EU Data Act für Maschinenbauer: Datenzugang, neue Schnittstellen und KI-Strategie

Was der Data Act seit September 2025 vom Maschinenbauer verlangt

Der EU Data Act verschiebt die Kontrolle über Maschinendaten. Für Maschinenbauer entstehen neue Pflichten, aber auch neue Chancen für Services und KI-Anwendungen. Seit dem 12. September 2025 gilt der EU Data Act vollständig. Dieses Datum ist der zentrale Taktgeber für Ihre Datenstrategie.

Im Kern verlangt der Data Act, dass Nutzer vernetzter Produkte, also Betreiber von Industrieanlagen und Maschinen, einen fairen und praktikablen Zugang zu den entstehenden Maschinendaten erhalten. Das betrifft vor allem Ihre installierte Basis im Feld. Dort ist oft bereits IoT-Sensorik verbaut, deren Daten bisher nur über proprietäre Portale oder geschlossene Servicekanäle nutzbar waren.

Für CIOs im Maschinenbau ist das eine doppelte Aufgabe. Sie müssen bestehende Architekturen so anpassen, dass ein rechtssicherer Datenzugang möglich ist. Gleichzeitig braucht es eine klare Priorisierung, welche Daten für Betreiber, Servicepartner und für Ihre eigene KI-Strategie wirklich relevant sind. Eine unscharfe Umsetzung führt schnell zu Konflikten mit Kunden oder zu unnötigen Sicherheitsrisiken.

Der Branchenverband der Elektro- und Digitalindustrie hat mit dem ZVEI-Leitfaden im ersten Quartal 2026 eine wichtige Referenz für Hersteller veröffentlicht. Dieser Leitfaden beantwortet typische Fragen zur Auslegung des Data Act im industriellen Umfeld. Für Maschinenbauer ist er ein guter Startpunkt, ersetzt aber keine unternehmensspezifische Umsetzung.

Data Act als Architektur- statt nur Rechtsfrage

Wer den EU Data Act im Maschinenbau nur als juristische Pflicht liest, verschenkt Potenzial. Entscheidend ist, wie Sie Datenzugang, Schnittstellen und Sicherheitszonen in Ihrer Systemarchitektur neu ordnen.

Parallel zum Data Act rückt mit dem Cyber Resilience Act eine weitere Regulierung in den Fokus. Der Cyber Resilience Act ist ab Dezember 2027 anwendbar und legt Sicherheitsanforderungen über den gesamten Produktlebenszyklus fest. Für vernetzte Maschinen heißt das: Datenzugang, Software-Updates und Sicherheitskonzepte müssen zusammen geplant werden.

In vielen Maschinenbauunternehmen startet die Auseinandersetzung mit dem Data Act in der Rechtsabteilung. Spätestens bei der Frage, wie das Datenzugangsrecht technisch umgesetzt werden soll, landet das Thema beim CIO. Dort entscheidet sich, ob Sie eine belastbare Datenarchitektur aufbauen oder nur das Minimum erfüllen.

Was Sie davon mitnehmen: In vielen Maschinenbauunternehmen startet die Auseinandersetzung mit dem Data Act in der Rechtsabteilung.

Datenzugangsrecht des Betreibers in der Praxis

Das Datenzugangsrecht des Betreibers ist der sichtbarste Hebel des Data Act im Maschinenbau. Betreiber sollen auf Maschinendaten zugreifen können, die bei der Nutzung des Produkts entstehen. Für viele Hersteller, die Ihr Servicegeschäft bisher über geschlossene Portale abgesichert haben, ist das ein deutlicher Wandel.

Ein typisches Beispiel: In einer Werkshalle eines mittelständischen Maschinenbauers sendet eine vernetzte Verpackungslinie IoT-Daten an eine zentrale Plattform des Herstellers. Bisher hatte der Betreiber nur Zugriff auf ausgewählte Dashboards. Künftig kann er verlangen, die relevanten Maschinendaten in einem maschinenlesbaren Format zu erhalten, um sie in eigene Systeme oder in eine eigene KI-Lösung zu integrieren.

Für CIOs stellt sich damit die Frage, wie das Datenzugangsrecht konkret ausgestaltet wird. Der Data Act schreibt keine bestimmte Technologie vor. Er verlangt aber, dass der Zugang fair, transparent und ohne unnötige Hürden erfolgt. Ein klar definierter Prozess für den Zugang zu Maschinendaten ist daher unverzichtbar. Dazu gehören klare Rollen, definierte Datenpakete und eine abgestimmte Sicherheitsprüfung.

