Ein Maschinenbauunternehmen aus dem schwäbischen Mittelstand integriert eine KI-gestützte Qualitätsprüfung in seine Fertigungslinie – ohne dass im Betrieb jemand den Begriff „Hochrisiko-KI-System" kennt. Genau dieses Szenario wird ab den ersten Anwendungsstufen des EU AI Act rechtlich relevant.
Der KI-Einsatz im Unternehmen unterliegt seit dem Inkrafttreten der EU-KI-Verordnung (Verordnung (EU) 2024/1689, sog. „EU AI Act") einem gestuften Pflichtenprogramm, das nach Risikoklasse des eingesetzten Systems differenziert. Für den Maschinenbau gilt dabei: Wer KI-Systeme in sicherheitsrelevante Produktionsprozesse oder Produktfunktionen einbettet, muss sich auf Anforderungen an Dokumentation, Konformitätsbewertung und interne Governance einstellen, die in ihrer Struktur dem CE-Kennzeichnungsrecht nicht unähnlich sind. Geschäftsführer haften persönlich, wenn sie diese Pflichten organisatorisch vernachlässigen.
Dieser Beitrag ordnet die gefestigte Rechtsgrundlage ein, beleuchtet die praxisrelevanten Anwendungsfälle im Maschinenbau und zeigt, welche Schritte mittelständische Unternehmen jetzt einleiten sollten.
Welchen Rechtsrahmen setzt die KI-Verordnung für den Maschinenbau?
Der EU AI Act bildet seit seiner Veröffentlichung im Amtsblatt der Europäischen Union (ABl. 2024/1689) den zentralen Rechtsrahmen für den KI-Einsatz im Unternehmen und schichtet die Pflichten nach dem Risikograd des jeweiligen Systems. Maschinenbauunternehmen sind nicht als branchenneutrale Anwender zu behandeln; vielmehr ergibt sich aus dem Zusammenspiel mit der Maschinenverordnung (EU) 2023/1230, der NIS-2-Richtlinie und der DSGVO ein verdichteter Pflichtenkatalog, der weit über eine bloße IT-Compliance hinausreicht.
Das Herzstück des Regelungssystems ist die Klassifizierung in vier Risikoklassen: inakzeptables Risiko (verboten), Hochrisiko, begrenztes Risiko und minimales Risiko. Hochrisiko-KI-Systeme im Sinne von Anhang III der Verordnung sind u. a. solche, die als Sicherheitskomponenten von Maschinen oder anderen Produkten eingesetzt werden. Für diese Klasse greifen die umfangreichsten Anforderungen: technische Dokumentation, Risikomanagementsystem, Datenverwaltung, Transparenz, menschliche Aufsicht, Genauigkeit sowie Robustheit und Cybersicherheit.
In der Mandatspraxis sehen wir, dass Maschinenbauunternehmen diese Klassifizierungsfrage häufig nicht eigenständig vornehmen. Das ist gefährlich: Wer ein System falsch einstuft, riskiert, die einschlägigen Pflichten ganz zu übergehen – mit weitreichenden Folgen für die Betriebsgenehmigung, die CE-Konformität des Endprodukts und die persönliche Haftung der Geschäftsführung.
Zeitplan und Anwendungsstufen: Was gilt ab wann?
Die KI-Verordnung trat am 1. August 2024 in Kraft; ihre Anwendungsregeln greifen gestaffelt. Verbote für unzulässige Praktiken galten bereits ab dem 2. Februar 2025. Für Hochrisiko-KI-Systeme, die in Anhang III gelistet sind und in bestehende Produktkategorien (etwa Maschinen, Fahrzeuge, Medizinprodukte) eingebettet werden, beginnt die vollständige Anwendung der Pflichten ab dem 2. August 2026. Allgemeine Zweck-KI-Modelle (GPAI) unterliegen seit dem 2. August 2025 vollumfänglichen Anforderungen.
Für inhabergeführte Maschinenbauunternehmen bedeutet dieser Fahrplan: Die Zeit für eine strukturierte Bestandsaufnahme aller eingesetzten oder geplanten KI-Systeme ist begrenzt. Wer die Klassifizierung, Dokumentation und Governance erst nach dem jeweiligen Stichtag aufzubauen beginnt, steht vor einem Vollzugsdefizit, das Bußgelder, Marktzugangsverluste und zivilrechtliche Haftungsszenarien auslösen kann.
