Die EU-KI-Verordnung im Gesundheitswesen: Compliance medizinischer KI erklärt

Künstliche Intelligenz hält schneller Einzug in die Kliniken als die Regeln, die sie ordnen, bis jetzt. Die EU-KI-Verordnung (AI Act) ist das weltweit erste umfassende Gesetz zu künstlicher Intelligenz, und für alle, die medizinische KI in Europa entwickeln oder einsetzen, verändert sie, was compliant bedeutet.

Dieser Artikel erklärt den AI Act speziell für das Gesundheitswesen und medizinische Software: was er ist, für wen er gilt, die Risikoklassen, den Zeitplan und die Frage, die alle wirklich stellen, ob eine klinische KI als Hochrisiko gilt.

Dieser Artikel bietet allgemeine Informationen, keine Rechtsberatung. Für Entscheidungen zu einem konkreten Produkt ziehen Sie eine qualifizierte regulatorische oder rechtliche Beratung hinzu.

Was ist die EU-KI-Verordnung?

Die EU-KI-Verordnung ist die Verordnung (EU) 2024/1689, ein verbindliches EU-weites Gesetz, das künstliche Intelligenz nach dem Risiko regelt, das sie für Gesundheit, Sicherheit und Grundrechte darstellt. Sie wurde am 12. Juli 2024 im Amtsblatt veröffentlicht und trat am 1. August 2024 in Kraft, wobei die Pflichten in den Folgejahren gestaffelt greifen.

Der Grundgedanke ist einfach: Je höher das Risiko eines KI-Systems, desto strenger die Regeln. Statt die Technologie selbst zu regeln, regelt die Verordnung, wie und wo KI eingesetzt wird.

Für wen gilt die EU-KI-Verordnung?

Sie gilt entlang der gesamten KI-Lieferkette, nicht nur für Entwickler:

• Anbieter: wer ein KI-System entwickelt (oder entwickeln lässt) und unter eigenem Namen auf dem EU-Markt bereitstellt.
• Betreiber: Organisationen, die ein KI-System beruflich einsetzen, zum Beispiel ein Krankenhaus, das ein klinisches KI-Werkzeug nutzt.
• Einführer und Händler: wer KI-Systeme von außerhalb der EU auf den EU-Markt bringt.

Wichtig: Die Verordnung hat extraterritoriale Reichweite. Wird das Ergebnis Ihrer KI in der EU genutzt, kann der AI Act auch dann gelten, wenn Ihr Unternehmen außerhalb der EU sitzt. Für das Gesundheitswesen heißt das: Eine Praxis in Deutschland, die ein in den USA entwickeltes KI-Werkzeug nutzt, bringt beide Seiten in den Anwendungsbereich.

Die vier Risikoklassen (der Kern der Verordnung)

Jedes KI-System fällt in eine von vier Stufen:

Die meiste Alltagssoftware liegt bei minimalem oder begrenztem Risiko. Im Gesundheitswesen wird es ernst, denn viel medizinische KI kann in die Klasse Hochrisiko fallen.

Wann gilt die EU-KI-Verordnung? (Der Zeitplan)

Die Verordnung greift gestaffelt, nicht auf einmal:

• 1. August 2024: in Kraft getreten.
• 2. Februar 2025: Verbote verbotener KI-Praktiken gelten; die Pflichten zur KI-Kompetenz beginnen.
• 2. August 2025: Regeln für KI-Modelle mit allgemeinem Verwendungszweck (GPAI), Governance-Stellen und Sanktionen gelten.
• 2. August 2026: die meisten Pflichten für Hochrisiko-KI (Anhang-III-Fälle) und die Transparenzpflichten gelten.
• 2. August 2027: Pflichten für Hochrisiko-KI, die Produkte oder Sicherheitsbauteile bereits EU-rechtlich regulierter Produkte sind, einschließlich Medizinprodukte, gelten.

Für die meiste Medizinprodukte-KI ist das zentrale Datum somit der 2. August 2027, doch die Vorbereitung muss weit früher beginnen, denn die technische Grundarbeit (Risikomanagement, Data Governance, Dokumentation) braucht Zeit.

