Ist meine Medizin-KI hochriskant nach dem EU AI Act?

Ihre Medizin-KI ist hochriskant nach dem EU AI Act, wenn sie ein Medizinprodukt ist oder eine Sicherheitskomponente eines solchen, das unter der MDR (Verordnung (EU) 2017/745) oder IVDR (Verordnung (EU) 2017/746) eine Benannte Stelle benötigt. In der Praxis:

• MDR Klasse IIa, IIb, III → hochriskante KI (eine Benannte Stelle ist erforderlich).
• MDR Klasse I steril (Is), mit Messfunktion (Im) oder wiederverwendbar-chirurgisch (Ir) → hochriskante KI, weil dafür eine Benannte Stelle nötig ist.
• Einfache selbstzertifizierte MDR Klasse I → nicht hochriskant über diesen Weg.
• IVDR Klasse B, C, D und sterile Klasse A → hochriskante KI. Einfache IVDR Klasse A → nicht über diesen Weg.

Wenn eine Benannte Stelle Ihr Produkt anfassen muss, behandelt der AI Act die KI als hochriskant. Und die Entlastung, die die meisten Zusammenfassungen übersehen: Sie führen kein separates AI-Act-Audit durch. Nach Artikel 43(3) wird die AI-Act-Prüfung in das MDR/IVDR-Konformitätsverfahren integriert, das Sie ohnehin durchlaufen, ein einziger Weg, nicht zwei.

Dieser Leitfaden geht den ganzen Weg: Anwendungsbereich, Klassenzuordnung, durchgerechnete Beispiele, warum die Ausnahmen des Artikels 6(3) Medizinprodukten nicht helfen, das Pflicht-Delta, die Kosten und die häufigen Fehler. Jede Rechtsaussage ist mit der amtlichen Verordnung oder Kommissionsleitlinie belegt. Siehe Quellen.

Schlüsselbegriffe in 30 Sekunden

• KI-System: Software, die aus Eingaben Ausgaben wie Vorhersagen, Empfehlungen oder Entscheidungen ableitet (AI Act Artikel 3).
• Medizinprodukt / IVD: ein Produkt mit medizinischer Zweckbestimmung nach MDR oder IVDR. Software kann selbst das Produkt sein.
• SaMD (Software as a Medical Device): Software, die selbst ein Medizinprodukt ist, nicht Teil eines Hardware-Produkts.
• Sicherheitskomponente: eine Komponente, deren Ausfall Gesundheit oder Sicherheit gefährdet. KI kann eine Sicherheitskomponente eines Produkts sein.
• Benannte Stelle: eine unabhängige Organisation, die die Konformität für höherklassige Produkte bewertet. Ihre Beteiligung ist der Hochrisiko-Auslöser des AI Act für Medizin-KI.
• Anbieter vs. Betreiber: der Anbieter stellt die KI her (der MDR-Hersteller); der Betreiber nutzt sie (zum Beispiel eine Klinik). Die meisten Pflichten liegen beim Anbieter. Siehe Anbieter oder Betreiber.
• Konformitätsbewertung: das Verfahren, das zur CE-Kennzeichnung führt. Für hochriskante Medizin-KI findet die AI-Act-Prüfung darin statt.

Warum diese Frage so verwirrend ist

Medizinprodukte-Teams leben bereits unter MDR oder IVDR: technische Dokumentation, klinische bzw. Leistungsbewertung, eine Benannte Stelle, ISO 13485, ISO 14971, Marktbeobachtung. Dann kommt der AI Act und sieht aus wie ein zweites, paralleles Regime obendrauf, eine weitere Risikoklassifizierung, weitere Pflichten, ein weiteres Verfahren.

Die Branche hat das offen ausgesprochen. In einer gemeinsamen Stellungnahme forderten MedTech Europe, COCIR und DIGITALEUROPE, die AI-Act-Anforderungen für Medizintechnik über die bestehende MDR und IVDR umzusetzen statt als parallele Pflichten, mit dem Argument, dass das Aufsatteln des AI Act "die Komplexität erhöht, den Verwaltungsaufwand steigert und den Patientenzugang zu Innovationen verlangsamen kann". Der ehrliche Ausgangspunkt lautet also: ja, es gibt Überschneidungen.