Wie reagiert die Unternehmensführung auf einen Zeitplan, dessen Fristen sich mit laufenden Entwicklungsprojekten überschneiden? Diese Frage stellt sich in jedem größeren Maschinenbaumandat neu.
Hochrisiko-KI im Maschinenbau: Typische Anwendungsfelder und rechtliche Einordnung
Maschinenbauunternehmen begegnen dem EU AI Act vor allem in drei Anwendungsfeldern: erstens bei KI-gestützten Sicherheitsfunktionen in Maschinen und Anlagen, zweitens bei autonomen Qualitätssicherungssystemen in der Fertigung und drittens bei KI-Modulen, die in verkaufte Endprodukte eingebettet werden und beim Kunden Sicherheitsfunktionen übernehmen. Alle drei Felder können in die Hochrisikokategorie fallen.
Dabei ist die Abgrenzung zwischen Betreiber und Anbieter im Sinne der KI-Verordnung entscheidend. Wer ein KI-System entwickelt oder in Verkehr bringt, ist Anbieter und trägt die umfangreichsten Pflichten; wer ein fertiges System im eigenen Betrieb einsetzt, ist Betreiber mit einem eigenständigen, aber abgestuften Pflichtenkatalog. Viele Maschinenbauer nehmen beide Rollen gleichzeitig ein: Sie kaufen KI-Module zu, passen diese an eigene Produktionsbedingungen an und bringen die so konfigurierten Maschinen wiederum in den Verkehr. Diese Doppelrolle ist in der Compliance-Praxis der kritischste Ausgangspunkt.
Nach unserer Erfahrung unterschätzen Unternehmen in dieser Konstellation regelmäßig, dass die Anpassung eines fremden KI-Systems zu einer Anbieterstellung führen kann – mit der Folge, dass die vollständige Konformitätsbewertung und EU-Konformitätserklärung der Kanzlei nach Maßgabe der KI-Verordnung zu erstellen und zu dokumentieren ist.
Welche konkreten Pflichten treffen Betreiber und Anbieter in der Praxis?
Für Anbieter von Hochrisiko-KI-Systemen gilt ein mehrstufiger Anforderungskatalog: Zunächst ist ein Risikomanagementsystem einzurichten, das über den gesamten Lebenszyklus des Systems gepflegt wird. Hinzu kommen strenge Anforderungen an Trainingsdaten (Qualität, Repräsentativität, Freiheit von Verzerrungen), eine technische Dokumentation nach Anhang IV der KI-Verordnung sowie ein System zur Protokollierung der Systemleistung. Transparenz- und Informationspflichten gegenüber Betreibern und Behörden ergänzen das Bild.
Betreiber von Hochrisiko-KI-Systemen müssen für eine angemessene menschliche Aufsicht sorgen, die technische Dokumentation aufbewahren und sicherstellen, dass die eingesetzten Systeme ihrem vorgesehenen Verwendungszweck entsprechen. Betreiber, die Betriebe mit mehr als 250 Beschäftigten führen oder ein Jahresumsatzvolumen von mehr als 50 Millionen Euro aufweisen, unterliegen dabei zusätzlichen Pflichten zur Folgenabschätzung in Bereichen, die Grundrechte berühren.
Die KI-Verordnung sieht zudem eine Registrierungspflicht für Hochrisiko-Systeme in der EU-Datenbank vor. Die DSGVO (Verordnung (EU) 2016/679) läuft daneben, soweit die KI-Systeme personenbezogene Daten verarbeiten – etwa bei KI-gestützter Videoüberwachung in der Fertigung oder bei automatisierten Personalentscheidungen. Hier gelten weiterhin die Pflichten zur Datenschutz-Folgenabschätzung (Art. 35 DSGVO) sowie die Meldepflicht bei Datenschutzverletzungen binnen 72 Stunden (Art. 33 DSGVO).
Was bedeutet die KI-Verordnung für die Geschäftsführerhaftung im Mittelstand?
Die persönliche Haftung von Geschäftsführern und Vorständen beim KI-Einsatz im Unternehmen ergibt sich nicht aus der KI-Verordnung selbst, sondern aus dem Zusammenspiel von GmbHG, AktG und der allgemeinen Organisations- und Legalitätspflicht der Geschäftsleitung. Wer als Geschäftsführer pflichtwidrig nicht sicherstellt, dass ein im Betrieb eingesetztes Hochrisiko-KI-System die Anforderungen der KI-Verordnung erfüllt, riskiert eine Innenhaftung gegenüber der Gesellschaft – und je nach Konstellation auch eine Außenhaftung gegenüber geschädigten Dritten.
