Automotive & autonome Systeme: AI Act, Data Act & DSGVO-Pflichten

Automotive & autonome Systeme (autonomes Fahren Level 3+: bedingte Automation, Level 4/5: hohe/vollständige Automation) sind hochriskant nach Anhang I AI Act (KI als Sicherheitskomponente eines regulierten Produkts — Kraftfahrzeug) PLUS Kraftfahrzeug-Zulassungsrecht (UN-ECE-Regelungen wie R157 ALKS, EG-Typgenehmigung Richtlinie 2007/46/EG, Delegierte Rechtsakte). Pflichtenbündel: Art. 8–15 PLUS Kraftfahrzeug-Zulassung. Fahrzeughersteller übernimmt die KI-Anbieter-Pflichten (Art. 25). Eine CE/Typgenehmigung deckt die Regime ab (Art. 47 Abs. 2–4). Fahrerüberwachung (Müdigkeit, Ablenkung): aus Sicherheitsgründen erlaubt (Ausnahme vom Art. 5 Abs. 1 lit. f-Verbot), aber bei Leistungsbezug der Fahrerin/des Fahrers hochriskant nach Anhang III Nr. 4. Infotainment/Navigation/Telematik-KI meist begrenzt (Art. 50 Transparenz).

Praktisch: (1) Typgenehmigung + AI Act — Kraftfahrzeug-Zulassung (KBA in DE, UN-ECE) PLUS AI-Act-Risikoanalyse/-Tests; (2) kontinuierliches Lernen — OTA-Updates nach Art. 12 aufzeichnen, Konformität erhalten, wesentliche Modifikation erfordert Neubewertung; (3) Cybersecurity (Art. 15) — vernetzte Fahrzeuge sind hoch angreifbar, UN-ECE R155/R156 Cybersecurity/Cyber Security Management; (4) menschliche Übernahme (Art. 14) — klare Übergabe-/Notfall-Mechanismen; (5) Data Act — vernetzte Fahrzeuge sind verbundene Produkte, Fahrer/Besitzer hat Recht auf Datenzugang/-weitergabe (Art. 4–5), FRAND-Weitergabe (Art. 9–11); (6) NIS2 — vernetzte Fahrzeuge in kritischer Infrastruktur (Verkehr), Risikomanagement (Art. 21), Meldepflichten (Art. 23); (7) CRA — Cybersecurity für Automotive-Software. Aufsichtlich: KBA (DE), Marktüberwachungsbehörden (AI Act), Cybersicherheits-Aufsicht (NIS2), Datenschutz-Aufsicht (DSGVO), Versicherungs-/Zulassungsbehörden. Vorfallsmeldungen kumulativ (AI Act Art. 73 + NIS2 Art. 23 + DSGVO Art. 33). Eine integrierte Automotive-/KI-/Data-Compliance ist unverzichtbar — Haftschutz, Sicherheit, Marktzugang.

Die Grenze autonomer Fahrzeuge ist die Übernahme-Pflicht: bei Level 3+ muss der Fahrer/die Fahrerin fähig sein, die Steuerung zu übernehmen (Art. 14 menschliche Aufsicht); bei Level 4/5 ist der Hersteller verantwortlich (System muss fehlersicher in Ruhezustand gehen). Diese Übernahme-Architektur ist technisch und rechtlich anspruchsvoll — klare Übergabe-/Notfall-Mechanismen, Design-Entscheidungen dokumentiert (Risikoanalyse Art. 9). Versicherungsethik: bei Unfällen autonomer Fahrzeuge verschiebt sich die Haftung vom Fahrer zum Hersteller (Produkthaftung, AILD) — Versicherungsmodelle müssen sich anpassen. Telematik-Daten (Data Act) dürfen nicht zu risikobasierter Prämie ohne AGG-/DSGVO-Konformität führen. Fahrerüberwachung darf (aus Sicherheitsgründen erlaubt) nicht zur Leistungsüberwachung umfunktioniert werden (sonst Anhang III Nr. 4 Hochrisiko, BetrVG-Mitbestimmung). Eine ethisch-rechtlich saubere Automotive-KI respektiert Übernahme-Pflicht, Versicherungs-Ethik und Datenschutzhoheit.