KI-Regulierung im Auto
Was AI Act, Data Act und neue Produkthaftung wirklich bedeuten

Seit 2024 hat die EU binnen kurzer Zeit vier Rechtsakte verabschiedet, die direkt in Entwicklung, Datenhoheit und Haftung vernetzter, KI-gestützter Fahrzeuge eingreifen: den AI Act, den Data Act, die überarbeitete Produkthaftungsrichtlinie und, meist im Hintergrund, den Digital Markets Act. In Fachartikeln und Vorträgen werden diese vier Regelwerke häufig durcheinandergebracht, mit spürbaren Folgen für Compliance-Entscheidungen bei Herstellern und Zulieferern. Dieser Beitrag ordnet anhand konkreter Fälle, welches Gesetz wofür zuständig ist, welche Fristen inzwischen gelten und wo die Regulierung selbst zum Hindernis für den europäischen Marktzugang wird.

1. Wer haftet, wenn das Update das Auto verändert

2019 spielte Tesla per Software-Update die Ladeleistung und die maximale Batteriekapazität bei einem Teil der Model-S- und Model-X-Flotte mit 85-kWh-Akku herunter, nach einem Fahrzeugbrand in Hongkong. Betroffene Halter meldeten Reichweitenverluste von bis zu 30 Meilen, ein dokumentierter Fall zeigt einen Rückgang von 247 auf 217 Meilen innerhalb von fünf Wochen. Ein norwegisches Gericht befand Tesla 2021 für schuldig und sprach jedem der 30 beteiligten Kläger zunächst 136.000 Kronen zu, in der Berufung reduziert auf rund 14.000 US-Dollar pro Person. In den USA endete eine parallele Sammelklage mit einem Vergleich über 1,5 Millionen Dollar, umgerechnet 625 Dollar je Fahrzeughalter.[1]

Der Fall liegt sieben Jahre zurück. Die Rechtslage, unter der er heute verhandelt würde, hat sich seither verändert. Ursprünglich sollte eine eigene AI Liability Directive die Beweisführung bei KI-Schäden erleichtern. Die EU-Kommission listete sie im Februar 2025 zur Rücknahme, mangels Einigungsfähigkeit unter den Mitgliedstaaten, und zog sie am 6. Oktober 2025 offiziell zurück.

An ihre Stelle tritt die überarbeitete Produkthaftungsrichtlinie (EU) 2024/2853, seit Dezember 2024 in Kraft, umzusetzen in nationales Recht bis zum 9. Dezember 2026.[2] Sie definiert Software und KI-Systeme erstmals ausdrücklich als Produkt und hält an der verschuldensunabhängigen Haftung fest. Für Fahrzeughersteller sind drei Regelungen besonders relevant. Erstens die Fehlerdefinition: Ein Produkt gilt als fehlerhaft, wenn es nicht die Sicherheit bietet, die eine Person erwarten darf, ausdrücklich unter Einbeziehung der Fähigkeit des Systems, nach dem Verkauf weiterzulernen. Zweitens die Beweislast: Verweigert der Hersteller die Offenlegung relevanter Unterlagen, wird die Fehlerhaftigkeit vermutet, ebenso bei technischer Komplexität, die dem Geschädigten den Beweis unzumutbar erschwert, eine Klausel mit direktem Bezug auf maschinelles Lernen. Drittens die Update-Haftung: Der Standardeinwand, ein Fehler habe beim Verkauf noch nicht bestanden, entfällt, wenn er auf ein Software-Update im Kontrollbereich des Herstellers zurückgeht, ob durch Aktualisierung oder durch die eigenständige Weiterentwicklung eines lernenden Algorithmus.[3]

Deutschland arbeitet die Richtlinie derzeit in ein neues Produkthaftungsgesetz um. Das Bundesjustizministerium legte im September 2025 einen Referentenentwurf vor, die Bundesregierung beschloss den Regierungsentwurf im Dezember, die erste Bundestagslesung fand am 4. März 2026 statt, die Anhörung im Rechtsausschuss am 13. April. Zielinkrafttreten bleibt der 9. Dezember 2026.[4]