Besondere Schärfe erhält dieses Szenario im Maschinenbau, weil KI-Systeme in Sicherheitsfunktionen von Maschinen direkt produkthaftungsrechtliche Konsequenzen auslösen können. Die KI-Haftungsrichtlinie (Entwurf der EU-Kommission) ist zwar noch nicht in Kraft; die gefestigte Rechtsprechung der nationalen Gerichte zur Produzentenhaftung und zur Deliktshaftung bei Organisationspflichtverletzungen lässt jedoch schon heute erhebliche Risiken erkennen. Wer schuldhaft keine Konformitätsbewertung durchgeführt hat, wird im Schadensfall kaum darlegen können, er habe seiner Legalitätspflicht genügt.
In der Mandatspraxis berät die Kanzlei regelmäßig Unternehmen, die nach einem Produktrückruf oder einer behördlichen Beanstandung feststellen, dass das Fehlen einer strukturierten KI-Governance den Schaden erheblich vergrößert hat – nicht weil das System versagt hatte, sondern weil keinerlei Dokumentation vorlag, die eine ordnungsgemäße Entwicklung und Überwachung hätte belegen können.
Aus der Mandatspraxis: In einem aktuellen Mandat beriet die Kanzlei ein mittelständisches Maschinenbauunternehmen aus Nordbaden mit rund 180 Beschäftigten, das eine KI-gestützte Fehlererkennung in seine CNC-Fräsanlagen integrierte. Ausgangslage: Das Unternehmen hatte das KI-Modul von einem Softwareanbieter bezogen, es jedoch in erheblichem Umfang an eigene Maschinendaten angepasst und sodann in Neumaschinen eingebaut, die an Kunden in Deutschland und der EU ausgeliefert wurden. Vorgehen: Gemeinsam mit dem Unternehmen wurden die Pflichten als Anbieter im Sinne der KI-Verordnung analysiert, eine erste Gap-Analyse der vorhandenen Dokumentation durchgeführt, das Risikomanagementsystem aufgebaut und ein Governance-Protokoll für zukünftige Systemanpassungen erstellt. Ergebnis: Das Unternehmen war nach Abschluss der Beratung in der Lage, die erforderliche technische Dokumentation nach Anhang IV zu strukturieren und den internen Freigabeprozess vor weiteren Auslieferungen anzupassen – ohne die Markteinführung für laufende Aufträge unverhältnismäßig zu verzögern.
Sanktionen und Bußgelder nach der KI-Verordnung: Welche Größenordnungen drohen?
Die KI-Verordnung enthält ein abgestuftes Bußgeldsystem, das sich an der Schwere des Verstoßes orientiert. Verstöße gegen das Verbot inakzeptabler Praktiken (Art. 5 KI-VO) können mit Bußgeldern bis zu 35 Millionen Euro oder 7 Prozent des weltweiten Jahresumsatzes geahndet werden, je nachdem, welcher Betrag höher ist. Verstöße gegen die Pflichten für Hochrisiko-KI-Systeme sind mit bis zu 15 Millionen Euro oder 3 Prozent des Jahresumsatzes bewehrt. Die Bereitstellung falscher Angaben gegenüber Behörden zieht Bußgelder bis zu 7,5 Millionen Euro oder 1,5 Prozent des Jahresumsatzes nach sich.
Für KMU und Start-ups sieht die Verordnung zwar eine Verhältnismäßigkeitsprüfung vor; das bedeutet jedoch keine Freistellung, sondern eine Berücksichtigung bei der Bemessung. Im Vergleich zur DSGVO, die Bußgelder bis zu 20 Millionen Euro oder 4 Prozent des weltweiten Jahresumsatzes (Art. 83 DSGVO) vorsieht, bewegt sich das Sanktionspotenzial der KI-Verordnung in einer ähnlichen Dimension – mit dem Unterschied, dass die Eingriffsbehörden in Deutschland noch im Aufbau sind und die ersten Entscheidungen erst in den kommenden Jahren zu erwarten sind.
Welche Aufsichtsbehörde in Deutschland für den Vollzug der KI-Verordnung zuständig sein wird, war zum Zeitpunkt der Erstellung dieses Beitrags noch nicht abschließend gesetzlich geregelt; die Diskussion über eine zentrale nationale Marktüberwachungsbehörde dauert an. Das ändert nichts an der Geltung der Verordnung und der damit verbundenen Compliance-Pflicht.