Die gute Nachricht ist strukturell und der Kern dieses Leitfadens: Der AI Act wurde geschrieben, um sich in den Medizinprodukte-Rahmen einzuklinken, nicht daneben zu stehen. Die kommissionseigene Leitlinie MDCG 2025-6 zum Zusammenspiel von MDR/IVDR und AI Act bestätigt diese Richtung. Sobald Sie sehen, wie Auslöser und Bewertung zusammenhängen, verdichten sich "zwei Regime" zu einem integrierten Weg.

Schritt 1: Fällt Ihre KI überhaupt als Medizinprodukt in den Anwendungsbereich?

Der Hochrisiko-Auslöser des AI Act für Medizin-KI läuft über Artikel 6(1). Ein KI-System ist hochriskant, wenn beides zutrifft:

1. Das KI-System ist selbst ein Produkt oder eine Sicherheitskomponente eines Produkts, das unter die in Anhang I gelistete EU-Harmonisierungsrechtsakte fällt (Artikel 6(1)(a)); MDR und IVDR sind beide in Anhang I, Abschnitt A gelistet (Nummern 11 und 12); und
2. Dieses Produkt (oder die KI-Sicherheitskomponente) muss eine Konformitätsbewertung durch Dritte durchlaufen, also eine Benannte Stelle, nach eben dieser Rechtsvorschrift (Artikel 6(1)(b)).

Die einzige tragende Frage lautet also: Benötigt Ihr Produkt eine Benannte Stelle? Das entscheidet Ihre MDR/IVDR-Risikoklasse, nicht wie "KI-lastig" oder autonom das Produkt wirkt.

Zwei Dinge entscheiden, ob Sie überhaupt im Anwendungsbereich sind:

• Ist es überhaupt ein Medizinprodukt? Das hängt von der Zweckbestimmung ab. Ein Werkzeug zur Diagnose, Prävention, Überwachung, Vorhersage, Behandlung oder Linderung von Krankheiten ist ein Medizinprodukt. Ein allgemeines Wellness- oder Lifestyle-Werkzeug ohne medizinische Aussage ist es meist nicht und wird daher von diesem Weg nicht erfasst. Sobald Sie eine medizinische Aussage treffen, ändert sich die Qualifizierung (und diese gesamte Analyse).
• Ist Ihre Software das Produkt oder eine Sicherheitskomponente? Ihre Software kann selbst das Medizinprodukt sein (Software as a Medical Device) oder eine Sicherheitskomponente eines Hardware-Produkts. Artikel 6(1) bestätigt beide Wege: "eine Sicherheitskomponente eines Produkts oder das KI-System selbst ist ein Produkt." Beide führen in den Hochrisiko-Auslöser.

Zwei verwandte Fragen entscheiden, wer diese Pflichten tatsächlich trägt: Sind Sie der Anbieter oder der Betreiber des Systems? Und wenn Sie es auf einem Modell mit allgemeinem Verwendungszweck gebaut haben, siehe was der AI Act verlangt, wenn Sie Medizin-KI auf einem LLM bauen. Wenn Sie noch klären, ob Sie überhaupt in den Anwendungsbereich fallen, beginnen Sie mit dem allgemeinen Leitfaden zur Hochrisiko-Einstufung.

Schritt 2: Ordnen Sie Ihre MDR/IVDR-Klasse einem AI-Act-Ergebnis zu

Wenn Sie unter die MDR (2017/745) fallen

Ob eine Benannte Stelle beteiligt ist, folgt aus MDR Artikel 52 und, für die besonderen Klasse-I-Untertypen, aus Artikel 52(7).

Die meiste Medizin-KI ist Software, und die Software-Einstufung läuft über MDR Anhang VIII, Regel 11. Regel 11 lohnt sich zu verstehen, weil dort die meiste Medizin-KI landet:

• Software, die Informationen für Entscheidungen mit diagnostischem oder therapeutischem Zweck liefert, ist Klasse IIa.
• Sie steigt auf Klasse IIb, wo diese Entscheidungen eine schwerwiegende Verschlechterung des Gesundheitszustands oder einen chirurgischen Eingriff verursachen könnten.
• Sie steigt auf Klasse III, wo diese Entscheidungen Tod oder eine irreversible Verschlechterung verursachen könnten.
• Software zur Überwachung physiologischer Prozesse ist Klasse IIa und steigt auf IIb, wo die Parameter vital sind und eine Abweichung unmittelbare Gefahr bedeuten könnte.

