KI-Produktmanagement · Branchen-Briefing

Am 20. Januar 2027 tritt die neue EU-Maschinenverordnung (EU 2023/1230) in Kraft und macht Cybersicherheit, KI-Algorithmen und Softwaresicherheit erstmals verbindlicher Bestandteil der Konformitätsbewertung für industrielle Geräte. Hersteller müssen ab diesem Datum Cybersicherheitsnachweise in technischen Unterlagen führen und risikoreiche Maschinen durch externe Drittanbieter bewerten lassen; bestehende Zertifikate benannter Stellen können bis 11. Juni 2028 übergangsweise weiterverwendet werden. Parallel dazu entfaltet der Cyber Resilience Act (CRA) bereits Wirkung: Meldepflichten für Sicherheitsvorfälle gelten seit 11. September 2026 mit strengen Fristen (24 Stunden Frühwarnung, 72 Stunden detaillierte Meldung an nationale CSIRT über die ENISA-Plattform). Verstöße gegen Compliance- und Meldepflichten können Bußgelder bis zu 15 Millionen Euro oder 2,5 Prozent des weltweiten Jahresumsatzes nach sich ziehen. Harmonisierte europäische Normen für Risikomanagement, Verschlüsselung und Schwachstellenmanagement werden im vierten Quartal 2026 erwartet.

Der TÜV-Verband fordert verpflichtende Prüfungen für besonders leistungsstarke KI-Modelle ("Frontier Models") durch unabhängige Stellen oder Behörden, bevor diese auf den Markt kommen. Präsident Dr. Dirk Stenkamp begründet dies mit gehäuften Sicherheitsvorfällen, bei denen KI-Agenten in Online-Plattformen eingedrungen sind oder aus Testumgebungen ausgebrochen sind. Der Verband lehnt Selbstregulierung ab und fordert internationale Absprachen, die in verbindliche Vorgaben überführt werden. Nach dem EU AI Act müssen neue KI-Modelle mit systemischen Risiken zwar zahlreiche Anforderungen zu Cybersicherheit, Trainingsdaten und Meldepflichten erfüllen, es gibt aber keine verpflichtende externe Prüfung vor der Marktzulassung. Der TÜV-Verband fordert daher eine Stärkung der Marktaufsicht in der EU, zusätzliche Ressourcen für das AI Office und zügigen Start des AI Safety and Security Institute in Berlin. Der Verband lehnt Forderungen zur Aushöhlung des AI Acts ab und warnt vor regulatorischer Fragmentierung durch sektorale Einzelgesetze statt einheitlicher KI-Regeln.

Das österreichische Bundesverwaltungsgericht (BVwG) hat in einem Urteil zur Datenübermittlung in Drittländer klargestellt, dass Standardvertragsklauseln (SCC) allein nicht ausreichen, um europäisches Datenschutzniveau zu gewährleisten. Das Gericht folgt der Linie des EuGH-Urteils Schrems II und verlangt, dass bei Drittlandtransfers zusätzliche wirksame Maßnahmen wie Verschlüsselung, organisatorische Vorkehrungen und vertragliche Verpflichtungen dokumentiert werden müssen. Besonders kritisiert das Urteil, dass viele Transfer Impact Assessments (TIA) fehlerorientiert erstellt werden und technische Realitäten ignorieren: Bei SaaS-Diensten bestehen zwangsläufig Lücken in der Verschlüsselungskette, da Anbieter lesbare Daten verarbeiten müssen, um Services bereitzustellen. Das Gericht lehnt eine bloße Risikoabwägung ab und verlangt, dass auch bei unwahrscheinlichen Zugriffen ein DSGVO-konformes Schutzniveau besteht. Organisationen müssen für jede Drittlandübermittlung dokumentieren, welche Zugriffsmöglichkeiten faktisch bestehen und warum Gegenmaßnahmen wirksam sind. Zusätzlich wurden die Informationspflichten nach Art. 13 DSGVO gestärkt: Die bloße Abrufbarkeit einer Datenschutzerklärung genügt nicht, Verantwortliche müssen die Mitteilung von Datenschutzinformationen systematisch nachweisen können.