KI in der Risikobeurteilung von Maschinen klingt verführerisch. Maschinenname eingeben, ein paar Eckdaten ergänzen, kurz warten – und schon steht eine Tabelle da, die erstaunlich erwachsen aussieht: Gefährdungen, Folgen, Schutzmaßnahmen, Risikominderung, Restrisiko. Auf den ersten Blick passt alles. Genau da beginnt das Problem. Eine sauber formulierte Tabelle ist noch keine Risikobeurteilung nach ISO 12100. Und ein Text, der technisch klingt, ist noch kein Beleg dafür, dass jemand die Maschine wirklich verstanden hat. Der Wert einer Risikobeurteilung liegt nicht in der Anzahl der Zeilen, Farben oder Fachbegriffe. Er liegt darin, ob sich der Gedankengang hinter den Konstruktionsentscheidungen nachvollziehen lässt. Alles andere ist Dokumentation. Nicht mehr.
Wer das verwechselt, baut sich mit KI nur schneller eine schönere Fassade.
KI in der Risikobeurteilung von Maschinen: neuer Helfer, altes Problem
Das Grundproblem ist nicht neu. Schon lange vor den aktuellen KI-Werkzeugen sahen viele Risikobeurteilungen gleich aus: Excel, Gefährdungsliste, ein paar allgemeine Folgen, Standard-Schutzmaßnahmen, am Ende pflichtschuldig gesenktes Restrisiko. Das Dokument war da. Die Spalten waren gefüllt. Nur der Kern fehlte oft: die reale Verbindung zwischen Gefährdung, Aufgabe des Menschen, Lebensphase der Maschine, Gefährdungssituation und gefährdendem Ereignis.
Die unangenehmen Fragen sind bekannt:
- Hat jemand wirklich beobachtet, was der Bediener beim Umrüsten macht?
- Wurde die Stau-/Blockadebeseitigung analysiert oder nur erwähnt?
- Sind Reinigung, Einrichten, Handbetrieb, Instandhaltung und Servicezugang sauber betrachtet?
- Wurde vorhersehbares Umgehen von Schutzeinrichtungen mitgedacht?
- Entstand die Schutzmaßnahme aus Analyse oder aus dem Wunsch, die Tabellenzeile zu schließen?
Excel war nie der eigentliche Gegner. Excel war nur das Werkzeug. Das Problem war die bequeme Illusion eines Prozesses. Heute macht KI denselben Fehler schneller, flüssiger und deutlich überzeugender. Früher roch man den kopierten Alttext oft sofort. Heute klingt der Text, als hätte ihn ein erfahrener Spezialist formuliert. Genau deshalb ist die Gefahr größer.
Denn der Eindruck von Analyse ist noch keine Analyse.
ISO 12100 beginnt nicht mit einer Gefährdungsliste
Ein Klassiker in schwachen Projekten lautet: Welche Gefährdungen hat die Maschine? Klingt vernünftig. Ist aber zu flach. Natürlich hat eine Maschine mechanische, elektrische, thermische oder pneumatische Gefährdungen. Natürlich kann man typische Punkte schnell zusammentragen. Förderer? Einziehen, Erfassen, Quetschen. Presse? Werkzeugbereich, Arbeitsbewegung, Restenergie. Roboter? Kollision, Betreten der Zone, Programmierbetrieb, unerwartete Bewegung. Verpackungsanlage? Antriebe, Bänder, Zylinder, Messer, heiße Teile.
So eine Liste ist nützlich. Aber sie ist noch keine Risikobeurteilung.
ISO 12100 betrachtet die Maschine nicht als starre Sammlung gefährlicher Teile, sondern in Beziehung zum Menschen. Also zu dem Menschen, der transportiert, installiert, in Betrieb nimmt, bedient, reinigt, einstellt, um rüstet, instand hält, repariert, Störungen beseitigt und schließlich außer Betrieb nimmt. Das ist der Punkt. Risiko entsteht nicht, weil irgendwo ein scharfes Teil existiert. Risiko entsteht, wenn ein Mensch unter bestimmten Bedingungen in eine Gefährdungssituation geraten kann.
