Ein Überblick über den AI Act der EU: Was Hersteller von KI-gestützten Medizinprodukten jetzt tun müssen

Medizinprodukte, Diagnoseverfahren und klinische Entscheidungssysteme müssen Präzision und Sicherheit miteinander vereinen – insbesondere angesichts der zunehmenden Einführung technologischer Innovationen. Künstliche Intelligenz (KI) verändert zunehmend das Verständnis der Branche von diesen beiden Aspekten. Da neue Technologien immer stärker in die Patientenversorgung integriert werden, steigen weltweit auch die Erwartungen der Regulierungsbehörden und die Anforderungen an Sicherheit, Transparenz und Verantwortlichkeit. Das KI-Gesetz (AI Act) der Europäischen Union (EU), das nun verabschiedet wurde und schrittweise in Kraft tritt, signalisiert einen Wandel von der Zielsetzung zur Durchsetzung, auch wenn sich bestimmte technische Details der Umsetzung noch weiterentwickeln. 

Diese neuen Vorschriften stellen wichtige Schritte zur Erhöhung der Patientensicherheit dar und übertragen gleichzeitig die Verantwortung auf die Hersteller. Auf endgültige regulatorische Vorgaben zu warten, ist keine tragfähige Strategie mehr. Unternehmen, die ihre Vorbereitungen hinauszögern, riskieren, am Markt den Anschluss zu verlieren. Wer sich einen Wettbewerbsvorteil sichern möchte, sollte die Einsatzbereitschaft, Kontrolle und Vertrauenswürdigkeit Ihrer KI-gestützten Medizinprodukte bereits vor dem offiziellen Inkrafttreten der Anforderungen aktiv nachweisen. 

Ein kurzer Überblick über den EU AI Act 

Der EU AI Act führt ein strenges, risikobasiertes Framework ein, das KI-Systeme anhand ihres Schadenspotenzials in Kategorien einteilt. Nach dieser Einordnung fallen die meisten KI-gestützten Medizinprodukte in die Kategorie „hohes Risiko“. Damit gehen umfangreiche rechtliche und technische Anforderungen einher, die Hersteller erfüllen müssen, bevor sie ihre Produkte auf dem EU-Markt in Verkehr bringen dürfen.¹Es ist jedoch wichtig zu verstehen, dass diese Gesetzgebung bestehende regulatorische Frameworks ergänzt und nicht ersetzt. Zu diesen Frameworks gehören: 

• Die Verordnung über Medizinprodukte (MDR) 
• Die Verordnung über In-vitro-Diagnostika (IVDR) 
• Die Datenschutz-Grundverordnung (DSGVO) 

Das neue Gesetz erweitert die Aufsicht um KI-spezifische Risiken wie Algorithmusdrift, Datenverzerrungen und mangelnde Erklärbarkeit.¹ Während sich einige Umsetzungsleitfäden, Verhaltenskodizes und harmonisierte Normen noch weiterentwickeln, sind die regulatorischen Verpflichtungen und Anwendungsfristen des AI Acts nun fest verankert. Die Botschaft ist klar: Verantwortungsvolle KI ist heute eine grundlegende Erwartung – kein Ziel für die Zukunft. Und jetzt ist es an der Zeit, entscheidende Schritte nach vorne zu machen. 

Den Zeitplan im Blick: schrittweise Umsetzung, steigende Anforderungen 

Der EU AI Act wird schrittweise umgesetzt. Die Frist für die Einhaltung der Vorschriften für eigenständige KI-Systeme mit hohem Risiko (Anhang III) wurde vom 2. August 2026 auf den 2. Dezember 2027 verlängert. Für KI-Systeme mit hohem Risiko, die in regulierte Produkte gemäß Anhang I eingebettet sind, darunter Medizinprodukte und In-vitro-Diagnostika (IVD), wurde die Frist vom 2. August 2027 auf den 2. August 2028 verschoben. 

Das für den EU AI Act festgelegte Modell der schrittweisen Umsetzung trägt der Komplexität Rechnung, KI-Governance branchenübergreifend und in großem Maßstab in die Praxis umzusetzen. Für Hersteller von KI-gestützten Medizinprodukten ermöglicht dieser Ansatz eine schrittweise Umsetzung, bedeutet jedoch keinen Aufschub bei der Durchsetzung. Der regulatorische Fokus und die Marktüberwachung konzentrieren sich bereits zunehmend auf drei Kernsäulen: 

1. KI-Risikomanagement und technische Dokumentation – Einrichtung kontinuierlicher Prozesse über den gesamten Lebenszyklus zur Erkennung und Behebung algorithmischer Störungen. 
2. Vorbereitung auf das Konformitätsassessment – Integration KI-spezifischer Compliance-Verpflichtungen direkt in bestehende Produktkonformitäts-Pipelines und Qualitätsmanagementsysteme (QMS). 
3. Überwachung nach dem Inverkehrbringen – Einführung von Mechanismen für Vorfallmeldungen, Feedbackschleifen und die kontinuierliche Leistungsüberwachung. 