Wechselwirkungen mit DSGVO, Maschinenverordnung und Produkthaftung
KI-Compliance im Maschinenbau ist kein isoliertes Einzelprojekt. Der EU AI Act entfaltet seine Wirkung im Zusammenspiel mit mehreren parallel geltenden Regelungssystemen, die Geschäftsführer gemeinsam im Blick behalten müssen.
Die DSGVO (Verordnung (EU) 2016/679) bleibt anwendbar, sobald KI-Systeme personenbezogene Daten verarbeiten. Das betrifft im Maschinenbau vor allem KI-gestützte Zugangskontrollen mit biometrischen Merkmalen, KI-Systeme zur Leistungsüberwachung von Beschäftigten sowie KI-Module in vernetzten Maschinen, die Nutzungsdaten von Bedienern erfassen. Die Datenschutz-Folgenabschätzung nach Art. 35 DSGVO und das Auskunftsrecht nach Art. 15 DSGVO – das grundsätzlich binnen eines Monats zu bedienen ist – bleiben unverändert in Kraft.
Die neue Maschinenverordnung (EU) 2023/1230, die die bisherige Maschinenrichtlinie ablöst, enthält erstmals spezifische Anforderungen an selbstlernende und autonome Maschinensteuerungen. Das CE-Kennzeichnungsverfahren wird für solche Maschinen enger an die Anforderungen der KI-Verordnung geknüpft sein, ohne dass beide Regelwerke identische Pflichten schaffen. Unternehmen müssen beide Konformitätsbewertungen koordinieren und in einer kohärenten technischen Dokumentation zusammenführen.
Die EU-Produkthaftungsrichtlinie (Neufassung 2024) schließt ausdrücklich KI-Systeme als Produkte ein und erleichtert Geschädigten die Beweisführung durch Offenlegungspflichten und eine widerlegliche Kausalitätsvermutung. Für Maschinenbauer, die KI-gestützte Sicherheitsfunktionen in ihre Produkte einbauen, erhöht sich damit das zivilrechtliche Haftungsrisiko gegenüber Endkunden und nachgelagerten Betreibern spürbar.
Praktische Schritte zur KI-Governance im mittelständischen Maschinenbauunternehmen
Eine strukturierte KI-Governance beginnt nicht mit der Beauftragung eines Software-Auditors, sondern mit einer unternehmensinternen Bestandsaufnahme. Welche KI-Systeme werden eingesetzt oder entwickelt? In welcher Rolle agiert das Unternehmen – als Anbieter, Betreiber oder in beiden Rollen? Welche dieser Systeme könnten als Hochrisiko einzustufen sein?
Aus dieser Bestandsaufnahme ergibt sich ein priorisierter Handlungsplan: Zunächst sind verbotene Praktiken auszuschließen und abzustellen. Anschließend sind für Hochrisiko-Systeme die erforderlichen Dokumentations- und Governance-Strukturen aufzubauen. Parallel dazu sind die Vertragsbeziehungen mit KI-Anbietern zu überprüfen: Die KI-Verordnung verpflichtet Anbieter zur Bereitstellung bestimmter Informationen und zur Kooperation; diese Pflichten müssen vertraglich gesichert sein.
Nach unserer Erfahrung ist der häufigste Fehler nicht das Fehlen guten Willens, sondern die fehlende Zuständigkeitsregelung im Unternehmen. Ohne klare Verantwortlichkeit für KI-Compliance – idealerweise auf Geschäftsführungsebene verankert und in eine bestehende Compliance-Struktur integriert – scheitert die Umsetzung an internen Abstimmungsproblemen und wird zeitlich immer weiter verschoben.
Die vorstehende Darstellung betrifft die Regelfälle des KI-Einsatzes im Maschinenbau. Ihr konkreter Fall erfordert die Prüfung der eingesetzten Systeme, der Vertragsbeziehungen und der unternehmensspezifischen Risikolage.
Für eine erste fachliche Einschätzung Ihrer Situation – insbesondere zur Klassifizierung eingesetzter KI-Systeme und zu den Anforderungen der KI-Verordnung für Ihr Unternehmen – schreiben Sie an info@brandtfalk.com.
Verwandte Leistungen
Häufige Fragen: KI-Einsatz im Unternehmen und die KI-Verordnung im Maschinenbau
Gilt die KI-Verordnung bereits für Maschinenbauunternehmen, die KI-Systeme einsetzen?
