Robotik regulieren heißt Systeme verstehen –
Die europäische Compliance-Architektur für intelligente Maschinen

Maschinenverordnung, AI Act und Cyber Resilience Act bilden keinen willkürlichen Regelungsdschungel, sondern folgen einer klaren, technologieimmanenten Systematik. Erfahren Sie, in welchen Aspekten die Haftungsvermeidung für intelligente Maschinen heute zu einem fortlaufenden Prozess über den Zeitpunkt des Inverkehrbringens hinaus wird.

Zunahme der Komplexität

Moderne Robotersysteme sind keine reinen Maschinen mehr, sondern komplexe cyber-physische Systeme. Mechanik, Software, Cloud-Dienste und künstliche Intelligenz verschmelzen zu einer funktionalen Einheit.

Und das in einer volatilen Umgebung mit zunehmender Cyberkriminalität und fortschreitender KI-Technologie.

Der europäische Gesetzgeber reagiert darauf nicht mit willkürlicher Überregulierung, sondern mit einer klaren Systematik. Die neuen Verordnungen regeln nicht denselben Sachverhalt mehrfach. Sie adressieren gezielt die unterschiedlichen Risiken moderner Systeme – von der klassischen Fehlfunktion über autonome KI-Entscheidungen bis hin zu Cybercrime.

➡ Das Prinzip: Die Komplexität der Regulierung folgt der Komplexität des Produkts. Wer die Compliance-Architektur beherrschen will, muss bei der technischen Architektur der Maschine ansetzen.

Die Systematik der europäischen Regulierung

Warum sind die Regeln nicht einfach alle in der Maschinenverordnung gelandet? Weil bestimmte Risiken produktübergreifend sind. Die EU trennt hierbei strikt zwischen zwei Regelungsansätzen:

Sektorale Vorschriften (z.B. Maschinenverordnung): Sie regulieren das konkrete Produkt und seine spezifischen Eigenschaften und Risiken.
Horizontale Vorschriften (z.B. AI Act und Cyber Resilience Act): Sie regulieren produktübergreifende Risiken und technische Eigenschaften – egal, ob es sich um einen Industrieroboter, ein Fahrzeug oder Medizintechnik handelt.

Die Trennung verhindert, dass Grundregeln für Cybersecurity oder KI für jede Produktgruppe neu erfunden werden müssen.

➡ Das Prinzip: Horizontale Rechtsakte regulieren technologieimmanente Risiken. Sektorale Rechtsakte regulieren das Produkt. Ein modernes Robotersystem unterliegt daher mehreren Regelwerken gleichzeitig.

Welche Bedeutung hat die Maschinenverordnung neben der KI-VO?

Die Maschinenverordnung bleibt das Fundament. Ihr Ziel ist unverändert: Der Schutz von Leib und Leben vor den spezifischen physikalischen Gefahren der Maschine.

Exemplarisch lässt sich die unterschiedliche Stoßrichtung am Begriff der Autonomie verdeutlichen:

Die Maschinenverordnung regelt die physische Autonomie: Sie greift, wenn sich eine Maschine oder Teile davon selbstständig im Raum bewegen. Maßgeblich ist das Risiko durch bewegliche Teile.
Der AI Act regelt die kognitive Autonomie: Er adressiert die Risiken autonomer Entscheidungen eines KI-Systems.

Übernimmt eine KI eine Sicherheitsfunktion der Maschine, greifen beide Verordnungen präzise ineinander.

➡ Die Maschinenverordnung schützt vor autonomen Bewegungen. Der AI Act regelt die Risiken der autonomen Entscheidung.

Warum braucht funktionale Sicherheit heute auch Cybersicherheit?

Die Maschinenverordnung fordert Sicherheitsfunktionen, die Gefahren im Betrieb verhindern. Diese Funktionen schützen jedoch nur, wenn das System manipulationssicher ist. Durch die zunehmende Vernetzung gilt: Eine funktional sichere Maschine ist nicht automatisch gegen Cyberangriffe geschützt.

