AI Act in der Industrie – Predictive Maintenance und KI in der Produktion richtig einordnen

Eine Werkshalle voller Sensoren, ein Machine-Learning-Modell, das drei Wochen im Voraus ein Lagerversagen prognostiziert – ist das jetzt Hochrisiko-KI im Sinne des AI Act? Beim Thema AI Act Industrie lautet die reflexhafte Antwort vieler Compliance-Verantwortlicher „vermutlich ja”. Sie ist in den meisten Fällen falsch. Und wer sie ungeprüft übernimmt, verschwendet nicht nur Ressourcen an der falschen Stelle – er übersieht mit hoher Wahrscheinlichkeit die eine Konstellation, in der es tatsächlich ernst wird: die Kopplung von AI Act und Maschinen-Sicherheitsrecht.

Denn Industrie-KI ist der Bereich, in dem der AI Act nicht allein steht. Er greift in ein über Jahrzehnte gewachsenes Produktsicherheitsrecht ein – und genau an dieser Schnittstelle entscheidet sich, welche Pflichten Sie treffen und ab wann. Dieser Artikel ordnet die typischen Anwendungsfälle sauber ein.

AI Act Industrie: Wo KI in der Produktion reguliert wird

In der Produktion begegnet Ihnen KI heute in sehr unterschiedlichen Ausprägungen. Die häufigsten Anwendungsfälle:

• Predictive Maintenance: Vorhersage von Wartungsbedarf und Ausfallwahrscheinlichkeiten auf Basis von Sensordaten (Vibration, Temperatur, Stromaufnahme).
• Qualitätskontrolle per Bildverarbeitung: Automatische Erkennung von Fehlteilen, Kratzern oder Maßabweichungen am Fließband.
• Prozessoptimierung: Anpassung von Parametern wie Druck, Temperatur oder Vorschub zur Effizienzsteigerung.
• Robotersteuerung: KI-gestützte Bahnplanung, Greifsteuerung oder kollaborierende Robotik.

Nicht jede dieser Anwendungen fällt unter den AI Act – und selbst wenn, bedeutet das nicht automatisch „Hochrisiko”. Der AI Act arbeitet mit einem risikobasierten Ansatz: Die überwiegende Mehrheit betrieblicher KI-Anwendungen ist minimales oder begrenztes Risiko und unterliegt keinen strengen Pflichten.

Der entscheidende Unterschied: eigenständiges System vs. Sicherheitsbauteil

Für die Industrie ist eine Unterscheidung fundamental, die viele überlesen. Der AI Act kennt zwei Wege in die Hochrisiko-Klasse:

1. Eigenständige KI-Systeme, die einem der in Annex III gelisteten Einsatzbereiche zuzuordnen sind (etwa biometrische Identifizierung, kritische Infrastruktur, Beschäftigtenmanagement).
2. KI als Sicherheitsbauteil eines Produkts, das bereits nach dem in Annex I aufgeführten Produktsicherheitsrecht einer Konformitätsbewertung unterliegt – wozu insbesondere Maschinen zählen. Für Maschinen gilt seit dem Digital Omnibus allerdings ein Sonderweg über die Maschinenverordnung (dazu unten mehr).

Diese beiden Pfade folgen unterschiedlichen Logiken, unterschiedlichen Rechtsakten und – das ist praktisch entscheidend – unterschiedlichen Fristen. Wer eine Industrie-KI einordnet, muss zuerst klären, auf welchem der beiden Wege sie überhaupt in den Regelungsbereich fällt.

Ist Predictive Maintenance KI Hochrisiko-KI?

Beginnen wir mit dem Paradebeispiel. Predictive Maintenance ist ein hervorragender Testfall, weil die Antwort lautet: Es kommt darauf an – und zwar auf die Sicherheitsfunktion.

