Medizintechnikunternehmen gehören zu den Branchen, die vom EU AI Act am stärksten betroffen sind. Wer heute KI-gestützte Systeme zur Bildanalyse, Diagnostikunterstützung oder Risikobewertung einsetzt oder plant, steht vor einem doppelten Regulierungsrahmen: neben der MDR (EU-Medizinprodukteverordnung) greift seit 2024 schrittweise die KI-Verordnung (EU) 2024/1689 — der sogenannte EU AI Act — mit unmittelbarer Wirkung auf Produktentwicklung, Inverkehrbringen und den laufenden Betrieb. Für Geschäftsführer mittelständischer Medizintechnikunternehmen bedeutet das: konkrete Handlungspflichten, gestaffelte Fristen und erhebliche Bußgeldrisiken, die bereits heute in der Unternehmensplanung berücksichtigt werden müssen.
Die KI-Verordnung (EU AI Act) stuft nahezu alle KI-Systeme in der medizinischen Diagnostik, Bildgebung und klinischen Entscheidungsunterstützung als Hochrisiko-KI ein. Das bedeutet: Betreiber und Anbieter unterliegen strengen Konformitätsanforderungen, Dokumentationspflichten und müssen menschliche Aufsicht gewährleisten. Verstöße können mit Bußgeldern von bis zu 30 Millionen Euro oder — bei höherem Unternehmensumsatz — bis zu 6 Prozent des weltweiten Jahresumsatzes geahndet werden. Erste Verbote und allgemeine Pflichten gelten bereits seit Februar 2025; das vollständige Hochrisiko-Regime wird ab August 2026 wirksam.
Dieser Branchenreport erläutert die zentralen Anforderungen des EU AI Act für die Medizintechnik, zeigt typische Haftungsrisiken und gibt Geschäftsführern einen Fahrplan für die regulatorische Vorbereitung.
Was ist die KI-Verordnung und warum trifft sie die Medizintechnik besonders hart?
Der EU AI Act ist das weltweit erste umfassende Gesetz zur Regulierung künstlicher Intelligenz. Die Verordnung (EU) 2024/1689 wurde am 12. Juli 2024 im Amtsblatt der EU veröffentlicht und ist am 1. August 2024 in Kraft getreten. Das Gesetz verfolgt einen risikobasierten Ansatz: Je höher das Risiko, das ein KI-System für Gesundheit, Sicherheit oder Grundrechte erzeugt, desto strenger die Anforderungen.
Für die Medizintechnik ist dieser Ansatz von besonderer Bedeutung. Anhang III der KI-Verordnung listet KI-Systeme, die als Medizinprodukte oder zur Sicherheitsprüfung von Medizinprodukten eingesetzt werden, ausdrücklich als Hochrisiko-KI auf. Das betrifft einen erheblichen Teil der KI-Anwendungen, die in der Branche heute bereits eingesetzt oder entwickelt werden: KI-gestützte Bildauswertung in der Radiologie, algorithmische Entscheidungsunterstützung in der Pathologie, automatisierte Risikobewertung in der Chirurgieplanung oder softwarebasierte Diagnosesysteme.
In der Mandatspraxis sehen wir regelmäßig, dass mittelständische Medizintechnikunternehmen den EU AI Act zunächst als „Software-Regulierung" einstufen, die primär Technologiekonzerne betrifft. Das ist ein Irrtum, der teuer werden kann. Die Verordnung richtet sich an Anbieter — also Hersteller — und an Betreiber, also Unternehmen, die KI-Systeme im Rahmen ihrer beruflichen Tätigkeit einsetzen. Wer im deutschen Mittelstand Medizinprodukte herstellt oder KI-Lösungen in der klinischen Praxis einsetzt, ist von beiden Kategorien erfasst.
Hinzu kommt das Zusammenspiel mit dem bestehenden Regulierungsrahmen: Die MDR (Verordnung (EU) 2017/745) enthält bereits heute Anforderungen an Software als Medizinprodukt (SaMD). Der EU AI Act schichtet sich darüber und erweitert die Pflichten um KI-spezifische Elemente. Doppelregulierung ist damit kein theoretisches Konstrukt, sondern die gelebte Realität für Unternehmen, die KI-gestützte Medizinprodukte auf den Markt bringen.
