Robotik regulieren heißt Systeme verstehen –
Die europäische Compliance-Architektur für intelligente Maschinen

Zunahme der Komplexität

Moderne Robotersysteme sind keine reinen Maschinen mehr, sondern komplexe cyber-physische Systeme. Mechanik, Software, Cloud-Dienste und künstliche Intelligenz verschmelzen zu einer funktionalen Einheit. 

Und das in einer volatilen Umgebung mit zunehmender Cyberkriminalität und fortschreitender KI-Technologie. 

Der europäische Gesetzgeber reagiert darauf nicht mit willkürlicher Überregulierung, sondern mit einer klaren Systematik. Die neuen Verordnungen regeln nicht denselben Sachverhalt mehrfach. Sie adressieren gezielt die unterschiedlichen Risiken moderner Systeme – von der klassischen Fehlfunktion über autonome KI-Entscheidungen bis hin zu Cybercrime. 

➡ Das Prinzip: Die Komplexität der Regulierung folgt der Komplexität des Produkts. Wer die Compliance-Architektur beherrschen will, muss bei der technischen Architektur der Maschine ansetzen.

Die Systematik der europäischen Regulierung

Warum sind die Regeln nicht einfach alle in der Maschinenverordnung gelandet? Weil bestimmte Risiken produktübergreifend sind. Die EU trennt hierbei strikt zwischen zwei Regelungsansätzen:  

• Sektorale Vorschriften (z.B. Maschinenverordnung): Sie regulieren das konkrete Produkt und seine spezifischen Eigenschaften und Risiken.
• Horizontale Vorschriften (z.B. AI Act und Cyber Resilience Act): Sie regulieren produktübergreifende Risiken und technische Eigenschaften – egal, ob es sich um einen Industrieroboter, ein Fahrzeug oder Medizintechnik handelt.

Die Trennung verhindert, dass Grundregeln für Cybersecurity oder KI für jede Produktgruppe neu erfunden werden müssen.

➡ Das Prinzip: Horizontale Rechtsakte regulieren technologieimmanente Risiken. Sektorale Rechtsakte regulieren das Produkt. Ein modernes Robotersystem unterliegt daher mehreren Regelwerken gleichzeitig.

Welche Bedeutung hat die Maschinenverordnung neben der KI-VO?

Die Maschinenverordnung bleibt das Fundament. Ihr Ziel ist unverändert: Der Schutz von Leib und Leben vor den spezifischen physikalischen Gefahren der Maschine.

Exemplarisch lässt sich die unterschiedliche Stoßrichtung am Begriff der Autonomie verdeutlichen:

• Die Maschinenverordnung regelt die physische Autonomie: Sie greift, wenn sich eine Maschine oder Teile davon selbstständig im Raum bewegen. Maßgeblich ist das Risiko durch bewegliche Teile.
• Der AI Act regelt die kognitive Autonomie: Er adressiert die Risiken autonomer Entscheidungen eines KI-Systems.

Übernimmt eine KI eine Sicherheitsfunktion der Maschine, greifen beide Verordnungen präzise ineinander.

➡ Die Maschinenverordnung schützt vor autonomen Bewegungen. Der AI Act regelt die Risiken der autonomen Entscheidung.

Warum braucht funktionale Sicherheit heute auch Cybersicherheit?

Die Maschinenverordnung fordert Sicherheitsfunktionen, die Gefahren im Betrieb verhindern. Diese Funktionen schützen jedoch nur, wenn das System manipulationssicher ist. Durch die zunehmende Vernetzung gilt: Eine funktional sichere Maschine ist nicht automatisch gegen Cyberangriffe geschützt. 

Hier setzt der Cyber Resilience Act (CRA) an:

• Die Maschinenverordnung definiert, welche Sicherheitsanforderungen eine Maschine erfüllen muss.
• Der CRA sichert die digitale Integrität der Maschine über ihren gesamten Lebenszyklus gegen Schwachstellen und Hacks ab.

➡ Funktionale Sicherheit setzt digitale Integrität voraus. Der Cyber Resilience Act sorgt dafür, dass die physischen Schutzmechanismen nicht durch digitale Angriffe ausgehebelt werden.

