KI-Einsatz im Unternehmen und die KI-Verordnung – Maschinenbau: FAQ

Was ist die KI-Verordnung und wen betrifft sie im Maschinenbau?

Die KI-Verordnung (EU AI Act) ist seit August 2024 in Kraft und wird stufenweise anwendbar. Sie erfasst jeden, der KI-Systeme in der EU entwickelt, in Verkehr bringt, in Betrieb nimmt oder als sogenannter „Betreiber" (Deployer) einsetzt. Im Maschinenbau bedeutet das: Wer eine Fertigungsanlage mit KI-gestützter Fehlererkennung ausliefert, ist regelmäßig Anbieter (Provider) im Sinne der Verordnung. Wer eine solche Anlage im eigenen Werk betreibt, ist Betreiber — mit jeweils unterschiedlichen Pflichten.

Für den deutschen Mittelstand im Maschinenbau ist entscheidend, dass die Verordnung nicht nur Softwareunternehmen, sondern ausdrücklich auch Maschinenbauer als Anbieter integrierter KI-Systeme adressiert. Wer eine numerisch gesteuerte Werkzeugmaschine mit adaptiven Algorithmen zur Prozessoptimierung ausstattet und in den Verkehr bringt, ist Anbieter im Sinne des EU AI Act — unabhängig davon, ob er das KI-System selbst entwickelt oder zugekauft hat. Die Einordnung als Anbieter oder Betreiber ist die erste und oft folgenreichste rechtliche Weichenstellung.

Welche Risikoklassen kennt der EU AI Act — und wo landet Maschinenbau-KI typischerweise?

Der EU AI Act unterscheidet vier Kategorien: verbotene KI-Praktiken, Hochrisiko-KI-Systeme, KI-Systeme mit begrenztem Risiko sowie KI-Systeme mit minimalem Risiko. Für den Maschinenbau relevant ist vor allem die Hochrisiko-Kategorie: Anhang III der Verordnung listet Anwendungsbereiche auf, in denen KI-Systeme als Hochrisiko eingestuft werden. Dazu zählen KI-Systeme in sicherheitsrelevanten Maschinen, die unter die Maschinenverordnung (EU) 2023/1230 fallen, sowie KI-Systeme zur Steuerung kritischer Infrastruktur.

In der Mandatspraxis sehen wir, dass gerade die Kombination aus autonomer Steuerung und physischer Interaktion — etwa bei kollaborativen Robotern (Cobots) oder autonom fahrenden Flurförderzeugen — regelmäßig zur Hochrisiko-Einstufung führt. Hochrisiko-KI-Systeme unterliegen zwingend einer Konformitätsbewertung vor Inbetriebnahme. Systeme mit minimalem Risiko — etwa KI-gestützte Bestelloptimierung oder einfache Chatbots im Kundenservice — unterliegen dagegen lediglich freiwilligen Verhaltenskodizes.

Praktisch bedeutsam: Die Risikoklassifizierung ist keine einmalige Übung. Ändert sich die Funktionalität eines KI-Systems wesentlich, muss die Einordnung erneut geprüft werden. Wer das versäumt, riskiert, ein Hochrisiko-System ohne die erforderliche Konformitätsbewertung zu betreiben.

Welche konkreten Pflichten treffen Maschinenbauer als Anbieter von Hochrisiko-KI-Systemen?

Anbieter von Hochrisiko-KI-Systemen trifft ein umfangreicher Pflichtenkatalog. Im Kern geht es um fünf Bereiche: Risikomanagementsystem, technische Dokumentation, Daten-Governance, Transparenz gegenüber Betreibern und Konformitätsbewertung. Die technische Dokumentation muss die Konstruktionsmerkmale, die Trainingsdaten, die Testprotokolle und die vorgesehenen Verwendungszwecke vollständig abbilden — und zwar so, dass eine Behörde das System im Nachhinein überprüfen kann.

Besonders anspruchsvoll ist die laufende Nachmarktüberwachung: Anbieter müssen ein System zur Überwachung des KI-Systems nach Inbetriebnahme einrichten, schwerwiegende Vorfälle den zuständigen Marktüberwachungsbehörden melden und bei festgestellten Risiken korrektive Maßnahmen ergreifen. Im Maschinenbau, wo Anlagen über viele Jahre im Einsatz sind, erfordert das eine strukturierte Feedbackschleife zwischen Hersteller und Betreiber — häufig vertraglich im Rahmen von Wartungsverträgen zu regeln.