Der Begriff data act maschinendaten beschreibt genau diese Schnittstelle zwischen Regulierung und Technik. Es reicht nicht, irgendwo in der Architektur einen Exportknopf vorzusehen. Notwendig ist ein konsistentes Konzept, das auch Skalierung und Support berücksichtigt.

In der Praxis haben sich drei Ebenen bewährt:

• Eine fachliche Ebene, die beschreibt, welche Datenkategorien Betreiber erhalten können,
• Eine technische Ebene, die Schnittstellen, Formate und Frequenzen definiert,
• Eine Governance-Ebene, die Freigabeprozesse, Protokollierung und Verantwortlichkeiten regelt.

Gerade im Servicegeschäft ist der Zugang zu IoT-Daten ein strategischer Punkt. Wenn Betreiber eigene Auswertungen oder KI-Modelle auf Basis Ihrer Maschinendaten aufbauen, verändert sich die Rollenverteilung im Service. Ohne klare Linie riskieren Sie, dass Teile des Servicegeschäfts an Dritte abwandern.

Was Sie davon mitnehmen: Gerade im Servicegeschäft ist der Zugang zu IoT-Daten ein strategischer Punkt.

Schnittstellen, Datenformate und Echtzeitfreigabe

Der Data Act schreibt keine konkrete Technologie vor, macht aber klare Vorgaben zur Praktikabilität des Datenzugangs. Für Maschinenbauer heißt das: Schnittstellen, Datenformate und die Frage der Echtzeitfreigabe müssen neu bewertet werden. Die bisherige Praxis, Daten nur über proprietäre Portale bereitzustellen, wird in vielen Fällen nicht mehr ausreichen.

Ein zentrales Thema ist die data act schnittstelle ki. Gemeint ist die Frage, wie Daten so bereitgestellt werden, dass Sie sowohl für Betreiber als auch für eigene KI-Anwendungen nutzbar sind. Hier treffen rechtliche Anforderungen, IT-Architektur und Produktentwicklung direkt aufeinander.

In einem mittelständischen Maschinenbauunternehmen mit mehreren Produktlinien hilft eine strukturierte Übersicht, die notwendigen Anpassungen zu priorisieren.

Die Frage, ob Daten in Echtzeit, nahezu in Echtzeit oder nur in periodischen Aggregaten bereitgestellt werden, ist nicht nur technisch. Sie ist auch geschäftlich relevant. Für Anwendungsfälle wie Predictive Maintenance oder KI-gestützte Prozessoptimierung ist ein nahezu Echtzeit-Zugriff sinnvoll. Für andere Szenarien reichen Tages- oder Schichtaggregate.

Ein CIO sollte gemeinsam mit Vertrieb und Service klären, welche Servicelevel für welche Kundensegmente angeboten werden. Daraus ergibt sich, wie die IoT-Datenarchitektur aussehen muss. Wer diese Diskussion früh führt, kann den Data Act nutzen, um das eigene Serviceportfolio zu schärfen, statt nur auf regulatorischen Druck zu reagieren.

Was Sie davon mitnehmen: Ein CIO sollte gemeinsam mit Vertrieb und Service klären, welche Servicelevel für welche Kundensegmente angeboten werden.

Neue Servicelogik: vom geschlossenen Ökosystem zur Plattform

Viele Maschinenbauer haben ihr Servicegeschäft in den vergangenen Jahren bewusst als geschlossenes Ökosystem aufgebaut. Ersatzteile, Remote-Service, Condition Monitoring und Reporting liefen über eigene Portale, die den Zugang zu IoT-Daten bündelten. Der Data Act erzwingt nun mehr Offenheit, weil Betreiber eigene Zugänge zu den Maschinendaten verlangen können.

Das bedeutet nicht, dass das Servicegeschäft entwertet wird. Im Gegenteil, das servicegeschäft datenzugang wird neu definiert. Wer es schafft, Datenzugang, Mehrwertservices und KI-gestützte Analytik sinnvoll zu kombinieren, kann sein Servicegeschäft profitabler und widerstandsfähiger aufstellen.

