KI ver\u00e4ndert das Gesundheitswesen. Sie kann Muster in Bildern erkennen, den Verschlechterungszustand von Patienten vorhersagen, Versorgungswege priorisieren und Routineentscheidungen automatisieren. Doch wenn KI medizinische Aufgaben \u00fcbernimmt oder dabei unterst\u00fctzt, f\u00e4llt sie klar in den Geltungsbereich von zwei erheblichen Regulierungsregimen: der EU-Medizinprodukteverordnung (MDR\/IVDR) und dem EU-KI-Gesetz (AI Act). Die EU-Regulierungsbeh\u00f6rden erwarten von Herstellern, dass sie sowohl die klinische Sicherheit als auch die algorithmische Steuerung f\u00fcr medizinisch eingesetzte KI nachweisen.<\/p>\n
Dieser Artikel beleuchtet die zentralen Herausforderungen, die an der Schnittstelle beider Regime entstehen.<\/p>\n
Auf den ersten Blick wirkt dies wie reine Formalit\u00e4t. In der Praxis ist es jedoch entscheidend: Die Qualifizierung nach MDR h\u00e4ngt vom Verwendungszweck ab, w\u00e4hrend der AI Act KI in Ger\u00e4ten, die einer Drittbewertung unterliegen, als \u201ehochrisikobehaftet\u201c kennzeichnet. Viele Grenzprodukte sind jedoch faktensensitiv. Kleine Unterschiede in Kennzeichnung, Marketing oder Einsatz k\u00f6nnen den gesamten Konformit\u00e4tspfad und die rechtlichen Folgen ver\u00e4ndern.<\/p>\n
Warum es wichtig ist:<\/strong> Eine Fehlklassifizierung kann zu Vollzugsma\u00dfnahmen, Produktr\u00fcckrufen oder belastenden r\u00fcckwirkenden Konformit\u00e4tsbewertungen f\u00fchren.<\/p>\n Der AI Act behandelt Modell-Updates, Retrainings und Drift als kontinuierliche Lebenszyklusph\u00e4nomene. Die MDR konzentriert sich auf Verifikation, Validierung und vor allem darauf, ob \u00c4nderungen neue Konformit\u00e4tsverfahren ausl\u00f6sen. Die Frage, was eine \u201ewesentliche \u00c4nderung\u201c im Sinne des AI Act darstellt und wann dies eine erneute Bewertung verlangt, ist sowohl technisch als auch strategisch.<\/p>\n Warum es wichtig ist:<\/strong> Die M\u00f6glichkeit, ein Modell nach der Markteinf\u00fchrung zu aktualisieren (zur Leistungssteigerung oder zur Beseitigung von Bias), hat hohen Produkt- und Gesch\u00e4ftswert, kann aber auch Neubewertungen ausl\u00f6sen und die Produktverf\u00fcgbarkeit unterbrechen.<\/p>\n Ein QMS nach ISO 13485 ist erste Wahl f\u00fcr Medizinprodukte. Der AI Act erwartet KI-spezifische Qualit\u00e4tskontrollen (Datengovernance, Modellnachvollziehbarkeit, Protokollierung). Beides zu integrieren, ohne L\u00fccken oder Widerspr\u00fcche zu schaffen, ist eine anspruchsvolle Governance-Aufgabe, die oft eine Umgestaltung von Verantwortlichkeiten im Unternehmen erfordert.<\/p>\n Warum es wichtig ist:<\/strong> Schlecht abgestimmte QMS-Nachweise k\u00f6nnen einen Regulierer zufriedenstellen, beim anderen aber durchfallen und so unerw\u00fcnschte Compliance-Risiken schaffen.<\/p>\n ISO 14971 erfasst Ger\u00e4terelevante Gefahren gut. Sie wurde jedoch nicht entwickelt, um algorithmische Risiken wie Datensatz-Bias, Model Inversion, Data Poisoning oder systemische Diskriminierung abzudecken. Der AI Act fordert eine separate Analyse und Minderung algorithmischer Risiken. Diese Br\u00fccke zu schlagen und zu entscheiden, welche Restrisiken akzeptabel sind, erfordert sowohl klinisches Urteilsverm\u00f6gen als auch eine klare Rechtsstrategie.<\/p>\n Warum es wichtig ist:<\/strong> Algorithmische Fehler k\u00f6nnen sowohl klinische Sch\u00e4den als auch Grundrechtsverletzungen verursachen. Beides ist durchsetzbar und rufsch\u00e4digend.