Weil fast jede diagnostische oder therapiesteuernde Funktion bei Klasse IIa oder höher landet, ist die meiste klinische Medizin-KI hochriskant. Aber "die meiste" ist nicht "alle", ein wirklich einfaches Klasse-I-Werkzeug (zum Beispiel Software, die Daten nur speichert oder übermittelt, ohne diagnostische oder therapeutische Funktion) wird von diesem Auslöser nicht erfasst.

Wenn Sie unter die IVDR (2017/746) fallen

Die Beteiligung der Benannten Stelle folgt aus IVDR Artikel 48: nur nicht-sterile Klasse A wird selbstzertifiziert; Klasse A steril, B, C und D binden eine Benannte Stelle ein.

Die Ein-Satz-Regel

Benannte Stelle beteiligt → hochriskante KI. Nur selbstzertifiziert → nicht hochriskant über diesen Weg.

Eine Einschränkung, die klar gesagt gehört: "nicht hochriskant über Artikel 6(1)" bedeutet nicht "keine AI-Act-Pflichten". Transparenzpflichten nach Artikel 50 können weiterhin gelten, und einige wenige Systeme könnten über andere Wege erfasst werden. Aber die Hochrisiko-Einstufung für Medizin-KI ist der Benannte-Stelle-Test oben. Zudem drückt eine Hochrisiko-Einstufung nach dem AI Act Ihr Produkt nicht in eine höhere MDR/IVDR-Klasse; die beiden Einstufungen sind getrennt, wie MDCG 2025-6 bestätigt.

Durchgerechnete Beispiele

Der Logik vertraut man leichter, wenn man sie laufen sieht. Diese Beispiele sind illustrativ (Ihre genaue Einstufung hängt von Ihrer Zweckbestimmung und Ihren Aussagen ab), aber sie zeigen, wie sich der Auslöser auflöst:

Zwei Lehren aus der Tabelle. Erstens entscheidet die Zweckbestimmung alles: die Wellness-App und der Scribe sind meist draußen, weil sie keine medizinische Aussage treffen, aber sobald eines davon eine Diagnose oder Therapieentscheidung steuert, qualifiziert es sich neu und die Analyse kippt. Zweitens spielt die Basistechnologie keine Rolle, ein LLM-gestütztes Triage-Werkzeug und ein klassischer ML-Detektor erreichen dasselbe Hochrisiko-Ergebnis, wenn sie dieselbe klinische Zweckbestimmung teilen.

Warum Artikel 6(3) Medizin-KI nicht rettet

Teams hören oft von den "Ausnahmen für enge Aufgaben" des AI Act und hoffen, dass sie greifen. Für Medizinprodukte tun sie das nicht. Artikel 6(3) beginnt mit "Abweichend von Absatz 2 gilt ein in Anhang III genanntes KI-System nicht als hochriskant", wenn es eine enge verfahrenstechnische Aufgabe erfüllt, eine abgeschlossene menschliche Tätigkeit verbessert und so weiter.

Das Schlüsselwort ist Absatz 2. Artikel 6(2) ist der Anhang-III-Weg (die Liste der Hochrisiko-Anwendungsfälle wie Beschäftigung oder Kreditbewertung). Die Ausnahmen in 6(3) weichen nur von jenem Weg ab. Medizinprodukte werden über Artikel 6(1) erfasst, den Anhang-I-Produktweg, den 6(3) nicht berührt. Eine Medizin-KI, die eine Benannte Stelle benötigt, kann sich also nicht durch die Behauptung, sie erfülle eine enge Aufgabe, aus dem Hochrisiko herausargumentieren. Der Benannte-Stelle-Test gilt.

Schritt 3: Die Entlastung, ein integriertes Verfahren statt zwei (Artikel 43(3))

Hier liegt der Punkt, den die meisten Zusammenfassungen falsch darstellen. Wenn Ihr Produkt ohnehin eine Konformitätsbewertung durch eine Benannte Stelle nach MDR/IVDR durchläuft, setzt der AI Act kein separates Verfahren obendrauf. Nach Artikel 43(3) werden die Hochrisiko-Anforderungen des AI Act als Teil dieser bestehenden MDR/IVDR-Konformitätsbewertung geprüft, und nach MDR/IVDR bereits benannte Stellen dürfen die Konformität mit den AI-Act-Anforderungen kontrollieren. Ein Verfahren, eine Benannte Stelle, eine technische Dokumentation, die beides erfüllen muss.

