Prüfungen, Monitoring und Verantwortungswege jetzt aufzubauen.
Kinder online: ECA Digital, ANPD und der erste Praxistest
Besonders konkret wird dieser Evidenzbedarf bei Brasiliens Regeln zum Schutz von Kindern im Netz. Das ECA Digital, Gesetz Nr. 15.211/2025, regelt digitale Umgebungen, die sich an Kinder und Jugendliche richten oder wahrscheinlich von ihnen genutzt werden. Erfasst werden soziale Netzwerke, Apps, Spiele, App-Stores, Betriebssysteme und Videoplattformen. Entscheidend sind Altersfeststellung, Sicherheit als Voreinstellung, elterliche Aufsicht, Werbegrenzen und funktionierende Meldewege.
Institutionell wichtig ist, wer dieses System trägt. Mehrere Maßnahmen übertrugen der ANPD die Anwendung und Aufsicht wesentlicher Teile des ECA Digital. Gesetz Nr. 15.352/2026 machte die ANPD zu einer vollwertigen Regulierungsbehörde. Brasiliens Datenschutzaufsicht arbeitet damit an der Schnittstelle von Datenschutz, Kinderschutz, Plattformdesign und algorithmischer Kontrolle, einem ungewöhnlich breiten Mandat.
Eine Verwaltungsvereinbarung zwischen ANPD und den für den Digital Services Act zuständigen Dienststellen der Kommission öffnet einen Kanal für Zusammenarbeit zu Plattformtransparenz, Risikobewertung und Algorithmen. Sie gibt der Kommission keine Durchsetzungsbefugnis in Brasilien und macht den DSA dort nicht verbindlich. Ihr Zweck ist gegenseitiges Lernen zwischen Regulierern, die ähnliche Risiken aus unterschiedlichen Rechtsordnungen betrachten.
Der erste Test dürfte die Altersfeststellung sein. Die ANPD verlangt bereits von Apple, Google und Microsoft Informationen zu Systemarchitektur, Datenflüssen, Mechanismen und Wirksamkeitsnachweisen. App-Stores und Betriebssysteme stehen über einzelnen Diensten. Genau das macht sie strategisch. Verlässliche Alterssignale auf dieser Ebene könnten Schutz skalierbar und vergleichsweise wenig eingriffsintensiv machen. Ein schlechtes Design führt dagegen zu Überidentifizierung, falschem Ausschluss, stiller Überwachung und der Kontrolle weniger Plattformen über digitale Infrastruktur. Altersabschätzung, Empfehlung, Moderation und Werbeaussteuerung werden damit zu überprüfbaren Fragen über Datenquellen, Fehlerraten und menschliche Review.
Warum Brasilien ein glaubwürdiger Partner ist
Die wirtschaftliche Bedeutung ist erheblich. Die EU ist nach China Brasiliens zweitgrößter Handelspartner. Der Warenhandel erreichte 2025 87,1 Milliarden Euro. Europa ist außerdem Brasiliens größter ausländischer Investor, mit Direktinvestitionsbeständen von mehr als 300 Milliarden Euro. Die Struktur ist jedoch traditionell: Brasilien exportiert vor allem Agrargüter, Rohstoffe und Öl, Europa Maschinen, Chemieprodukte und regulierte Industriegüter. Digitale Kooperation soll eine dritte Säule schaffen, etwa Cloud, Cybersecurity, digitale Identität, Signaturen, KI-Governance, Forschungsinfrastruktur und digitale Gesundheit.
Brasiliens Rechtssystem macht diese Ambition plausibel. Eine kodifizierte Zivilrechtsordnung mit Verfassungsrechten, gesetzlichen Regeln, Verwaltungsbehörden und gerichtlicher Kontrolle verwendet eine Sprache, die europäische Institutionen kennen: Gesetzmäßigkeit, Verhältnismäßigkeit, Risikobewertung, behördliche Aufsicht und Grundrechte. Die Partnerschaft kann deshalb zwischen vergleichbaren Rechtsgrammatiken arbeiten, ohne Brasilien zu einem Außenposten europäischer Regulierung zu machen.
Was sich ändert und für wen
Der rechtliche Schwerpunkt verschiebt sich von der geklärten Frage, ob Daten zwischen Brasilien und Europa übertragen werden dürfen, zu der schwierigeren Frage, ob beide Systeme die weitere Nutzung auf vertrauenswürdige Weise steuern können. In Brasilien wird die wachsende ANPD zur zentralen Institution.