Der Normalfall: reine Prognose

Ein Modell, das aus Vibrationsdaten den Verschleiß eines Getriebes schätzt und dem Instandhaltungsteam einen Wartungstermin vorschlägt, erfüllt eine rein wirtschaftlich-organisatorische Funktion. Es steuert nichts. Es schaltet nichts ab. Es greift nicht in den sicherheitsgerichteten Betrieb der Maschine ein. Ein Techniker bewertet die Prognose und plant den Eingriff.

Ein solches System ist in aller Regel nicht in Annex III gelistet und auch kein Sicherheitsbauteil. Das hat der Digital Omnibus (Verordnung (EU) 2026/1744, in Kraft seit 27. Juli 2026) noch einmal klargestellt: Die Definition des Sicherheitsbauteils in Art. 3 Nr. 14 wurde enger gefasst. Eine Sicherheitsfunktion liegt nur vor, wenn die vom Anbieter festgelegte Zweckbestimmung darin besteht, Risiken für die Gesundheit und Sicherheit von Personen oder für Eigentum abzuwenden oder zu mindern. Systeme, die ausschließlich der Nutzerunterstützung, Leistungsoptimierung, Effizienz, Automatisierung, dem Bedienkomfort oder einer nicht sicherheitsrelevanten Qualitätskontrolle dienen, sind nach den Erwägungsgründen des Omnibus ausdrücklich keine Sicherheitsbauteile. Und die bloße Integration in eine Maschine macht ein KI-System noch nicht dazu. Eine klassische Predictive-Maintenance-KI ist damit regelmäßig kein Sicherheitsbauteil und typischerweise kein Hochrisiko-System. Welche Bereiche Annex III abschließend erfasst und warum reine Effizienz-KI dort nicht auftaucht, erläutern wir ausführlich in unserem Beitrag Hochrisiko-KI nach Annex III erklärt.

Der kritische Fall: sicherheitsrelevanter Eingriff

Anders liegt es, wenn dieselbe Technologie bestimmungsgemäß eine sicherheitsgerichtete Steuerungs- oder Abschaltfunktion übernimmt. Beispiel: Die KI erkennt eine kritische Temperaturentwicklung und löst selbstständig eine Notabschaltung aus, um Personen oder die Anlage zu schützen. Oder sie regelt eine Presse so, dass eine Kollision mit dem Bediener verhindert wird. Sobald das Modell zu einem Baustein wird, dessen Zweck der Schutz von Personen oder Eigentum ist, verlässt es die Komfortzone der reinen Prognose.

Der Unterschied lässt sich an zwei Fragen festmachen:

Ist es nach der vom Anbieter festgelegten Zweckbestimmung Aufgabe der KI, Risiken für Gesundheit und Sicherheit von Personen oder für Eigentum abzuwenden oder zu mindern? Oder würde ihr Versagen Personen oder Eigentum gefährden?

Lautet eine der Antworten ja, kann die KI ein Sicherheitsbauteil sein – und der zweite Regelungspfad (Annex I) wird relevant. Dient sie dagegen nur der Effizienz, Verfügbarkeit oder Wartungsplanung, bleibt es beim Normalfall.

Selbsteinstufung dokumentieren

Der Fehler in der Praxis ist selten die falsche Einordnung an sich, sondern das pauschale Ein- oder Ausschließen ohne Nachweis. Der AI Act erwartet, dass Sie Ihre Einstufung begründen. Wenn Sie zu dem Ergebnis kommen, dass Ihre Predictive-Maintenance-KI kein Hochrisiko-System ist, obwohl sie einem sensiblen Bereich nahekommt, sieht der AI Act in Artikel 6 Absatz 3 eine Ausnahmeregelung vor – die aber an Bedingungen geknüpft und dokumentationspflichtig ist. Wie diese Ausnahme funktioniert und wann Sie sich auf sie berufen können, behandeln wir gesondert im Beitrag zur Hochrisiko-Ausnahme nach Art. 6 Abs. 3. Der Grundsatz: dokumentierte Einordnung schlägt Bauchgefühl – in beide Richtungen.