In der Praxis zeigen sich drei typische Entwicklungspfade:

• Vom reinen Portalbetreiber zum Daten- und Serviceorchestrator, der auch Drittanbieter integriert.
• Vom Hardwarelieferanten zum Anbieter von datengetriebenen Performance-Services mit klar definierten Serviceleveln.
• Vom geschlossenen Monitoring-Angebot zu einer Plattform, auf der Betreiber eigene KI-Modelle auf Basis der bereitgestellten Maschinendaten betreiben können.

Ein Beispiel aus einem sensified-Projekt: Ein Maschinenbauer mit 280 Mitarbeitenden hat seine Predictive-Maintenance-Services neu aufgesetzt und dabei die Anforderungen des Data Act berücksichtigt. Durch eine klar strukturierte Datenarchitektur und KI-gestützte Auswertung konnten ungeplante Stillstände um 38 Prozent reduziert werden. Gleichzeitig wurde ein definierter Datenzugang für Betreiber geschaffen, ohne das eigene Servicegeschäft zu schwächen.

Offenheit als kontrollierte Architekturfrage

Der Data Act zwingt Maschinenbauer nicht zur Preisgabe Ihres Servicegeschäfts, sondern zu einer kontrollierten Öffnung. Wer Datenzugang, Mehrwertservices und KI sauber trennt, behält die Hoheit über sein Geschäftsmodell.

Für CIOs ist wichtig, dass die eigene Plattformstrategie nicht im Widerspruch zu den Pflichten aus dem Data Act steht. Eine Plattform, die Betreiber, Servicepartner und interne KI-Anwendungen gleichermaßen bedient, braucht klare technische und vertragliche Leitplanken.

Was Sie davon mitnehmen: Für CIOs ist wichtig, dass die eigene Plattformstrategie nicht im Widerspruch zu den Pflichten aus dem Data Act steht.

KI-Strategie auf Basis maschinenlesbarer Daten

Der Data Act schafft einen Rahmen, in dem Maschinendaten systematisch zugänglich und nutzbar werden. Für Maschinenbauer ist das die Chance, eine konsistente KI-Strategie aufzubauen, statt nur einzelne Pilotprojekte zu betreiben. Der wirtschaftliche Nutzen von KI hängt im Maschinenbau stark davon ab, wie gut IoT-Daten, Serviceinformationen und Dokumentation zusammengeführt werden.

Viele Unternehmen haben bereits erste Erfahrungen mit KI gesammelt, etwa in der automatisierten Dokumentenverarbeitung oder in der Qualitätskontrolle. Ein sensified-Kunde aus der Medizintechnik konnte mit Vision-KI die Defektrate in der Qualitätskontrolle innerhalb von 90 Tagen um 62 Prozent senken. Übertragen auf den Maschinenbau zeigt dieses Beispiel, welches Potenzial in gut strukturierten Daten steckt.

Für den Maschinenbau ist vor allem die Kombination aus iot daten zugang ki relevant. Wenn Maschinendaten, Wartungshistorie und Betriebsparameter in einer konsistenten Datenbasis vorliegen, lassen sich KI-Modelle für Predictive Maintenance, Energieoptimierung oder automatisierte Angebotserstellung aufsetzen. Der Data Act wirkt hier wie ein Katalysator, weil er den strukturierten Zugang zu diesen Daten verlangt.

Eine tragfähige maschinenbauer datenstrategie sollte mindestens vier Bausteine enthalten:

• Eine klare Priorisierung der relevanten Use Cases, etwa Stillstandsreduktion, Energieeffizienz oder Serviceautomatisierung,
• Eine technische Zielarchitektur für Datenhaltung, Schnittstellen und KI-Services,
• Ein Governance-Modell, das Data-Act-Pflichten, DSGVO und Cyber Resilience Act integriert,
• Einen Umsetzungsplan mit konkreten Piloten und klaren Skalierungspfaden.

Hier setzt sensified mit drei Modellen an. Im Rahmen eines KI-Projekts wird ein konkreter Anwendungsfall, etwa Predictive Maintenance für eine bestimmte Produktlinie, in einem Festpreis-Projekt umgesetzt. Ein solcher Pilot dauert typischerweise etwa acht Wochen und durchläuft die Phasen Discovery, Design, Build und Operate. Am Ende erhält der Maschinenbauer den vollständigen Code und kann die Lösung eigenständig weiterbetreiben.

