EU AI Act und Medizinprodukte: Was gilt ab wann?

Künstliche Intelligenz steckt in immer mehr Medizinprodukten: in der Bildauswertung, in Entscheidungsunterstützung, in Monitoring-Systemen. Seit August 2024 ist dafür neben der MDR auch die europäische KI-Verordnung (AI Act) in Kraft. Im Juli 2026 hat der sogenannte Digital Omnibus die Fristen für Hochrisiko-KI verschoben. Dieser Beitrag erklärt, wann KI in einem Medizinprodukt als Hochrisiko-KI gilt, welche Pflichten folgen und wie sich AI Act und MDR in der Praxis zusammenführen lassen.

Die Rechtsgrundlagen

• Verordnung (EU) 2024/1689 (AI Act), in Kraft seit dem 1. August 2024
• Verordnung (EU) 2026/1744 (Digital Omnibus zur KI), in Kraft seit dem 27. Juli 2026, die unter anderem die Anwendungsfristen für Hochrisiko-KI geändert hat
• MDR (EU) 2017/745, die für das Medizinprodukt selbst unverändert gilt

Zur Abgrenzung zwischen beiden Regelwerken hat die Medical Device Coordination Group zudem die Leitlinie MDCG 2025-6 veröffentlicht.

Wann ist KI im Medizinprodukt „hochriskant"?

Nach Artikel 6 Absatz 1 AI Act ist ein KI-System hochriskant, wenn beide Bedingungen erfüllt sind:

1. Das KI-System ist selbst ein Produkt oder eine Sicherheitskomponente eines Produkts, das unter eine der in Anhang I genannten Harmonisierungsvorschriften fällt. Die MDR und die IVDR sind dort aufgeführt.
2. Das Produkt muss nach diesen Vorschriften eine Konformitätsbewertung durch Dritte durchlaufen, also unter Beteiligung einer Benannten Stelle.

Daraus ergibt sich eine einfache Faustregel:

MDR-Klasse des Produkts	Benannte Stelle	KI nach Art. 6 Abs. 1 hochriskant?
Klasse I (selbst zertifiziert)	nein	nein
Klasse Is, Im, Ir	für Teilaspekte	im Einzelfall prüfen
Klasse IIa, IIb, III	ja	ja

Weil Software nach Regel 11 der MDR häufig mindestens Klasse IIa ist (siehe MDR Klassifizierung), fällt ein großer Teil der KI-basierten Medizinprodukte-Software unter die Hochrisiko-Pflichten. Die Klassifizierung nach MDR entscheidet also indirekt auch über die Einstufung nach dem AI Act.

Die Fristen nach dem Digital Omnibus

Was	Ursprüngliche Frist	Nach dem Omnibus
Verbotene KI-Praktiken	2. Februar 2025	unverändert
Pflichten für KI-Modelle mit allgemeinem Verwendungszweck	2. August 2025	unverändert
Hochrisiko-KI nach Anhang III (eigenständige Anwendungsfälle)	2. August 2026	2. Dezember 2027
Hochrisiko-KI in Produkten nach Anhang I, also auch Medizinprodukte	2. August 2027	2. August 2028

Für KI in Medizinprodukten bleibt damit ein Jahr mehr Zeit als ursprünglich geplant. Das sollte nicht dazu verleiten, abzuwarten: Daten-Governance, Logging oder menschliche Aufsicht lassen sich bei einem bestehenden Produkt nur schwer nachrüsten. Zudem gilt die Pflicht zur KI-Kompetenz nach Artikel 4 bereits. Anbieter und Betreiber müssen Maßnahmen ergreifen, damit ihr Personal ausreichend mit KI vertraut ist. Der Omnibus hat lediglich klargestellt, dass dabei kein bestimmtes Niveau für jede einzelne Person garantiert werden muss.

Welche Pflichten gelten für Hochrisiko-KI?