KI in der Produktion und der AI Act: die Kopplung an Annex I

Hier liegt der eigentliche Kern für die Industrie. Artikel 6 Absatz 1 des AI Act erklärt eine KI dann zum Hochrisiko-System, wenn beide Bedingungen erfüllt sind:

• Die KI ist Sicherheitsbauteil eines Produkts (oder selbst ein solches Produkt), das unter die in Annex I gelistete Harmonisierungsrechtsvorschrift fällt, und
• dieses Produkt muss vor dem Inverkehrbringen einer Konformitätsbewertung durch Dritte unterzogen werden.

AI Act und Maschinenverordnung im Zusammenspiel

Für den Maschinenbau ist die relevante Vorschrift die Maschinenverordnung (EU) 2023/1230, die die alte Maschinenrichtlinie ablöst und ab 20. Januar 2027 verbindlich gilt. Die Maschinenverordnung hat den Fall der KI ausdrücklich mitgedacht: Sicherheitsbauteile mit „vollständig oder teilweise selbstentwickelndem Verhalten” werden dort besonders behandelt.

Update Juli 2026 – Digital Omnibus in Kraft: Mit der Verordnung (EU) 2026/1744 wurde die Maschinenverordnung in Annex I des AI Act von Abschnitt A nach Abschnitt B verschoben. Die technischen Hochrisiko-Anforderungen des AI Act gelten für KI-Sicherheitsbauteile in Maschinen damit nicht mehr direkt. Sie werden stattdessen per delegiertem Rechtsakt in die Maschinenverordnung übernommen, den die Kommission bis zum 2. August 2028 erlassen soll.

Das bedeutet konkret: Wenn Ihre KI ein sicherheitsgerichtetes Steuerungssystem einer Maschine bildet, ist Ihr maßgebliches Regelwerk die Maschinenverordnung. Sie enthält bereits eigene Anforderungen an sicherheitsrelevante, selbstlernende Steuerungen, und die KI-spezifischen Anforderungen des AI Act kommen künftig über den delegierten Rechtsakt hinzu. Sie müssen also nicht zwei getrennte Regelwerke nebeneinander abarbeiten.

Eine Konformitätsbewertung nach Maschinenverordnung, eine CE-Kennzeichnung

Für die Maschine gibt es keine separate Konformitätsbewertung nach dem AI Act – maßgeblich ist das Verfahren nach der Maschinenverordnung. Am Ende steht eine CE-Kennzeichnung der Maschine. Bis die KI-Anforderungen in die Maschinenverordnung übernommen sind, können Hersteller harmonisierte Normen und gemeinsame Spezifikationen nach dem AI Act nutzen, um die Konformitätsvermutung nach Art. 20 der Maschinenverordnung zu erreichen.

Für andere Annex-I-Produkte wie Medizinprodukte, Spielzeug oder Aufzüge (Abschnitt A) bleibt es dagegen beim ursprünglichen Modell: Die KI-Anforderungen des AI Act gelten direkt und werden in die Konformitätsbewertung nach der jeweiligen Produktvorschrift integriert. Wie die CE-Kennzeichnung im KI-Kontext funktioniert und welche Konformitätserklärung Sie brauchen, vertiefen wir im Beitrag zur CE-Kennzeichnung für KI.

Fristen: Was der AI Act wann für die Industrie vorschreibt

Die Zweiteilung der Regelungspfade schlägt direkt auf die Fristen durch. Seit dem Digital Omnibus sind es feste Kalendertermine – verwechseln Sie sie nicht.