Mit der KI-Plattform bietet sensified eine gemanagte Plattform für Multi-LLM, Retrieval-Augmented Generation (RAG), Monitoring und Auditierbarkeit, gehostet in der EU und TISAX®-konform. Maschinenbauer können darauf eigene Anwendungsfälle aufsetzen, ohne eine eigene Plattform-Infrastruktur aufbauen zu müssen. Für Szenarien, in denen es vor allem auf geprüfte Ergebnisse ankommt, etwa validierte Angebotsdaten oder freigegebene Rechnungen, eignet sich KI-Result als Output-as-a-Service-Modell. Hier liefert sensified Ergebnisse zu einem definierten Stückpreis, ohne dass auf Kundenseite Projektaufwand oder Plattformbetrieb anfallen.

Im Unterschied zu vielen klassischen KI-Beratungen, die häufig in offenen Time-and-Material-Modellen arbeiten, setzt sensified auf klare Festpreis-Modelle, vollständige Code-Übergabe und EU-Hosting unter Kontrolle des Kunden. Für CIOs im Maschinenbau reduziert das das Risiko eines Vendor-Lock-in und schafft Planungssicherheit für die eigene KI-Roadmap.

Was Sie davon mitnehmen: Im Unterschied zu vielen klassischen KI-Beratungen, die häufig in offenen Time-and-Material-Modellen arbeiten, setzt sensified auf klare Festpreis-Modelle, vollständige Code-Übergabe und EU-Hosting unter Kontrolle des Ku…

Geschäftsgeheimnisse und Sicherheitsanforderungen schützen

Eine der häufigsten Sorgen von Maschinenbauern im Kontext des Data Act betrifft das data act geschäftsgeheimnis. Viele Hersteller fragen sich, wie Sie Datenzugang gewähren sollen, ohne Konstruktions-Know-how, Algorithmen oder Service-Logik offenzulegen. Der Data Act sieht ausdrücklich vor, dass Geschäftsgeheimnisse geschützt werden müssen. Die Herausforderung liegt in der sauberen Trennung von Datenebenen.

In der Praxis bedeutet das: Nicht jede intern verfügbare Information ist automatisch Teil des Datenzugangs für Betreiber. Betriebsdaten wie Temperaturverläufe, Schaltzyklen oder Fehlermeldungen sind in der Regel weniger kritisch als abgeleitete Kennzahlen, die direkte Rückschlüsse auf Optimierungsalgorithmen oder Kostenstrukturen erlauben.

Ein CIO sollte gemeinsam mit Konstruktion, Service und Rechtsabteilung definieren, welche Datenkategorien es gibt und wie diese kategorisiert werden. Typische Kategorien sind etwa Betriebsdaten, Konfigurationsdaten, Diagnosedaten und Metadaten zur Nutzung. Für jede Kategorie lässt sich festlegen, ob und in welcher Form sie für Betreiber zugänglich ist.

Parallel dazu steigen die Anforderungen an IT-Sicherheit. Der Cyber Resilience Act, der ab Dezember 2027 anwendbar ist, fordert Sicherheitsmaßnahmen über den gesamten Produktlebenszyklus. Für vernetzte Maschinen heißt das: Datenzugang, Authentifizierung, Verschlüsselung und Update-Mechanismen müssen in einem konsistenten Sicherheitskonzept zusammengeführt werden.

Ein typisches Szenario aus der Praxis: In einer Fertigungslinie eines Tier-1-Zulieferers werden Maschinendaten für die Qualitätsdokumentation genutzt. Gleichzeitig laufen KI-gestützte Auswertungen, um Angebotsfreigaben zu beschleunigen. In einem sensified-Projekt konnten so etwa 1,2 Millionen Euro jährliche Einsparungen erzielt und Angebotsfreigaben um 78 Prozent beschleunigt werden. Entscheidend war, dass die Datenarchitektur so gestaltet wurde, dass sensible Kalkulationslogik geschützt blieb, während die notwendigen Betriebsdaten für KI-Anwendungen verfügbar waren.

Für Maschinenbauer ist es sinnvoll, Data-Act-Umsetzung, DSGVO-Konformität und Cyber-Resilience-Anforderungen gemeinsam zu betrachten. Eine isolierte Betrachtung führt häufig zu widersprüchlichen Vorgaben und erhöhtem Abstimmungsaufwand. Eine integrierte Sicherheitsarchitektur, die Rollen, Rechte und Protokollierung klar regelt, reduziert dieses Risiko deutlich.

Was Sie davon mitnehmen: Für Maschinenbauer ist es sinnvoll, Data-Act-Umsetzung, DSGVO-Konformität und Cyber-Resilience-Anforderungen gemeinsam zu betrachten.

