Automotive Tier-1-Zulieferer: ADAS-KI zwischen AI Act und Typgenehmigung

Ausgangslage

Der Mandant ist ein etablierter Tier-1-Zulieferer mit Schwerpunkt auf Advanced Driver Assistance Systems (ADAS) — insbesondere Kamerasysteme und Sensorfusions-Software für europäische OEM-Kunden. Das Unternehmen ist seit vielen Jahren TISAX-zertifiziert und betreibt ein ausgereiftes Qualitätsmanagement nach ISO 9001 und ISO/SAE 21434. KI-Komponenten sind fester Bestandteil mehrerer Produktlinien.

Drei OEM-Kunden hatten „EU-AI-Act-Konformität“ in ihre Standard-Lieferantenverträge geschrieben, ohne zu präzisieren, was das für Fahrzeug-KI konkret bedeutet. Das Unternehmen stand vor zwei Fragen: Welche Pflichten aus dem EU AI Act treffen uns tatsächlich? Und wie weisen wir sie nach, ohne die bestehenden Prozesse zu verdoppeln?

Herausforderung

Im Kick-off kristallisierten sich fünf Kernherausforderungen heraus:

• Unklare Rechtsgrundlage für Fahrzeug-KI: ADAS-Funktionen sind Sicherheitsbauteile von Fahrzeugen, die der EU-Typgenehmigung unterliegen (Verordnungen (EU) 2018/858 und 2019/2144). Diese Rechtsakte stehen in Anhang I Abschnitt B des AI Act. Für solche Systeme gelten nach Art. 2 Abs. 2 AI Act nur wenige Vorschriften unmittelbar; die Anforderungen an Hochrisiko-KI kommen über das Typgenehmigungsrecht. Die OEM-Klauseln unterschieden das nicht.
• Überlappende Regulierungen: TISAX (Informationssicherheit), ISO 26262 (funktionale Sicherheit), ISO/SAE 21434 (Cybersicherheit im Fahrzeug), UN-R155/R156 und nun der AI Act. Die Versuchung, jedes Regelwerk in einem eigenen Silo zu bearbeiten, war groß — und wäre teuer geworden.
• Keine dedizierte Compliance-Rolle: Die Rolle war informell auf drei Personen verteilt — Qualität, Informationssicherheit und Entwicklung. Niemand hatte die Gesamtübersicht über AI-Act-Themen.
• OEM-Druck von außen: Mehrere OEM-Kunden hatten Nachweisanforderungen ohne vertragliche Toleranz — Nicht-Erfüllung hätte Produktionsverträge gefährdet.
• Tschechischer Standort: Die Umsetzung in zwei Rechtsräumen erforderte eine koordinierte Vorgehensweise.

Unser Vorgehen

Nach einer zweiwöchigen Gap-Analyse (enthalten in der EU AI Act Beratung) stand ein priorisierter 14-Wochen-Fahrplan. Parallel wurde ein DATUREX-Mitarbeiter als externer KI-Beauftragter benannt, mit dem Qualitätsleiter des Mandanten als internem Pendant.

Woche 1–3: Inventarisierung. Alle KI-relevanten Komponenten des Produktportfolios wurden erfasst — von klassischer Computer-Vision über Deep-Learning-basierte Spurerkennung bis zu Sensorfusions-Algorithmen. Ergebnis: 23 Module in drei Produktlinien, davon neun mit Sicherheitsfunktion im Fahrzeug. Zusätzlich wurde die KI-Nutzung im eigenen Betrieb erfasst, darunter ein Bewerber-Screening in der Personalabteilung.

Woche 4–6: Rechtliche Einstufung und Vertragsanalyse. Für die neun Fahrzeug-Module ergab die Einstufung: Sicherheitsbauteile im Sinne von Art. 6 Abs. 1 in Verbindung mit Anhang I Abschnitt B. Die Hochrisiko-Anforderungen des AI Act (Kapitel III Abschnitt 2: Risikomanagement, Daten-Governance, technische Dokumentation, Protokollierung, Transparenz, menschliche Aufsicht, Robustheit) wirken hier nicht direkt, sondern über künftige Durchführungsrechtsakte zur Typgenehmigung, bei denen die Kommission sie berücksichtigen muss. Unmittelbar gelten für das Unternehmen die KI-Kompetenzpflicht nach Art. 4 und die Verbote nach Art. 5. Anders beim Bewerber-Screening: Das ist ein Anhang-III-Fall (Nr. 4) mit vollen Betreiberpflichten ab dem 2. Dezember 2027. Die OEM-Verträge wurden entsprechend präzisiert — statt pauschaler „AI-Act-Konformität“ nun eine Dokumentation entlang der Anforderungen aus Kapitel III Abschnitt 2 als Nachweis für die Typgenehmigung.