Konstellation	Rechtsgrundlage	Anwendbar ab
Eigenständiges Hochrisiko-System (Annex III)	Art. 6 Abs. 2	2. Dezember 2027
KI-Sicherheitsbauteil in Maschinen (Annex I Abschnitt B)	Maschinenverordnung (EU) 2023/1230	Maschinenverordnung ab 20. Januar 2027; KI-Anforderungen über delegierten Rechtsakt in die Maschinenverordnung
KI-Sicherheitsbauteil in sonstigen Annex-I-Produkten (Abschnitt A, Bewertung durch Dritte)	Art. 6 Abs. 1	2. August 2028

Für die klassische Produktions-KI, die als Sicherheitsbauteil in einer Maschine steckt, ist also die Maschinenverordnung der zentrale Bezugspunkt: Sie gilt ab 20. Januar 2027, die KI-spezifischen Anforderungen folgen über den delegierten Rechtsakt. Wie die Fristen für eingebettete KI in Produkten insgesamt aussehen und was das für Hersteller bedeutet, erläutern wir im Beitrag zu den Fristen für eingebettete KI in Produkten.

Ein Rechenbeispiel: Ein Maschinenbauer plant, im Frühjahr 2027 eine neue Presse mit KI-gestützter Sicherheitssteuerung in Verkehr zu bringen. Für diese Maschine gilt dann bereits die Maschinenverordnung mit ihren Anforderungen an sicherheitsrelevante, selbstlernende Steuerungen; die KI-Anforderungen aus dem AI Act kommen über den delegierten Rechtsakt hinzu. Die Zeit bis dahin ist keine Verschnaufpause, sondern das realistische Zeitfenster, um Risikomanagement, technische Dokumentation und Nachweise sauber aufzubauen. Diese Verfahren brauchen erfahrungsgemäß zwölf bis achtzehn Monate Vorlauf – wer im Frühjahr 2027 liefern will, ist also schon heute spät dran.

Pflichten in der Praxis: Was Produktionsbetriebe konkret tun müssen

Ist eine Industrie-KI als Hochrisiko eingestuft, greift ein Katalog konkreter Pflichten. Bei eigenständigen Annex-III-Systemen und Sicherheitsbauteilen in Abschnitt-A-Produkten gelten sie direkt aus dem AI Act; bei Maschinen gelangen die technischen Anforderungen über den delegierten Rechtsakt in die Maschinenverordnung. Die wichtigsten für die Produktion:

• Risikomanagementsystem (Art. 9): ein kontinuierlicher Prozess über den gesamten Lebenszyklus, der vorhersehbare Fehlfunktionen und Missbrauchsszenarien der KI identifiziert und beherrscht.
• Datenqualität und Data Governance (Art. 10): Trainings-, Validierungs- und Testdaten müssen relevant, repräsentativ und möglichst fehlerfrei sein. Gerade bei Sensordaten ein unterschätzter Punkt – verrauschte oder unkalibrierte Signale führen zu systematisch falschen Prognosen. Was Art. 10 im Detail verlangt, lesen Sie im Beitrag zu Datenqualität und Data Governance nach Art. 10.
• Aufzeichnungspflichten / Logging (Art. 12): Das System muss Ereignisse automatisch protokollieren, damit sich Vorfälle nachvollziehen lassen.
• Menschliche Aufsicht (Art. 14): Es muss möglich sein, dass eine Person die KI überwacht, eingreift und im Zweifel eine Entscheidung übersteuert oder das System abschaltet.
• Technische Dokumentation (Art. 11): eine strukturierte Beschreibung des Systems, die die Konformität nachweisbar macht.

Anbieter oder Betreiber? Die Rolle bei zugekaufter Anlagen-KI

Ein Punkt, an dem sich viele Betriebe verrechnen: Kaufen Sie eine Maschine mit integrierter KI von einem Hersteller zu, sind Sie in der Regel nicht der Anbieter, sondern der Betreiber – und tragen damit deutlich schlankere Pflichten. Im Wesentlichen sind das: bestimmungsgemäße Nutzung, Sicherstellung menschlicher Aufsicht und Überwachung des Betriebs.