Nach unserer Erfahrung unterschätzen mittelständische Maschinenbauer systematisch den Aufwand für die technische Dokumentation. Diese ist keine interne Akte, sondern muss auf Anfrage vollständig und in einer EU-Sprache vorgelegt werden können. Fehlende oder lückenhafte Dokumentation ist einer der häufigsten Befunde bei behördlichen Marktüberwachungsmaßnahmen im Bereich Produktsicherheit — und wird künftig auch für KI-Systeme gelten.

Was müssen Maschinenbauer als Betreiber (Deployer) von KI-Systemen beachten?

Betreiber setzen Hochrisiko-KI-Systeme in eigener Verantwortung ein. Die KI-Verordnung verpflichtet sie unter anderem dazu, geeignete technische und organisatorische Maßnahmen zu implementieren, eine menschliche Aufsicht sicherzustellen und Protokolldaten zu führen. Wer eine KI-gestützte Schweißanlage oder ein KI-basiertes Qualitätsprüfsystem im eigenen Werk betreibt, muss belegen können, dass das System bestimmungsgemäß und unter angemessener Aufsicht eingesetzt wird.

Darüber hinaus gilt: Betreiber, die das KI-System für einen anderen Verwendungszweck nutzen als vom Anbieter vorgesehen, oder die wesentliche Änderungen vornehmen, werden rechtlich selbst zum Anbieter — mit allen damit verbundenen Pflichten. Diese sogenannte Rollen-Umwidmung ist in der Praxis ein erhebliches Haftungsrisiko, das bei der Vertragsgestaltung zwischen Maschinenbauer und Abnehmer ausdrücklich adressiert werden sollte.

Welche Bußgelder und Sanktionen sieht die KI-Verordnung vor?

Der EU AI Act sieht ein dreistufiges Bußgeldsystem vor. Bei Verstößen gegen das Verbot bestimmter KI-Praktiken drohen Bußgelder von bis zu 35 Mio. € oder 7 % des weltweiten Jahresumsatzes, je nachdem, welcher Betrag höher ist. Für sonstige Verstöße gegen Anbieter- und Betreiberpflichten bei Hochrisiko-Systemen beträgt der Rahmen bis zu 15 Mio. € oder 3 % des weltweiten Jahresumsatzes. Bei unrichtigen oder irreführenden Angaben gegenüber Behörden drohen bis zu 7,5 Mio. € oder 1,5 % des weltweiten Jahresumsatzes.

Für den mittelständischen Maschinenbauer mit einem Jahresumsatz von beispielsweise 50 Mio. € können Bußgelder im einstelligen Millionenbereich existenzbedrohend sein. Hinzu kommen mögliche Produktrückrufe, Vertriebssperren und zivilrechtliche Haftungsansprüche von Betreibern oder geschädigten Dritten. Die Bußgeldrahmen sind verbindlich — Anhang E des Prompts enthält sie als belegt. Ob und in welcher Höhe eine Behörde ein Bußgeld festsetzt, hängt von Einzelumständen ab; die hier genannten Zahlen sind die gesetzlichen Obergrenzen nach der KI-Verordnung.

Wie verhält sich die KI-Verordnung zur DSGVO — was gilt bei KI und Personaldaten?

KI-Verordnung und DSGVO schließen sich nicht aus, sondern ergänzen sich: Die DSGVO bleibt vollständig anwendbar, soweit KI-Systeme personenbezogene Daten verarbeiten. Im Maschinenbau betrifft das insbesondere KI-Systeme zur Mitarbeiterüberwachung — etwa KI-gestützte Arbeitszeiterfassung, Leistungsmonitoring oder Bewegungsanalyse in der Fertigung. Nach Art. 83 DSGVO drohen bei schwerwiegenden Datenschutzverstößen Bußgelder bis zu 20 Mio. € oder 4 % des weltweiten Jahresumsatzes.

Praktisch bedeutsam ist das Zusammenspiel bei sogenannten biometrischen Systemen: KI-gestützte Gesichtserkennung am Werkstor ist unter der DSGVO grundsätzlich nur mit ausdrücklicher Einwilligung oder einer spezifischen gesetzlichen Grundlage zulässig — und gleichzeitig unter dem EU AI Act als potenziell verbotene oder zumindest hochriskante Anwendung einzustufen. Wer beide Regelwerke nicht im Blick hat, setzt sich doppelten Sanktionsrisiken aus.