Die heute getroffenen Entscheidungen hinsichtlich Entwurf, Dokumentation und Governance werden sich unmittelbar auf die Bereitschaft zur Konformitätsbewertung und den Marktzugang auswirken, je näher der aktualisierte Geltungsbeginn rückt. Unternehmen, die auf vollständige Klarheit warten, riskieren, jahrelange Entwicklungs- und Dokumentationsarbeit in wenige Monate hektischer Nacharbeit zu zwängen. 

Vorbereitung auf die Einhaltung des KI-Gesetzes  

Die Konformität mit dem EU AI Act erfordert einen kontinuierlichen und dynamischen Nachweis von Transparenz und Leistungsfähigkeit. Auch wenn sich die ergänzenden Leitlinien weiterentwickeln, müssen Hersteller und Lieferanten in der Lage sein, in mehreren kritischen Bereichen objektive, überprüfbare Nachweise zu erbringen. 

Nachweis der Einhaltung der Kernvorschriften 

Vorhersehbares und robustes KI-Verhalten unter allen vorgesehenen Einsatzbedingungen – Hersteller müssen über reine Laborleistungskennzahlen hinaus nachweisen, dass ihre Modelle auch unter realen klinischen Bedingungen ein hohes Maß an Korrektheit, Robustheit und Cybersicherheit aufweisen. Dies erfordert dokumentierte Nachweise von: 

• Stresstests und Sonderfälle 
• Kennzahlen zur Driftüberwachung 
• Hardwarekompatibilität 

Gut verwaltete Datenpipelines mit gezielter Erkennung und Minderung von Verzerrungsrisiken – Hochrisiko-KI-Medizinprodukte erfordern strenge Datenverwaltungspraktiken über den gesamten Datenlebenszyklus hinweg, von der ersten Erfassung bis zur Verwendung. Um die regulatorischen Anforderungen zu erfüllen, muss Ihre technische Dokumentation die Herkunft, Qualität und Transparenz der Daten sowie die Rahmenbedingungen für die Erkennung von Verzerrungen, der Einhaltung von Datenschutzbestimmungen und die Risikominderung klar dokumentieren. Artikel 10 des EU AI Acts erlaubt Anbietern die Erhebung und Nutzung sensibler Daten, stellt dabei jedoch klar die Erkennung und Korrektur von Verzerrungen in den Mittelpunkt. Ziel ist es, Verzerrungen zu minimieren und gleichzeitig die sensiblen Informationen zu schützen.² 

Klare Mechanismen zur menschlichen Aufsicht und nachvollziehbare Entscheidungslogik – Artikel 14 des Gesetzes schreibt vor, dass KI-Systeme eine menschliche Aufsicht ermöglichen müssen, die den Risiken und dem Verwendungszweck des Systems angemessen ist.² Für Entwickler medizinischer Produkte bedeutet dies, Benutzeroberflächen und Protokollierungsfunktionen zu integrieren, die es Gesundheitsdienstleistern ermöglichen, KI-generierte Ergebnisse und Empfehlungen nachzuvollziehen, zu verwerfen, zu überschreiben oder rückgängig zu machen.   

Sichere und resiliente KI-Komponenten über den gesamten Produktlebenszyklus hinweg – KI-gestützte Medizinprodukte müssen von Grund auf robust gegenüber Betriebsstörungen, Hardwarefehlern und böswilligen Angriffen sein. Cybersicherheit, Lebenszyklusmanagement und ausfallsichere Mechanismen zur Risikominimierung tragen dazu bei. 

Während dieser Übergangsphase sollten Unternehmen über den Wortlaut der Vorschriften hinausdenken und sich an den zugrunde liegenden sicherheitswissenschaftlichen Prinzipien von Robustheit, Nichtdiskriminierung und Korrektheit orientieren. 

Wie sich Hersteller jetzt vorbereiten können 

Marktführer sehen regulatorische Unsicherheit oft als Anstoß für frühzeitiges Handeln statt als Grund zum Abwarten. Wir bei UL Solutions befürworten diesen Ansatz, da er dazu beitragen kann, eine solide Compliance-Basis aufzubauen, während Sie sich auf künftige Anforderungen vorbereiten. 

Nutzen Sie die Zeit, bevor die Anforderungen des KI-Gesetzes für die meisten KI-gestützten Medizinprodukte gelten, um alle KI-Systeme in Ihrem Produktportfolio zu erfassen, zu kategorisieren und potenzielle rechtliche Risiken zu bewerten. So erhalten Sie einen umfassenden Überblick darüber, welche Bereiche Ihres Unternehmens möglicherweise betroffen sind. Außerdem sollten Sie Ihre aktuellen technischen Praktiken und Dokumentationen mit den erwarteten Anforderungen an Hochrisiko-KI-Systeme und den damit verbundenen Vorgaben für Medizinprodukte abgleichen, um bestehende Lücken zu erkennen und mögliche Hindernisse zu vermeiden. 

Zudem sollte eine Überprüfung Ihrer Daten und der damit verbundenen Prozesse erfolgen. Ihr Unternehmen kann damit beginnen, Datenverwaltung, Risikomanagement und die Überwachung von Algorithmen in Ihre bestehenden Qualitätslebenszyklen nach ISO 13485 und Ihre Arbeitsabläufe in der Softwareentwicklung zu integrieren. Dazu sollte bereits in einer frühen Entwurfsphase eine Bewertung der Qualität der Trainingsdaten und der Modellleistung gehören. 

Warum ein unabhängiges Assessment für die Vorbereitung auf den AI Act wichtig ist 

Unabhängige Assessments schaffen die nötige Objektivität, Konsistenz und Sicherheit, um sich in einem unklaren regulatorischen Umfeld zurechtzufinden, in dem Anforderungen und Normen noch im Entstehen sind. Eine unabhängige Validierung hilft Ihnen, Risiken in Ihren Entwicklungsprozessen zu reduzieren, indem sie die Sicherheit, Robustheit und Lebenszyklusrisiken Ihrer KI objektiv bewertet, bevor Sie Unterlagen bei benannten Stellen einreichen. Mit unabhängigen Bewertungen können Sie Ihre internen Prozesse zudem an international anerkannten Best-Practice-Normen wie ISO/IEC 42001³ ausrichten. Eine solche Ausrichtung stärkt aktiv das Vertrauen von Regulierungsbehörden, benannten Stellen, Gesundheitsdienstleistern und Patienten. 

UL Solutions bringt jahrzehntelange Expertise in der Sicherheitswissenschaft in das Assessment KI-gestützter Technologien ein. Diese Erfahrung hilft uns, Sie auch in einem sich wandelnden und komplexen regulatorischen Umfeld bei der verantwortungsvollen Innovation zu unterstützen. Programme wie die Vornorm UL 3115, „Outline of Investigation for Safety of AI-Based Products“, unterstützen Hersteller dabei, die Einhaltung von Sicherheits-, Leistungs- und weiteren relevanten Anforderungen nachzuweisen, während sich die regulatorischen Anforderungen an KI-gestützte Medizinprodukte zunehmend konkretisieren. 

Von der regulatorischen Bereitschaft zur Marktführerschaft 

Der Nachweis einer starken KI-Governance setzt ein klares Signal über den Gesetzgebungsprozess hinaus und hilft, Vorbehalte risikoscheuer Beschaffungsabteilungen abzubauen. Frühzeitige Investitionen fördern zudem eine engere und konstruktivere Zusammenarbeit mit benannten Stellen und können so dazu beitragen, Genehmigungsverfahren zu beschleunigen. Letztlich hilft Ihnen frühzeitiges Handeln dabei, die Anforderungen des EU AI Acts zu erfüllen und Maßstäbe für vertrauenswürdige KI im Gesundheitswesen zu setzen. 

Frühzeitig handeln, KI-Vorsprung sichern 

Der EU AI Act hat die Rahmenbedingungen für KI-gestützte Medizinprodukte bereits grundlegend verändert. Die Zeit bis zum Inkrafttreten der überarbeiteten Compliance-Fristen bietet Unternehmen die Gelegenheit, ihre Fähigkeiten in den Bereichen Governance, Dokumentation, Risikomanagement und Überwachung nach der Markteinführung zu stärken, bevor die Anforderungen greifen. Diese Zeit sollte dabei nicht als Anlass gesehen werden, Konformitätsmaßnahmen auszusetzen oder interne Veränderungen aufzuschieben. Bevor die Vorschriften vollständig in Kraft treten, ist jetzt der richtige Zeitpunkt, um Ihre Prozesse und Produkte besser zu verstehen. Mit den richtigen Rahmenbedingungen, einer soliden Governance-Basis und unabhängiger sicherheitswissenschaftlicher Unterstützung können Sie regulatorische Unsicherheit in operative Klarheit verwandeln und Konformität zu einem echten Wettbewerbsvorteil machen. 

Kontaktieren Sie UL Solutions noch heute, um Ihre KI-Bereitschaft zu bewerten und Ihr Unternehmen auf die bevorstehenden regulatorischen Anforderungen vorzubereiten.