Ja, die KI-Verordnung (EU) 2024/1689 ist seit August 2024 in Kraft. Die Verbote für unzulässige KI-Praktiken gelten seit dem 2. Februar 2025. Für Hochrisiko-KI-Systeme, die in Maschinenprodukte eingebettet werden, gelten die vollständigen Pflichten ab dem 2. August 2026. Unternehmen sollten die Anwendungsstichtage genau im Blick behalten und den Aufbau ihrer Governance-Strukturen nicht auf den letzten Moment verschieben.
Wie unterscheidet die KI-Verordnung zwischen Anbieter und Betreiber?
Anbieter sind Unternehmen, die ein KI-System entwickeln und in Verkehr bringen oder in Betrieb nehmen; sie tragen die umfangreichsten Pflichten, darunter Konformitätsbewertung, technische Dokumentation und CE-Kennzeichnung. Betreiber setzen ein fertiges System im eigenen Betrieb ein und unterliegen einem abgestuften Pflichtenkatalog, etwa zur menschlichen Aufsicht und zur Aufbewahrung von Protokollen. Wichtig: Wer ein zugekauftes System wesentlich anpasst und in neue Produkte einbaut, wird selbst zum Anbieter.
Welche KI-Systeme gelten im Maschinenbau als Hochrisiko?
Hochrisiko-KI-Systeme im Maschinenbau sind insbesondere solche, die als Sicherheitskomponenten von Maschinen eingesetzt werden und damit in Anhang III der KI-Verordnung fallen. Dazu zählen beispielsweise KI-gestützte Kollisionsschutzsysteme, autonome Steuerungen mit Sicherheitsfunktion sowie KI-Module, die in Maschinen integriert sind, die der Maschinenverordnung unterliegen. Die genaue Einstufung ist im Einzelfall anhand der Systemfunktion und des Verwendungszwecks zu prüfen.
Wie hängen KI-Verordnung und DSGVO zusammen?
Beide Regelwerke gelten nebeneinander. Die KI-Verordnung ersetzt die DSGVO nicht; sie ergänzt sie für den spezifischen Bereich des KI-Einsatzes. Soweit ein KI-System personenbezogene Daten verarbeitet – etwa bei Zugangskontrollen oder Leistungsüberwachung im Betrieb – bleiben die DSGVO-Pflichten vollumfänglich anwendbar. Das schließt die Datenschutz-Folgenabschätzung (Art. 35 DSGVO) und die Meldepflicht bei Datenschutzverletzungen binnen 72 Stunden (Art. 33 DSGVO) ein.
Welche Bußgelder drohen bei Verstößen gegen die KI-Verordnung?
Das Sanktionssystem ist abgestuft: Verstöße gegen Verbote können bis zu 35 Millionen Euro oder 7 Prozent des weltweiten Jahresumsatzes nach sich ziehen. Pflichtverletzungen für Hochrisiko-Systeme sind mit bis zu 15 Millionen Euro oder 3 Prozent des Jahresumsatzes bewehrt. Für KMU sieht die Verordnung eine Verhältnismäßigkeitsprüfung vor, die jedoch keine grundsätzliche Ausnahme darstellt.
Was sollte ein mittelständisches Maschinenbauunternehmen jetzt konkret tun?
Als ersten Schritt empfehlen wir eine unternehmensweite Bestandsaufnahme aller eingesetzten und geplanten KI-Systeme sowie eine Einordnung nach Risikoklasse. Darauf aufbauend sind Zuständigkeiten intern zu klären, Vertragsbeziehungen zu KI-Anbietern zu überprüfen und ein dokumentierter Governance-Prozess zu etablieren. Die Begleitung durch eine auf IT-Recht und KI-Recht spezialisierte Kanzlei sichert die rechtliche Korrektheit der Einstufung und Dokumentation.
Die vorstehende Darstellung betrifft die Regelfälle des KI-Einsatzes im Unternehmen nach der KI-Verordnung. Ihr konkreter Sachverhalt – insbesondere die Frage, ob Ihre KI-Systeme als Hochrisiko einzustufen sind und welche Dokumentationspflichten Sie als Anbieter oder Betreiber treffen – erfordert eine individuelle anwaltliche Prüfung. Zur Klärung, wie die KI-Verordnung auf Ihr Maschinenbauunternehmen wirkt, wenden Sie sich an info@brandtfalk.com.
Dieser Beitrag dient ausschließlich der allgemeinen Information und stellt keine Rechtsberatung im Einzelfall dar. Er ersetzt nicht die anwaltliche Prüfung Ihres konkreten Sachverhalts. Für eine auf Ihre Situation zugeschnittene Beratung wenden Sie sich an info@brandtfalk.com.