In der Mandatspraxis beraten wir regelmäßig Maschinenbauunternehmen, die Personaldaten im KI-Kontext verarbeiten: Die Erfahrung zeigt, dass Betriebsvereinbarungen hier nicht nur arbeitsrechtlich sinnvoll, sondern datenschutzrechtlich oft zwingend sind — und zugleich als Nachweis angemessener technischer und organisatorischer Maßnahmen gegenüber Aufsichtsbehörden dienen.

Welche Übergangszeiträume gelten — was muss der Maschinenbau bis wann umsetzen?

Die KI-Verordnung trat am 1. August 2024 in Kraft. Die Anwendung erfolgt in Stufen: Verbotene KI-Praktiken waren bereits ab dem 2. Februar 2025 unzulässig. Die Pflichten für Anbieter und Betreiber von Hochrisiko-KI-Systemen nach Anhang III gelten ab dem 2. August 2026. Für Hochrisiko-KI-Systeme, die in Produkte eingebettet sind und bereits anderen EU-Harmonisierungsregelungen (z. B. der Maschinenverordnung) unterliegen, gilt eine verlängerte Übergangsfrist bis zum 2. August 2027.

Für den Maschinenbau ist die letztgenannte Frist besonders relevant: KI-Systeme in Maschinen, die unter die neue Maschinenverordnung (EU) 2023/1230 fallen, haben damit etwas mehr Zeit. Diese Frist sollte aber nicht zur Untätigkeit verleiten. Die Konformitätsbewertung, die Erstellung technischer Dokumentation und der Aufbau des Risikomanagementsystems sind zeitaufwendige Prozesse — nach unserer Erfahrung mit einem Vorlauf von mindestens 12 bis 18 Monaten zu kalkulieren.

Wer heute noch kein KI-Inventar erstellt hat — also keine systematische Erfassung aller im Unternehmen eingesetzten und entwickelten KI-Systeme —, sollte dies als ersten Schritt priorisieren. Ohne dieses Inventar ist eine rechtskonforme Risikoklassifizierung nicht möglich.

Was ist ein „KI-System" im Sinne der Verordnung — fällt jede Automatisierung darunter?

Nein. Die KI-Verordnung definiert den Begriff des KI-Systems eng und unterscheidet ihn ausdrücklich von einfacher Automatisierung oder regelbasierter Software. Ein KI-System im Sinne der Verordnung ist ein maschinengestütztes System, das für einen oder mehrere Zwecke ausgelegt ist und aus den Eingaben, die es erhält, ableitet, wie es Ausgaben wie Vorhersagen, Inhalte, Empfehlungen oder Entscheidungen generiert, die reale oder virtuelle Umgebungen beeinflussen können.

In der Praxis bedeutet das: Eine SPS-Steuerung (speicherprogrammierbare Steuerung) mit fest codierten Regeln ist kein KI-System. Ein Algorithmus, der Sensordaten auswertet und daraus Wartungsempfehlungen ableitet — also selbstlernend oder auf Basis statistischer Modelle arbeitet — fällt dagegen typischerweise unter die Definition. Die Abgrenzung ist im Einzelfall entscheidend und sollte von Anfang an dokumentiert werden, um im Streitfall belegen zu können, warum ein System nicht als KI-System eingestuft wurde.

Wie sollten Geschäftsführer im Maschinenbau die KI-Governance organisieren?

Geschäftsführer tragen die persönliche Verantwortung dafür, dass das Unternehmen die Anforderungen der KI-Verordnung erfüllt. Die Verordnung selbst nennt keine konkreten Governance-Strukturen, verlangt aber indirekt, dass Compliance-Systeme vorhanden und wirksam sind. Aus der allgemeinen Haftungslage nach deutschem GmbH-Recht ergibt sich zudem, dass eine schwere Pflichtverletzung der Geschäftsführer zur persönlichen Haftung gegenüber der Gesellschaft führen kann.

Bewährt hat sich in der Mandatspraxis ein dreistufiger Ansatz: Erstens ein KI-Inventar (Bestandsaufnahme aller KI-Systeme, die entwickelt oder eingesetzt werden). Zweitens eine Risikoklassifizierung aller identifizierten Systeme nach den Kriterien der KI-Verordnung. Drittens der Aufbau oder die Anpassung interner Prozesse für Dokumentation, Überwachung und Vorfallsmeldung. Dieser Fahrplan sollte schriftlich festgehalten und regelmäßig aktualisiert werden.

