KI im Gaming-Betrieb: Was Maltas neue AI Gaming Charter von Lizenznehmern erwartet

Am 18. September 2026 hat die Malta Gaming Authority (MGA) gemeinsam mit der Malta Digital Innovation Authority (MDIA) die AI Gaming Charter vorgestellt. Das Dokument trägt die Kennung G-SPG-025, umfasst 48 Seiten und beschreibt, wie Glücksspielunternehmen mit einer maltesischen Lizenz künstliche Intelligenz einsetzen sollen. Nach der Mitteilung der MGA ist sie ein freiwilliger, prinzipienbasierter Rahmen, entstanden aus Umfragen, Gesprächen mit Lizenznehmern und einer eigenen Konsultation.

Freiwillig heißt nicht folgenlos. Wer eine Malta-Lizenz hält oder eine beantragen will, bekommt mit der Charter zum ersten Mal schriftlich, was die Aufsicht beim Thema KI sehen möchte, bevor sie danach fragt. Und weil Chatbots im Kundendienst, Betrugserkennung und Modelle zur Spielerschutz-Früherkennung längst zum Alltag vieler Anbieter gehören, betrifft das nicht nur Tech-Konzerne, sondern auch das kleine Team, das mit einer B2C-Lizenz in St. Julian's startet.

Was die Charter ist, und was sie ausdrücklich nicht ist

Die MGA stellt gleich zu Beginn klar, dass die Charter keine neuen rechtlichen oder regulatorischen Pflichten schafft. Sie ändert nichts an den Pflichten aus dem EU AI Act, der Datenschutz-Grundverordnung, dem Data Act oder dem Cyber Resilience Act. Sie will ein gemeinsamer Bezugspunkt sein, an dem sich Lizenznehmer orientieren, wenn sie KI entwickeln, einkaufen oder einsetzen.

Die Sprache ist dabei sorgfältig abgestuft. Wo eine Pflicht ohnehin aus dem Gesetz folgt, schreibt die Charter Formeln wie „in accordance with applicable law“ oder „where required by applicable law“. Wo sie nur gute Praxis empfiehlt, steht „should“, „are encouraged to“ oder „may“. Wer das Dokument liest, sollte diese Unterscheidung im Kopf behalten: Ein Teil der Charter ist Empfehlung, ein anderer Teil ist schlicht eine Erinnerung an geltendes EU-Recht. Anhang A ordnet jedes Prinzip ausdrücklich ein: als bestehende gesetzliche Pflicht, als Branchenpraxis oder als Mischung aus beidem.

Wichtig ist auch, was nicht unter die Charter fällt. Regelbasierte Automatisierung, also Skripte, feste Workflows und Robotic Process Automation ohne lernende Komponente, liegt nach der Definition außerhalb. Maßstab ist die Definition des KI-Systems in Artikel 3 Nummer 1 des EU AI Act. Ein Alarmsystem, dessen Schwellenwerte ein Mensch programmiert hat, ist danach in aller Regel keine KI. Ein Modell, das aus Spielerdaten selbst ableitet, wer auffällig ist, ist es sehr wohl.

Was die MGA bei ihren Lizenznehmern vorgefunden hat

Bevor die MGA Regeln formuliert hat, hat sie gefragt. Die Charter fasst eine Umfrage unter allen Lizenznehmern und vertiefende Interviews zusammen. Die Behörde räumt offen ein, dass nur ein begrenzter Teil der Branche geantwortet hat. Das Bild ist trotzdem aufschlussreich:

• Am weitesten verbreitet sind KI-Anwendungen in Datenanalyse und Betriebsoptimierung, bei Chatbots im Kundendienst und, etwas seltener, bei Empfehlungssystemen, Spielerprofilen, Betrugs- und Geldwäscheerkennung sowie Modellen für verantwortungsvolles Spielen.
• Kaum verbreitet ist KI bisher bei der dynamischen Quotenberechnung, im regulatorischen Meldewesen, beim Onboarding mit KYC, bei Zahlungen und im Live-Casino.
• Eine formale KI-Strategie hat nur eine Minderheit der Befragten. Nur wenige haben einen voll ausgebauten Prozess für KI-Risikobewertung oder einen Notfallplan für KI-Vorfälle.
• Gegenüber Kunden legen nur wenige offen, dass sie KI einsetzen. Unter den B2B-Anbietern gab nach der Charter nur ein einziger Befragter an, seinen Kunden Dokumentation darüber zu liefern, wie die eingesetzten Systeme funktionieren.
• Menschliche Kontrolle ist dagegen weit verbreitet. Die meisten gaben an, dass KI-gestützte Entscheidungen immer von Menschen überprüft werden. Einige B2C-Anbieter erklärten, dass über Kontosperren und Spielerschutz-Markierungen am Ende eigene Teams von Hand entscheiden.

Aus diesem Befund leitet die MGA ihre Schwerpunkte ab: Transparenz, Verantwortlichkeit, Daten-Governance, menschliche Aufsicht und der Umgang mit Risiken für Spieler.

Zwei Stufen: wenig Aufwand für Werkzeuge, viel für alles, was Spieler berührt

Das Herzstück der Charter ist eine risikobasierte Abstufung. Die MGA unterscheidet zwei Gruppen von KI-Systemen:

Systeme mit geringer Wirkung dienen internen, administrativen oder betrieblichen Zwecken und berühren Spieler, Spielintegrität oder regulierte Ergebnisse kaum. Die Charter nennt ausdrücklich Programmierassistenten, Produktivitätswerkzeuge und Verwaltungssoftware. Für sie reicht eine leichtere Dokumentation und Aufsicht.

Systeme mit hoher Wirkung sind alle, die in Spielerkontakt, Spielerschutz, Betrugsbekämpfung, Geldwäscheprävention, KYC, Kontobeschränkungen, Eignungsentscheidungen oder andere compliance-sensible Entscheidungen eingreifen oder sie maßgeblich beeinflussen. Für sie erwartet die MGA klare Dokumentation, Tests und Validierung, definierte menschliche Aufsicht, laufende Überwachung, Eskalationswege und saubere Aufzeichnungen.

Ein Satz aus diesem Abschnitt verdient besondere Aufmerksamkeit. Die Einstufung soll sich nach der Nähe zum Spieler und der Wirkung auf regulierte Ergebnisse richten, nicht danach, ob am Ende ein Mensch entscheidet. Wer also argumentiert, sein Risikomodell sei harmlos, weil ein Mitarbeiter jede Markierung bestätigt, bekommt von der Charter keine Entlastung. Menschliche Kontrolle senkt das Risiko, aber sie senkt nicht automatisch die Prüfintensität.

Die Charter ersetzt dabei nicht die Einstufung nach dem AI Act. Ob ein System dort als Hochrisiko-System gilt, entscheidet allein die EU-Verordnung. Die zwei Stufen der MGA sind ein zusätzliches, praktisches Raster für die eigene Organisation.

Was die Charter konkret empfiehlt

Für die Praxis lassen sich die Empfehlungen auf eine Handvoll Arbeitsschritte verdichten.

Ein KI-Inventar anlegen. Die MGA schlägt vor, alle eingesetzten KI-Systeme zu erfassen, für jedes die eigene Rolle nach dem AI Act zu bestimmen (Anbieter, Betreiber, Importeur, Händler) und die Risikoklasse festzuhalten. Die Charter verweist dafür auf die Werkzeuge der MDIA und auf den Compliance Checker des EU AI Office. Wichtig für White-Label-Modelle: Wer ein fremd entwickeltes System unter eigenem Namen oder eigener Marke in Verkehr bringt, kann nach der Charter selbst zum Anbieter werden, mit entsprechend weiter reichenden Pflichten.

Zuerst die Verbote prüfen. Bevor es um Dokumentation geht, soll jeder Lizenznehmer sicherstellen, dass kein System unter die verbotenen Praktiken des Artikels 5 AI Act fällt. Solche Systeme dürfen in der EU weder in Verkehr gebracht noch verwendet werden.

