Ein mittelständisches Pharmaunternehmen setzt seit zwei Jahren ein KI-gestütztes System zur Qualitätskontrolle in der Produktion ein – und stellt nun fest, dass die neue EU-Verordnung über künstliche Intelligenz (EU AI Act, KI-Verordnung) möglicherweise erhebliche Anforderungen an genau diesen Anwendungsfall stellt. Der Geschäftsführer fragt sich: Welche Pflichten treffen sein Unternehmen, welche Fristen gelten, und was passiert, wenn er jetzt nichts unternimmt?
Die KI-Verordnung (Verordnung (EU) 2024/1689, EU AI Act) ist seit dem 1. August 2024 in Kraft und gilt seit August 2026 vollumfänglich für Hochrisiko-KI-Systeme. Für Unternehmen der Chemie- und Pharmaindustrie, die KI-Systeme in Produktion, Forschung, Arzneimittelentwicklung oder Qualitätssicherung einsetzen, sind die Einordnung des jeweiligen Systems in die Risikoklassen und die daraus folgenden Compliance-Pflichten jetzt zwingend zu klären. Bußgelder von bis zu 35 Millionen Euro oder 7 Prozent des weltweiten Jahresumsatzes drohen bei Verstößen gegen die schwersten Verbote.
Dieser Branchenreport erläutert den Rechtsrahmen der KI-Verordnung, die branchenspezifischen Risikoprofile in Chemie und Pharma, die praktischen Compliance-Anforderungen für Geschäftsführer und die Schnittstellen zur DSGVO sowie zum gewerblichen Rechtsschutz – und zeigt, welche konkreten Schritte jetzt erforderlich sind.
Was regelt die KI-Verordnung, und welche Fristen gelten für den Mittelstand?
Die KI-Verordnung ist das weltweit erste verbindliche Regelwerk, das den Einsatz von KI-Systemen nach einem risikobasierten Ansatz regelt. Sie gilt unmittelbar in allen EU-Mitgliedstaaten – ohne nationalen Umsetzungsakt. Für Unternehmen, die KI-Systeme entwickeln, in Verkehr bringen, in Betrieb nehmen oder als sogenannte Betreiber (Deployer) nutzen, entstehen direkte Pflichten.
Das Stufenmodell der KI-Verordnung unterscheidet vier Risikoklassen: verbotene Praktiken, Hochrisiko-KI, KI-Systeme mit begrenztem Risiko und KI-Systeme mit minimalem Risiko. Die Verbote gelten ab dem 2. Februar 2025. Die vollständigen Pflichten für Hochrisiko-KI-Systeme gemäß Anhang III der KI-Verordnung sind seit dem 2. August 2026 anwendbar. Für Allzweck-KI-Modelle (General Purpose AI) gelten die Regelungen seit dem 2. August 2025.
In der Mandatspraxis sehen wir, dass mittelständische Unternehmen der Chemie- und Pharmaindustrie die Stufenfolge der KI-Verordnung häufig unterschätzen. Die Annahme, als reiner Nutzer eines von einem Drittanbieter bezogenen KI-Systems keine eigenen Pflichten zu tragen, ist rechtlich unzutreffend. Betreiber im Sinne der KI-Verordnung – also Unternehmen, die ein KI-System unter ihrer eigenen Verantwortung im beruflichen Kontext einsetzen – unterliegen eigenständigen Dokumentations-, Überwachungs- und Meldepflichten, sofern das System als Hochrisiko-KI eingestuft ist.
Wie werden KI-Systeme in Chemie und Pharma eingestuft – und warum ist das entscheidend?
Die Risikoklassifizierung ist der zentrale Hebel der KI-Verordnung. Ob ein System als Hochrisiko-KI gilt, bestimmt den gesamten Pflichtenkatalog. Hochrisiko-KI-Systeme sind in Anhang III der KI-Verordnung abschließend aufgezählt; daneben gilt Hochrisiko auch für KI in Produkten, die bereits sicherheitsrelevanten Rechtsakten unterliegen – etwa der Medizinprodukteverordnung (MDR) oder der In-vitro-Diagnostika-Verordnung (IVDR).