In der Praxis heißt das:

• Sie erweitern Ihre bestehende MDR/IVDR-Dokumentation, sodass sie auch die Hochrisiko-Anforderungen des AI Act abdeckt, statt eine eigenständige AI-Act-Akte zu erstellen. Unser Leitfaden zur technischen Dokumentation nach Anhang IV zeigt, wie diese Elemente aussehen.
• Ihre Benannte Stelle prüft, sobald sie im Rahmen des Notifizierungsverfahrens für den AI-Act-Umfang bewertet wurde (Artikel 43(3)), die AI-Act-Konformität innerhalb der Bewertung, die sie ohnehin bei Ihnen durchführt. Siehe Benannte Stellen und KI-Medizinprodukte, was Sie mit Ihrer klären sollten.
• Ihr Qualitätssystem (ISO 13485) und Ihr Risikomanagement (ISO 14971) sind das Rückgrat, auf dem Sie die AI-Act-Pflichten aufbauen, ergänzt um die KI-spezifische ISO/IEC 42001. MDCG 2025-6 empfiehlt ausdrücklich, die AI-Act-spezifischen Elemente in Ihr bestehendes MDR/IVDR-Qualitätsmanagementsystem zu integrieren.

Zur Präzision der Formulierung: Es ist ein integriertes Verfahren, nicht "ein zusammengeführtes Zertifikat ohne Zusatz". Sie müssen die inhaltlichen AI-Act-Anforderungen weiterhin erfüllen, sie werden nur innerhalb Ihres MDR/IVDR-Wegs geprüft statt daneben. Integriert, nicht geschenkt.

Schritt 4: Was der AI Act zusätzlich zu MDR/IVDR verlangt

Die meisten Hochrisiko-Anforderungen des AI Act haben ein Pendant in der MDR/IVDR-Welt. Die Arbeit besteht darin, das Vorhandene dem zuzuordnen, was der AI Act benennt, und dann die echten Lücken zu schließen. Pflicht für Pflicht:

• Risikomanagement (Art. 9): Ihre ISO-14971-Akte ist das Rückgrat; erweitern Sie sie auf KI-spezifische Risiken (Daten-Drift, Rückkopplungsschleifen, vorhersehbarer Modell-Missbrauch).
• Daten und Daten-Governance (Art. 10): Qualität, Repräsentativität und Bias-Prüfung von Trainings-, Validierungs- und Testdaten, über die übliche klinische Bewertung hinaus. Das ist oft die größte echte Lücke. Artikel 10(5) schafft sogar einen engen, garantie-lastigen Weg, besondere Kategorien für die Bias-Korrektur zu verarbeiten, siehe DSGVO × AI Act × MDR für Gesundheitsdaten.
• Technische Dokumentation (Art. 11 und Anhang IV): in Ihre bestehende MDR/IVDR-Akte eingefaltet, ergänzt um Modellarchitektur, Trainingsmethodik, Leistungskennzahlen und Grenzen.
• Protokollierung und Aufzeichnungen (Art. 12): automatische Ereignisprotokollierung über den Lebenszyklus.
• Transparenz und Gebrauchsanweisung (Art. 13): KI-spezifische Informationen an den Betreiber (Fähigkeiten, Grenzen, erwartete Genauigkeit).
• Menschliche Aufsicht (Art. 14): eingebaute Aufsicht, gestützt auf Ihre IEC-62366-Gebrauchstauglichkeitsarbeit.
• Genauigkeit, Robustheit, Cybersicherheit (Art. 15): angegebene Leistung und Widerstandsfähigkeit, gestützt auf IEC 62304.
• Qualitätsmanagementsystem (Art. 17): weitgehend über eine für KI erweiterte ISO 13485 erfüllbar, plus ISO/IEC 42001.

Hinzu kommen die Marktbeobachtung (Art. 72) sowie Konformitätserklärung, CE-Kennzeichnung und Registrierung (Art. 47, 48, 49).