Vorsicht ist jedoch geboten, wenn Sie das System wesentlich verändern, es unter eigenem Namen einsetzen oder die Zweckbestimmung ändern – dann können Sie selbst zum Anbieter mit dem vollen Pflichtenkatalog werden. Wo genau die Grenze verläuft, klärt unser Beitrag zur Abgrenzung von Anbieter- und Betreiberpflichten. Diese Rollenklärung sollte am Anfang jeder Einordnung stehen, denn sie entscheidet über den gesamten Umfang Ihrer Verantwortung.

Vorgehen: In vier Schritten zur Einordnung

Die Theorie ist das eine – in einem Werk mit Dutzenden Anlagen brauchen Sie ein systematisches Vorgehen. Vier Schritte haben sich bewährt.

Schritt 1: Inventarisieren. Verschaffen Sie sich einen vollständigen Überblick, wo im Werk überhaupt KI im Einsatz ist – von der Kamera an der Endkontrolle bis zum Prognosemodell im Leitstand. Gerade in gewachsenen Produktionsumgebungen ist genau das die eigentliche Hürde: Viele Verantwortliche wissen nicht, wie sie ihre verstreuten Werks-KI-Anwendungen strukturiert erfassen und klassifizieren sollen, ohne sich in Einzelfallprüfungen zu verlieren. Ein einheitliches Raster – Anwendungsfall, Funktion, Sicherheitsrelevanz, Datengrundlage – bringt hier die nötige Ordnung.

Schritt 2: Risikoklasse und Sicherheitsrelevanz bestimmen. Prüfen Sie je Anwendung beide Pfade: Fällt sie in einen Annex-III-Bereich? Ist sie Sicherheitsbauteil einer Maschine (Annex I)? Oder ist sie schlicht minimales Risiko? Die Leitfrage bleibt die Sicherheitsfunktion.

Schritt 3: Rollen klären. Bestimmen Sie für jede Hochrisiko-Anwendung, ob Sie Anbieter oder Betreiber sind. Bei zugekaufter Anlagen-KI dokumentieren Sie die Zusicherungen des Herstellers.

Schritt 4: Pflichten ableiten und Dokumentation starten. Leiten Sie den konkreten Pflichtenkatalog ab und beginnen Sie frühzeitig mit der technischen Dokumentation und den Nachweisen. Der Aufbau dieser Unterlagen ist der zeitkritischste Teil.

Fazit

Der AI Act Industrie-Kontext ist kein Fall für Pauschalurteile. Die Mehrheit der Anwendungen in der Produktion – reine Wartungsprognosen, Prozessoptimierung, Effizienzsteigerung – ist kein Hochrisiko und unterliegt keinen strengen Anforderungen. Der Digital Omnibus hat das mit der engeren Definition des Sicherheitsbauteils noch bekräftigt: Effizienz, Leistungsoptimierung und Automatisierung machen keine Sicherheitsfunktion. Entscheidend ist die Sicherheitsfunktion: Ist eine KI dazu bestimmt, sicherheitsgerichtet zu steuern oder abzuschalten, wird sie zum Sicherheitsbauteil einer Maschine. Dann ist die Maschinenverordnung (EU) 2023/1230 – seit dem Omnibus in Annex I Abschnitt B – Ihr Regelwerk: eine Konformitätsbewertung nach Maschinenverordnung, eine CE-Kennzeichnung, die KI-Anforderungen kommen per delegiertem Rechtsakt hinzu.

Diese Zweiteilung zieht sich bis zu den Fristen durch: 2. Dezember 2027 für eigenständige Annex-III-Systeme, 20. Januar 2027 als Geltungsbeginn der Maschinenverordnung und 2. August 2028 für KI in den übrigen Annex-I-Produkten. Wer das verwechselt, plant an der Realität vorbei. Für Produktionsbetriebe zählen am Ende drei Dinge: eine dokumentierte Einstufung statt Bauchgefühl, eine saubere Rollenklärung zwischen Anbieter und Betreiber, und der rechtzeitige Aufbau von Risikomanagement, Datenqualität, Logging, menschlicher Aufsicht und technischer Dokumentation. Das Übergangsfenster ist dafür knapp genug, um jetzt zu beginnen.