Protokolle führen. Die Charter nennt eine Mindestliste, was ein Log festhalten sollte, soweit relevant: Modell- oder Systemversion, Datum und Uhrzeit, Art der Eingabe, das erzeugte Ergebnis oder die Markierung, Fehler und Ausfälle, jede menschliche Überprüfung oder Übersteuerung und wesentliche Konfigurationsänderungen. Für Systeme mit geringer Wirkung dürfen die Logs aggregiert, pseudonymisiert oder stichprobenartig sein. Für Systeme mit hoher Wirkung erwartet die MGA deutlich mehr Nachvollziehbarkeit, und bei Hochrisiko-Systemen gelten ohnehin die gesetzlichen Aufzeichnungspflichten.

Fehlerarten ernst nehmen. Risikobewertungen sollen ausdrücklich sowohl falsch positive Treffer (ein Wettverhalten wird markiert, obwohl es unauffällig ist) als auch falsch negative (ein verdächtiges Muster bleibt unentdeckt) berücksichtigen. Beides hat regulatorische Folgen, und beides sollte dokumentiert sein.

Offen sagen, wo KI im Spiel ist. Spieler sollen spätestens beim ersten Kontakt erkennen können, dass sie mit einem KI-System sprechen, etwa mit einem Chatbot. Wird eine Entscheidung mit spürbaren Folgen für einen Spieler von KI gestützt, soll er eine verständliche Erklärung bekommen und erfahren, wie er eine Überprüfung durch einen Menschen verlangen kann, soweit das Gesetz es vorschreibt oder die Lage es nahelegt. Quellcode, Modellarchitektur oder die Logik der Betrugs- und Geldwäscheerkennung muss dafür niemand offenlegen, das stellt die Charter ausdrücklich klar.

Kein „AI Washing“. Die Charter warnt davor, herkömmliche Software als KI zu vermarkten oder KI als Garantie für Fairness, Genauigkeit oder Sicherheit zu verkaufen. Für Marketingabteilungen ist das ein ungewohnt deutlicher Satz einer Aufsichtsbehörde.

KI-generierte Inhalte kennzeichnen. Für Texte, Bilder und Videos aus KI-Werkzeugen verweist die Charter auf Artikel 50 AI Act. Anbieter solcher Systeme müssen ihre Ergebnisse, soweit technisch machbar, maschinenlesbar als künstlich erzeugt markieren. Setzt ein Lizenznehmer ein fremdes Werkzeug für Werbung oder Spielerkommunikation ein, ist er Betreiber und muss prüfen, ob etwa ein Deepfake sichtbar gekennzeichnet werden muss.

Eine verantwortliche Person benennen. Lizenznehmer, die sich der Charter anschließen, sollen eine oder mehrere Personen, etwa aus Compliance, Daten oder Technik, als interne Ansprechpartner benennen und regelmäßige Schulungen zur KI-Kompetenz ermöglichen.

Warum „freiwillig“ trotzdem zählt

Drei Gründe sprechen dafür, die Charter nicht als Hochglanzbroschüre abzulegen.

Erstens sieht sie ausdrücklich vor, dass Lizenznehmer, die sich an ihr ausrichten, interne Aufzeichnungen über ihre KI-Nutzung führen, und dass diese der MGA auf Anfrage vorgelegt werden können, etwa im Rahmen von Aufsichtsgesprächen oder Compliance-Prüfungen. Die Behörde kündigt außerdem einen strukturierten, möglicherweise jährlichen Austausch an. Wer bei der nächsten Prüfung erklären kann, welche Modelle er einsetzt und wer sie überwacht, steht besser da als jemand, der die Frage zum ersten Mal hört.