Zeitplan und Geltungsstufen: Welche Fristen gelten jetzt?
Der EU AI Act folgt einem gestaffelten Inkrafttreten, das für Geschäftsführer unmittelbare Planungsrelevanz hat. Die Verordnung gilt nicht ab einem einzigen Stichtag, sondern entfaltet ihre Wirkung in mehreren Phasen.
Seit dem 2. Februar 2025 gelten die Verbote für unzulässige KI-Praktiken (Kapitel II des EU AI Act), darunter das Verbot von KI-Systemen zur sozialen Bewertung oder zur unbewussten Beeinflussung von Verhalten. Für die Medizintechnik sind diese Verbote zwar weniger direkt einschlägig, sie setzen jedoch den regulatorischen Grundton.
Für Anbieter und Betreiber von Allzweck-KI-Modellen (GPAI-Modelle) gelten die entsprechenden Pflichten seit August 2025. Wer also Large Language Models oder foundation models in der medizinischen Dokumentation oder im Patientenmanagement einsetzt, hat diese Frist bereits zu beachten.
Das für die Medizintechnik entscheidende Datum ist der 2. August 2026: Ab dann gilt das vollständige Hochrisiko-KI-Regime einschließlich Konformitätsbewertung, CE-Kennzeichnung nach AI Act und allen Betreiberpflichten. Unternehmen, die bis dahin keine Compliance-Struktur aufgebaut haben, laufen in ein erhebliches Vollzugsrisiko hinein. Nationalen Marktüberwachungsbehörden — in Deutschland die Bundesnetzagentur und das BfArM im Medizinproduktebereich — werden ab diesem Zeitpunkt aktiv prüfen können.
Für bereits in Verkehr gebrachte KI-Systeme, die auch nach altem Recht als Medizinprodukt zugelassen waren, sieht die Verordnung eine Übergangsfrist bis zum 2. August 2027 vor, sofern keine wesentliche Änderung des Systems erfolgt. Diese Übergangsfrist schützt jedoch nicht vor den allgemeinen Betreiberpflichten, die ab August 2026 greifen. Nach unserer Erfahrung ist die Abgrenzung, wann eine Systemaktualisierung eine „wesentliche Änderung" im Sinne des EU AI Act darstellt, eine der zentralen Auslegungsfragen der nächsten Monate.
Hochrisiko-KI in der Medizintechnik: Welche Pflichten entstehen konkret?
Wer ein KI-System in Verkehr bringt oder betreibt, das unter das Hochrisiko-Regime fällt, unterliegt einem umfangreichen Pflichtenkatalog. Die Differenzierung zwischen Anbieter (Hersteller) und Betreiber (Nutzer) ist dabei von erheblicher praktischer Bedeutung.
Für Anbieter — also Medizintechnikunternehmen, die eigene KI-Systeme entwickeln und in Verkehr bringen — entstehen folgende Kernpflichten:
- Konformitätsbewertung: Vor dem Inverkehrbringen muss eine Konformitätsbewertung nach Anhang VI oder VII der KI-Verordnung durchgeführt werden. Bei KI-Medizinprodukten ist die Benannte Stelle regelmäßig einzubinden.
- Technische Dokumentation: Eine umfassende technische Dokumentation nach Anhang IV ist zu erstellen und zu pflegen. Sie umfasst Beschreibung des Systems, Risikomanagementsystem, Trainings- und Validierungsdaten sowie Leistungskennzahlen.
- Risikomanagementsystem: Ein kontinuierliches Risikomanagementsystem über den gesamten Lebenszyklus des KI-Systems ist einzurichten (Art. 9 KI-VO).
- Qualitätsmanagementsystem: Ein QMS nach Art. 17 KI-VO ist zu implementieren, das mit dem bestehenden MDR-QMS abgestimmt sein muss.
- EU-Konformitätserklärung und CE-Kennzeichnung nach dem AI Act sind auszustellen und anzubringen.
- Registrierung in der EU-Datenbank (EASA AI Database) vor dem Inverkehrbringen.
- Post-Market-Monitoring: Aktives Beobachtungssystem nach Art. 72 KI-VO; schwerwiegende Vorfälle sind den Marktüberwachungsbehörden zu melden.
