Automatisierte Qualitätsprüfung, vorausschauende Wartung (Predictive Maintenance), autonome Robotersteuerung: Der Maschinenbau zählt zu den Branchen, die KI-Technologie besonders früh und besonders tief in ihre Produktions- und Entwicklungsprozesse integriert haben. Was als Effizienzgewinn begann, ist seit dem Inkrafttreten der EU-KI-Verordnung (Verordnung (EU) 2024/1689, im Folgenden „KI-VO") zu einem eigenständigen Compliancethema geworden, das auf dem Schreibtisch der Geschäftsführung landet.
Der KI-Einsatz im Unternehmen unterliegt seit dem Inkrafttreten der KI-VO einem verbindlichen Regelungssystem, das Maschinenbauunternehmen je nach Verwendungszweck als Anbieter, Betreiber oder beides gleichzeitig adressiert. Hochrisiko-Anwendungen – etwa autonom agierende Industrieroboter, KI-gestützte Sicherheitssysteme oder algorithmische Personalentscheidungshilfen – erfordern Konformitätsbewertungen, technische Dokumentation und eine interne Governance-Struktur noch vor dem erstmaligen Einsatz. Verstöße können Bußgelder von bis zu 30 Mio. € oder 6 % des weltweiten Jahresumsatzes nach sich ziehen. Dieser Branchenreport skizziert den Rechtsrahmen, benennt die typischen Risikoprofile im Maschinenbau und leitet daraus konkrete Handlungsschritte für Geschäftsführer ab.
Im Folgenden analysiert dieser Bericht die für den Maschinenbau relevanten KI-VO-Pflichten, ordnet sie in den DSGVO-Kontext ein, beleuchtet typische Problemlagen inhabergeführter Betriebe und schlägt einen praxistauglichen Fahrplan vor.
Die KI-Verordnung im Überblick: Was Maschinenbauunternehmen jetzt wissen müssen
Die KI-VO ist am 1. August 2024 in Kraft getreten; die meisten Kernpflichten gelten ab dem 2. August 2026, einige – insbesondere das Verbot bestimmter KI-Praktiken – bereits seit dem 2. Februar 2025. Für Maschinenbauunternehmen bedeutet dies: Wer KI-Systeme entwickelt, in den Verkehr bringt oder im eigenen Betrieb einsetzt, muss bereits jetzt handeln, nicht erst kurz vor dem Stichtag.
Die Verordnung unterscheidet vier Risikokategorien. Verbotene KI (Titel II) ist für den Maschinenbau weitgehend nicht relevant. Die entscheidende Kategorie ist das Hochrisiko-KI-System (Anhang III KI-VO): Hierunter fallen unter anderem Maschinen im Sinne der Maschinenverordnung (EU) 2023/1230, wenn deren Sicherheitsfunktionen durch KI gesteuert werden, sowie KI-gestützte Systeme in der Personalentscheidung und in kritischen Infrastrukturen. Daneben existieren Systeme mit begrenztem Risiko (Titel IV) und solche mit minimalem Risiko – für die lediglich freiwillige Verhaltenskodizes gelten.
Inhaber- und familiengeführte Maschinenbauunternehmen übersehen in der Mandatspraxis häufig, dass die KI-VO zwischen Anbieter (wer ein KI-System entwickelt oder in Verkehr bringt) und Betreiber (wer es in eigener Verantwortung einsetzt) differenziert – und beide Rollen in einem mittelständischen Betrieb oft auf dasselbe Unternehmen entfallen. Wer seine Fertigungslinie mit einem selbst konfigurierten Predictive-Maintenance-System ausstattet, das in den Anhang-III-Bereich fällt, kann gleichzeitig Anbieter und Betreiber sein. Die Pflichtenkreise addieren sich dann.
Hochrisiko-KI im Maschinenbau: Welche Anwendungen betroffen sind
Ob eine KI-Anwendung als Hochrisiko einzustufen ist, bestimmt sich nach Anhang I und Anhang III der KI-VO. Im Maschinenbau sind nach unserer Erfahrung vor allem folgende Systeme betroffen:
- Sicherheitskritische Steuerungssysteme: KI-Komponenten, die Schutzfunktionen an Industriemaschinen eigenständig steuern (Not-Aus-Logik, kollaborative Roboter, autonome Fahrzeuge im Werksgelände), fallen regelmäßig unter Anhang III Nr. 2 KI-VO in Verbindung mit der Maschinenverordnung.