Ist meine Gesundheits-KI Hochrisiko? (Die entscheidende Frage)

Hier treffen der AI Act und das Medizinprodukterecht aufeinander. Nach Artikel 6 Absatz 1 des AI Act ist ein KI-System hochriskant, wenn beide Bedingungen erfüllt sind: Es ist ein Produkt oder ein Sicherheitsbauteil eines Produkts, das unter die in Anhang I gelistete EU-Harmonisierungsrechtsvorschrift fällt, wozu die Medizinprodukteverordnung (MDR 2017/745) gehört; und dieses Produkt muss einer Konformitätsbewertung durch Dritte unterzogen werden, das heißt, eine Benannte Stelle muss beteiligt sein.

Verständlich ausgedrückt, für Medizinprodukte-Software:

• Medizinprodukte-KI der Klasse IIa, IIb oder III braucht eine Benannte Stelle und ist damit hochriskant unter dem AI Act.
• Medizinprodukte-KI der Klasse I (selbstzertifiziert, ohne Benannte Stelle) ist nach Artikel 6 in der Regel nicht hochriskant.

Es gibt zudem eine Feinheit in Artikel 6 Absatz 3: Selbst manche KI in den gelisteten Kategorien gilt womöglich nicht als hochriskant, wenn sie eine eng umgrenzte, verfahrensbezogene Aufgabe erfüllt und kein erhebliches Schadensrisiko birgt, doch dies muss dokumentiert und begründet werden.

Die praktische Erkenntnis für medizinische KI: Ihre MDR-Klassifizierung bestimmt in der Regel Ihre AI-Act-Risikoklasse. Verschiebt eine neue Funktion Ihre Software von Klasse I in Klasse IIa, etwa durch patientenspezifische klinische Entscheidungsunterstützung, kann sie zugleich hochriskant unter dem AI Act werden. Beide Regime bewegen sich gemeinsam.

Welche Pflichten gehen mit Hochrisiko einher?

Ist Ihre medizinische KI hochriskant, müssen Sie unter anderem:

• ein Risikomanagementsystem über den gesamten Lebenszyklus der KI betreiben.
• Standards der Data Governance für Trainings-, Validierungs- und Testdaten einhalten.
• technische Dokumentation und automatische Protokollierung von Ereignissen führen.
• Transparenz und klare Informationen für Betreiber sicherstellen.
• menschliche Aufsicht einbauen.
• angemessene Genauigkeit, Robustheit und Cybersicherheit erreichen.
• das System in der EU-Datenbank registrieren und eine Konformitätsbewertung abschließen.

Erfreulich ist, dass der AI Act auf die MDR abgestimmt ist. Wo ein Medizinprodukt die MDR-Anforderungen bereits erfüllt (technische Dokumentation, Risikomanagement, Marktüberwachung), lässt sich vieles davon für den AI Act wiederverwenden statt doppelt erledigen.

EU-KI-Verordnung und MDR: wie beide zusammenwirken

Bei medizinischer KI haben Sie es fast nie allein mit dem AI Act zu tun:

Beide ergänzen sich: Die MDR fragt, ist das Produkt sicher und leistungsfähig; der AI Act fragt, ist die KI geregelt, transparent und beaufsichtigt. Ein compliant aufgestelltes medizinisches KI-Programm bedient beide zusammen.

Wie hoch sind die Bußgelder?

Verstöße sind teuer:

• Verbotene KI-Praktiken: bis zu 35 Millionen Euro oder 7% des weltweiten Jahresumsatzes, je nachdem, welcher Betrag höher ist.
• Die meisten anderen Verstöße, etwa gegen Hochrisiko-Pflichten: bis zu 15 Millionen Euro oder 3%.
• Übermittlung falscher oder irreführender Angaben an Behörden: bis zu 7,5 Millionen Euro oder 1%.