Für Betreiber — also Krankenhäuser, Diagnostiklabore, Arztpraxen oder Unternehmen, die Hochrisiko-KI im Rahmen ihrer Tätigkeit einsetzen — entstehen ebenfalls substanzielle Pflichten. Sie müssen sicherstellen, dass die Nutzung den Herstelleranweisungen entspricht, eine menschliche Aufsicht über das System gewährleisten, Ereignisprotokolle aufbewahren und ihre Mitarbeiter schulen. Wer als Betreiber wesentliche Änderungen am KI-System vornimmt, rückt in die Anbieterpflichten auf — eine Konstellation, die in der Praxis häufiger vorkommt als zunächst angenommen, etwa bei unternehmensinternen Anpassungen von zugekauften KI-Lösungen.
Menschliche Aufsicht und Transparenz: Was bedeutet das im medizinischen Alltag?
Eines der zentralen Prinzipien des EU AI Act ist die Anforderung menschlicher Aufsicht (human oversight) bei Hochrisiko-KI. Für die Medizintechnik ist diese Anforderung besonders praxisrelevant, weil sie in Konflikt mit dem Effizienzversprechen vieler KI-Anwendungen geraten kann.
Art. 14 KI-VO verpflichtet Anbieter, Hochrisiko-KI-Systeme so zu gestalten, dass natürliche Personen die Ergebnisse wirksam überwachen, die Entscheidung des Systems gegebenenfalls korrigieren und das System im Notfall stoppen können. Für Betreiber bedeutet das: Die bloße Installation eines KI-Diagnosesystems genügt nicht. Es muss ein dokumentierter Prozess existieren, der sicherstellt, dass ein qualifizierter Arzt oder Medizintechniker die Systemausgabe aktiv bewertet und verantwortet.
Kann das bedeuten, dass KI-gestützte Befundungsunterstützung ohne ärztliche Freigabe nicht zulässig ist? Nach dem gegenwärtigen Regelungsrahmen des EU AI Act: grundsätzlich ja, für Hochrisiko-Systeme. Die exakten Anforderungen an Ausgestaltung und Dokumentation der menschlichen Aufsicht werden durch delegierte Rechtsakte und Leitlinien der EU-Kommission noch konkretisiert — ein Bereich, der in den nächsten Monaten regulatorisch in Bewegung bleibt.
Transparenzpflichten nach Art. 13 KI-VO verlangen darüber hinaus, dass Betreiber über die Funktionsweise, die Grenzen und die erwarteten Leistungswerte des KI-Systems informiert werden. Zulieferer und Systemintegratoren im Medizintechnikumfeld müssen entsprechende Informationen in ihrer technischen Dokumentation bereitstellen. In der Mandatspraxis beraten wir Unternehmen, die diese Anforderungen in bestehende Vertragswerke mit Softwarelieferanten einzuarbeiten haben — eine Aufgabe, die angesichts der Kürze der verbleibenden Zeit erhebliche vertragliche Gestaltungsarbeit erfordert.
Datenschutz nach DSGVO: Wie verhalten sich KI-Verordnung und Datenschutzrecht zueinander?
KI-Systeme in der Medizintechnik verarbeiten typischerweise besonders sensible personenbezogene Daten: Röntgen- und MRT-Bilder, Laborbefunde, Patientenhistorien, genetische Informationen. Damit ist neben dem EU AI Act stets auch die DSGVO vollumfänglich anwendbar.
Beide Regelwerke stehen nicht in einem Ausschlussverhältnis; sie ergänzen einander. Aus der Praxis der Mandatsarbeit ergibt sich folgende Grundstruktur: Die KI-Verordnung reguliert die technische Ausgestaltung und Sicherheit des Systems; die DSGVO regelt, ob und wie personenbezogene Daten für Training, Validierung und Betrieb des Systems verarbeitet werden dürfen.
Für das KI-Training mit Patientendaten ist eine Rechtsgrundlage nach Art. 6 und Art. 9 DSGVO erforderlich. Bei Gesundheitsdaten — die nach Art. 9 DSGVO besondere Kategorie bilden — kommt als Rechtsgrundlage regelmäßig die ausdrückliche Einwilligung (Art. 9 Abs. 2 lit. a DSGVO) oder die wissenschaftliche Forschungsausnahme (Art. 9 Abs. 2 lit. j DSGVO i.V.m. § 27 BDSG) in Betracht. Eine Datenverarbeitung ohne tragfähige Rechtsgrundlage begründet neben dem AI-Act-Bußgeldrisiko eigenständige DSGVO-Bußgeldrisiken: Gemäß Art. 83 DSGVO können Bußgelder bis zu 20 Millionen Euro oder bis zu 4 Prozent des weltweiten Jahresumsatzes verhängt werden.