Die bessere Frage lautet deshalb nicht: Welche Gefährdungen hat die Maschine? Die bessere Frage lautet: Wer kann bei welcher Aufgabe, in welcher Lebensphase der Maschine und unter welchen Bedingungen in eine Gefährdungssituation geraten?
Erst dann wird es ernst. Erst dann geht es um reale Zugänge, reale Arbeitsabläufe, reale Sichtverhältnisse, reale Zeitdrucksituationen und reale Fehler. Erst dann lässt sich sauber fragen, welches gefährdende Ereignis den Weg zum Schaden auslöst: unerwarteter Anlauf, Verlust der Standsicherheit, Restenergie, Steuerungsfehler, Materialstau, schlechte Sicht, Fehlbedienung, falscher Zugriff, beengter Zugang oder eine ganz normale Tätigkeit, die der Konstrukteur gedanklich zu Unrecht ins Servicefach geschoben hat.
Und noch etwas wird oft unterschlagen: Nicht jede Risikobeurteilung folgt einem einzigen starren Muster. Manchmal beginnt die Analyse aufgabenbezogen, also bei Reinigung, Umrüsten oder Instandhaltung. Manchmal beginnt sie ereignisbezogen, etwa bei Schlauchriss, Stromausfall, unerwartetem Wiederanlauf, Lastabwurf oder Ausfall einer Steuerungsfunktion. Beides gehört dazu. Wer jedes Szenario in eine mechanische Kette aus Aufgabe, Gefährdungssituation, gefährdendem Ereignis und Schutzmaßnahme presst, macht die Methode kleiner, als ISO 12100 sie vorsieht.
KI in der Risikobeurteilung von Maschinen braucht Kontext, keine Statistik
Genau hier zeigt sich, ob KI sinnvoll eingesetzt wird oder nur schick klingt. Wenn ein Nutzer eingibt, er brauche eine Risikobeurteilung für eine Verpackungsmaschine, bekommt er mit hoher Wahrscheinlichkeit eine formal ordentliche Antwort. Aber eben keine Risikobeurteilung dieser konkreten Maschine. Sondern einen statistisch plausiblen Text über eine typische Verpackungsmaschine.
Zwischen beidem liegt eine Lücke, in die im Ernstfall ein Mensch hineinrutschen kann.
Die konkrete Maschine hat konkrete Grenzen, konkrete Betriebsarten, konkrete Zugänge, konkrete Sequenzen, konkrete Störstellen und konkrete Bediengewohnheiten. KI weiß nicht automatisch:
- dass die Schutzeinrichtung nach zwei Wochen offen stehen bleibt, weil sie zu schwer ist,
- dass der Bediener den Bewegungsablauf von einer Seite beobachten muss, die in der Konstruktion niemand ernsthaft bewertet hat,
- dass eine Stau-/Blockadebeseitigung in der Praxis mehrmals pro Schicht stattfindet, obwohl sie in der Doku wie ein Ausnahmefall aussieht,
- dass laut Anweisung zwei Personen vorgesehen sind, auf der Schicht aber real nur eine Person arbeitet,
- dass eine als Servicevorgang etikettierte Aufgabe in Wahrheit normale Bedienarbeit ist.
Ohne diesen Kontext analysiert KI nicht. Sie rät. Und Raten im Bereich Maschinensicherheit wirkt nur so lange elegant, bis etwas passiert.
Prompt ist keine Methodik nach ISO 12100
Die nächste Versuchung ist schnell da: Dann schreiben wir eben eine bessere Eingabeanweisung. Mit Lebensphasen. Mit Fehlanwendung. Mit Gefährdungen, Schutzmaßnahmen und Restrisiko. Das Ergebnis wird dadurch oft sprachlich besser. Methodisch reicht es trotzdem nicht.
Warum? Weil eine gute Eingabeanweisung keine Fakten erzeugt, die niemand erhoben hat. Sie macht aus fehlenden Beobachtungen keine Beobachtungen. Sie ersetzt keinen Rundgang an der Maschine. Sie ersetzt keine Rückfrage an Konstruktion, Montage, Produktion oder Instandhaltung. Sie ersetzt auch nicht die unbequeme Diskussion, ob ein Risiko konstruktiv beseitigt werden muss oder bequem in Anweisung, Schulung und Warnhinweis verschoben wird.