Der Zweck eines Crosswalks ist zu zeigen, Pflicht für Pflicht, was Ihre MDR/IVDR- plus ISO-13485/14971-Nachweise abdecken und was wirklich neu ist, damit Sie die Lücke schließen statt bei null neu zu bauen. Genau das haben wir gebaut: den AI Act × MDR/IVDR Crosswalk, eine kostenlose Pflicht-für-Pflicht-Zuordnung mit druckbarer Have / Partial / Gap-Spalte.

Was Hochrisiko Sie tatsächlich kostet

Zwei Arten von Einsatz. Erstens Aufwand: die obige Arbeit, erledigt innerhalb Ihres MDR/IVDR-Wegs, nicht als zweites System. Zweitens Sanktionen. Nach Artikel 99 kann die Nichteinhaltung der Hochrisiko-Pflichten (Artikel 16, 26 und andere) Geldbußen von bis zu 15 Millionen Euro oder 3 % des weltweiten Jahresumsatzes nach sich ziehen, je nachdem, welcher Betrag höher ist. Zum Vergleich: verbotene Praktiken bis zu 35 Millionen Euro oder 7 %, und falsche Angaben gegenüber Behörden bis zu 7,5 Millionen Euro oder 1 %. Für kleinere Unternehmen gibt es Erleichterung: für KMU und Start-ups gilt der niedrigere Betrag aus Euro-Summe oder Prozentsatz, nicht der höhere. Der Punkt ist nicht, Angst zu machen, sondern dass die Hochrisiko-Einstufung der Unterschied zwischen einem begrenzten, integrierten Arbeitsstrang und einer offenen Haftung ist.

Häufige Fehler von Teams

• "Wir nutzen ein LLM, also übernimmt der Modellanbieter die Compliance." Nein. Sie sind der Anbieter des Hochrisiko-Systems; der Modellanbieter schuldet Ihnen nur Dokumentation. Siehe Medizin-KI auf LLMs bauen.
• "Wir machen den AI Act nach der CE-Kennzeichnung." Die AI-Act-Prüfung ist Teil derselben Konformitätsbewertung (Artikel 43(3)); kein späterer, separater Schritt.
• "Unser Werkzeug erfüllt eine enge Aufgabe, also befreit uns Artikel 6(3)." Artikel 6(3) gilt nur für den Anhang-III-Weg, nicht für Medizinprodukte unter 6(1).
• "Hochrisiko nach dem AI Act bedeutet, unsere MDR-Klasse steigt." Tut sie nicht; die Einstufungen sind getrennt (MDCG 2025-6).
• "Wir sind DSGVO-konform, also sind wir abgedeckt." Die Daten-Governance des AI Act ist eine eigene Pflicht neben der DSGVO-Rechtmäßigkeit. Beide gelten.
• "Als hochriskant eingestuft zu werden, ist ein Scheitern." Es ist das erwartete Ergebnis für die meiste klinische KI und ein begrenzter, integrierter Arbeitsstrang, keine Katastrophe.

Ein Hinweis zum Timing (dieser Teil ist in Bewegung)

Die Hochrisiko-Pflichten des AI Act für Produkte nach Anhang I, wozu Medizinprodukte gehören, treten auf einer längeren Zeitachse als der Rest des Gesetzes in Kraft, und diese Zeitachse ist derzeit im Fluss. Der Digital Omnibus, von der Europäischen Kommission am 19. November 2025 vorgelegt, würde das Anwendungsdatum für KI in Anhang-I-Produkten (Medizinprodukte eingeschlossen) auf den 2. August 2028 verschieben, die Definition der "Sicherheitskomponente" verengen und die Kommission ermächtigen, AI-Act-Anforderungen dort zu begrenzen, wo MDR/IVDR bereits gleichwertige Pflichten auferlegen, was die Doppelung reduziert.

Weil diese Daten und Anwendungsdetails noch das Gesetzgebungsverfahren durchlaufen, behandeln Sie jede konkrete Frist, die Sie lesen, als vorläufig. Die Einstufungslogik in diesem Leitfaden, Artikel 6(1) und 43(3), ist der belastbare Teil; die genauen Anwendungsdaten sind der volatile Teil. Wir halten dazu einen laufend aktualisierten Überblick in unserem Tracker AI-Act-Fristen nach dem Digital Omnibus bereit.