- Algorithmen zur Personalentscheidung: KI-gestützte Systeme, die Einstellungsempfehlungen, Leistungsbewertungen oder Schichtplanung wesentlich beeinflussen, unterfallen Anhang III Nr. 4 KI-VO. Für viele Maschinenbauer mit größerem Produktionspersonal ist dies ein häufig unterschätztes Risikosegment.
- Biometrische Identifikation am Arbeitsplatz: Wer KI-basierte Zugangssysteme (Gesichtserkennung, Iris-Scan) im Betrieb einsetzt, bewegt sich im Bereich Anhang III Nr. 1 KI-VO und muss zusätzlich die strengen Anforderungen der DSGVO für besondere Kategorien personenbezogener Daten beachten.
- Qualitätskontrollsysteme mit Rückwirkung auf Produkthaftung: Soweit ein KI-System eigenständig entscheidet, ob ein Bauteil als fehlerfrei freigegeben wird, und diese Entscheidung nicht mehr durch einen menschlichen Prüfschritt überlagert wird, sind sowohl KI-VO-Hochrisikopflichten als auch produkthaftungsrechtliche Fragestellungen zu klären.
Die Einordnung ist kein rein technischer Vorgang. Sie erfordert eine gemeinsame Betrachtung von Verwendungszweck, Systemarchitektur, Datenflüssen und Risikowirkung – und sollte dokumentiert werden, damit im Prüfungsfall die Qualifikationsentscheidung nachvollziehbar ist.
Welche Pflichten treffen Anbieter und Betreiber von Hochrisiko-KI-Systemen?
Wer als Anbieter ein Hochrisiko-KI-System in Verkehr bringt, muss vor dem Inverkehrbringen ein Konformitätsbewertungsverfahren durchlaufen, eine technische Dokumentation erstellen, das System in der EU-Datenbank registrieren und eine EU-Konformitätserklärung ausstellen. Das klingt nach einem Verwaltungsakt; tatsächlich handelt es sich um ein mehrstufiges technisch-rechtliches Verfahren, das Ressourcen bindet.
Betreiber tragen eigenständige Pflichten. Sie müssen sicherstellen, dass das System entsprechend seiner Zweckbestimmung eingesetzt wird, geeignete technische und organisatorische Maßnahmen implementieren, Protokolle der Systemnutzung aufbewahren und bei erheblichen Vorfällen unverzüglich an die zuständige nationale Marktüberwachungsbehörde melden. Betreiber von Hochrisiko-KI in kritischen Bereichen müssen zudem eine Folgenabschätzung für Grundrechte durchführen.
Ein besonders praxisrelevanter Aspekt: Die KI-VO verlangt von Betreibern eine angemessene KI-Kompetenz (Art. 4 KI-VO, sog. AI Literacy). Das bedeutet nicht zwingend eine tiefe Technikerausbildung für alle Mitarbeitenden, wohl aber ein dokumentiertes Schulungs- und Awareness-Konzept – ein Aspekt, den Geschäftsführer im Maschinenbau beim Aufbau ihrer Compliancestruktur einplanen müssen.
In der Mandatspraxis sehen wir, dass der Übergang zwischen Anbieter- und Betreiberrolle – insbesondere bei unternehmensintern entwickelten KI-Lösungen – rechtlich sorgfältig abgegrenzt werden muss, weil sich hieraus unterschiedliche Haftungs- und Dokumentationspflichten ergeben.
KI-VO und DSGVO: Wie die beiden Regelwerke im Maschinenbau zusammenwirken
Die KI-VO ist kein DSGVO-Ersatz. Sie ergänzt das Datenschutzrecht um eine produktbezogene, risikobasierte Regulierungsschicht. Für Maschinenbauunternehmen bedeutet das eine Überlagerung beider Regelwerke in weiten Bereichen des KI-Einsatzes: Nahezu jede KI-Anwendung, die Mitarbeiterdaten, Lieferantendaten oder Kundendaten verarbeitet, unterliegt gleichzeitig der DSGVO.