Ein Fall wie der Volvo-EX60-Rollout zeigt, wie unmittelbar das neue Recht wird, gerade im Vergleich zur noch geltenden Rechtslage. Zur Fahrzeugpremiere im Januar 2026 kündigte Volvo an, rund 2,5 Millionen Fahrzeuge ab Modelljahr 2020 per Fernupdate mit neuer Bedienoberfläche auszustatten, auf einem Teil der Flotte ersetzt Google Gemini den bisherigen Sprachassistenten.[5] CTO Anders Bell nannte es „eines der größten Over-the-Air-Updates der Weltgeschichte".

Unter der bislang gültigen Produkthaftungsrichtlinie von 1985 hätte Volvo zwei Verteidigungslinien zur Verfügung gestanden, die mit dem neuen Recht wegfallen. Erstens ließ sich bestreiten, dass Software überhaupt ein Produkt im Sinne der Richtlinie ist. Geschädigte mussten dann über das allgemeine, verschuldensabhängige Deliktsrecht klagen und dem Hersteller ein konkretes Verschulden nachweisen, eine hohe Hürde gegenüber einem für Außenstehende kaum durchschaubaren KI-System. Zweitens erlaubte Artikel 7 Buchstabe b der alten Richtlinie dem Hersteller den Einwand, ein Fehler habe im Zeitpunkt des Inverkehrbringens noch nicht bestanden, was bei einem erst nachträglich per Update eingespielten Fehler regelmäßig zum vollständigen Haftungsausschluss führte.[3]

Beide Auswege schließt die neue Richtlinie. Software und KI-Systeme gelten ab dem 9. Dezember 2026 ausdrücklich als Produkt, verschuldensunabhängig haftbar. Und der Einwand, der Fehler sei erst nach dem Verkauf entstanden, greift nicht mehr, wenn er auf ein Update im Kontrollbereich des Herstellers zurückgeht. Für den Volvo-Fall bedeutet das: Verursacht die neue Gemini-Integration einen Fehler, der einen Schaden auslöst, bleibt Volvo dafür haftbar, unabhängig davon, ob das ursprünglich verkaufte Fahrzeug beim Kauf fehlerfrei war.

2. Wem gehören die Fahrzeugdaten

Eine freie Werkstatt will auf Ladezustand und Diagnosedaten eines Elektrofahrzeugs zugreifen, um markenübergreifenden Service anzubieten. Der Hersteller kontrolliert die technische Schnittstelle und entscheidet, wer sie nutzen darf. Wer diesen Konflikt regelt, wird in der Praxis oft falsch benannt: nicht der Digital Markets Act, der ausschließlich benannte Gatekeeper-Plattformen wie Apple, Google, Meta, Amazon, ByteDance und Microsoft erfasst, sondern der EU Data Act, in Kraft seit dem 12. September 2025, ergänzt durch eine sektorspezifische Leitlinie der Kommission zu Fahrzeugdaten vom selben Tag.

Der Data Act verpflichtet Hersteller, Nutzern kostenlosen Zugriff auf die von ihrem vernetzten Fahrzeug erzeugten Daten zu geben und diese auf Weisung an Dritte, etwa freie Werkstätten, Versicherer oder Automobilclubs, weiterzuleiten, gegen faire und diskriminierungsfreie Entgelte. Ausgenommen bleiben allerdings abgeleitete und inferierte Daten, darunter ausdrücklich ADAS-Ausgaben wie Objekterkennung oder Risikobewertung. Genau die Daten also, die für KI-gestützte Diagnose- und Wartungssysteme am interessantesten wären, fallen nicht automatisch unter die Herausgabepflicht.