Zweitens passt die Charter genau zu dem, was die MGA im Sommer an anderer Stelle bemängelt hat. Ende Juli hat sie die Ergebnisse ihrer thematischen Prüfung zur Governance der Key Functions veröffentlicht. Viele Lizenznehmer hätten reife Strukturen, doch als typische Schwächen nannte die Behörde die Abhängigkeit von wenigen Entscheidern, zu wenig belegtes Hinterfragen und zu wenig Folgenabschätzung bei strategischen Entscheidungen sowie Lücken in den Prüfpfaden. Nachvollziehbarkeit, Protokolle und klare Zuständigkeiten sind auch die Kernforderungen der KI-Charter. Die Aufsicht schaut also ohnehin auf dieselben Stellen, nur jetzt auch mit Blick auf Algorithmen.

Drittens ist das eigentliche Gesetz, der AI Act, verbindlich, und in Malta ist nach der Charter die MDIA die federführende Marktüberwachungsbehörde, für einige Bereiche zusammen mit der Datenschutzbehörde IDPC. Die Charter ist damit auch eine Übersetzung der EU-Verordnung in die Sprache der Glücksspielbranche, und wer sie umsetzt, erledigt einen Teil der gesetzlichen Arbeit gleich mit.

Der AI Act im Hintergrund: was sich im Sommer verschoben hat

Wer die Charter liest, sollte den aktuellen Zeitplan des AI Act kennen, denn er hat sich 2026 geändert. Die Regeln für Hochrisiko-Systeme sollten ursprünglich ab dem 2. August 2026 gelten. Mit dem sogenannten Digital Omnibus zur KI, den der Rat der EU am 29. Juni 2026 endgültig gebilligt hat, gelten neue Termine. Die Verordnung (EU) 2026/1744 steht seit dem 24. Juli 2026 im Amtsblatt und ist am 27. Juli in Kraft getreten. Sie verschiebt die Hochrisiko-Regeln auf den 2. Dezember 2027 für eigenständige Hochrisiko-Systeme und auf den 2. August 2028 für KI, die in Produkte eingebaut ist.

Für Glücksspielanbieter, die mit KI-Werkzeugen Texte und Bilder erzeugen, liegt ein anderer Punkt derselben Verordnung näher. Die Kennzeichnungspflicht aus Artikel 50 Absatz 2 gilt seit dem 2. August 2026. Nur wer ein generatives System schon vor diesem Tag in Verkehr gebracht hat, bekommt eine Übergangsfrist: Stichtag ist der 2. Dezember 2026. Wer selbst ein solches System entwickelt oder unter eigener Marke anbietet, hat also nur noch gut zwei Monate, und für Systeme, die nach dem 2. August 2026 auf den Markt kamen, gilt die Pflicht bereits.

Die Verschiebung bei den Hochrisiko-Regeln ist kein Grund, die Charter zu vertagen. Die MGA empfiehlt ihre Grundsätze für alle KI-Systeme, unabhängig von der Risikoklasse nach dem AI Act, und die Aufzeichnungen, die sie erwartet, lassen sich später nicht rückwirkend erstellen.

Deutschland, Österreich, Schweiz: wo KI im Spielerschutz schon Pflicht ist

Für Unternehmer, die ihre maltesische Lizenz mit Märkten in der Heimat verbinden, lohnt ein Blick auf das dortige Recht, denn ein Teil dessen, was die Charter empfiehlt, ist dort schon vorgeschrieben.

Deutschland: Wer in Deutschland Online-Casinospiele, Online-Poker, virtuelle Automatenspiele oder Sportwetten im Internet anbietet, braucht eine deutsche Erlaubnis, über die die Gemeinsame Glücksspielbehörde der Länder wacht. Nach § 6i des Glücksspielstaatsvertrags 2021 muss er auf eigene Kosten ein auf wissenschaftlichen Erkenntnissen beruhendes, auf Algorithmen basierendes automatisiertes System zur Früherkennung von gefährdeten Spielern einsetzen. Das System muss die Daten des Spielkontos auswerten, regelmäßig aktualisiert werden und im Sozialkonzept verankert sein, samt der Maßnahmen, die bei einem Treffer folgen. Ist dieses System ein lernendes Modell, fällt es nach der Charter klar in die Gruppe mit hoher Wirkung. Die deutsche Pflicht und die maltesische Empfehlung zeigen dann in dieselbe Richtung: dokumentieren, überwachen, Fehlalarme und übersehene Fälle auswerten.