Wie Sie EU-KI-Verordnungs-Compliance angehen, ein praktischer Weg

Sie müssen nicht alles auf einmal lösen. Eine sinnvolle Reihenfolge:

• KI erfassen. Listen Sie jedes KI-System und jede Funktion auf, die Sie bereitstellen oder nutzen.
• Jede einzeln einordnen. Welche Risikoklasse? Für medizinische Software beginnen Sie bei Ihrer MDR-Klasse, sie entscheidet meist über Ihre AI-Act-Risikoklasse.
• Überschneidung mit der MDR abbilden. Ermitteln Sie, was Ihre bestehende technische MDR-Dokumentation bereits abdeckt, damit Sie nichts doppelt tun.
• KI-spezifische Lücken schließen. Data Governance, Protokollierung, Transparenz, menschliche Aufsicht, Robustheit.
• Dokumentieren und begründen. Besonders jede Einstufung als nicht hochriskant, halten Sie mit der Begründung nach Artikel 6 schriftlich fest.
• Funktionsänderungen im Blick behalten. Jede neue Funktion, die klinische Entscheidungsunterstützung ergänzt, kann Ihre MDR-Klasse und Ihre AI-Act-Risikoklasse ändern. Neu bewerten, bevor Sie ausliefern.
• Zeitplan verfolgen. Richten Sie Ihre Roadmap an den Daten 2026 und 2027 aus.

Ist die EU-KI-Verordnung jetzt in Kraft?

Ja. Sie trat am 1. August 2024 in Kraft, ihre Pflichten greifen jedoch gestaffelt zwischen Februar 2025 und August 2027.

Gilt die EU-KI-Verordnung für Unternehmen außerhalb der EU?

Ja. Wird Ihr KI-System auf dem EU-Markt bereitgestellt oder sein Ergebnis in der EU genutzt, kann die Verordnung unabhängig vom Sitz Ihres Unternehmens gelten.

Ist jede medizinische KI hochriskant unter dem AI Act?

Nein. Medizinische KI ist hochriskant, wenn sie ein Medizinprodukt ist, das eine Konformitätsbewertung durch eine Benannte Stelle erfordert (ab Klasse IIa). Selbstzertifizierte Software der Klasse I ist in der Regel nicht hochriskant.

Wann gelten die Pflichten für Medizinprodukte-KI?

Die Pflichten für Hochrisiko-KI, die regulierte Produkte sind, einschließlich Medizinprodukte, gelten ab dem 2. August 2027.

Wie unterscheidet sich die EU-KI-Verordnung von der MDR?

Die MDR regelt Sicherheit und Leistung des Medizinprodukts; der AI Act regelt KI-spezifische Risiken wie Data Governance, Transparenz und menschliche Aufsicht. Beide gelten gemeinsam, und Ihre MDR-Klasse bestimmt in der Regel Ihre AI-Act-Risikoklasse.

Was passiert, wenn wir nicht compliant sind?

Die Bußgelder reichen bis zu 35 Millionen Euro oder 7% des weltweiten Umsatzes bei den schwersten Verstößen, bis hinunter zu 7,5 Millionen Euro oder 1% bei falschen Angaben.

Gilt ein Chatbot oder ein medizinisches Informationswerkzeug als hochriskant?

Nicht automatisch. Ein rein informierendes Werkzeug, das kein von einer Benannten Stelle bewertetes Medizinprodukt ist, fällt in der Regel unter begrenztes Risiko (Transparenz) oder minimales Risiko, doch die konkreten Umstände zählen, und jede KI, die mit Nutzern spricht, muss offenlegen, dass sie KI ist.

Wo kann ich das offizielle Gesetz nachlesen?

Der vollständige Text ist die Verordnung (EU) 2024/1689, kostenlos auf EUR-Lex verfügbar.

Dieser Artikel bietet allgemeine Informationen zur EU-KI-Verordnung und ist keine rechtliche oder regulatorische Beratung. KI- und Medizinprodukterecht ist komplex und einzelfallabhängig; für Entscheidungen zu einem bestimmten Produkt oder einer Organisation holen Sie den Rat einer qualifizierten Fachperson ein.