Welchen Verantwortlichen Sie intern damit beauftragen — ob einen Chief AI Officer, einen Datenschutzbeauftragten mit erweitertem Mandat oder eine dedizierte Projektgruppe —, ist eine Frage der Unternehmensgröße. Entscheidend ist, dass die Verantwortung klar zugewiesen und dokumentiert ist. Diffuse Zuständigkeit ist in Behördenverfahren und im Haftungsfall das größte Risiko.

Wie wirkt sich die KI-Verordnung auf Lieferketten und Vertragsgestaltung im Maschinenbau aus?

Im Maschinenbau sind KI-Systeme selten das Werk eines einzelnen Unternehmens. Typisch ist die Kombination: ein Maschinenbauer integriert ein KI-Modul eines Softwareanbieters in seine Anlage und liefert das Gesamtsystem an den Anlagenbetreiber. Diese mehrstufige Lieferkette verlangt eine klare vertragliche Risikoverteilung.

Konkret: Der Maschinenbauer als Anbieter des Gesamtsystems haftet im Zweifel für die Konformität — auch wenn er das KI-Modul zugekauft hat. Er muss sicherstellen, dass sein Zulieferer die erforderliche technische Dokumentation und Konformitätsnachweise bereitstellt. Verträge ohne explizite KI-Compliance-Klauseln sind ab August 2026 ein erhebliches Risiko. Einkaufsbedingungen, Lieferantenverträge und Wartungsvereinbarungen sollten daher systematisch auf KI-Verordnungs-Kompatibilität geprüft werden.

Auf der Abnehmerseite empfiehlt sich, vertraglich festzulegen, welche Partei die Rolle des Anbieters und welche die des Betreibers übernimmt, wer die Nachmarktüberwachung durchführt und wer bei Vorfällen meldepflichtig ist. Was nicht vertraglich geregelt ist, entscheidet im Streitfall das Gericht — und das Gericht wird die Verordnung anwenden.

Wie hängen KI-Verordnung und Produkthaftung zusammen?

Die KI-Verordnung ist ein öffentlich-rechtliches Regelwerk — sie begründet keine zivilrechtliche Haftung als solche. Allerdings ist die KI-Verordnung nicht das einzige Regelwerk, das im Kontext KI-induzierter Schäden relevant ist. Die neue Produkthaftungsrichtlinie (EU) 2024/2853, die die Mitgliedstaaten bis Ende 2026 umsetzen müssen, erfasst ausdrücklich auch Software und damit KI-Systeme als Produkte.

Für den Maschinenbau bedeutet das: Verursacht ein KI-System in einer Anlage einen Schaden — etwa durch eine fehlerhafte Schweißempfehlung, die zu einem Bauteilversagen führt — kann neben der strafrechtlichen und ordnungswidrigkeitenrechtlichen Haftung auch eine zivilrechtliche Haftung des Herstellers in Betracht kommen. Ob und in welchem Umfang das im Einzelfall gilt, hängt von zahlreichen Faktoren ab und sollte anwaltlich geprüft werden. Fest steht: Fehlende KI-Compliance kann im Haftungsprozess als Indiz für ein fehlerhaftes Produkt gewertet werden.

Welche ersten Schritte sollte ein Maschinenbauunternehmen jetzt konkret gehen?

Der EU AI Act ist kein Zukunftsprojekt mehr — er ist geltendes Recht mit laufenden Fristen. Für Maschinenbauunternehmen empfiehlt sich folgende Abfolge: Zunächst eine vollständige Bestandsaufnahme aller KI-Systeme, die entwickelt, integriert oder eingesetzt werden — intern und in Produkten. Dann eine rechtliche Einordnung jedes Systems nach der Risikohierarchie der Verordnung. Darauf aufbauend die Identifikation der konkreten Pflichten (Anbieter vs. Betreiber) und die Gap-Analyse gegenüber dem vorhandenen Compliance-System.

Parallel dazu sollten Lieferanten- und Abnehmerverträge auf KI-Compliance-Regelungen überprüft und ggf. ergänzt werden. Schließlich ist die interne Governance zu etablieren: klare Zuständigkeiten, dokumentierte Prozesse für Vorfallsmeldungen und ein Schulungskonzept für Mitarbeiter, die KI-Systeme bedienen oder überwachen. Diese Maßnahmen sind keine Option, sondern Voraussetzung für die rechtskonforme Fortführung des KI-Einsatzes ab August 2026.