Also, ist meine Medizin-KI hochriskant? Entscheidung in Kürze

1. Sind Sie ein Medizinprodukt nach MDR oder IVDR? (Hängt von der Zweckbestimmung ab.) Falls ja:
2. Verlangt Ihre Risikoklasse eine Benannte Stelle? (MDR IIa+, oder Is/Im/Ir; IVDR B/C/D oder steril A.) Falls ja → hochriskante KI nach Artikel 6(1). Und nein, Artikel 6(3) rettet Sie nicht, er gilt nur für den Anhang-III-Weg.
3. Falls hochriskant, führen Sie kein separates AI-Act-Audit durch, sondern erweitern Ihre bestehende MDR/IVDR-Konformitätsbewertung nach Artikel 43(3).
4. Ordnen Sie Pflicht für Pflicht zu, was Sie bereits haben und was der AI Act ergänzt. Schließen Sie die Lücke.

Wollen Sie die schnelle Variante? Beantworten Sie drei Fragen mit dem interaktiven Medizin-KI Hochrisiko-Check und erhalten Sie Ihr Ergebnis plus den Crosswalk. Oder laden Sie den AI Act × MDR/IVDR Crosswalk direkt herunter, oder starten Sie die kostenlose Bewertung, um Ihr konkretes System einzustufen und einen datierten, belegten Compliance-Nachweis zu erhalten. Für das breitere Bild siehe unseren Leitfaden AI Act für Gesundheit und Medizinprodukte.

Häufige Fragen

Ist jede Medizin-KI hochriskant nach dem EU AI Act?

Nein. Medizin-KI ist nach Artikel 6(1) nur dann hochriskant, wenn das Produkt ein MDR- oder IVDR-Produkt ist oder dessen Sicherheitskomponente, das eine Benannte Stelle benötigt. MDR Klasse IIa und höher (sowie Klasse I steril, mit Messfunktion oder wiederverwendbar-chirurgisch) und IVDR Klasse B, C, D und steril A sind erfasst. Einfache selbstzertifizierte MDR Klasse I und IVDR Klasse A sind über diesen Weg nicht hochriskant, wobei Transparenzpflichten nach Artikel 50 weiterhin gelten können.

Muss ich zusätzlich zur MDR eine separate AI-Act-Konformitätsbewertung durchführen?

Nein. Nach Artikel 43(3) werden die Hochrisiko-Anforderungen des AI Act innerhalb Ihrer bestehenden MDR- oder IVDR-Konformitätsbewertung geprüft, ein integriertes Verfahren mit einer Benannten Stelle. Sie erweitern Ihre bestehende technische Dokumentation, um die AI-Act-Anforderungen abzudecken, statt ein zweites, eigenständiges Audit zu durchlaufen. Die inhaltlichen AI-Act-Anforderungen müssen Sie weiterhin erfüllen; sie werden nur innerhalb des MDR/IVDR-Wegs geprüft.

Zählt Software as a Medical Device (SaMD)?

Ja. Ihre Software kann selbst das Medizinprodukt sein, nicht nur eine Komponente von Hardware. Wenn diese SaMD als MDR Klasse IIa oder höher eingestuft ist (die meiste diagnostische oder therapiesteuernde SaMD ist das nach MDR Anhang VIII Regel 11) oder das IVDR-Äquivalent, löst sie die Pflicht zur Benannten Stelle aus und ist hochriskante KI.

Kann Artikel 6(3) meine Medizin-KI als "enge Aufgabe" befreien?

Nein. Artikel 6(3) weicht nur von Artikel 6(2) ab, dem Anhang-III-Anwendungsfallweg. Medizinprodukte werden über Artikel 6(1) erfasst, den Produktweg, den die Ausnahmen des Artikels 6(3) nicht berühren. Ist eine Benannte Stelle erforderlich, ist Ihre Medizin-KI hochriskant.

Ist eine allgemeine Wellness- oder Achtsamkeits-App hochriskant?

Meist nicht, weil sie typischerweise keine medizinische Zweckbestimmung hat und daher kein Medizinprodukt ist. Aber die Zweckbestimmung entscheidet: sobald das Produkt eine medizinische Aussage trifft (eine Erkrankung diagnostizieren, behandeln oder überwachen), kann es sich als Medizinprodukt neu qualifizieren und diese gesamte Analyse gilt.

Was ergänzt der AI Act, das MDR und ISO 13485 nicht bereits abdecken?