Welche Bedeutung kommt der Produkthaftung zu?

Maschinenhersteller stellen meist die pragmatische Frage: Wann bin ich endlich raus aus der Verantwortung?

Maschinenverordnung, CRA und AI Act antworten darauf nicht. Als öffentliches Sicherheitsrecht regeln sie nur die Marktzulassung. Ihre Hebel sind Bußgelder und Behördenverfahren.

Die Antwort für die zivile Haftung liefert das reformierte Produkthaftungsrecht. Und das verschiebt die Grenzen radikal.

Mechanische Bauteile verändern sich nach dem Verkauf nicht. Digitale Komponenten und der Cyberraum tun es ständig. KI lernt dazu, Softwareupdates verändern Funktionen, Bedrohungslagen wandeln sich täglich. Einmalig sicher konstruiert reicht nicht mehr aus.

Die Konsequenz für die Praxis: Ein Produkt kann heute nachträglich fehlerhaft werden. Versäumt ein Hersteller das Schwachstellenmanagement, behebt er Sicherheitslücken nicht unverzüglich per Update oder verliert er die Kontrolle über lernende KI-Systeme, greift die Produkthaftung. Und zwar verschuldensunabhängig.

Das Haftungsrecht knüpft damit direkt an den digitalen Lebenszyklus an. Das wirft neue Fragen auf:

• Wann führt ein Software-Update zu einer wesentlichen Veränderung?
• Wer haftet für die autonome Fehlentscheidung einer KI?
• Wann wird ein unterlassener Patch zum existenziellen Haftungsrisiko?

➡ Die Sicherheit intelligenter Maschinen ist kein statischer Zustand, sondern ein fortlaufender Prozess. Damit endet die Verantwortung des Herstellers nicht mehr am Fabriktor.

Update durch den „Digital Omnibus on AI“: Entbürokratisierung und das Risiko innovativer Produkte ohne Rechtsklarheit

Die europäische Regulierungsarchitektur bleibt auch im Jahr 2026 dynamisch. Durch den Digital Omnibus on AI (Verordnung [EU] 2026/1744) wurde die Maschinenverordnung im Gefüge des AI Acts von Anhang I Teil A in den Teil B verschoben.

Dieser Schritt dient primär der Entbürokratisierung: Der Gesetzgeber verzichtet im Maschinenbau auf ein paralleles, doppeltes Konformitätsverfahren aus KI-VO und Produktrecht. Stattdessen wird die KI-Compliance direkt in das vertraute CE-Verfahren des Maschinenrechts integriert. Flankierend dazu wurde der Termin für die verpflichtende Anwendung der KI-VO auf Hochrisiko-KI-Systeme im Produktbereich auf den 2. August 2028 verschoben. 

➡ Das Problem für die Praxis: Die Hängepartie bei der Produktentwicklung

Für Maschinenbauer bedeutet dieser zeitliche Aufschub nicht unbedingt eine Entlastung, aber ein strategisches Dilemma. Unabhängig von Übergangsfristen bergen KI-Systeme schon heute Risiken, denen Hersteller bei der Integration technologisch begegnen müssen.

Da die Europäische Kommission die konkreten technischen Anforderungen an relevante KI-Systeme in den kommenden Monaten erst noch über sogenannte delegierte Rechtsakte und Leitlinien ausformulieren muss, fehlt es aktuell an den finalen Prüfkriterien.

Wer heute KI-Komponenten integriert, muss nach pflichtgemäßem Ermessen und auf Basis der bestehenden, groben Vorgaben der KI-VO handeln. Das eigentliche Risiko für Maschinenbauer heute ist die Ungewissheit: 

➡ Niemand kann garantieren, ob die heute implementierten Sicherheitsarchitekturen nach 2028 noch als konform eingestuft werden.

➡ Fazit: Die technologische Realität wartet nicht auf die finale Konkretisierung des Gesetzgebers. Die Kunst der heutigen Haftungsvermeidung liegt darin, KI-Systeme so flexibel und modular zu designen, dass sie an die kommenden delegierten Rechtsakte ohne wirtschaftlichen Totalschaden angepasst werden können.