KI-Produktmanagement · Branchen-Briefing

Siemens-Chef Roland Busch warnt vor KI-Überregulierung in der EU und kritisiert die lange Verabschiedungsdauer von Regelwerken wie dem AI Act und Data Act. Er argumentiert, dass zwischen der Regulierungsgeschwindigkeit und der Entwicklungsgeschwindigkeit von KI-Modellen eine erhebliche Lücke klafft – während Regelwerke zwei Jahre bis zur Verabschiedung benötigen, könnten KI-Modelle in dieser Zeit bereits sechs- bis achtmal Fortschritte machen. Busch betont, dass starre und prozessorientierte Zulassungslogiken den MLOps-Lebenszyklus bremsen und den Time-to-Value verlängern. Gleichzeitig stuft er den KI-Boom nicht als Blase ein, da ein großer Teil der Investitionen von Unternehmen mit starkem Cashflow stammt, was auf nachhaltige Kapazitätsnachfrage hindeutet. Er warnt vor einer Verschärfung der europäischen Wettbewerbsfähigkeit durch ungünstig aufeinander abgestimmte Regulierungsdauer und Marktdynamik, insbesondere im Wettbewerb mit leistungsstarken Konkurrenten in China.

Ab dem 11. September 2026 treten erstmals verbindliche Meldepflichten des EU-Cyber Resilience Act (CRA) in Kraft. Der CRA schafft einen einheitlichen Regulierungsrahmen für Cybersicherheit digitaler Produkte über deren gesamten Lebenszyklus und betrifft hunderte Millionen vernetzte Geräte in der EU. Die vollständigen Anforderungen gelten ab dem 11. Dezember 2027 – dann dürfen Produkte mit digitalen Elementen nur noch in Verkehr gebracht werden, wenn sie definierte Sicherheitsvorgaben erfüllen, darunter Security-by-Design-Prinzipien, geregelte Sicherheitsupdates und nachvollziehbare Risikomanagementprozesse. Hersteller müssen entlang des gesamten Produktlebenszyklus technische und organisatorische Maßnahmen umsetzen: Schwachstellen systematisch identifizieren und beheben, Software Bills of Materials (SBOMs) erstellen zur Dokumentation von Softwarekomponenten, und kontinuierliches Vulnerability Management etablieren. Die Umsetzung stellt Unternehmen vor erhebliche Herausforderungen, besonders bei komplexen Produktportfolios und Lieferketten, da bestehende Systeme oft nicht für kontinuierliche Softwareüberwachung ausgelegt sind und Sicherheitsmaßnahmen über Jahre hinweg aufrechterhalten werden müssen.

Der Artikel behandelt US-amerikanische AI-Litigationen und deren Verschiebung vom Fokus auf Modellentwickler hin zu Unternehmen, die AI-Systeme einsetzen. Relevant für KI-Produktmanagement: Gerichte erlauben zunehmend Produkthaftungs- und Verschuldenstheorien gegen deployer von AI-Systemen, insbesondere bei verbrauchergerichteten Chatbots. Die Rechtsprechung etabliert Dokumentationspflichten für Sicherheitstests, Bias-Audits und Designentscheidungen. Im Bereich Hiring-Discrimination zeigt die Mobley v. Workday-Entscheidung, dass weder Arbeitgeber noch Softwareanbieter der Haftung entgehen können, während neue FCRA-basierte Theorien entstehen. Regulierungschallenges wie Colorados AI Act und deren verfassungsrechtliche Anfragen beeinflussen die Compliance-Anforderungen. Für Unternehmen mit verbrauchergerichteten AI-Features sind strenge Dokumentation von Sicherheitsmaßnahmen, transparente Vendor-Kommunikation zur Datenprovenienz und konsistente Datenschutz-Compliance zu Kernverpflichtungen geworden.