<\/p>\n Sowohl MDR als auch AI Act verlangen solide Datenpraktiken, aber aus unterschiedlichen Blickwinkeln. Die MDR fordert Daten zur klinischen Evidenz, der AI Act verlangt nachweisbare Datenqualit\u00e4t, Repr\u00e4sentativit\u00e4t und Dokumentation. Kommt die DSGVO hinzu, gilt es, rechtm\u00e4\u00dfige Verarbeitung und Datensparsamkeit mit dem Bedarf an breiten, diversen Datens\u00e4tzen zur Bias-Reduzierung auszubalancieren.<\/p>\n Warum es wichtig ist:<\/strong> Schlechte Datenpraktiken k\u00f6nnen die Zulassung verhindern, Untersuchungen ausl\u00f6sen und die zivilrechtliche Haftung erh\u00f6hen.<\/p>\n Der AI Act schreibt Transparenzpflichten und die M\u00f6glichkeit sinnvoller menschlicher Aufsicht \u00fcber Hochrisikosysteme vor. Die MDR verlangt klare Gebrauchsanweisungen und sichere klinische Abl\u00e4ufe. Das praktische Problem besteht darin, die klinikerorientierten Informationen mit den eher technischen Transparenzanforderungen des AI Act in Einklang zu bringen \u2013 ohne verwirrende oder rechtlich riskante Dokumente zu erzeugen.<\/p>\n Warum es wichtig ist:<\/strong> Unzureichende oder irref\u00fchrende Transparenz erh\u00f6ht das Risiko von Fehlanwendung, regulatorischen R\u00fcckfragen und Haftungsanspr\u00fcchen.<\/p>\n KI bringt neuartige Schwachstellen mit sich \u2013 die Angriffsfl\u00e4che umfasst nun Modelle, Trainingspipelines und Datens\u00e4tze. Regulierer erwarten Sicherheitsma\u00dfnahmen, die nicht nur Patientendaten, sondern auch die Integrit\u00e4t des Modells sch\u00fctzen, da eine Manipulation des Modells direkt zu Patientensch\u00e4den f\u00fchren kann.<\/p>\n Warum es wichtig ist:<\/strong> Cybersicherheitsvorf\u00e4lle k\u00f6nnen sowohl MDR-Meldepflichten als auch AI-Act-Berichtspflichten ausl\u00f6sen und schnell zu Reputationssch\u00e4den eskalieren.<\/p>\n Regulierungsbeh\u00f6rden verlangen sowohl klinische Outcome-Evidenz als auch strenge technische Validierung (Kalibrierung, Subgruppenperformance, Drift-Metriken). Klinische Studien k\u00f6nnen beidem dienen, doch das Studien-Design, die Endpunkte und die statistischen Pl\u00e4ne so auszurichten, dass sie beiden Erwartungen gerecht werden, ist komplex.<\/p>\n Warum es wichtig ist:<\/strong> Schwache oder nicht abgestimmte Evidenz kann den Marktzugang verz\u00f6gern oder die Anwendungsindikation einschr\u00e4nken.<\/p>\n F\u00fcr Hochrisiko-KI in Medizinprodukten wird in der Regel der MDR-Benannte-Stellen-Pfad die Konformit\u00e4tsbewertung \u00fcbernehmen \u2013 was bedeutet, dass ein einziger Audit-Trail die Einhaltung beider Regime belegen muss. Doch Benannte Stellen entwickeln ihre Verfahren zur Bewertung von AI-Act-Aspekten noch, und Unterschiede zwischen K\u00e4ufern, Lieferanten und Pr\u00fcfern schaffen echte gesch\u00e4ftliche Unsicherheit.<\/p>\n2. Lebenszyklus vs. einmalige Genehmigungen: Wer steuert Updates?<\/strong><\/h4>\n
3. Qualit\u00e4tssysteme: Zwei Sprachen in einem Prozess<\/strong><\/h4>\n
4. Risikomanagement: Klinische Sicherheit vs. algorithmische Sch\u00e4den<\/strong><\/h4>\n
5. Datengovernance: Herkunft, Repr\u00e4sentativit\u00e4t und Datenschutz<\/strong><\/h4>\n
6. Transparenz und menschliche Aufsicht: Wie viel und f\u00fcr wen?<\/strong><\/h4>\n
7. Cybersicherheit: Neue Angriffsfl\u00e4chen<\/strong><\/h4>\n
8. Leistungsevaluation: Klinische Endpunkte vs. statistische Kennzahlen<\/strong><\/h4>\n
9. Konformit\u00e4tsbewertung: Wer pr\u00fcft was?<\/strong><\/h4>\n