Unternehmen spüren die Wirkung je nach Nähe zu Vertrauen und Evidenz. Datenschutz- und Transferteams müssen ihre Transferannahmen aktualisieren, ohne die normalen Anforderungen von DSGVO und LGPD aufzugeben. Cloud-, SaaS-, Outsourcing-, Fintech- und Cybersecurity-Anbieter profitieren von geringerer Unsicherheit, wenn sie Auditierbarkeit und Sicherheit belegen können. Bei KI-Governance entsteht der größte Bedarf nicht nur an Rechtsauslegung, sondern an operationalem Nachweis: Inventare, Dokumentation, Tests und Monitoring, die eine Behauptung überprüfbar machen. Das bringt Recht, Datenschutz, Engineering und Produkt in dasselbe Projekt.
Auch Anbieter von Identität, elektronischen Signaturen, Einwilligung und Altersfeststellung gewinnen strategischen Wert. Sie übersetzen rechtliches Vertrauen in laufende Systeme. Die strengste Prüfung trifft Dienste, die Kinder erreichen können: App-Stores, Betriebssysteme, Spiele, soziale Netzwerke, Messaging, EdTech und Video. Schwache Altersfeststellung, Profiling Minderjähriger, Dark Patterns, undurchsichtige Empfehlungen und dünne Moderationsnachweise werden schwerer zu verteidigen. Gesundheitsversorgung und Forschung bleiben ebenfalls besonders sensibel. Angemessenheit erleichtert Datenflüsse, senkt aber nicht die erforderlichen Schutzmaßnahmen.
Industrielle Folgen für Halbleiter, Hochleistungsrechnen und Konnektivität sind spekulativer. Diese Themen stehen im Vertrag, weil digitale Regulierung heute mit Lieferkettenresilienz und technologischer Souveränität verbunden ist. Daraus kann eine höherwertige Beziehung entstehen, wenn reale Arbeitsstränge folgen. Das ist eine Prognose, keine gegenwärtige Rechtswirkung.
Grenzen und Risiken
Die Partnerschaft macht Brasilien nicht zu einem einfachen Markt. Zölle, steuerliche Komplexität, Beschaffungsfriktion, Infrastrukturunterschiede und uneinheitliche Durchsetzung bleiben bestehen. Sie kann Unsicherheit dort senken, wo Vertrauen und berechenbare Datenflüsse entscheidend sind, lässt tiefere strukturelle Probleme aber unberührt.
Auch Angemessenheit ist ein bedingter Vertrauensstatus, keine dauerhafte Ausnahme von Prüfung. Ihre Stabilität hängt von der Unabhängigkeit der ANPD, der Qualität ihrer Durchsetzung und Schutzmaßnahmen beim behördlichen Datenzugriff ab. Gleiches gilt für KI. Die Partnerschaft ist weder Deregulierung noch automatische Konvergenz. Gut geführte KI-Systeme lassen sich im Korridor leichter rechtfertigen. Undurchsichtige Modelle, informelle Datenpraxis und schwacher Kinderschutz geraten stärker unter Druck.
Brasiliens größtes Risiko ist die Umsetzung. Das Land verfügt mit LGPD, verfassungsrechtlichem Datenschutz, ANPD, ECA Digital und einem beratenen KI-Gesetz über die rechtlichen Bausteine. Marktrelevante Glaubwürdigkeit entsteht daraus nur, wenn Durchsetzung, Kapazität und institutionelle Unabhängigkeit unter Belastung bestehen. Das kann keine Partnerschaft von außen liefern.
Die These
Angemessenheit ermöglicht den Datenfluss. Die digitale Partnerschaft stellt die größere Frage, ob Brasilien und die EU die Governance um diese Daten interoperabel machen können. KI wird die Antwort zuerst zeigen. Datentransfer, Modell-Governance, Kinderschutz, Plattformverantwortung, digitale Identität und öffentliche Infrastruktur sind keine getrennten Compliance-Silos mehr. Sie bilden eine gemeinsame Vertrauensarchitektur. Der Erfolg der Partnerschaft bemisst sich daran, ob Innovation, Grundrechte, wirtschaftliche Verlässlichkeit und harte regulatorische Evidenz in diesem Korridor gleichzeitig bestehen können.
Primärquellen: Europäische Kommission zur digitalen Partnerschaft EU-Brasilien, Angemessenheitsbeschlüsse der Europäischen Kommission, EU AI Act, brasilianisches ECA-Digital-Gesetz, Durchführungsverordnung von 2026, Materialien des brasilianischen Senats zu PL 2338/2023 und EU-Handelsbeziehungen mit Brasilien.