Woche 7–10: Integration in das bestehende QMS. Die größte Zeitersparnis entstand durch Integration statt Parallelisierung: Die technische Dokumentation entlang der AI-Act-Anforderungen wurde als Ergänzung der bestehenden ISO-26262-, ISO-21434- und TISAX-Dokumente aufgebaut, nicht als neues Datensilo. Das bestehende Risikomanagement nach ISO 26262 wurde um KI-spezifische Risiken erweitert — Datenqualität, Bias in Trainingsdaten, Robustheit gegenüber veränderten Umgebungsbedingungen.

Woche 11–13: Risikobewertung und OEM-Kommunikation. Für die neun Fahrzeug-Module wurde eine strukturierte KI-Risikobewertung durchgeführt und als standardisierter Nachweis an die drei OEM-Kunden ausgeliefert. Eine Grundrechte-Folgenabschätzung nach Art. 27 war nicht erforderlich — sie trifft nur bestimmte Betreiber wie öffentliche Stellen oder Anbieter von Kredit- und Versicherungs-Scoring.

Woche 14: Governance und Schulungen. Abschluss mit einer unternehmensspezifischen KI-Governance-Richtlinie (siehe unseren Ratgeber dazu), Art.-4-Schulungen für 340 Mitarbeiter (in drei Stufen nach Rolle) und einem dokumentierten Freigabeprozess für zukünftige KI-Erweiterungen.

Ergebnis

Nach 14 Wochen hatte der Mandant eine belastbare Einstufung aller KI-Systeme und eine Dokumentation, die sowohl die OEMs als auch künftige Typgenehmigungsanforderungen bedient — ohne die bestehenden TISAX- und ISO-Prozesse zu stören. Konkret:

• Technische Dokumentation entlang Kapitel III Abschnitt 2 für neun Fahrzeug-Module, gegenüber drei OEM-Kunden nachgewiesen — alle drei bestätigten ihre Vertragsanforderung als erfüllt.
• 21 Stunden Vorbereitungsaufwand pro Modul statt der ursprünglich kalkulierten 35 Stunden — Einsparung durch Integration in die bestehende ISO- und TISAX-Dokumentation.
• Klarer Fahrplan für den Anhang-III-Fall im eigenen Haus: Aufsichtskonzept und Schulung der HR-Verantwortlichen bis zum 2. Dezember 2027.
• Null zusätzliche Vollzeitstellen — die laufende KI-Beauftragten-Funktion läuft extern, mit Anbindung an die bestehenden drei internen Rollen.
• Laufender Monats-Rhythmus etabliert: Beobachtung der Typgenehmigungs-Durchführungsrechtsakte, Monitoring, jährliche Auffrischungsschulungen.

Die Jahreskosten für den externen KI-Beauftragten liegen bei ca. 9.600 Euro (Paket L individualisiert) — bei einem Produkt-Portfolio, bei dem fehlende Nachweise Produktionsverträge in zwei- bis dreistelliger Millionenhöhe gefährdet hätten.

Was daraus gelernt wurde

Die wichtigste Erkenntnis aus diesem Szenario: Erst die Rechtsgrundlage klären, dann dokumentieren. Bei Fahrzeug-KI führt der Weg über die Typgenehmigung (Anhang I Abschnitt B), nicht über Anhang III — wer das übersieht, baut Nachweise für Pflichten, die so gar nicht gelten, und übersieht gleichzeitig die echten Hochrisiko-Fälle im eigenen Betrieb. Zweite Erkenntnis: TISAX, ISO 26262, ISO/SAE 21434 und die AI-Act-Anforderungen überlappen erheblich bei Risikomanagement, Dokumentation und Qualitätsmanagement. Wer die Dokumente einheitlich aufbaut, spart deutlich Aufwand gegenüber Silo-Bearbeitung.

Für Automotive-Zulieferer in ähnlicher Konstellation: Der Einstieg lohnt sich nicht über einzelne Tools, sondern über eine strukturierte Gap-Analyse. Sie zeigt, welche Pflichten Sie tatsächlich treffen, wie viel Ihrer bestehenden TISAX- oder ISO-Arbeit bereits darauf einzahlt — und wo tatsächlich Neuaufbau nötig ist.

Beispiel-Szenario: konstruierter, realistischer Fall zur Veranschaulichung unseres Vorgehens — kein konkretes Kundenmandat. Unternehmensangaben und Kennzahlen sind illustrativ.