Wie groß die Lücke zwischen Gesetzestext und Praxis noch ist, zeigt eine Petition auf Change.org vom Dezember 2025: Nach Angaben der Initiatoren stellt bislang nur BMW mit seinem CarData-Portal Fahrzeugdaten tatsächlich für Endkunden bereit, andere Hersteller lehnten entsprechende Anfragen ab oder verweigerten den Zugriff vollständig, trotz gesetzlicher Verpflichtung.[6] Ab dem 12. September 2026 greift zusätzlich eine Konstruktionspflicht: Neue Fahrzeuge müssen von Beginn an so gebaut sein, dass Datenzugang technisch möglich ist.

Über die Kontrollarchitektur streiten zwei Lager. Der VDA treibt mit Adaxo, kurz für Automotive Data Access, Extended and Open, eine herstellergesteuerte Plattform voran, die Daten über die bestehende Extended-Vehicle-Schnittstelle bündelt.[7] ADAC und Versicherungswirtschaft fordern stattdessen einen neutralen Datentreuhänder und warnen, die Hersteller könnten sich sonst das lukrative Datengeschäft selbst sichern.[8]

3. Der AI Act und die Fahrassistenz

Ein Motorsteuergerät durchläuft heute ein einziges Zulassungsverfahren, dann ist es freigegeben. Ein KI-basiertes Notbremssystem, das durch Software-Updates weiterlernt, lässt sich so nicht mehr abschließend prüfen. Der AI Act reagiert darauf mit einem grundsätzlich anderen Ansatz: keine einmalige Freigabe, sondern eine Überwachung über den gesamten Lebenszyklus des Systems. Ob ein Spurhalteassistent oder ein KI-basiertes Notbremssystem unter die entsprechenden Hochrisiko-Pflichten fällt, entscheidet sich über Anhang I der Verordnung, nicht über Anhang III, wie in Debatten oft fälschlich angenommen wird. Fahrzeuge unterliegen als Sicherheitskomponenten eines bereits typgenehmigungspflichtigen Produkts der ersten Kategorie.[9]

Praktisch bedeutet das für Entwicklungs- und Regulatory-Affairs-Teams eine zusätzliche, dauerhafte Dokumentationsschicht neben dem bestehenden Typgenehmigungsverfahren nach UNECE- und GSR-Vorgaben. Statt einer einmaligen Freigabe vor Serienstart verlangt der AI Act ein durchgängiges Risikomanagement über die gesamte Lebensdauer des Systems, einschließlich nachträglicher Software-Updates, dokumentierte Daten-Governance für die Trainingsdaten, nachweisbare menschliche Aufsicht, belegte Robustheit und Cybersicherheit sowie eine Konformitätsbewertung, die in das bestehende Typgenehmigungsdossier integriert wird, statt ein eigenständiges Verfahren zu sein.

Ursprünglich sollte dieser Pflichtenkatalog ab dem 2. August 2027 gelten. Die Digital-Omnibus-Einigung von Rat und Parlament vom 7. Mai 2026, inzwischen von beiden Institutionen formal angenommen, verschiebt den Stichtag für eingebettete Hochrisiko-Systeme wie Fahrzeug-KI auf den 2. August 2028. Eigenständige Hochrisiko-Systeme nach Anhang III, etwa in Bewerbungsverfahren oder Strafverfolgung, folgen bereits zum 2. Dezember 2027. Begründet wird die Verschiebung mit fehlenden harmonisierten Normen, an denen sich Hersteller orientieren könnten.[10]

Der VDA kritisiert seit Jahren, die weite KI-Definition drohe, technische Prozesse ohne echtes Sicherheitsrisiko pauschal als Hochrisiko einzustufen, und schlägt vor, unabhängige interne Prüfstellen nach DIN EN ISO/IEC 17020 zuzulassen, weil die bestehenden Prüforganisationen absehbar nicht die Kapazität hätten, KI-Systeme in der nötigen Breite zu bewerten.