Konkret treten folgende Kollisionspunkte auf:
- Datenschutz-Folgenabschätzung (DSFA) nach Art. 35 DSGVO: KI-Systeme, die systematisch personenbezogene Daten verarbeiten oder Profile erstellen (etwa Predictive-Maintenance-Systeme, die implizit Maschinenbediener überwachen), lösen häufig eine DSFA-Pflicht aus. Die DSFA und die KI-VO-Folgenabschätzung können sinnvoll zusammengeführt werden, erfordern aber unterschiedliche Prüfmaßstäbe.
- Transparenz und Information: Art. 13 und 14 DSGVO verlangen die Information betroffener Personen über die Datenverarbeitung. Art. 13 KI-VO verlangt vom Betreiber, natürliche Personen zu informieren, wenn KI-Systeme auf sie ausgerichtet sind. Beide Informationspflichten müssen koordiniert erfüllt werden.
- Automatisierte Entscheidungen: Art. 22 DSGVO begrenzt vollautomatisierte Entscheidungen mit rechtlicher oder ähnlich erheblicher Wirkung. Für KI-gestützte Personalentscheidungssysteme im Schichtbetrieb eines Maschinenbauers kann dies relevant werden, auch wenn die Entscheidung „nur" die Tätigkeitszuweisung betrifft.
Die Bußgeldrahmen beider Regelwerke stehen nebeneinander. Die DSGVO sieht bei schwerwiegenden Verstößen Bußgelder von bis zu 20 Mio. € oder 4 % des weltweiten Jahresumsatzes vor (Art. 83 DSGVO). Die KI-VO sieht für Verstöße gegen die Hochrisikopflichten Bußgelder von bis zu 30 Mio. € oder 6 % des weltweiten Jahresumsatzes vor. Im Worst Case kumulieren sich Sanktionen aus beiden Regelwerken.
Typische Risikoprofile im mittelständischen Maschinenbau
Wo schlägt das Risiko konkret an? Nach unserer Erfahrung aus der Beratung von Maschinenbauunternehmen lassen sich drei besonders häufige Konstellationen identifizieren:
Erstens: Der Komponentenlieferant mit eigener KI-Einheit. Ein mittelständischer Hersteller von Spezialmaschinen entwickelt eine KI-Komponente für die eigene Produktionslinie und liefert baugleiche Maschinen an Kunden. Er ist damit gleichzeitig Anbieter (gegenüber seinen Kunden) und Betreiber (in der eigenen Fertigung). Die Anbieter-Compliance-Pflichten, insbesondere Konformitätsbewertung und Registrierung, treffen ihn vollumfänglich. Viele Betriebe in dieser Konstellation haben noch keine systematische KI-VO-Bewertung durchgeführt.
Zweitens: Die KI-Integration über Drittanbieter-Software. Ein Maschinenbauer bezieht eine Predictive-Maintenance-Lösung von einem Softwareunternehmen und setzt sie im eigenen Werk ein. Er ist Betreiber; der Softwareanbieter ist Anbieter. Die Vertragsgestaltung muss sicherstellen, dass der Anbieter die Dokumentations- und Konformitätspflichten erfüllt und dem Betreiber die erforderlichen Informationen bereitstellt. In der Praxis fehlen solche Regelungen in Standard-SaaS-Verträgen häufig.
Drittens: KI in der Personalverwaltung mittelgroßer Betriebe. Ein Maschinenbauer mit mehreren Hundert Beschäftigten setzt ein KI-gestütztes HR-Tool für Schichtplanung und Leistungsbeurteilung ein. Er ist Betreiber eines Hochrisiko-KI-Systems nach Anhang III Nr. 4 KI-VO – und hat regelmäßig weder eine Folgenabschätzung noch ein AI-Literacy-Konzept für die HR-Abteilung. Hier besteht unmittelbarer Handlungsbedarf.
Aus der Mandatspraxis: In einem aktuellen Mandat beriet die Kanzlei ein mittelständisches Maschinenbauunternehmen aus Süddeutschland mit rund 350 Beschäftigten. Ausgangslage: Das Unternehmen hatte im Zuge einer Fertigungsmodernisierung eine KI-gestützte visuelle Qualitätskontrolle eingeführt, die Ausschussteile eigenständig aussortiert und die Freigabe für die Weiterverarbeitung erteilt – ohne weiteren menschlichen Prüfschritt. Parallel nutzte die HR-Abteilung ein KI-basiertes Planungstool für die Schichtrotation. Weder für die Qualitätskontrolle noch für das HR-Tool lagen eine KI-VO-Klassifizierungsanalyse, eine DSFA oder vertragliche Regelungen mit den jeweiligen Softwareanbietern vor. Vorgehen: Die Kanzlei unterstützte zunächst bei der Klassifizierung beider Systeme, prüfte die vorliegenden Anbieterverträge auf KI-VO-konforme Pflichtenzuweisungen, begleitete die Erstellung einer kombinierten DSFA/KI-Folgenabschätzung für das HR-System und empfahl die Einführung eines internen Governance-Dokuments. Ergebnis: Beide Systeme konnten weiter betrieben werden; die vertraglichen Lücken wurden geschlossen und eine dokumentierte Grundlage für die Aufsichtsbehörde geschaffen.
Zeitplan und Übergangspflichten: Wann muss was erledigt sein?
Die KI-VO sieht gestaffelte Anwendungszeiträume vor. Das Verbot bestimmter KI-Praktiken (Titel II) gilt seit dem 2. Februar 2025. Die Pflichten für Anbieter und Betreiber von Hochrisiko-KI-Systemen der Kategorien gemäß Anhang III werden – nach aktuellem Stand – ab dem 2. August 2026 vollständig anwendbar. Für KI-Systeme, die als Sicherheitskomponenten regulierter Produkte eingesetzt werden (u. a. Maschinenverordnung), gilt eine verlängerte Übergangszeit bis zum 2. August 2027.
Was bedeutet das praktisch für einen Maschinenbauer? Die Übergangsfristen sind keine Schonfrist für Untätigkeit. Konformitätsbewertungsverfahren, die Erstellung technischer Dokumentation und der Aufbau interner Governance-Strukturen benötigen erfahrungsgemäß mehrere Monate. Wer im Frühjahr 2026 beginnt, riskiert, den August-Stichtag zu verfehlen. Für Systeme, die bereits im Einsatz sind, empfiehlt sich eine strukturierte Bestandsaufnahme noch im laufenden Geschäftsjahr.
Hinzu kommt: Die nationale Marktüberwachungsbehörde – in Deutschland voraussichtlich eine noch zu benennende Behörde im Bereich der Bundesnetzagentur oder des Bundesamtes für Sicherheit in der Informationstechnik – wird nicht erst nach Beschwerden tätig werden. Aktive Marktüberwachung ist im KI-VO-System ausdrücklich vorgesehen. Gut dokumentierte Compliance schützt vor behördlicher Eskalation.
Gewerblicher Rechtsschutz und KI: Schutzrechte an KI-generierten Ergebnissen
Neben der Compliance-Dimension stellt sich im Maschinenbau eine zweite, strategisch wichtige Rechtsfrage: Wem gehören KI-generierte Ergebnisse, und wie schützt ein Unternehmen seine KI-gestützten Entwicklungen?
Das deutsche und europäische Immaterialgüterrecht orientieren sich am Schöpferprinzip: Urheber- und Patentschutz setzen menschliche Schöpfungs- bzw. Erfindertätigkeit voraus. Rein KI-generierte Schutzrechtsanmeldungen scheitern nach geltendem Recht regelmäßig am fehlenden menschlichen Schöpfer. Für den Maschinenbauer bedeutet das: Wer KI-Systeme für die Produktentwicklung nutzt, sollte sicherstellen, dass menschliche Ingenieure als Erfinder dokumentiert sind und die KI als Werkzeug – nicht als Erfinder – qualifiziert wird. Nur so kann das Ergebnis patentierbar oder als Gebrauchsmuster schützbar sein.
Ein Patent schützt eine Erfindung für bis zu 20 Jahre ab Anmeldung (§ 16 PatG). Ein Gebrauchsmuster für bis zu 10 Jahre. Diese Schutzfristen sind relevant für Maschinenbauer, die durch KI-Einsatz in der Entwicklung Vorsprünge erzielen wollen. Gleichzeitig erhöht der KI-Einsatz die Bedeutung von Geschäftsgeheimnisschutz nach dem GeschGehG: Was nicht patentierbar ist, weil es an menschlicher Erfindertätigkeit fehlt, kann gleichwohl als Geschäftsgeheimnis geschützt werden, sofern angemessene Schutzmaßnahmen ergriffen werden.
Praktischer Fahrplan für Geschäftsführer: Fünf Schritte zur KI-Compliance im Maschinenbau
Wie sieht ein realistischer Fahrplan aus? Die nachfolgenden Schritte sind nicht theoretisch; sie entsprechen dem Vorgehen, das die Kanzlei in vergleichbaren Mandaten einsetzt.
- KI-Inventar erstellen: Erfassen Sie vollständig, welche KI-Systeme in Ihrem Unternehmen eingesetzt werden – von der Fertigungssteuerung bis zur HR-Software. Unterscheiden Sie nach eigenentwickelten und zugekauften Systemen. Ohne vollständiges Inventar ist keine belastbare Risikobewertung möglich.
- Klassifizierung vornehmen: Für jedes identifizierte System ist zu bestimmen, in welche Risikokategorie der KI-VO es fällt. Für Hochrisiko-Systeme sind die Anbieter- und Betreiberrollen zu klären. Diese Klassifizierung ist zu dokumentieren.
- Vertragswerk prüfen: Überprüfen Sie bestehende Softwareverträge mit KI-Anbietern auf KI-VO-konforme Pflichtenverteilung. Ergänzen Sie fehlende Regelungen: technische Dokumentation, Konformitätserklärungen, Supportpflichten, Vorfallsmeldung.
- Folgenabschätzungen durchführen: Für Hochrisiko-KI-Systeme sind die KI-VO-Folgenabschätzung und – wo personenbezogene Daten verarbeitet werden – die DSFA nach Art. 35 DSGVO durchzuführen und zu dokumentieren. Beide Verfahren können koordiniert ablaufen.
- Governance und AI Literacy verankern: Etablieren Sie eine interne Zuständigkeitsstruktur für KI-Compliance (Verantwortliche benennen, Schulungskonzept entwickeln, Protokollierungspflichten einhalten). Das muss kein eigenes KI-Büro sein; für mittelständische Betriebe genügt eine klar dokumentierte Aufgabenteilung zwischen Technik, Recht und Geschäftsführung.
Rhetorik beiseite: Stellt sich die Frage, ob dieser Fahrplan von einem mittelständischen Betrieb ohne externe Unterstützung realistisch zu bewältigen ist? Für die Klassifizierungsanalyse und die Vertragsgestaltung fehlt intern häufig das spezifische Fachwissen. Für den Aufbau interner Strukturen hingegen ist die Geschäftsführung selbst der entscheidende Treiber – kein Berater kann Governance von außen einsetzen.
Die vorstehende Darstellung betrifft die typischen Konstellationen im mittelständischen Maschinenbau. Ihr konkreter Fall erfordert die Prüfung vorhandener KI-Systeme, Vertragsunterlagen und der einschlägigen behördlichen Auslegungshinweise. Für eine erste Durchsicht Ihrer Unterlagen erreichen Sie uns unter info@brandtfalk.com.
Häufig gestellte Fragen zum KI-Einsatz im Unternehmen und der KI-Verordnung im Maschinenbau
Ab wann gelten die Kernpflichten der KI-Verordnung für Maschinenbauunternehmen?
Die Verbote bestimmter KI-Praktiken nach Titel II der KI-VO gelten seit dem 2. Februar 2025. Die Pflichten für Anbieter und Betreiber von Hochrisiko-KI-Systemen gemäß Anhang III werden nach aktuellem Stand ab dem 2. August 2026 vollständig anwendbar. Für KI-Komponenten in regulierten Produkten wie Maschinen im Sinne der Maschinenverordnung gilt eine verlängerte Übergangsfrist bis zum 2. August 2027. Unternehmen, die die Übergangsfrist als Schonfrist verstehen, riskieren dennoch, die Stichtage zu verfehlen, da der Aufbau konformer Strukturen mehrere Monate in Anspruch nimmt.
Wann ist ein Maschinenbauunternehmen Anbieter, wann Betreiber eines KI-Systems?