Die Anforderungen stehen in den Artikeln 9 bis 15 AI Act, ergänzt um Qualitätsmanagement und Marktbeobachtung:

• Risikomanagement (Art. 9) über den gesamten Lebenszyklus des KI-Systems
• Daten und Daten-Governance (Art. 10): Trainings-, Validierungs- und Testdaten müssen relevant, ausreichend repräsentativ und so weit wie möglich fehlerfrei sein; mögliche Verzerrungen (Bias) sind zu untersuchen
• Technische Dokumentation (Art. 11)
• Aufzeichnungspflichten (Art. 12): automatische Protokollierung von Ereignissen
• Transparenz und Gebrauchsanweisung (Art. 13)
• Menschliche Aufsicht (Art. 14): Das System muss so gestaltet sein, dass Menschen es wirksam überwachen und eingreifen können
• Genauigkeit, Robustheit und Cybersicherheit (Art. 15)
• Qualitätsmanagementsystem (Art. 17) und Beobachtung nach dem Inverkehrbringen (Art. 72)

Viele dieser Punkte kennen Medizinproduktehersteller bereits aus MDR, ISO 13485, ISO 14971 und IEC 62304. Neu und für Software-Teams besonders aufwendig sind vor allem die Anforderungen an Datenqualität und Bias, an Logging und an die menschliche Aufsicht.

AI Act und MDR zusammenführen

Der AI Act ist ausdrücklich darauf ausgelegt, dass Hersteller keine zweite Parallelstruktur aufbauen müssen:

• Eine technische Dokumentation: Für Produkte nach Anhang I wird eine einzige technische Dokumentation erstellt, die die Anforderungen beider Verordnungen enthält (Art. 11 Abs. 2).
• Ein QMS: Die Elemente nach Art. 17 können in das bestehende QMS nach MDR beziehungsweise ISO 13485 integriert werden.
• Ein Konformitätsbewertungsverfahren: Es gilt das Verfahren der MDR. Die Benannte Stelle prüft die Anforderungen des AI Act mit, sofern sie auch dafür benannt ist (Art. 43 Abs. 3). Der Omnibus hat dafür ein gemeinsames Antrags- und Bewertungsverfahren für Benannte Stellen eingeführt.
• Eine Marktbeobachtung: Die Pflichten nach Art. 72 lassen sich in den PMS-Prozess nach MDR einbinden.

Für die Planung heißt das: frühzeitig mit der eigenen Benannten Stelle klären, ob und ab wann sie auch für den AI Act benannt ist.

Was Software- und IT-Teams jetzt tun sollten

1. Inventar erstellen: Welche Produkte oder Komponenten nutzen KI oder maschinelles Lernen? Welche MDR-Klasse haben sie?
2. Rollen klären: Ist das eigene Unternehmen Anbieter (Provider) des KI-Systems, Betreiber oder Zulieferer einer Komponente?
3. Daten-Governance aufsetzen: Herkunft, Auswahl, Aufbereitung und Prüfung von Trainingsdaten nachvollziehbar dokumentieren, Bias-Analysen einplanen.
4. Logging und menschliche Aufsicht in die Architektur aufnehmen, statt sie später anzubauen.
5. QMS erweitern: Prozesse für Datenmanagement, Modelländerungen und Nachtraining in Entwicklungs- und Änderungsprozesse integrieren.
6. Cybersecurity mitdenken: Art. 15 verlangt Schutz gegen KI-spezifische Angriffe wie manipulierte Trainingsdaten. Die Grundlagen beschreibt unser Beitrag zur Cybersecurity für Medizinprodukte.
7. KI-Kompetenz im Team sicherstellen und Schulungen dokumentieren.

Fazit

Für KI in Medizinprodukten ab Klasse IIa gelten ab dem 2. August 2028 die Hochrisiko-Pflichten des AI Act, zusätzlich zur MDR. Der Aufschub durch den Digital Omnibus verschafft Zeit, ändert aber nichts an den Anforderungen. Wer AI-Act-Anforderungen in die bestehende MDR-Dokumentation, das QMS und den PMS-Prozess integriert, vermeidet Doppelarbeit und geht mit einem einzigen, schlüssigen Nachweis in die Bewertung durch die Benannte Stelle.

Wir unterstützen bei der Einordnung von KI-Produkten und bei der Integration der Anforderungen in bestehende QMS-Strukturen. Mehr dazu im MedTech Consulting.