Hier setzt der Cyber Resilience Act (CRA) an:

Die Maschinenverordnung definiert, welche Sicherheitsanforderungen eine Maschine erfüllen muss.
Der CRA sichert die digitale Integrität der Maschine über ihren gesamten Lebenszyklus gegen Schwachstellen und Hacks ab.

➡ Funktionale Sicherheit setzt digitale Integrität voraus. Der Cyber Resilience Act sorgt dafür, dass die physischen Schutzmechanismen nicht durch digitale Angriffe ausgehebelt werden.

Welche Bedeutung kommt der Produkthaftung zu?

Maschinenhersteller stellen meist die pragmatische Frage: Wann bin ich endlich raus aus der Verantwortung?

Maschinenverordnung, CRA und AI Act antworten darauf nicht. Als öffentliches Sicherheitsrecht regeln sie nur die Marktzulassung. Ihre Hebel sind Bußgelder und Behördenverfahren.

Die Antwort für die zivile Haftung liefert das reformierte Produkthaftungsrecht. Und das verschiebt die Grenzen radikal.

Mechanische Bauteile verändern sich nach dem Verkauf nicht. Digitale Komponenten und der Cyberraum tun es ständig. KI lernt dazu, Softwareupdates verändern Funktionen, Bedrohungslagen wandeln sich täglich. Einmalig sicher konstruiert reicht nicht mehr aus.

Die Konsequenz für die Praxis: Ein Produkt kann heute nachträglich fehlerhaft werden. Versäumt ein Hersteller das Schwachstellenmanagement, behebt er Sicherheitslücken nicht unverzüglich per Update oder verliert er die Kontrolle über lernende KI-Systeme, greift die Produkthaftung. Und zwar verschuldensunabhängig.

Das Haftungsrecht knüpft damit direkt an den digitalen Lebenszyklus an. Das wirft neue Fragen auf:

Wann führt ein Software-Update zu einer wesentlichen Veränderung?
Wer haftet für die autonome Fehlentscheidung einer KI?
Wann wird ein unterlassener Patch zum existenziellen Haftungsrisiko?

➡ Die Sicherheit intelligenter Maschinen ist kein statischer Zustand, sondern ein fortlaufender Prozess. Damit endet die Verantwortung des Herstellers nicht mehr am Fabriktor.

Update durch den „Digital Omnibus on AI“: Entbürokratisierung und das Risiko innovativer Produkte ohne Rechtsklarheit

Die europäische Regulierungsarchitektur bleibt auch im Jahr 2026 dynamisch. Durch den Digital Omnibus on AI (Verordnung [EU] 2026/1744) wurde die Maschinenverordnung im Gefüge des AI Acts von Anhang I Teil A in den Teil B verschoben.

Dieser Schritt dient primär der Entbürokratisierung: Der Gesetzgeber verzichtet im Maschinenbau auf ein paralleles, doppeltes Konformitätsverfahren aus KI-VO und Produktrecht. Stattdessen wird die KI-Compliance direkt in das vertraute CE-Verfahren des Maschinenrechts integriert. Flankierend dazu wurde der Termin für die verpflichtende Anwendung der KI-VO auf Hochrisiko-KI-Systeme im Produktbereich auf den 2. August 2028 verschoben.

➡ Das Problem für die Praxis: Die Hängepartie bei der Produktentwicklung

Für Maschinenbauer bedeutet dieser zeitliche Aufschub nicht unbedingt eine Entlastung, aber ein strategisches Dilemma. Unabhängig von Übergangsfristen bergen KI-Systeme schon heute Risiken, denen Hersteller bei der Integration technologisch begegnen müssen.

Da die Europäische Kommission die konkreten technischen Anforderungen an relevante KI-Systeme in den kommenden Monaten erst noch über sogenannte delegierte Rechtsakte und Leitlinien ausformulieren muss, fehlt es aktuell an den finalen Prüfkriterien.

Wer heute KI-Komponenten integriert, muss nach pflichtgemäßem Ermessen und auf Basis der bestehenden, groben Vorgaben der KI-VO handeln. Das eigentliche Risiko für Maschinenbauer heute ist die Ungewissheit:

➡ Niemand kann garantieren, ob die heute implementierten Sicherheitsarchitekturen nach 2028 noch als konform eingestuft werden.

➡ Fazit: Die technologische Realität wartet nicht auf die finale Konkretisierung des Gesetzgebers. Die Kunst der heutigen Haftungsvermeidung liegt darin, KI-Systeme so flexibel und modular zu designen, dass sie an die kommenden delegierten Rechtsakte ohne wirtschaftlichen Totalschaden angepasst werden können.

KI-Trainingsdaten aus dem Netz
Web-Crawling vs. Urheberrecht –
1:0 für Innovation

Für das grundlegende Training von KI-Modellen bedarf es einer möglichst großen Menge qualitativ hochwertiger Daten. Diese können von Datenplattformen bezogen oder aus dem Internet generiert werden. Letzteres, auch Web-Crawling oder Data Mining genannt, ging bisher für Unternehmen mit erheblichen rechtlichen Unsicherheiten einher, denn die im Internet verfügbaren Bilder und Texte (Werke) sind im Grundsatz erstmal urheberrechtlich geschützt, ihre Nutzung von der Zustimmung des Urhebers abhängig.

Rechtliche Grundlagen

Verfassungsrechtliche Grundlagen des Urheberrechts sind Art. 14 Abs. 1 GG und Art. 17 Satz 1 EU-Grundrechtscharta (GRCh), die den Schutz des Eigentums gewährleisten. Allerdings unterliegt dieses Recht Schranken, da gemäß Art. 14 Abs. 2 GG und Art. 17 Satz 3 GRCh Eigentum auch der Allgemeinwohlverpflichtung unterliegt. Entsprechend müssen Ausnahmen die Entwicklung und den Einsatz neuer Technologien zum gesellschaftlichen Nutzen rechtlich sicher ermöglichen und gewährleisten, siehe auch EuGH, Urteil vom 05.06.2014 – C-360/13. Gewicht hat in diesem Zusammenhang zudem das Grundrecht der unternehmerische Freiheit der KI-Trainer aus Art. 12 GG und Art. 16 GRCh, das mit dem Urheberrecht in Ausgleich zu bringen ist ➡ Grundrechtsabwägung.

Um in der Privatwirtschaft Innovationen anzuregen, definierte die EU im Jahr 2019 darauf basierend mit der so genannten DSM-Richtlinie (Richtlinie (EU) 2019/790) den Begriff des Text und Data Mining und legte Ausnahmen vom Urheberrechtsschutz fest. Dem unternehmerischen KI-Trainer wurde ohne Zustimmung des Urhebers ermöglicht, Kopien der Werke anzufertigen und so lange wie zum Zweck des Text und Data Mining erforderlich aufzubewahren.

Umsetzung der Richtlinie in deutsches Recht

Die Richtlinie wurde mit Wirkung zum 07.06.2021 in Deutschland umgesetzt:

§ 44b UrhG

(1) Text und Data Mining ist die automatisierte Analyse von einzelnen oder mehreren digitalen oder digitalisierten Werken, um daraus Informationen insbesondere über Muster, Trends und Korrelationen zu gewinnen.

(2) Zulässig sind Vervielfältigungen von rechtmäßig zugänglichen Werken für das Text und Data Mining. Die Vervielfältigungen sind zu löschen, wenn sie für das Text und Data Mining nicht mehr erforderlich sind.

(3) Nutzungen nach Absatz 2 Satz 1 sind nur zulässig, wenn der Rechtsinhaber sich diese nicht vorbehalten hat. Ein Nutzungsvorbehalt bei online zugänglichen Werken ist nur dann wirksam, wenn er in maschinenlesbarer Form erfolgt.

Der Wortlaut des § 44b UrhG scheint auf den ersten Blick eindeutig. Tatsächlich gibt es aber auch hier eingehende Diskussionen. Ein wesentlicher Aspekt ist, dass eine wichtige europarechtliche Vorgabe zum Schutz der Urheber vom deutschen Gesetzgeber nicht umgesetzt wurde. Aus Art. 5 Abs. 5 InfoSoc-RiLi iVm Art. 7 Abs. 2 S. 1 DSM-RiLi ergibt sich:

➡ § 44b UrhG darf „nur in bestimmten Sonderfällen angewandt werden, in denen die normale Verwertung des Werks oder des sonstigen Schutzgegenstands nicht beeinträchtigt wird und die berechtigten Interessen des Rechtsinhabers nicht ungebührlich verletzt werden.“

Klarstellungen des Landgericht Hamburg

Die Berufung des Urhebers auf Art. 5 Abs. 5 InfoSoc-RiLi iVm Art. 7 Abs. 2 S. 1 DSM-RiLi mit der Behauptung, dass Text und Data Mining immer zu einer ungebührlichen Verletzung der Interessen des Rechtsinhabers führt, überzeugte das Gericht nicht. Beim Zusammenstellen des Trainigssatzes (1. Handlung) mag die Nutzung zur Herstellung eines konkurrierenden Werks zwar angestrebt sein, absehbar ist aber weder, ob das Training (2. Handlung) erfolgreich sein wird, noch welche konkreten Inhalte mit der trainierten KI generiert werden (3. Handlung). Bei der Bewertung der Rechtmäßigkeit der Vervielfältigungshandlung zum Zweck der Erstellung des Trainingsdatensatzes könne es wegen der anderenfalls entstehenden Rechtsunsicherheit allein auf den Einfluss dieser Handlung auf die Rechtsposition des Urhebers ankommen und dieser sei nicht ungebührlich. Jede andere Bewertung würde dem Zweck der Innovationsförderung gänzlich zuwiderlaufen. Die Risiken für KI-Trainer wären schlicht nicht akzeptabel.
Eine in der juristischen Literatur teilweise geforderte einschränkende Auslegung (teleologische Reduktion) dahingehend, dass mit § 44b Abs. 1 UrhG nur die Erschließung der „in den Daten verborgenen Information“, nicht aber die Nutzung des „Inhalts der geistigen Schöpfung“ ausnahmsweise erlaubt sei,überzeugt nach Auffassung des Gerichts nicht, weil eine hinreichend rechtssichere Abgrenzung der verborgenen Informationen von dem Inhalt der geistigen Schöpfung nicht möglich ist.
Davon abgesehen habe der europäische Gesetzgeber mit Art. 53 Abs. 1 lit. c) KI-VO unzweifelhaft zum Ausdruck gebracht, dass die Erstellung von zum Training künstlicher neuronaler Netze bestimmten Datensätzen durch Text und Data Mining grundsätzlich zulässig ist, wenn a) der Urheber nicht in maschinenlesbarer Form einen diesbezüglichen Vorbehalt erklärt hat (§ 44b Abs. 3 UrhG), b) die normale Verwendung des Schutzgegenstandes nicht beeinträchtigt wird und c) die berechtigten Interessen des Rechtsinhabers nicht ungebührlich verletzt werden, s.o.

Fazit

Das Landgericht Hamburg hat sich in diesem ersten deutschen Urteil zum Thema

Text und Data Mining zum Zweck des KI-Training

deutlich zum Erfordernis der Rechtsklarheit zu Gunsten der Innovation bekannt. Einschränkungen dieser Technologie müssen für Entwickler so klar sein, dass rechtliche Risiken erkannt und bewertet werden können.

Quellen

LG Hamburg, Urt. v. 27.09.2024 – 310 O 227/23
EuGH, Urt. v. 05.06.2014, Az. C-360/13, Rn. 43
EuGH, Urt. v. 16.07.2009, Az. C-5/98

Richtlinie 2001/29/EG des EP und des Rates vom 22.5.2001 zur Harmonisierung bestimmter Aspekte des Urheberrechts und der verwandten Schutzrechte in der Informationsgesellschaft (InfoSoc-RiLi)
Richtlinie (EU) 2019/790 des EP und des Rates vom 17.4.2019 über das Urheberrecht und die verwandten Schutzrechte im digitalen Binnenmarkt und zur Änderung der Richtlinie 96/9/EG und 2001/29/EG (DSM-RiLi)

Schlagwort: #KI