Deutschland konkretisiert die Umsetzung parallel im KI-Maßnahmen- und Innovationsgesetz. Das Bundeskabinett beschloss den Entwurf am 11. Februar 2026, der Bundestag verabschiedete ihn am 11. Juni 2026, der Bundesrat muss noch zustimmen. Die Bundesnetzagentur wird zentrale Marktüberwachungsbehörde, angesiedelt dort ein neues Koordinierungs- und Kompetenzzentrum für KI-Verordnung. Verstöße gegen Hochrisiko-Pflichten können mit bis zu 15 Millionen Euro oder drei Prozent des weltweiten Jahresumsatzes geahndet werden, verbotene Praktiken mit bis zu 35 Millionen oder sieben Prozent.

4. Wenn Regulierung bremst

Nicht jede Verzögerung beim Marktzugang neuer Fahrzeugtechnik geht auf den AI Act zurück, im Gegenteil: Der bislang deutlichste Fall liegt beim Typgenehmigungsrecht. Tesla wartet seit über 18 Monaten auf die EU-weite Zulassung seines Fahrassistenzsystems FSD Supervised. Am 10. April 2026 erteilte die niederländische Behörde RDW als erste EU-Zulassungsstelle eine Typgenehmigung, gestützt auf die neue UN-Regelung 171 und eine Ausnahme nach Artikel 39 der Typgenehmigungsverordnung (EU) 2018/858.[11] Litauen, Estland, Dänemark und Belgien erkannten die Genehmigung bis Mitte Juni 2026 gegenseitig an, größere Märkte wie Deutschland und Frankreich warten auf eine koordinierte EU-Entscheidung im zuständigen Ausschuss, frühestens im Oktober 2026 zu erwarten.[12]

Die Verzögerung ist nicht nur bürokratisch bedingt. Aufsichtsbehörden aus Schweden, Finnland, Dänemark und Norwegen sowie der European Transport Safety Council äußerten sich skeptisch, unter anderem zur nach ihrer Auffassung irreführenden Bezeichnung „Full Self-Driving", zu beobachteten Geschwindigkeitsüberschreitungen und zu Problemen bei vereisten Straßen.[11] Reuters berichtete am 15. Juni 2026, Tesla habe niederländischen und schwedischen Regulierern irreführende Sicherheitsdaten vorgelegt, was der niederländische Verkehrsminister Karremans am Folgetag zurückwies.

Einen vergleichbaren, aber ursächlich anderen Fall lieferte Apple im selben Monat. Bei der Entwicklerkonferenz WWDC am 8. Juni 2026 kündigte der Konzern an, die neuen Siri-AI-Funktionen von iOS 27 kämen nicht in die EU.[13] Verantwortlich dafür ist ausdrücklich der Digital Markets Act, nicht der AI Act: Die EU-Kommission verlangt von Apple als benanntem Gatekeeper, konkurrierenden Sprachassistenten denselben Systemzugriff einzuräumen wie Siri, ein von Apple vorgeschlagener gestufter Rollout über 18 Monate wurde abgelehnt. Apples Software-Chef Craig Federighi kommentierte, man sei „zutiefst enttäuscht, dass unsere EU-Nutzer Siri AI nicht auf iPhone oder iPad haben werden".

Beide Fälle werden in der Debatte gern dem AI Act zugeschrieben, obwohl er mit keinem von beiden etwas zu tun hat. Die Hochrisiko-Pflichten für in Fahrzeuge eingebettete KI gelten, wie oben beschrieben, erst ab August 2028. Ein bereits eingetretener, belegbarer Fall, in dem der AI Act konkret ein Auto-Feature verzögert hätte, existiert nach aktuellem Stand nicht. Was sich dagegen zeigen lässt: Hersteller richten ihre Entwicklungs-Roadmaps schon jetzt an den kommenden Pflichten aus, obwohl die dafür nötigen harmonisierten Normen noch nicht vorliegen.