Vertragsumstellung in Liefer-, Service- und Wartungsverträgen

Technische Anpassungen allein reichen nicht aus, um den Data Act im Maschinenbau sauber umzusetzen. Ebenso wichtig ist die Anpassung von Liefer-, Service- und Wartungsverträgen. Viele bestehende Verträge enthalten Klauseln, die den Zugang zu Maschinendaten stark einschränken oder ausschließlich dem Hersteller vorbehalten. Diese Logik steht im Spannungsfeld zu den Vorgaben des Data Act.

Der Begriff data act vertrag maschinenbau steht für die notwendige Neujustierung dieser Vertragswerke. CIOs sollten hier eng mit Rechtsabteilung und Vertrieb zusammenarbeiten, da technische Möglichkeiten und vertragliche Regelungen zusammenpassen müssen. Es ist wenig hilfreich, technisch saubere Schnittstellen zu schaffen, wenn die Verträge keine klare Regelung zum Datenzugang enthalten.

In der Praxis empfiehlt sich ein gestuftes Vorgehen:

• Bestandsaufnahme der relevanten Vertragsmuster für Neu- und Bestandskunden,
• Definition eines Zielbilds für Datenzugang, Nutzungsrechte und Servicelevel,
• Überarbeitung der Vertragsmuster mit klaren Regelungen zu Datenkategorien, Formaten und Zugriffspfaden,
• Abstimmung mit Vertrieb und Service, wie diese Regelungen in Kundengesprächen erläutert werden.

Für KI-Anwendungen ist besonders wichtig, dass Nutzungsrechte an Daten und Modellen sauber geregelt sind. Wenn ein Maschinenbauer beispielsweise ein KI-Modell zur Ausfallprognose auf Basis von Kundendaten trainiert, stellt sich die Frage, ob und in welcher Form dieses Modell auch bei anderen Kunden eingesetzt werden darf. Hier greifen Data-Act-Vorgaben, Datenschutzrecht und vertragliche Vereinbarungen ineinander.

Ein strukturierter Ansatz, der technische, rechtliche und geschäftliche Aspekte verbindet, erleichtert die Umsetzung deutlich. sensified unterstützt Maschinenbauer in KI-Projekten typischerweise dabei, diese Ebenen zusammenzuführen. In der Discovery-Phase werden Anwendungsfall, Datenlage und regulatorische Rahmenbedingungen gemeinsam erarbeitet. In der Design-Phase entstehen Zielarchitektur und Governance-Modell, inklusive Rollen- und Rechtekonzept. Die Build-Phase setzt die Lösung technisch um, die Operate-Phase sichert Betrieb, Monitoring und Auditierbarkeit.

Wer seine Vertragslogik frühzeitig an den Data Act anpasst, verschafft sich einen Wettbewerbsvorteil. Betreiber erleben das Unternehmen als verlässlichen Partner, der Datenzugang und moderne KI-gestützte Services aus einer Hand anbietet. Gleichzeitig reduziert ein klares Vertragswerk das Risiko von Konflikten oder Nachverhandlungen.

Was Sie davon mitnehmen: Wer seine Vertragslogik frühzeitig an den Data Act anpasst, verschafft sich einen Wettbewerbsvorteil.

Nächste Schritte

Für CIOs im Maschinenbau ist jetzt der richtige Zeitpunkt, Data-Act-Umsetzung, Datenarchitektur und KI-Strategie zusammenzuführen. Ein erster Schritt kann ein fokussiertes Assessment sein, das bestehende Schnittstellen, Datenflüsse und Vertragsmuster im Licht des Data Act bewertet.

Darauf aufbauend empfiehlt sich ein priorisierter Fahrplan mit einem klar definierten Pilot, etwa im Bereich Predictive Maintenance oder KI-gestützte Serviceprozesse. So entsteht in wenigen Wochen ein greifbares Ergebnis, das sowohl regulatorische Anforderungen erfüllt als auch messbaren Mehrwert liefert.

Wenn Sie diesen Weg nicht allein gehen möchten, bietet sensified mit KI-Projekt, KI-Plattform und KI-Result drei klar umrissene Modelle, um Data-Act-konforme Datenzugänge und KI-Anwendungen im Maschinenbau umzusetzen. In einem Strategiegespräch lassen sich Anwendungsfälle, Risiken und ein realistischer Zeitplan konkretisieren.