Connected & Autonomous Vehicles: AI Act, Data Act & DSGVO-Pflichten

Connected & Autonomous Vehicles (autonomes Fahren Level 3+: bedingte Automation, Level 4/5: hohe/vollständige Automation; Fahrzeug-Flotten, Mobilitätsdienste wie Robo-Taxis) sind hochriskant nach Anhang I AI Act (KI als Sicherheitskomponente regulierten Produkts — Kraftfahrzeug) PLUS Kraftfahrzeug-Zulassungsrecht (UN-ECE-Regelungen wie R157 ALKS Automated Lane Keeping Systems, EG-Typgenehmigung Richtlinie 2007/46/EG, Delegierte Rechtsakte). Fahrzeughersteller übernimmt die KI-Anbieter-Pflichten (Art. 25). Eine CE/Typgenehmigung deckt die Regime (Art. 47 Abs. 2–4). Pflichtenbündel: Art. 8–15 PLUS Kraftfahrzeug-Zulassung. Fahrerüberwachung (Müdigkeit, Ablenkung): aus Sicherheitsgründen erlaubt (Ausnahme vom Art. 5 Abs. 1 lit. f-Verbot), bei Leistungsbezug hochriskant nach Anhang III Nr. 4. Mobilitätsdienste (Robo-Taxis, autonome Lieferdienste): zusätzliche Pflichten (Personen-/Gütertransport-Sicherheit).

Praktisch: (1) Typgenehmigung + AI Act — Kraftfahrzeug-Zulassung (KBA DE, UN-ECE) PLUS AI-Act-Risikoanalyse/-Tests; (2) kontinuierliches Lernen — OTA-Updates nach Art. 12 aufzeichnen, Konformität erhalten, wesentliche Modifikation erfordert Neubewertung; (3) Cybersecurity (Art. 15) — vernetzte Fahrzeuge sind hoch angreifbar, UN-ECE R155/R156 Cybersecurity Management System; (4) menschliche Übernahme (Art. 14) — klare Übergabe-/Notfall-Mechanismen (Level 3+), fehlersicherer Ruhezustand (Level 4/5); (5) Data Act — vernetzte Fahrzeuge sind verbundene Produkte, Fahrer/Besitzer hat Recht auf Datenzugang/-weitergabe (Art. 4–5), FRAND (Art. 9–11); (6) NIS2 — C/AV in kritischer Infrastruktur (Verkehr), Risikomanagement (Art. 21), Meldepflichten (Art. 23); (7) Versicherungs-/Haftungsrecht — bei Unfällen autonome Fahrzeuge verschiebt sich Haftung vom Fahrer zum Hersteller (Produkthaftung, AI Liability Directive), Pflichtversicherung (PfVG), Haftungs-Deckung; (8) CRA — Cybersecurity für Automotive-Software. Aufsichtlich: KBA (DE), Marktüberwachung, Cybersicherheits-Aufsicht (NIS2), Datenschutz-Aufsicht (DSGVO), Versicherungs-/Zulassungsbehörden. Vorfallsmeldungen kumulativ (AI Act Art. 73 + NIS2 Art. 23 + DSGVO Art. 33).

Die Grenze der C/AV-KI ist die Übernahme-Pflicht: bei Level 3+ muss der Fahrer/die Fahrerin fähig sein, die Steuerung zu übernehmen (Art. 14 menschliche Aufsicht) — klare Übergabezeit (z. B. 10 Sekunden Warnung), Notfall-Systeme; bei Level 4/5 ist der Hersteller verantwortlich (System muss fehlersicher in Ruhezustand gehen). Diese Übernahme-Architektur ist technisch und rechtlich anspruchsvoll — Design-Entscheidungen dokumentiert (Risikoanalyse Art. 9), ethisch umstritten („Trolley Problem" der Programmierung). Versicherungsethik: bei Unfällen verschiebt sich die Haftung vom Fahrer zum Hersteller — Versicherungsmodelle müssen sich anpassen (Hersteller-Versicherung, Haftungsfonds). Telematik-Daten (Data Act) dürfen nicht zu risikobasierter Prämie ohne AGG-/DSGVO-Konformität führen. Fahrerüberwachung darf (aus Sicherheitsgründen erlaubt) nicht zur Leistungsüberwachung umfunktioniert werden (sonst Anhang III Nr. 4 Hochrisiko, BetrVG-Mitbestimmung bei gewerblichen Fahrern). Eine ethisch-rechtlich saubere C/AV-KI respektiert Übernahme-Pflicht, Versicherungsethik, Datenschutzhoheit und menschliche Letztverantwortung — Sicherheit hat Vorrang vor Effizienz.