Vor allem Daten-Governance (Artikel 10: Qualität von Trainings-, Validierungs- und Testdaten sowie Bias-Prüfung), automatische Lebenszyklus-Protokollierung (Artikel 12), KI-spezifische Transparenz und die Gestaltung menschlicher Aufsicht (Artikel 13 und 14) sowie angegebene Genauigkeit und Robustheit (Artikel 15). Ein Großteil der Qualitätssystem-Anforderung (Artikel 17) ist durch Erweiterung der ISO 13485 erfüllbar, mit ISO/IEC 42001 obendrauf. MDCG 2025-6 empfiehlt, diese in Ihr bestehendes MDR/IVDR-Qualitätsmanagementsystem einzubinden.

Was sind die Sanktionen bei Nichteinhaltung?

Nach Artikel 99 kann die Verletzung der Hochrisiko-Pflichten bis zu 15 Millionen Euro oder 3 % des weltweiten Jahresumsatzes nach sich ziehen, je nachdem, was höher ist. Verbotene Praktiken bis zu 35 Millionen Euro oder 7 %, und falsche Angaben gegenüber Behörden bis zu 7,5 Millionen Euro oder 1 %. Für KMU und Start-ups gilt der niedrigere Betrag aus Euro-Summe oder Prozentsatz.

Wann gelten diese Pflichten tatsächlich?

Die Hochrisiko-Pflichten für Medizinprodukte treten auf einer längeren Zeitachse als der Rest des Gesetzes in Kraft, und die Daten werden über den Digital Omnibus überarbeitet (der das Anwendungsdatum für KI in Anhang-I-Produkten auf den 2. August 2028 verschieben würde). Behandeln Sie jede konkrete Frist als vorläufig und bauen Sie zur Einstufungslogik, die stabil ist, statt zu einem festen Datum, das es nicht ist.

Quellen (offiziell)

Alle Rechtsaussagen oben stammen aus den amtlichen Texten und Kommissionsleitlinien:

• EU AI Act, Verordnung (EU) 2024/1689: amtlicher Text auf EUR-Lex; artikelweise beim AI Act Service Desk der Europäischen Kommission. Zitiert: Artikel 3 (Definitionen), Artikel 6 (Einstufung, einschließlich 6(1) Produktweg und 6(3) Abweichung von 6(2)), Artikel 43 (Konformitätsbewertung), Artikel 10 bis 17 (Hochrisiko-Anforderungen), Artikel 47 bis 49 (Konformitätserklärung, CE-Kennzeichnung, Registrierung), Artikel 50 (Transparenz), Artikel 72 (Marktbeobachtung), Artikel 99 (Sanktionen), Anhang I, Anhang IV.
• MDR, Verordnung (EU) 2017/745 über Medizinprodukte: amtlicher Text auf EUR-Lex. Zitiert: Artikel 52 und 52(7) (Konformitätsbewertung; Klasse I steril, Messfunktion, wiederverwendbar-chirurgisch), Anhang VIII Regel 11 (Software-Einstufung).
• IVDR, Verordnung (EU) 2017/746 über In-vitro-Diagnostika: amtlicher Text auf EUR-Lex. Zitiert: Artikel 48 (Konformitätsbewertung nach Klasse).
• MDCG 2025-6, Medical Device Coordination Group und Europäisches Gremium für Künstliche Intelligenz, FAQ zum Zusammenspiel von MDR/IVDR und AI Act (19. Juni 2025): Kommissionsseite · PDF.
• Digital Omnibus, Vorschlag der Europäischen Kommission vom 19. November 2025; vorläufige Einigung von Rat und Parlament: Pressemitteilung des Rates, 7. Mai 2026. Vorläufig und noch nicht final.
• Branchenposition, MedTech Europe, mit COCIR und DIGITALEUROPE, gemeinsame Stellungnahme für einen kohärenten Rahmen für KI-gestützte Medizintechnik (7. Mai 2026): MedTech Europe.

Legalithm stellt Compliance-Informationen und Werkzeuge bereit, keine Rechtsberatung. Die Einstufung hängt von Ihrer konkreten Zweckbestimmung und Produktqualifizierung ab; bestätigen Sie sie mit Ihrer Benannten Stelle und qualifizierter Rechtsberatung. Artikelverweise beziehen sich auf die Verordnung (EU) 2024/1689 (AI Act); Produktregeln sind die MDR (EU) 2017/745 und IVDR (EU) 2017/746.