Gerade die kritischen Details sind selten im Maschinenname versteckt. Es geht um den Zugang hinter der Säule. Um die Nachlaufzeit nach dem Stopp. Um den Bedienplatz mit schlechter Sicht. Um den Hotspot, an dem Material manuell herausgezogen wird. Um das Podest, das nie als Zugangsstelle gedacht war, aber ständig benutzt wird. Um die Reinigung, die ohne Demontage der Abdeckung real nicht funktioniert.
Eine Eingabeanweisung kann eine Diskussion starten. Sie kann die Maschine nicht besichtigen.
KI in der Risikobeurteilung von Maschinen als Assistent, nicht als Autor der Verantwortung
Damit ist nicht gesagt, dass KI in diesem Feld nutzlos wäre. Im Gegenteil. Richtig eingesetzt kann sie sehr nützlich sein. Sie kann Informationen strukturieren, Kontrollfragen vorschlagen, Lücken markieren, Begründungen sprachlich schärfen und Inkonsistenzen in der Dokumentation sichtbar machen. Das spart Zeit und verbessert Qualität.
Was sie nicht tun sollte: Verantwortung übernehmen, die rechtlich und technisch beim Hersteller, Konstrukteur, Integrator oder beim Verantwortlichen für das Inverkehrbringen oder die Inbetriebnahme der Maschine bleibt.
KI kann schreiben: interlockte trennende Schutzeinrichtung vorsehen. Klingt gut. Aber jemand muss beantworten:
- Für welchen Zugang genau?
- Bei welcher Nachlaufzeit?
- Für welche Sicherheitsfunktion?
- Mit welcher erforderlichen Zuverlässigkeit?
- Entsteht dadurch ein neuer Anreiz zum Umgehen?
- Wird Reinigung oder Umrüsten unnötig erschwert?
- Braucht es einen besonderen Betriebsmodus mit reduzierter Geschwindigkeit oder Zustimmtaster?
KI kann schreiben: Bediener schulen. Klingt ordentlich. Aber Schulung ist keine magische Risikominderung. Wenn der Bediener täglich in die Nähe bewegter Teile greifen muss, ist nicht zuerst die Schulung schlecht. Dann ist sehr oft das Konzept schlecht.
KI kann schreiben: LOTO anwenden. Auch das klingt vernünftig. Aber ist es bei einem Eingriff realistisch, der fünfmal pro Stunde anfällt? Wenn die Antwort aus der Praxis nein lautet, steht in der Tabelle keine Schutzmaßnahme. Dann steht dort ein Wunsch.
Der Unterschied ist fundamental: Entweder wird KI genutzt, um ein Dokument zu produzieren. Oder sie unterstützt einen technischen Prozess, dessen Entscheidungen belastbar begründet werden. Nur die zweite Variante taugt etwas.
Praxisbeispiel: Gabelsensor am Slitter (Längsschneider)
Nehmen wir einen einfachen, aber typischen Fall. An einem Slitter (Längsschneider) erfasst ein Gabelsensor die Lage der Bahn. Beim Wechsel der Materialbreite muss der Bediener den Sensor verstellen. Dumm nur: Die Verstellung liegt in der Gefahrenzone. Um den Gabelsensor zu verschieben, greift der Mensch in einen Bereich mit Wellen, Rollen, Einzugsstellen, gespannter Bahn oder Komponenten des Schneidsystems.
Eine generische KI-Antwort sieht oft beeindruckend aus: Gefährdung durch Zugang zur Gefahrenzone beim Umrüsten. Mögliche Folge Quetschen, Erfassen, Schneiden. Schutzmaßnahmen: LOTO, Schulung, Kennzeichnung, persönliche Schutzausrüstung, Umrüstanweisung, Schutzeinrichtung, Not-Halt.
Alles hübsch. Und möglicherweise trotzdem am Kern vorbei.
Die entscheidende Frage ist nicht, wie man den Zutritt schön beschreibt. Die entscheidende Frage lautet: Warum muss der Bediener für ein normales Umrüsten überhaupt in die Gefahrenzone hinein?