Österreich: Dort ist das Recht zur Durchführung von Glücksspielen nach § 3 des Glücksspielgesetzes grundsätzlich dem Bund vorbehalten. Elektronische Lotterien, zu denen das Online-Angebot zählt, darf nur betreiben, wem das Finanzamt Österreich eine Konzession nach § 14 erteilt hat. Eine Malta-Lizenz öffnet diesen Markt nicht. Für einen maltesischen B2B-Zulieferer kann die Charter trotzdem relevant sein, wenn er Technik an lizenzierte Betreiber liefert.

Schweiz: Das Geldspielgesetz verlangt von Spielbanken und Veranstaltern von Großspielen ein Sozialkonzept mit Maßnahmen zur Früherkennung gefährdeter Spieler (Art. 76 und 78): Kriterien festlegen, Beobachtungen und Maßnahmen dokumentieren. Online-Angebote ohne Schweizer Bewilligung werden nach Art. 86 gesperrt, sie landen auf einer Sperrliste. Auch hier gilt: Die maltesische Lizenz ersetzt die Schweizer Bewilligung nicht.

Der rote Faden ist in allen drei Ländern derselbe. Wo Algorithmen über Spielerschutz mitentscheiden, verlangen die Regulierer Nachvollziehbarkeit. Die AI Gaming Charter liefert dafür eine Vorlage, die sich parallel für mehrere Aufsichten nutzen lässt.

Was Du jetzt tun solltest

Wenn Du eine Malta-Lizenz hältst oder gerade eine beantragst, reichen für den Anfang wenige Schritte:

1. Bestandsaufnahme machen. Liste alle Werkzeuge auf, in denen KI steckt, auch die unscheinbaren: Chatbot, Betrugserkennung, Übersetzungs- und Textwerkzeuge im Marketing, Programmierassistenten.
2. Jedem System eine Stufe zuordnen. Alles, was Spieler, Spielerschutz, KYC, Geldwäscheprävention oder Kontosperren berührt, gehört in die Gruppe mit hoher Wirkung.
3. Die Rolle klären. Bist Du Betreiber eines eingekauften Systems oder Anbieter, weil Du es unter eigener Marke vertreibst? Davon hängen die Pflichten nach dem AI Act ab, und bei generativen Systemen, die schon vor dem 2. August 2026 im Einsatz waren, läuft die Übergangsfrist am 2. Dezember 2026 ab.
4. Protokolle einrichten. Nutze die Mindestliste der Charter als Vorlage und lege Aufbewahrungsfristen fest, die zur Datenschutz-Grundverordnung passen.
5. Zuständigkeit benennen. Eine Person, die das KI-Inventar pflegt und bei einer Nachfrage der MGA antworten kann, ist die billigste Vorsorge.

Wie die MGA-Lizenz insgesamt aufgebaut ist, welche Key Functions besetzt sein müssen und was sie kostet, erklärt der Überblick zur Malta Remote Gaming License. Dass die Behörde ihre Regeln auch durchsetzt, hat der Fall Winzon im April gezeigt. Und wer die großen Linien des Standorts im Blick behalten will, findet die Einordnung zur Gaming-Steuerreform und zum Streit um Bill 55 vor dem EuGH. Für die Frage, wie viel echte Präsenz eine Malta-Gesellschaft braucht, damit die Struktur auch steuerlich hält, gilt weiterhin, was wir zum Firmensitz zwischen Briefkasten und Substanz geschrieben haben: Wer seine Entscheidungen in Malta trifft und sie belegen kann, ist gegenüber jeder Aufsicht im Vorteil. Bei KI-Systemen ist das nicht anders.