Für die Chemie- und Pharmaindustrie sind besonders folgende Anwendungsfelder zu prüfen:
- KI in Medizinprodukten und In-vitro-Diagnostika: Systeme, die als Medizinprodukt klassifiziert sind oder in solche integriert werden (etwa KI-gestützte Bildauswertung in der Diagnostik), gelten nach der KI-Verordnung automatisch als Hochrisiko-KI, soweit die einschlägigen Produktsicherheitsrechtsakte greifen.
- KI in der Arzneimittelsicherheit und Pharmakovigilanz: Systeme zur automatisierten Auswertung von Nebenwirkungsdaten, zur Risikobewertung von Wirkstoffen oder zur Unterstützung von Zulassungsprozessen fallen in den Anwendungsbereich kritischer Sektoren.
- KI in der industriellen Qualitätssicherung: Systeme zur automatisierten Produktkontrolle in der Chemikalienherstellung sind nicht per se Hochrisiko, jedoch können sie unter die sicherheitsrelevante Infrastruktur fallen, sofern sie sicherheitskritische Entscheidungen autorisieren.
- KI im Personalwesen: Systeme, die bei Einstellung, Beförderung oder Kündigung eingesetzt werden, sind in Anhang III ausdrücklich als Hochrisiko-KI gelistet – dies gilt auch in chemischen und pharmazeutischen Betrieben.
- Allzweck-KI-Modelle (GPAI): Der Einsatz großer Sprachmodelle (Large Language Models) zur Unterstützung der Forschung, Dokumentation oder Kommunikation unterliegt eigenen, seit August 2025 geltenden Anforderungen.
Welche Konsequenz hat eine Fehleinordnung? Wer ein Hochrisiko-KI-System betreibt, ohne die vorgeschriebenen Maßnahmen umzusetzen, riskiert nach Maßgabe der KI-Verordnung empfindliche Sanktionen – und trägt zugleich das Risiko zivilrechtlicher Haftung gegenüber Geschädigten nach der neuen KI-Haftungsrichtlinie sowie nationalen Umsetzungsregeln.
Welche Pflichten treffen Betreiber von Hochrisiko-KI in der Chemie- und Pharmaindustrie?
Betreiber von Hochrisiko-KI-Systemen tragen einen eigenständigen, umfangreichen Pflichtenkatalog, der sich von den Pflichten des Anbieters (Herstellers) unterscheidet. Geschäftsführer, die meinen, durch den Einkauf einer „fertigen Softwarelösung" sämtliche Compliance-Verantwortung auf den Lieferanten übertragen zu haben, irren sich.
Die wesentlichen Betreiberpflichten nach der KI-Verordnung umfassen:
- Technische und organisatorische Maßnahmen (TOMs): Betreiber müssen sicherstellen, dass das KI-System entsprechend der Betreiberanleitung des Anbieters eingesetzt wird. Abweichungen vom vorgesehenen Einsatzzweck können dazu führen, dass der Betreiber selbst in die Anbieterpflichten einrückt.
- Datenschutz-Folgenabschätzung (DPIA): Soweit das Hochrisiko-KI-System personenbezogene Daten verarbeitet – was in der Pharmaforschung, bei Patientendaten oder im Personalwesen regelmäßig der Fall ist – ist eine DPIA nach Art. 35 DSGVO durchzuführen. Die 72-Stunden-Meldefrist bei Datenschutzverletzungen nach Art. 33 DSGVO gilt parallel und unabhängig.
- Menschliche Aufsicht (Human Oversight): Hochrisiko-KI-Systeme müssen so eingesetzt werden, dass eine wirksame menschliche Kontrolle möglich bleibt. Dies setzt organisatorische Strukturen voraus, die im Unternehmen tatsächlich gelebt werden – nicht nur auf dem Papier.
- Protokollierung und Dokumentation: Betreiber müssen die durch das Hochrisiko-KI-System erzeugten Protokolle aufbewahren, soweit diese ihrer Kontrolle unterliegen. Die Aufbewahrungsdauer ist nach Maßgabe der einschlägigen Sektorregulierung zu bestimmen.
- Registrierung in der EU-Datenbank: Betreiber bestimmter Hochrisiko-KI-Systeme sind zur Registrierung im EU-weiten KI-Register verpflichtet.
- Grundrechte-Folgenabschätzung (FRIA): Betreiber aus dem öffentlichen Sektor und bestimmte private Betreiber müssen vor Inbetriebnahme eine Grundrechte-Folgenabschätzung durchführen und bei der Marktüberwachungsbehörde einreichen.
- Transparenzpflichten gegenüber Betroffenen: Soweit das KI-System mit natürlichen Personen interagiert (etwa in der Patientenkommunikation oder im Bewerbungsverfahren), bestehen Informations- und Kennzeichnungspflichten.
Nach unserer Erfahrung bereitet insbesondere die Abgrenzung der Verantwortlichkeiten zwischen Anbieter und Betreiber in der Praxis erhebliche Schwierigkeiten. Wer in die Konfiguration eines Systems eingreift, den Einsatzzweck verändert oder das System für einen anderen als den ursprünglich vorgesehenen Zweck nutzt, kann ohne Weiteres in die Anbieterrolle hineinwachsen – mit der Folge wesentlich umfangreicherer Pflichten, einschließlich Konformitätsbewertung und CE-Kennzeichnung.
Schnittstellen zur DSGVO: Wo Datenschutzrecht und KI-Recht kumulieren
Die KI-Verordnung und die DSGVO sind keine parallelen, voneinander isolierten Rechtsrahmen. Sie greifen in der Chemie- und Pharmaindustrie in zahlreichen Konstellationen kumulativ. Welche der beiden Normen im konkreten Fall die strengere Anforderung aufstellt, ist stets im Einzelfall zu prüfen.
Besonders sensibel ist die Verarbeitung besonderer Kategorien personenbezogener Daten nach Art. 9 DSGVO. Gesundheitsdaten, genetische Daten und biometrische Daten – allesamt in pharmazeutischen Entwicklungsprozessen, klinischen Studien und der Personalverwaltung häufig anzutreffen – unterliegen einem erhöhten Schutzstandard. KI-Systeme, die solche Daten verarbeiten, lösen typischerweise sowohl eine DPIA-Pflicht nach Art. 35 DSGVO als auch Hochrisiko-Merkmale nach der KI-Verordnung aus.
Bei Datenschutzverletzungen gilt die 72-Stunden-Meldefrist nach Art. 33 DSGVO gegenüber der Aufsichtsbehörde – unabhängig davon, ob ein KI-System beteiligt ist. Wenn ein KI-System eine Datenschutzverletzung verursacht oder begünstigt, stellt sich zusätzlich die Frage, ob ein Mangel der menschlichen Aufsicht vorlag, der eigene Haftungsfolgen nach der KI-Verordnung auslöst.
Im Bereich des gewerblichen Rechtsschutzes ergeben sich weitere Fragestellungen: Wer ist Inhaber der durch ein KI-System generierten Erfindungen oder Werke? Das deutsche Patent- und Urheberrecht kennt keinen maschinellen Erfinder oder Urheber; die Zuordnung der Schutzrechte an natürliche Personen oder Unternehmen ist daher vertraglich und organisatorisch vorab zu klären. In der pharmazeutischen Forschung, wo KI-Systeme zunehmend in Wirkstoff-Screenings und Strukturoptimierungen eingesetzt werden, ist dieser Punkt für die Patentierungsstrategie von erheblicher wirtschaftlicher Bedeutung.
Sanktionen und Haftungsrisiken: Was droht bei Verstößen?
Die KI-Verordnung sieht ein dreistufiges Sanktionssystem vor. Die schwersten Bußgelder betreffen Verstöße gegen die Verbote nach Art. 5 KI-Verordnung (verbotene KI-Praktiken): Hier drohen Bußgelder bis zu 35 Millionen Euro oder 7 Prozent des weltweiten Jahresumsatzes, je nachdem, welcher Betrag höher ist. Verstöße gegen Pflichten für Hochrisiko-KI-Systeme können mit bis zu 15 Millionen Euro oder 3 Prozent des weltweiten Jahresumsatzes geahndet werden. Für die Lieferung falscher Angaben gegenüber Behörden sieht die Verordnung Bußgelder bis zu 7,5 Millionen Euro oder 1 Prozent des weltweiten Jahresumsatzes vor.
Hinzu treten zivilrechtliche Haftungsrisiken. Die EU-KI-Haftungsrichtlinie (AI Liability Directive) und die novellierte Produkthaftungsrichtlinie schaffen eine Kausalitätsvermutung zugunsten von Geschädigten: Wenn ein KI-System einen Schaden verursacht und der Betreiber seine Dokumentations- und Aufsichtspflichten verletzt hat, wird der ursächliche Zusammenhang zwischen Pflichtverletzung und Schaden widerleglich vermutet. Das bedeutet eine erhebliche Verschiebung der Beweislast zulasten des Unternehmens.
Für Geschäftsführer ist zu beachten, dass die Verletzung von Compliance-Pflichten aus der KI-Verordnung auch gesellschaftsrechtliche Konsequenzen haben kann. Wer als Geschäftsführer einer GmbH die erforderlichen organisatorischen Maßnahmen nicht trifft und dem Unternehmen dadurch ein Bußgeld oder ein Haftungsschaden entsteht, kann nach Maßgabe des GmbH-Gesetzes und der einschlägigen Rechtsprechung zur Innenhaftung herangezogen werden.
Aus der Mandatspraxis
In einem aktuellen Mandat beriet die Kanzlei ein mittelständisches Pharmaunternehmen mit rund 400 Mitarbeitern aus dem Bereich der Generika-Herstellung. Ausgangslage: Das Unternehmen hatte über einen Softwareanbieter ein KI-gestütztes System zur automatisierten Auswertung von Stabilitätsdaten eingeführt und ging davon aus, dass der Anbieter sämtliche KI-Verordnungs-Pflichten trage. Bei näherer Prüfung stellte sich heraus, dass das Unternehmen durch individuelle Konfigurationen und den Anschluss an eigene Produktionsdaten in wesentlichen Teilen als Anbieter im Sinne der KI-Verordnung zu qualifizieren war. Vorgehen: Die Kanzlei erstellte eine Risikoeinstufungsanalyse, entwickelte ein internes Governance-Konzept mit Zuständigkeitsmatrix und begleitete die Vertragsanpassung mit dem Softwareanbieter zur sauberen Abgrenzung der Verantwortlichkeiten. Ergebnis: Das Unternehmen konnte die kritische Rollenfrage klären und die notwendigen technischen wie organisatorischen Maßnahmen strukturiert einleiten – ohne operativen Stillstand in der Produktion.
KI-Governance im Unternehmen: Welche Strukturen jetzt aufgebaut werden müssen
Die KI-Verordnung ist kein einmaliges Compliance-Projekt, sondern ein dauerhafter Organisations- und Überwachungsauftrag. In der Mandatspraxis sehen wir, dass Unternehmen, die frühzeitig ein strukturiertes KI-Governance-System einführen, erhebliche Wettbewerbsvorteile gegenüber reaktiv handelnden Mitbewerbern erzielen – insbesondere bei der Zusammenarbeit mit Behörden, in Audits und bei der Absicherung von Haftungsrisiken.
Ein praxistaugliches KI-Governance-System für ein mittelständisches Unternehmen der Chemie- und Pharmaindustrie umfasst regelmäßig folgende Elemente:
- KI-Inventar und Risikoklassifizierung: Systematische Erfassung aller im Unternehmen eingesetzten KI-Systeme mit Einordnung in die Risikoklassen der KI-Verordnung. Dieser Schritt ist die Grundlage aller weiteren Maßnahmen und sollte unverzüglich eingeleitet werden.
- Verantwortlichkeitsmatrix: Klare interne Zuordnung, wer für welches KI-System die Betreiberverantwortung trägt – auf Ebene der Geschäftsführung und der operativen Einheiten. Die KI-Verordnung fordert menschliche Aufsicht; diese muss organisatorisch abgebildet sein.
- Vertragsgestaltung mit KI-Anbietern: Überprüfung und Anpassung bestehender Verträge mit KI-Softwareanbietern hinsichtlich Rollenabgrenzung, Informationspflichten des Anbieters (insbesondere Bereitstellung technischer Dokumentation), Haftungsverteilung und Auditrechten.
- Schulung und Bewusstseinsbildung: Die KI-Verordnung verpflichtet Betreiber, sicherzustellen, dass das mit dem Betrieb von Hochrisiko-KI-Systemen betraute Personal über die notwendigen Kenntnisse verfügt. Schulungsmaßnahmen sind zu dokumentieren.
- Einbindung des Datenschutzbeauftragten: Soweit ein Datenschutzbeauftragter (DSB) bestellt ist – bei Unternehmen mit regelmäßiger automatisierter Verarbeitung besonderer Datenkategorien ist dies nach DSGVO in aller Regel Pflicht – ist dieser in die KI-Governance einzubinden.
- Incident-Management: Betreiber von Hochrisiko-KI-Systemen müssen schwerwiegende Vorfälle und Fehlfunktionen dem Anbieter und, sofern vorgesehen, der zuständigen Marktüberwachungsbehörde melden. Interne Meldewege sind vorab zu definieren.
Welche konkrete Ausgestaltung für Ihr Unternehmen sinnvoll und verhältnismäßig ist, hängt von Unternehmensgröße, Art und Anzahl der eingesetzten KI-Systeme sowie der bestehenden Compliance-Infrastruktur ab. Es gibt keine Einheitslösung – aber es gibt strukturierte Methodik, die sich in der Beratungspraxis bewährt hat.
Branchenspezifische Besonderheiten: Zulassungsrecht, AMG und sektorale Regulierung
Die Chemie- und Pharmaindustrie ist durch eine dichte sektorale Regulierung geprägt. Das Arzneimittelgesetz (AMG), die EU-Arzneimittelrichtlinie 2001/83/EG und die für Medizinprodukte geltende MDR/IVDR schaffen einen Compliance-Kontext, in dem die KI-Verordnung nicht isoliert betrachtet werden kann.
Für KI-Systeme, die in Medizinprodukten eingebettet sind oder deren Sicherheit und Leistung beeinflussen, greift die in der KI-Verordnung vorgesehene Sonderregel: Diese Systeme gelten automatisch als Hochrisiko-KI. Die Konformitätsbewertung nach der KI-Verordnung wird dabei in den bestehenden MDR/IVDR-Konformitätsbewertungsprozess integriert, soweit die einschlägigen Rechtsakte dies vorsehen – ein Verfahren, das erhebliche Koordination zwischen technischen, regulatorischen und rechtlichen Abteilungen erfordert.
Im Bereich der Pharmakovigilanz setzt die EMA (Europäische Arzneimittel-Agentur) zunehmend eigene Leitlinien für den Einsatz von KI in der Arzneimittelüberwachung. Diese Leitlinien sind zwar keine Rechtsverordnung, aber de facto Compliance-Maßstab bei Zulassungs- und Überwachungsverfahren. Unternehmen, die KI in der Pharmakovigilanz einsetzen, sollten diese Entwicklungen eng beobachten und in ihre internen Governance-Strukturen einbeziehen.
Für Chemieunternehmen, die unter die REACH-Verordnung (Registrierung, Bewertung, Zulassung und Beschränkung von Chemikalien) fallen, ergeben sich Fragestellungen beim KI-gestützten Stoffmanagement: Werden KI-Systeme zur Risikoabschätzung von Chemikalien oder zur Erstellung von Sicherheitsdatenblättern eingesetzt, ist zu prüfen, ob der resultierende Output den Anforderungen der REACH-Verordnung genügt und welche Verantwortung das Unternehmen für die KI-generierte Einschätzung trägt.
Praktische Entscheidungsmatrix: Wie gehe ich als Geschäftsführer jetzt vor?
Die KI-Verordnung schafft gestaffelte Handlungspflichten. Die nachfolgende Einordnung gibt Orientierung – sie ersetzt nicht die anwaltliche Prüfung des Einzelfalls:
Konstellation A – Kein KI-Einsatz oder ausschließlich KI mit minimalem Risiko (z. B. einfache Spam-Filter, Standard-Suchfunktionen): Formale Pflichten der KI-Verordnung treffen das Unternehmen in diesen Fällen nur in geringem Maße. Empfehlung: Inventar anlegen, Klassifizierung dokumentieren, regelmäßig überprüfen.
Konstellation B – Einsatz von KI mit begrenztem Risiko (z. B. Chatbots in der Kundenkommunikation): Transparenzpflichten greifen. Gesprächspartner müssen darüber informiert werden, dass sie mit einem KI-System interagieren. Einfach umzusetzen, aber nicht zu vergessen. Frist: ab 2. August 2026 vollständig anwendbar.
Konstellation C – Hochrisiko-KI (insbesondere in Medizinprodukten, Personalwesen, sicherheitskritischer Infrastruktur): Voller Pflichtenkatalog der KI-Verordnung anwendbar. Rollenabgrenzung Anbieter/Betreiber klären, technische Dokumentation prüfen, TOMs implementieren, DPIA durchführen, Registrierung prüfen. Empfehlung: sofort anwaltlich begleiten lassen.
Konstellation D – GPAI-Modelle (Allzweck-KI wie große Sprachmodelle): Eigene Pflichten ab 2. August 2025 anwendbar. Nutzungsverträge und AGB der Modellanbieter auf Konformitätszusagen prüfen; interne Richtlinien für den Einsatz aufstellen.
Nach unserer Erfahrung beginnt die effektive Compliance nicht mit der Implementierung technischer Maßnahmen, sondern mit einer ehrlichen Bestandsaufnahme: Welche KI-Systeme nutzt das Unternehmen wirklich – auch jene, die von einzelnen Abteilungen eigenverantwortlich eingeführt wurden? Shadow-KI ist in der Chemie- und Pharmaindustrie ebenso verbreitet wie in anderen Branchen und begründet dieselben Risiken wie offiziell eingeführte Systeme.
Die vorstehende Darstellung betrifft die Regelfälle und den aktuellen Stand der KI-Verordnung. Ihr konkreter Fall erfordert die Prüfung Ihrer KI-Systeme, Verträge und bestehenden Compliance-Strukturen im Licht der branchenspezifischen Sektorregulierung. Für eine erste Durchsicht Ihrer Unterlagen erreichen Sie uns unter info@brandtfalk.com.
Verwandte Leistungen
Häufige Fragen: KI-Verordnung in der Chemie- und Pharmaindustrie
Was ist die KI-Verordnung und ab wann gilt sie für Pharmaunternehmen?
Die KI-Verordnung (EU AI Act, Verordnung (EU) 2024/1689) ist seit dem 1. August 2024 in Kraft. Die Verbote für unzulässige KI-Praktiken gelten ab dem 2. Februar 2025. Die vollständigen Pflichten für Hochrisiko-KI-Systeme, zu denen viele Anwendungen der Pharmaindustrie zählen, sind seit dem 2. August 2026 anwendbar. Pharmaunternehmen, die KI in Medizinprodukten oder in der Qualitätssicherung einsetzen, sind davon unmittelbar betroffen. Die genaue Frist ist im Einzelfall anhand des Inbetriebnahmedatums und der Systemkategorie zu bestimmen.
Wer gilt als „Betreiber" im Sinne der KI-Verordnung?