Wenn die Breitenumstellung Teil des normalen Produktionsablaufs ist, dann ist das keine exotische Serviceintervention. Dann muss die Risikobeurteilung prüfen, ob die Aufgabe durch inhärent sichere Konstruktion anders gelöst werden kann. Zum Beispiel:
- Verstellung des Gabelsensors von außerhalb der Gefahrenzone,
- mechanische Skala oder reproduzierbare Positionierung,
- rezepturgesteuerte Einstellung,
- anderer Sensortyp oder andere Sensoranordnung,
- geänderter Halter, geänderter Zugang, geänderte Umrüstsequenz.
Erst wenn sich der Zugang konstruktiv nicht sinnvoll vermeiden lässt, kommen weitere Schutzmaßnahmen in der richtigen Reihenfolge auf den Tisch: interlockte trennende Schutzeinrichtung, Einrichtbetrieb, reduzierte Geschwindigkeit, Zustimmeinrichtung, sicheres Stillsetzen, Energieabschaltung, Anweisung, Schulung.
Die Reihenfolge ist kein Formalismus. Sie ist der Unterschied zwischen Problemlösung und Textproduktion. ISO 12100 fragt zuerst, ob sich die Gefährdung beseitigen oder das Risiko durch inhärent sichere Konstruktion mindern lässt. Genau da versagt ein bloß generischer KI-Vorschlag oft. Er beschreibt das Risiko korrekt genug, stellt aber die falsche technische Priorität.
Eine gute Risikobeurteilung würde hier unter anderem sauber klären:
- Ist das Verstellen des Gabelsensors normale Bedienung oder Service?
- Wie oft tritt das Umrüsten real auf?
- Erfolgt die Verstellung bei Stillstand, im Handbetrieb oder während eines Probebetriebs?
- Welche bewegten Teile sind gleichzeitig zugänglich?
- Muss der Bediener die Bahn während der Verstellung beobachten?
- Gibt es das Risiko eines unerwarteten Anlaufs?
- Muss eine Schutzeinrichtung geöffnet oder entfernt werden?
- Fördert das aktuelle Design das Umgehen von Schutzmaßnahmen?
Erst mit solchen Fragen entsteht eine belastbare Entscheidung. Nicht mit der hübschesten Tabellenzeile.
Schöne Tabelle oder belastbare Entscheidungsspur?
Eine seriöse Risikobeurteilung muss nicht nur lesbar sein. Sie muss rekonstruierbar sein. Nach Monaten oder Jahren sollte noch nachvollziehbar sein, warum eine Gefährdungssituation als relevant eingestuft wurde, warum eine bestimmte Schwere möglicher Schäden angenommen wurde, warum die Häufigkeit des Zugangs so bewertet wurde und warum gerade diese Schutzmaßnahme als angemessen galt.
Das ist keine akademische Spitzfindigkeit. Diese Fragen kommen in Audits, bei Umbauten, in Kundenprojekten, nach Beinaheunfällen und erst recht nach Unfällen. Dann hilft der Satz nicht, die KI habe es eben so vorgeschlagen. Genauso wenig half früher der Satz, es habe halt so im Excel gestanden.
Ohne nachvollziehbare Entscheidungsspur entsteht dokumentarischer Nebel. Mit viel Text. Mit gutem Stil. Mit professionellem Vokabular. Aber ohne belastbaren Kern.
Wenn der Prozess sauber aufgesetzt ist, kann KI hier stark sein. Sie kann Begründungen konsistenter machen, fehlende Verknüpfungen zwischen Aufgabe und Gefährdung anzeigen oder Widersprüche zwischen Schutzmaßnahme und Restrisiko markieren. Wenn der Prozess nicht sauber ist, produziert sie nur eleganteren Nebel.
Wenn KI selbst Sicherheitsfunktionen übernehmen soll, wird es ernst
Bis hierhin ging es um KI als Werkzeug zur Unterstützung der Risikobeurteilung. Das ist die eine Welt. Die andere Welt beginnt dort, wo KI oder maschinelles Lernen Teil der Maschine selbst wird und eine Sicherheitsfunktion beeinflusst oder übernimmt. Dann reden wir nicht mehr über Formulierungshilfe. Dann reden wir über sicherheitsrelevantes Verhalten.
Und da endet die Romantik sehr schnell.
Die Maschinenverordnung (EU) 2023/1230 verpflichtet den Hersteller, eine Risikobeurteilung durchzuführen, die anwendbaren grundlegenden Sicherheits- und Gesundheitsschutzanforderungen zu bestimmen und die Maschine auf dieser Basis so zu konstruieren und zu bauen, dass Gefährdungen beseitigt oder Risiken minimiert werden. Diese Pflicht kann nicht an ein Sprachmodell delegiert werden.
Noch wichtiger: Systeme oder Sicherheitsbauteile mit vollständig oder teilweise selbstveränderlichem Verhalten unter Nutzung maschinellen Lernens, die Sicherheitsfunktionen gewährleisten, sind regulatorisch keine nette Softwarebeigabe. Sie führen in einen Bereich, in dem die Konformitätsbewertung durch Dritte relevant wird. Der Grund ist simpel: Abhängigkeit von Daten, mangelnde Transparenz, Autonomie und Vernetzung können Wahrscheinlichkeit und Schwere eines Schadens erhöhen.
Der AI Act zieht dieselbe Linie weiter. Ein KI-System gilt unter anderem dann als hochriskant, wenn es als Sicherheitsbauteil eines Produkts eingesetzt wird, das unter einschlägiges Unionsrecht fällt und für das eine Konformitätsbewertung durch Dritte vorgesehen ist. Dann reicht es nicht zu sagen, das Modell funktioniere meistens gut. Gefordert sind ein Risikomanagement über den gesamten Lebenszyklus, menschliche Aufsicht, dokumentierte Leistungsmerkmale, Robustheit, Cybersecurity und ein technisches Konzept, das auch mit Fehlern umgehen kann.
Genau hier trennt sich Spielerei von Sicherheitsengineering. In sicherheitsbezogenen Funktionen zählt nicht nur die Treffergenauigkeit in einer Präsentation. Entscheidend ist, was im Rest passiert. Was geschieht bei Schmutz auf dem Sensor? Bei anderer Beleuchtung? Bei Vibrationen? Bei ungewöhnlichem Material? Bei Ausfall einer Vorverarbeitung? Bei Daten, die nicht den Testbedingungen entsprechen? Bei schleichender Verhaltensänderung nach dem Rollout?
Das sind keine philosophischen Fragen. Das sind die Fragen, die darüber entscheiden, ob eine Maschine im Fehlerfall in einen sicheren Zustand gelangt oder nicht.
Deshalb sollte man zwei gefährliche Illusionen strikt auseinanderhalten:
- KI hat ein Dokument erzeugt, also gibt es eine Risikobeurteilung.
- KI funktioniert im Test gut, also kann sie eine Sicherheitsfunktion schon übernehmen.
Beides ist zu kurz gedacht. Und beides kann teuer werden.
Fazit
KI in der Risikobeurteilung von Maschinen hat einen sinnvollen Platz. Aber nur als Assistent eines klaren, wiederholbaren und technisch disziplinierten Prozesses. Sie darf Fragen schärfen, Vollständigkeit prüfen, Begründungen ordnen und Schreibarbeit beschleunigen. Sie sollte nicht an die Stelle der Beobachtung, der technischen Bewertung und der Verantwortung treten.
Wer mit KI nur schneller Tabellen füllt, produziert im besten Fall Dokumente. Im schlechtesten Fall produziert er Scheinsicherheit. Und Scheinsicherheit ist in der Maschinensicherheit keine lästige Nebensache, sondern oft der direkte Vorlauf zum nächsten Vorfall.
Die praktische Regel ist einfach: Nicht zuerst fragen, wie man eine gute Tabelle erzeugt. Zuerst fragen, wie ein Mensch an dieser konkreten Maschine real arbeitet, wo er in eine Gefährdungssituation geraten kann, welches gefährdende Ereignis den Schaden auslösen kann und welche Schutzmaßnahme das Problem tatsächlich löst. Wenn KI dabei hilft, ist sie wertvoll. Wenn sie diesen Schritt überspringt, ist sie nur gut formulierte Kulisse.