KI als Medizinprodukt: Was der EU AI Act für Digital-Health-Hersteller bedeutet

Wer KI-basierte Software als Medizinprodukt in der EU in Verkehr bringt, steht vor einer doppelten regulatorischen Aufgabe. Neben der Medizinprodukteverordnung (MDR) bzw. der In-vitro-Diagnostika-Verordnung (IVDR) greift mit dem AI Act ein horizontales Regelwerk, das die Nutzung von KI in der EU produktübergreifend reguliert. Für Digital-Health-Hersteller ist das keine Randnotiz, sondern eine strategische Weichenstellung.

Warum fast jedes KI-Medizinprodukt als Hochrisiko gilt

Der Einstufungsmechanismus ist weitreichend. Nach Artikel 6 des AI Acts gilt jedes KI-System, das unter die in Anhang I aufgeführten Harmonisierungsvorschriften fällt (MDR und IVDR) und für das ein Drittkonformitätsbewertungsverfahren erforderlich ist, als Hochrisiko-KI-System. In der Praxis bedeutet das: Sobald eine Benannte Stelle in das Konformitätsbewertungsverfahren eingebunden ist, ist das Medizinprodukt automatisch ein Hochrisiko-KI-System. Ein KI-gestütztes Bildanalysesystem, ein Sepsis-Vorhersagealgorithmus oder eine intelligente Insulinpumpe ist damit zugleich Medizinprodukt und Hochrisiko-KI.

Was die Hochrisiko-Einstufung konkret verlangt

Die Pflichten für Anbieter sind umfangreich: Risikomanagementsystem (Art. 9), Data-Governance (Art. 10), technische Dokumentation (Art. 11, Anhang IV), Logging (Art. 12), Transparenz (Art. 13), menschliche Aufsicht (Art. 14), Genauigkeit, Robustheit und Cybersicherheit (Art. 15), Qualitätsmanagementsystem (Art. 17) sowie Post-Market Monitoring und Incident Reporting. Vieles davon kennt ein MDR-erfahrenes Haus bereits, allerdings nicht deckungsgleich.

MDR und AI Act duplizieren einander nicht

Der zentrale Hebel liegt in der Integration statt im Parallelbetrieb. Die größten Synergien liegen im Risikomanagement (ISO 14971 / Art. 9 AI Act), in der technischen Dokumentation (Anhang II MDR / Anhang IV AI Act) und in der Post-Market Surveillance. Ein QMS auf Basis von ISO 13485, erweitert um ein KI-Modul (orientiert an ISO 42001), kann beide Welten bedienen. KI-spezifische Risiken wie Bias, Modelldrift und Robustheit lassen sich als zusätzliche Kategorien in ein bestehendes ISO-14971-Framework einbetten, statt ein zweites System aufzubauen.

Die Fristen sind in Bewegung

Der AI Act trat am 1. August 2024 in Kraft. Ursprünglich war der 2. August 2026 als Termin für die Hochrisiko-Pflichten und der 2. August 2027 für KI in regulierten Produkten (Anhang I, inklusive MDR/IVDR) vorgesehen. Mit dem Digital Omnibus hat die EU-Kommission nachgesteuert: Die zentralen Hochrisiko-Pflichten sollen an die Verfügbarkeit harmonisierter Standards und Leitlinien geknüpft werden, sodass die Regelungen voraussichtlich bis zu 16 Monate später als ursprünglich vorgesehen verbindlich gelten. Für Hersteller gilt: Die Richtung steht fest, der genaue Stichtag verschiebt sich nach hinten. Das ist ein Zeitfenster, keine Pause.

Es ist ein Führungsthema, nicht nur ein RA-Thema

Der AI Act betrifft Entwicklung, Data Science, Usability Engineering, Regulatory Affairs und Vigilanz zugleich. Das ist eine abteilungsübergreifende Transformation, die als Change-Projekt aufgesetzt und geführt werden muss. Genau hier liegt der rote Faden unserer Arbeit: Advisory für die regulatorische Strategie und Gap-Analyse, Delivery für die integrierte Umsetzung von QMS, Dokumentation und Risikomanagement, Interim Leadership für die Führung durch eine Transition, die mehrere Funktionen gleichzeitig fordert.

Fazit

Für KI-Medizinprodukte gilt: MDR und AI Act sind kumulativ, aber nicht redundant. Der Wettbewerbsvorteil entsteht nicht durch ein zweites Compliance-Silo, sondern durch eine gemeinsame Architektur, früh geplant und konsequent geführt. Die verschobenen Fristen sind der richtige Zeitpunkt, das jetzt aufzusetzen.