Wer Patientendaten in Cloud-Systemen außerhalb der EU verarbeitet oder KI-Modelle bei US-amerikanischen Drittanbietern betreibt, hat zusätzlich die Anforderungen des internationalen Datentransfers (Art. 44 ff. DSGVO) zu beachten. Verletzungen des Schutzes personenbezogener Daten sind der zuständigen Aufsichtsbehörde binnen 72 Stunden zu melden (Art. 33 DSGVO). Diese Frist gilt unabhängig davon, ob die Verletzung durch ein KI-System verursacht wurde.
Eine Datenschutz-Folgenabschätzung (DSFA) nach Art. 35 DSGVO ist bei der automatisierten Verarbeitung von Gesundheitsdaten in großem Umfang regelmäßig Pflicht. Wir sehen in der Praxis, dass viele Unternehmen die DSFA als einmalige Formalität behandeln, obwohl sie ein lebendiges Dokument sein muss, das bei wesentlichen Änderungen des Systems oder seiner Verwendung aktualisiert wird.
Typische Risikoprofile: Wo liegen die kritischen Punkte für mittelständische Medizintechnikunternehmen?
Die regulatorische Belastung durch den EU AI Act trifft mittelständische Unternehmen strukturell anders als Großkonzerne. Während ein multinationaler Medizintechnikkonzern über spezialisierte Regulatory-Affairs-Abteilungen verfügt, müssen inhabergeführte Unternehmen mit 50 bis 500 Mitarbeitern die neuen Anforderungen in bestehende Strukturen integrieren — oft ohne dediziertes KI-Compliance-Budget.
Aus unserer Beratungspraxis kristallisieren sich vier typische Risikoprofile heraus:
Erstens: Zugekaufte KI-Komponenten ohne ausreichende Lieferantendokumentation. Viele Medizintechnikunternehmen integrieren KI-Komponenten von spezialisierten Softwareanbietern. Der EU AI Act sieht jedoch vor, dass der Anbieter — also das Unternehmen, das das System auf den Markt bringt — die vollständige Verantwortung für die Konformität trägt, auch wenn KI-Komponenten zugekauft wurden. Fehlt die technische Dokumentation des KI-Zulieferers, steht der Anbieter vor einem gravierenden Konformitätsproblem.
Zweitens treten Risiken bei unternehmensinternen KI-Anpassungen auf. Wer ein zugekauftes KI-System für die eigene Anwendungsdomäne anpasst — beispielsweise durch Feintuning auf eigene Patientendaten oder durch Anpassung der Entscheidungsschwellen — kann unbemerkt in die Anbieterpflichten hineingeraten, selbst wenn das Unternehmen ursprünglich nur als Betreiber aufgetreten ist.
Ein drittes Risikoprofil betrifft die Vernachlässigung des Post-Market-Monitorings. Das aktive Überwachungssystem nach Art. 72 KI-VO ist keine einmalige Pflicht bei Inverkehrbringen, sondern ein kontinuierlicher Prozess. Schwerwiegende Vorfälle — definiert als Ereignisse, die zu Tod oder schwerwiegender Gesundheitsschädigung geführt haben oder führen könnten — müssen gemeldet werden. Systeme zur Erfassung und Meldung solcher Ereignisse fehlen in vielen mittelständischen Unternehmen noch.
Viertens: Unterschätzung der Dokumentationslast. Die technische Dokumentation nach Anhang IV der KI-Verordnung ist erheblich umfangreicher als viele Unternehmen antizipieren. Sie erfordert detaillierte Beschreibungen der Trainings- und Testdaten, der Leistungsmetriken, des Risikomanagementsystems und der Maßnahmen zur menschlichen Aufsicht. Eine rückwirkende Rekonstruktion dieser Dokumentation für bereits eingesetzte Systeme ist aufwändig und in manchen Fällen faktisch nicht mehr vollständig möglich.