Anbieter ist, wer ein KI-System entwickelt und in Verkehr bringt oder in Betrieb nimmt. Betreiber ist, wer ein KI-System im eigenen Namen und in eigener Verantwortung einsetzt. Ein Maschinenbauer, der eine interne KI-Lösung entwickelt und baugleiche Maschinen an Kunden liefert, ist gleichzeitig Anbieter (gegenüber Kunden) und Betreiber (in der eigenen Fertigung). Die Pflichtenkreise addieren sich in diesem Fall; eine sorgfältige Abgrenzung ist unerlässlich.
Was sind die wichtigsten Betreiberpflichten bei Hochrisiko-KI-Systemen?
Betreiber müssen sicherstellen, dass das KI-System bestimmungsgemäß eingesetzt wird, geeignete technische und organisatorische Maßnahmen implementieren, Protokolle der Systemnutzung aufbewahren und erhebliche Vorfälle der zuständigen Marktüberwachungsbehörde melden. Darüber hinaus verlangt Art. 4 KI-VO die Gewährleistung angemessener KI-Kompetenz bei allen Personen, die mit dem Betrieb des Systems befasst sind. Für bestimmte Hochrisikobereiche ist zudem eine Folgenabschätzung für Grundrechte durchzuführen.
Wie wirkt sich die DSGVO zusätzlich zur KI-Verordnung aus?
KI-VO und DSGVO stehen nebeneinander. Verarbeitet ein KI-System personenbezogene Daten – was im Maschinenbau bei Personalplanungstools, biometrischen Zugangssystemen oder Qualitätskontrollsystemen mit Mitarbeiterbezug häufig der Fall ist –, gelten beide Regelwerke gleichzeitig. Eine Datenschutz-Folgenabschätzung nach Art. 35 DSGVO kann mit der KI-VO-Folgenabschätzung koordiniert werden. Die Bußgeldrahmen kumulieren jedoch: DSGVO bis zu 20 Mio. € oder 4 % des weltweiten Jahresumsatzes, KI-VO für Hochrisiko-Verstöße bis zu 30 Mio. € oder 6 %.
Können KI-generierte Entwicklungsergebnisse im Maschinenbau patentiert werden?
Nach geltendem deutschen und europäischen Patentrecht setzt ein Patent menschliche Erfindertätigkeit voraus. Rein KI-generierte Ergebnisse ohne wesentlichen menschlichen Beitrag sind nicht patentierbar. Maschinenbauer, die KI in der Produktentwicklung einsetzen, sollten sicherstellen, dass die beteiligten Ingenieure als Erfinder dokumentiert werden und die KI als Entwicklungswerkzeug qualifiziert wird. Ergänzend bietet der Geschäftsgeheimnisschutz nach dem GeschGehG Schutz für nicht patentierbare KI-gestützte Entwicklungsergebnisse.
Was droht bei Verstößen gegen die KI-Verordnung?
Die KI-VO sieht gestaffelte Bußgeldrahmen vor. Verstöße gegen Hochrisiko-Pflichten können mit bis zu 30 Mio. € oder 6 % des weltweiten Jahresumsatzes geahndet werden. Für unrichtige oder unvollständige Informationen gegenüber Behörden gilt ein Bußgeldrahmen bis 10 Mio. € oder 2 % des Jahresumsatzes. Für KMU und Start-ups sieht die Verordnung verhältnismäßige Obergrenzen vor. Hinzu treten mögliche zivilrechtliche Haftungsansprüche Betroffener und Reputationsrisiken.
Verwandte Leistungen
Die vorstehende Darstellung betrifft die Regelfälle des KI-Einsatzes im Maschinenbau. Ihr konkreter Sachverhalt erfordert die Prüfung vorhandener Systeme, Vertragsunterlagen und Fristen. Für eine erste Durchsicht Ihrer Unterlagen erreichen Sie uns unter info@brandtfalk.com.
Dieser Beitrag dient ausschließlich der allgemeinen Information und stellt keine Rechtsberatung im Einzelfall dar. Er ersetzt nicht die anwaltliche Prüfung Ihres konkreten Sachverhalts. Für eine auf Ihre Situation zugeschnittene Beratung wenden Sie sich an info@brandtfalk.com.