5. Wie das Ausland auf die EU-Regeln reagiert

Auf politischer Ebene kommt der deutlichste Widerspruch aus Washington. US-Vizepräsident J. D. Vance warnte beim Pariser KI-Gipfel Anfang 2026 öffentlich, „exzessive Regulierung" in Europa könne die KI-Industrie abwürgen, ein direkter Seitenhieb auf den AI Act.[14] Einem Bericht der Financial Times vom November 2025 zufolge übte die US-Regierung gezielt Druck auf Brüssel aus, Teile des AI Act zu verschieben oder abzuschwächen. Ein Kommissionssprecher stellte klar, man stehe „voll hinter dem AI Act und seinen Zielen", eine Verschiebung einzelner Teile werde zwar geprüft, eine formale Entscheidung sei aber nicht gefallen.[15] Konkreter wurde der Konflikt beim Digital Markets Act: Ende 2025 verhängte das US-Außenministerium Visa-Beschränkungen gegen mehrere EU-Beamte, denen es vorwarf, über die Plattformregulierung auf die Meinungsfreiheit amerikanischer Nutzer einzuwirken.[16]

Auf wirtschaftlicher Ebene ist die Kritik älter und kommt teils aus Europa selbst. Bereits 2023 warnten mehr als 150 Wirtschaftsführer, darunter der damalige Renault-Chef, in einem offenen Brief an die Kommission, der AI Act gefährde „Europas Wettbewerbsfähigkeit und technologische Souveränität" und könne Investoren zur Kapitalabwanderung in die USA bewegen.[17] Aktuell zeichnet die Branche ein gemischtes Bild. Rechtsexperte Lölfing sieht laut einem Bericht von automotiveIT vom Februar 2026 einen strukturellen „Nachteil gegenüber den USA, die hier einen beobachtenden Ansatz fahren und im Prinzip kaum regulieren wollen", während Berylls-Partner Matthias Kempf das kurzfristige Risiko für überschaubar hält, weil die Automobilindustrie ohnehin schon zu den am strengsten regulierten Branchen zähle.[18] Der europäische Herstellerverband ACEA formuliert es beim Data Act deutlicher: Das Regelwerk erhöhe den Verwaltungsaufwand und die Compliance-Kosten in einem Maß, das „aktiv die Wettbewerbsfähigkeit europäischer Hersteller untergräbt", eine Einschätzung, die sich kaum von der US-amerikanischen Kritik unterscheidet, nur dass sie von der eigenen Industrie kommt.[19]

China wiederum reguliert KI nicht über ein einziges horizontales Gesetz wie die EU, sondern über einen fortlaufend erweiterten Katalog sektoraler Vorschriften, im Schnitt alle zwei bis drei Monate neu ergänzt, durchgesetzt in Kampagnen statt in Einzelfallverfahren. Für die Automobilbranche folgt daraus vor allem ein Tempo-Unterschied: Während europäische Hersteller auf harmonisierte Normen für die AI-Act-Konformitätsbewertung warten, erhielten chinesische ADAS-Systeme wie Geelys G-ASD bereits 2026 UN-Zertifizierungen und können darüber potenziell schneller in den europäischen Markt vordringen als manches westliche Konkurrenzprodukt.[20]

6. Was jetzt zu tun ist

Für Hersteller heißt das konkret: Ein vollständiges Inventar aller KI-Systeme im Fahrzeug erstellen und jedes System der Klassifizierung nach Artikel 6 des AI Act zuordnen, statt auf die verschobenen Fristen 2027 und 2028 zu warten, denn die Compliance-Dokumentation braucht selbst bei vorhandenen Normen Monate. OTA-Update-Prozesse sollten schon jetzt rechtssicher dokumentiert werden, weil die neue Produkthaftungsrichtlinie Hersteller dauerhaft für Fehler haftbar macht, die erst nach dem Verkauf durch ein Update entstehen. Für den Handel lohnt sich ein Blick auf die tatsächlich nutzbaren Data-Act-Portale der Hersteller, bevor markenübergreifende Serviceangebote geplant werden.

Vier Termine entscheiden in den kommenden zwölf Monaten über den weiteren Kurs: