Wenn ein Medizintechnikunternehmen aus dem Mittelstand heute eine KI-gestützte Diagnosesoftware in seinen Produktionsprozess oder sein Produktportfolio integriert, steht der Geschäftsführer vor einer Situation, die so in keinem Unternehmenshandbuch der Vergangenheit beschrieben ist: Ein verbindlicher europäischer Rechtsrahmen für Künstliche Intelligenz ist in Kraft, die ersten Fristen laufen bereits, und die persönliche Haftung der Geschäftsleitung steht im Raum. Die Frage ist nicht mehr, ob die KI-Verordnung den Betrieb betrifft – sondern wann welche Pflicht schlagend wird.
Der KI-Einsatz im Unternehmen unterliegt seit dem Inkrafttreten der EU KI-Verordnung (EU) 2024/1689 einem abgestuften Risikosystem. Für die Medizintechnik ist die Bedeutung besonders hoch: Viele KI-Systeme, die in der Diagnose, Therapieunterstützung oder Produktionssteuerung eingesetzt werden, fallen in die Kategorie des Hochrisiko-KI nach Anhang III der KI-Verordnung. Geschäftsführer müssen Konformitätspflichten kennen, Fristen im Blick haben und ihre Compliance-Strukturen rechtzeitig anpassen – andernfalls drohen Bußgelder sowie persönliche Haftungsrisiken.
Dieser Beitrag erläutert die rechtlichen Grundlagen, zeigt die spezifischen Pflichten für die Medizintechnikbranche auf und gibt Handlungsempfehlungen für die Praxis.
Was regelt die KI-Verordnung – und warum betrifft sie die Medizintechnik besonders?
Die KI-Verordnung (Artificial Intelligence Act, kurz KI-VO oder EU AI Act) ist die weltweit erste umfassende gesetzliche Regulierung Künstlicher Intelligenz und gilt als unmittelbar anwendbares EU-Recht in allen Mitgliedstaaten. Sie unterscheidet nach Risikoklassen: unannehmbares Risiko (verbotene Praktiken), Hochrisiko-KI, begrenzt risikobehaftete KI und minimales Risiko. Hochrisiko-KI-Systeme, die in Produkten nach Anhang III der KI-VO eingesetzt werden, unterliegen den strengsten Konformitätsanforderungen.
Für die Medizintechnik ist dieser Ansatz unmittelbar relevant. KI-Systeme, die als Medizinprodukte im Sinne der MDR (EU) 2017/745 oder als In-vitro-Diagnostika nach der IVDR (EU) 2017/746 qualifizieren, sind nach Anhang III Nr. 5 der KI-VO als Hochrisiko-KI eingestuft. Das betrifft Software zur bildgebenden Diagnostik, Algorithmen zur Befundunterstützung, KI-basierte Risikoklassifizierung in klinischen Entscheidungsprozessen sowie automatisierte Qualitätskontrolle in der Fertigung medizinischer Produkte. Wer also als Hersteller, Importeur, Händler oder Betreiber (im Sinne des Unternehmensbegriffs der KI-VO) tätig ist, trägt gestaffelte Rechtspflichten – und zwar unabhängig davon, ob das eigene Unternehmen das KI-System selbst entwickelt oder lediglich einsetzt.
In der Mandatspraxis sehen wir, dass mittelständische Medizintechnikunternehmen die Reichweite der KI-VO häufig unterschätzen. Die Verordnung erfasst nicht nur KI-Entwickler, sondern ausdrücklich auch Betreiber (sog. Deployer), die ein fremdes KI-System in ihrem eigenen Produktions- oder Dienstleistungskontext einsetzen. Eine schlanke Compliance-Struktur, die nur den eigenen F&E-Bereich im Blick hat, wird diesem Anspruch regelmäßig nicht gerecht.
Welche Fristen und Pflichten gelten konkret für Hochrisiko-KI in der Medizintechnik?
Die KI-Verordnung trat am 1. August 2024 in Kraft und gilt nach einer gestaffelten Übergangsfrist in wesentlichen Teilen ab dem 2. August 2026 vollumfänglich. Für verbotene KI-Praktiken galt bereits ab dem 2. Februar 2025 ein Anwendungsvorrang. Für Hochrisiko-KI-Systeme, die in regulierten Produkten wie Medizinprodukten eingesetzt werden, sieht die KI-VO eine Übergangsfrist bis zum 26. Juli 2028 vor – aber nur für Systeme, die bereits vor Anwendungsbeginn in Verkehr gebracht wurden. Neue Systeme unterliegen ab 2. August 2026 den vollen Anforderungen.
Was bedeutet das konkret? Hochrisiko-KI-Systeme erfordern nach Art. 9 ff. KI-VO unter anderem ein Risikomanagementsystem, technische Dokumentation nach Anhang IV, Daten-Governance-Maßnahmen, Transparenz- und Informationspflichten gegenüber Nutzern, menschliche Aufsicht (Human Oversight) sowie eine Konformitätsbewertung. Je nach Systemkonstellation ist eine externe Konformitätsbewertungsstelle einzuschalten. Daneben besteht die Pflicht zur Registrierung in der EU-Datenbank nach Art. 71 KI-VO. Die Anforderungen überschneiden sich erheblich mit denen der MDR – insbesondere bei der technischen Dokumentation, der Post-Market-Surveillance und dem Qualitätsmanagementsystem. Diese Überschneidung ist regulatorisch gewollt, schafft aber in der Praxis erheblichen Abstimmungsbedarf zwischen KI-Compliance und MDR-Compliance.
Für Geschäftsführer eines mittelständischen Medizintechnikunternehmens bedeutet dies: Wer heute ein neues KI-System evaluiert oder beschafft, muss bereits jetzt sicherstellen, dass es den Anforderungen der KI-VO entspricht – und die vertragliche Verantwortungsverteilung mit dem Lieferanten rechtlich klar geregelt ist. Die Frage, wer als Hersteller und wer als Betreiber im Sinne der KI-VO gilt, ist keine technische, sondern eine rechtliche – mit unmittelbaren Konsequenzen für Haftung und Bußgeldrisiko.
Welche Rolle spielt die DSGVO neben der KI-Verordnung?
KI-Systeme in der Medizintechnik verarbeiten in aller Regel Patientendaten, Bilddaten und klinische Informationen – also besondere Kategorien personenbezogener Daten nach Art. 9 DSGVO (Datenschutz-Grundverordnung). Die DSGVO und die KI-VO existieren nicht nebeneinander als parallele Insellösungen, sondern ergänzen und bedingen sich gegenseitig. Wer ein KI-System datenschutzkonform betreiben will, muss beide Rechtsrahmen gleichzeitig im Blick haben.
Besonders relevant ist in diesem Zusammenhang das Recht auf Erklärung automatisierter Entscheidungen. Art. 22 DSGVO schränkt vollautomatisierte Entscheidungen mit rechtlicher oder ähnlich erheblicher Wirkung grundsätzlich ein und verlangt geeignete Schutzmaßnahmen. Die KI-VO ergänzt dies durch die Anforderung menschlicher Aufsicht über Hochrisiko-KI. In der Praxis bedeutet das: Rein automatisierte klinische Entscheidungsprozesse ohne dokumentierte Möglichkeit menschlicher Intervention sind sowohl datenschutz- als auch KI-VO-rechtlich heikel. DSGVO-Bußgelder können bis zu 20 Millionen Euro oder vier Prozent des weltweiten Jahresumsatzes erreichen – je nachdem, welcher Betrag höher ist (Art. 83 DSGVO).
Nach unserer Erfahrung entstehen die größten Compliance-Risiken genau an der Schnittstelle zwischen KI-VO und DSGVO – wenn technische Teams die KI-Implementierung vorantreiben, ohne dass die datenschutzrechtliche Folgenabschätzung (DSFA nach Art. 35 DSGVO) und die KI-VO-Konformitätsbewertung koordiniert durchgeführt werden. Hier entsteht doppelter Anpassungsbedarf, der sich durch frühzeitige anwaltliche Strukturierung erheblich reduzieren lässt.
Haftungsrisiken für Geschäftsführer: Was droht bei Verstößen?
Die persönliche Haftung des Geschäftsführers ist im deutschen Wirtschaftsrecht keine abstrakte Drohkulisse, sondern eine konkrete Rechtswirklichkeit. Die KI-VO sieht nationale Bußgeldregimes vor, die von den Mitgliedstaaten ausgestaltet werden. Der EU AI Act selbst sieht für Verstöße gegen zentrale Anforderungen Bußgelder von bis zu 30 Millionen Euro oder sechs Prozent des weltweiten Jahresumsatzes vor – für KMU und Start-ups gilt der niedrigere Betrag als Obergrenze, wobei Verhältnismäßigkeitsgrundsätze angewendet werden sollen. Hinzu kommen Marktüberwachungsmaßnahmen bis hin zum Verbot des Inverkehrbringens.
Für den Geschäftsführer einer GmbH kommt neben der Außenhaftung des Unternehmens die Innenhaftung nach § 43 GmbHG in Betracht, wenn er die Sorgfalt eines ordentlichen Kaufmanns verletzt. Wer heute weiß, dass sein Unternehmen Hochrisiko-KI im Einsatz hat, und dennoch keine Schritte zur Herstellung der KI-VO-Konformität einleitet, handelt nach gefestigter gesellschaftsrechtlicher Wertung pflichtwidrig. Das gilt auch dann, wenn das KI-System von einem Drittanbieter zugekauft wurde – denn die Betreiberpflichten nach der KI-VO entlasten den Geschäftsführer nicht von seiner Legalitätspflicht.
Darüber hinaus besteht ein erhebliches Haftungsrisiko im Kontext der MDR: Wenn ein als Medizinprodukt klassifiziertes KI-System einen Schaden verursacht, weil es nicht den Anforderungen der KI-VO entsprach, können Produkthaftungsansprüche entstehen, die weit über das ursprüngliche Bußgeldrisiko hinausgehen. Was droht konkret? Eine Kumulierung von MDR-Sanktionen, KI-VO-Bußgeldern, datenschutzrechtlichen Bußgeldern und zivilrechtlichen Schadensersatzansprüchen ist kein theoretisches Szenario – es ist die regulatorische Realität, auf die Medizintechnikunternehmen sich heute vorbereiten müssen.
Wie sieht eine rechtskonforme KI-Governance für Medizintechnikunternehmen aus?
Eine rechtskonforme KI-Governance beginnt mit einer systematischen Bestandsaufnahme aller eingesetzten KI-Systeme und ihrer rechtlichen Einstufung nach der KI-VO. Erst wer weiß, welche Systeme im eigenen Unternehmen als Hochrisiko-KI einzuordnen sind, kann die notwendigen Maßnahmen priorisieren. Diese Klassifizierung ist rechtlich komplex – sie erfordert die Auslegung der Anhänge I und III der KI-VO in Verbindung mit der MDR-Klassifizierung des jeweiligen Produkts.
Die wichtigsten Bausteine einer KI-Governance für Medizintechnikunternehmen umfassen: ein schriftliches KI-Risikomanagementsystem (integriert in das bestehende MDR-Qualitätsmanagementsystem), technische Dokumentation nach Anhang IV KI-VO, Daten-Governance-Richtlinien mit besonderem Augenmerk auf die DSGVO, Regelungen zur menschlichen Aufsicht und Verantwortungszuordnung, sowie Schulungsmaßnahmen für alle Mitarbeiter, die mit dem KI-System umgehen. Hinzu kommt die vertragliche Absicherung in der Lieferkette: Verträge mit KI-Anbietern und Subunternehmern müssen die Konformitätspflichten der KI-VO explizit adressieren – einschließlich Auskunfts-, Dokumentations- und Nachbesserungspflichten des Lieferanten.
In der Praxis beraten wir regelmäßig Unternehmen, die KI-Anbieterverträge abschließen, ohne dass darin auch nur ansatzweise die Anforderungen der KI-VO abgebildet sind. Das ist ein strukturelles Risiko, das sich durch frühzeitige Vertragsgestaltung zuverlässig schließen lässt. Standardverträge aus dem IT-Umfeld decken die spezifischen Pflichten der KI-VO regelmäßig nicht ab – hier ist individuelle juristische Gestaltung gefragt.
Praxisbeispiel (anonymisiert): In einem aktuellen Mandat beriet die Kanzlei ein mittelständisches Medizintechnikunternehmen aus dem Bereich bildgebende Diagnostik mit rund 120 Mitarbeitern. Ausgangslage: Das Unternehmen hatte eine KI-gestützte Auswertungssoftware für radiologische Aufnahmen als OEM-Lösung von einem US-amerikanischen Anbieter bezogen und in seine zertifizierten Medizinprodukte integriert. Mit Inkrafttreten der KI-VO wurde intern unklar, wer die Betreiberpflichten trägt und ob die bestehende MDR-Dokumentation den Anforderungen der KI-VO genügt. Vorgehen: Die Kanzlei führte zunächst eine rechtliche Einstufung des Systems durch (Hochrisiko-KI nach Anhang III Nr. 5 KI-VO), analysierte den bestehenden OEM-Vertrag auf Konformitätslücken und erstellte ein Mapping zwischen den MDR-Anforderungen und den zusätzlichen KI-VO-Pflichten. Ergebnis: Der Anbietervertrag wurde nachverhandelt, die technische Dokumentation um die KI-VO-spezifischen Anforderungen ergänzt und ein Human-Oversight-Protokoll für den klinischen Einsatz implementiert – ohne Betriebsunterbrechung und innerhalb des bestehenden MDR-Zertifizierungsrahmens.
Welche nächsten Schritte sollte ein Geschäftsführer jetzt einleiten?
Entscheidend ist der Zeitfaktor. Wer heute mit der Strukturierung seiner KI-Compliance beginnt, hat noch die Möglichkeit, die Anforderungen der KI-VO in bestehende MDR-Prozesse zu integrieren, anstatt sie nachträglich aufzusatteln. Das spart Zeit, Kosten und Reibung mit Benannten Stellen (Notified Bodies). Wer wartet, bis die Marktüberwachungsbehörden aktiv werden, hat diesen strategischen Vorteil verloren.
Konkret empfehlen wir folgende Schritte: Zunächst eine rechtliche Bestandsaufnahme aller KI-Systeme im Unternehmen – mit klarer Einstufung nach der KI-VO-Risikoklassifizierung. Dann die Lückenanalyse zwischen bestehender MDR-Dokumentation und KI-VO-Anforderungen. Parallel dazu die Prüfung aller Lieferanten- und Anbieterverträge auf KI-VO-Konformität. Anschließend die Implementierung eines schriftlichen KI-Risikomanagementsystems und einer Human-Oversight-Regelung. Schließlich die Schulung der verantwortlichen Mitarbeiter – insbesondere derjenigen, die KI-Systemausgaben in klinischen oder betrieblichen Entscheidungen verwenden.
Dieser Fahrplan ist nicht als theoretische Checkliste zu verstehen. Er ist die praktische Konsequenz aus dem, was die KI-VO von Betreibern und Herstellern verlangt – und was Geschäftsführer zur eigenen Enthaftung tun müssen. Die genaue Ausgestaltung hängt vom konkreten KI-System, der Unternehmensgröße, dem Produktportfolio und der bestehenden Regulierungsinfrastruktur ab. Das ist im Einzelfall anwaltlich zu prüfen.
Die vorstehende Darstellung betrifft die Regelfälle der KI-VO-Compliance in der Medizintechnik. Ihr konkreter Fall erfordert die Prüfung Ihrer spezifischen KI-Systeme, Ihrer Lieferantenverträge und der Schnittstellen zur MDR-Zertifizierung. Für eine fachliche Einschätzung Ihrer Situation schreiben Sie an info@brandtfalk.com.
Verwandte Leistungen
Häufige Fragen zum KI-Einsatz im Unternehmen und der KI-Verordnung in der Medizintechnik
Gilt die KI-Verordnung auch für Unternehmen, die KI-Systeme nur einsetzen, aber nicht selbst entwickeln?
Ja. Die KI-VO unterscheidet zwischen Anbietern (Herstellern) und Betreibern (Deployers). Auch Unternehmen, die ein fremdes KI-System in ihrem Betrieb einsetzen, tragen eigene gesetzliche Pflichten – darunter die Sicherstellung menschlicher Aufsicht, die Einhaltung der Nutzungsvorgaben und die Meldung schwerwiegender Vorfälle. Die Betreiberpflichten entlasten nicht von der Legalitätspflicht des Geschäftsführers.
Was bedeutet „Hochrisiko-KI" nach der KI-Verordnung für Medizinprodukte?
KI-Systeme, die als Medizinprodukte nach der MDR oder als In-vitro-Diagnostika nach der IVDR eingestuft sind, gelten nach Anhang III Nr. 5 der KI-VO grundsätzlich als Hochrisiko-KI. Für sie gelten die strengsten Anforderungen der Verordnung: Risikomanagementsystem, technische Dokumentation, Daten-Governance, menschliche Aufsicht und in der Regel eine externe Konformitätsbewertung.
Welche Fristen muss ich als Medizintechnikunternehmen bei der KI-VO einhalten?
Verbotene KI-Praktiken sind seit dem 2. Februar 2025 untersagt. Die vollumfänglichen Anforderungen für Hochrisiko-KI in regulierten Produkten gelten ab dem 2. August 2026 für neu in Verkehr gebrachte Systeme. Für bereits vor diesem Datum eingesetzte Systeme besteht eine verlängerte Übergangsfrist bis zum 26. Juli 2028 – die Planung der Konformitätsherstellung sollte aber jetzt beginnen.
Wie verhält sich die KI-Verordnung zur DSGVO?
Beide Regelwerke gelten nebeneinander und ergänzen sich. KI-Systeme, die personenbezogene Daten – insbesondere Gesundheitsdaten – verarbeiten, müssen sowohl die KI-VO-Anforderungen als auch die DSGVO-Pflichten erfüllen, darunter die Datenschutz-Folgenabschätzung nach Art. 35 DSGVO und die Beschränkungen automatisierter Entscheidungen nach Art. 22 DSGVO. Eine isolierte Betrachtung nur eines der beiden Regelwerke ist in der Praxis nicht ausreichend.
Was droht bei Verstößen gegen die KI-Verordnung?
Der EU AI Act sieht Bußgelder von bis zu 30 Millionen Euro oder sechs Prozent des weltweiten Jahresumsatzes vor – je nach Art des Verstoßes. Zusätzlich können Marktüberwachungsbehörden Vertriebsverbote aussprechen. Für Geschäftsführer kommt die persönliche Innenhaftung nach deutschem Gesellschaftsrecht hinzu, wenn Sorgfaltspflichten verletzt wurden.
Müssen KI-Systeme in der EU registriert werden?
Für Hochrisiko-KI-Systeme sieht Art. 71 KI-VO eine Pflicht zur Registrierung in einer EU-weiten Datenbank vor. Anbieter (Hersteller) sind primär registrierungspflichtig; Betreiber müssen unter bestimmten Voraussetzungen ebenfalls registrieren. Die genaue Pflichtlage ist im Einzelfall – insbesondere bei der Abgrenzung zwischen Anbieter- und Betreiberrolle – rechtlich zu prüfen.
Die vorstehende Darstellung betrifft die Regelfälle der KI-VO-Compliance im Kontext der Medizintechnik. Ihr konkreter Fall erfordert die Prüfung Ihrer eingesetzten KI-Systeme, Ihrer Vertragskonstruktionen und der Schnittstellen zu bestehenden MDR-Zertifizierungen. Zur Klärung, wie die KI-Verordnung auf Ihr Unternehmen wirkt, wenden Sie sich an info@brandtfalk.com.
Dieser Beitrag dient ausschließlich der allgemeinen Information und stellt keine Rechtsberatung im Einzelfall dar. Er ersetzt nicht die anwaltliche Prüfung Ihres konkreten Sachverhalts. Für eine auf Ihre Situation zugeschnittene Beratung wenden Sie sich an info@brandtfalk.com.
Dieser Beitrag ist eine allgemeine Information und stellt keine Rechtsberatung dar. Für eine Prüfung Ihres Falls kontaktieren Sie info@brandtfalk.com.