Betreiber (Deployer) ist jede natürliche oder juristische Person, die ein KI-System unter ihrer Verantwortung im beruflichen Kontext einsetzt. Das gilt auch dann, wenn das System von einem Drittanbieter bezogen wurde. Ein Pharmaunternehmen, das ein extern entwickeltes KI-System in seinen Produktionsprozess integriert, ist regelmäßig Betreiber und trägt eigene Pflichten – insbesondere hinsichtlich menschlicher Aufsicht, Dokumentation und Meldung schwerwiegender Vorfälle. Wer durch individuelle Konfiguration in den Zweck des Systems eingreift, kann unter Umständen sogar in die Anbieterpflichten hineinwachsen.
Welche Bußgelder drohen bei Verstößen gegen die KI-Verordnung?
Die KI-Verordnung sieht gestaffelte Sanktionen vor. Für Verstöße gegen die schwerwiegendsten Verbote (Art. 5) drohen Bußgelder bis zu 35 Millionen Euro oder 7 Prozent des weltweiten Jahresumsatzes. Verstöße gegen die Pflichten für Hochrisiko-KI-Systeme können mit bis zu 15 Millionen Euro oder 3 Prozent des Jahresumsatzes geahndet werden. Für Unternehmen jeder Größe sind diese Beträge existenzgefährdend. Hinzu treten zivilrechtliche Haftungsansprüche Geschädigter und mögliche Innenhaftung der Geschäftsführung.
Wie verhält sich die KI-Verordnung zur DSGVO im Pharmaumfeld?
Beide Regelwerke gelten nebeneinander und kumulieren häufig. KI-Systeme, die in pharmazeutischen Prozessen Gesundheits- oder Patientendaten verarbeiten, lösen regelmäßig sowohl die DSGVO-Pflichten (DPIA, Meldepflichten, Auskunftsrecht) als auch KI-Verordnungs-Pflichten (menschliche Aufsicht, technische Dokumentation) aus. Die 72-Stunden-Meldefrist nach Art. 33 DSGVO bei Datenschutzverletzungen gilt unabhängig davon, ob ein KI-System beteiligt ist. Wo Normen voneinander abweichen, gilt stets der strengere Maßstab.
Was ist bei KI in Medizinprodukten besonders zu beachten?
KI-Systeme, die in Medizinprodukte im Sinne der MDR oder IVDR eingebettet sind oder deren Sicherheit beeinflussen, gelten nach der KI-Verordnung automatisch als Hochrisiko-KI. Die Konformitätsbewertung wird in den MDR/IVDR-Prozess integriert, soweit die einschlägigen Produktsicherheitsrechtsakte dies vorsehen. Unternehmen müssen ihre regulatorischen und rechtlichen Prozesse eng koordinieren. Die genaue Abgrenzung ist im Einzelfall zu prüfen, da sich MDR-, IVDR- und KI-Verordnungs-Anforderungen teilweise überschneiden, teilweise ergänzen.
Muss die Geschäftsführung persönlich tätig werden?
Ja. Die Einführung eines wirksamen KI-Governance-Systems ist eine Leitungsaufgabe. Wer als Geschäftsführer einer GmbH die erforderlichen organisatorischen Maßnahmen unterlässt und dem Unternehmen dadurch Bußgelder oder Haftungsschäden entstehen, kann nach Maßgabe des GmbH-Rechts auf Schadensersatz im Innenverhältnis haften. Die KI-Verordnung schafft damit unmittelbaren Handlungsdruck auf der Geschäftsführungsebene. Die konkrete Ausgestaltung der Maßnahmen sollte anwaltlich begleitet werden.
Die vorstehende Darstellung betrifft die Regelfälle der KI-Verordnung. Ihr konkreter Fall erfordert die Prüfung der eingesetzten Systeme, bestehender Vertragswerke und Ihrer innerbetrieblichen Compliance-Strukturen. Zur Klärung, wie die KI-Verordnung auf Ihr Unternehmen in der Chemie- und Pharmaindustrie wirkt, wenden Sie sich an info@brandtfalk.com.
Dieser Beitrag dient ausschließlich der allgemeinen Information und stellt keine Rechtsberatung im Einzelfall dar. Er ersetzt nicht die anwaltliche Prüfung Ihres konkreten Sachverhalts. Für eine auf Ihre Situation zugeschnittene Beratung wenden Sie sich an info@brandtfalk.com.