Mandatsbeispiel (anonymisiert): In einem aktuellen Mandat beriet die Kanzlei ein mittelständisches Medizintechnikunternehmen aus dem Bereich bildgebende Diagnostik. Ausgangslage: Das Unternehmen hatte eine KI-gestützte Software zur Auswertung von CT-Aufnahmen von einem US-amerikanischen Spezialanbieter lizenziert und in sein Produktportfolio integriert. Eine CE-Kennzeichnung der Software nach MDR war vorhanden; eine KI-Verordnungs-konforme Dokumentation des KI-Systems fehlte jedoch vollständig. Der US-Anbieter stellte lediglich eine englischsprachige Systemdokumentation bereit, die nicht den Anforderungen des Anhangs IV der KI-Verordnung entsprach. Vorgehen: Die Kanzlei unterstützte das Unternehmen bei der Analyse der Anbieter-Betreiber-Konstellation, der Identifikation konkreter Dokumentationslücken und der Formulierung ergänzender Vertragsklauseln gegenüber dem US-Lieferanten. Gleichzeitig wurde ein internes Risikomanagementsystem nach Art. 9 KI-VO strukturiert. Ergebnis: Das Unternehmen konnte die wesentlichen Dokumentationslücken vor dem relevanten Geltungsstichtag schließen und verfügt nun über eine belastbare Grundlage für die Konformitätsbewertung — ohne den US-Lieferanten wechseln zu müssen.
Haftungsrisiken für Geschäftsführer: Was bedeutet der EU AI Act persönlich?
Für Geschäftsführer mittelständischer Medizintechnikunternehmen ist der EU AI Act nicht nur ein regulatorisches Thema für die Rechtsabteilung. Die Verordnung erzeugt persönliche Haftungsrisiken, die im Zusammenspiel mit dem GmbH-Recht und dem Ordnungswidrigkeitenrecht wirksam werden.
Die KI-Verordnung selbst richtet sich an Unternehmen als Rechtssubjekte. Die Bußgelder — bis zu 30 Millionen Euro oder 6 Prozent des weltweiten Jahresumsatzes bei Verstößen gegen die Verbote unzulässiger KI-Praktiken; bis zu 15 Millionen Euro oder 3 Prozent bei Verstößen gegen Hochrisiko-Pflichten; bis zu 7,5 Millionen Euro oder 1 Prozent bei unrichtigen Informationen gegenüber Behörden — treffen primär das Unternehmen. Ob diese Beträge im konkreten Fall ausgeschöpft werden, entscheiden die nationalen Marktüberwachungsbehörden nach dem Verhältnismäßigkeitsprinzip; für den Mittelstand ist regelmäßig mit spürbar niedrigeren, aber dennoch erheblichen Beträgen zu rechnen.
Für den Geschäftsführer persönlich folgt die Haftung aus den allgemeinen gesellschaftsrechtlichen Grundsätzen: Verletzt er seine Organpflichten, weil er notwendige Compliance-Maßnahmen nicht eingeleitet hat, haftet er dem Unternehmen gegenüber nach § 43 GmbHG auf Schadensersatz. Typische Konstellationen sind die Unterlassung einer notwendigen Konformitätsbewertung vor Markteinführung, fehlende Schulung der Mitarbeiter oder das Inverkehrbringen von Systemen, deren Hochrisiko-Einstufung erkennbar war.
Wann genau entsteht diese persönliche Haftung? Die Antwort hängt vom Einzelfall ab. Entscheidend sind die Erkenntnismöglichkeiten des Geschäftsführers, die vorhandenen Ressourcen des Unternehmens und die Zumutbarkeit der Maßnahmen. Eines ist jedoch klar: Wer heute, rund ein Jahr vor dem vollständigen Inkrafttreten des Hochrisiko-Regimes, noch kein KI-Compliance-System aufgebaut hat, wird im Haftungsfall schwerlich argumentieren können, er habe von den Anforderungen nichts gewusst.
Entscheidungsmatrix: Welches KI-System erfordert welches Vorgehen?
Nicht jedes KI-System im Unternehmen löst automatisch das Hochrisiko-Regime aus. Die folgende Orientierung — keine abschließende rechtliche Bewertung — soll Geschäftsführern einen ersten Einordnungsrahmen geben.
Konstellation A: KI-System zur Diagnoseunterstützung (z.B. automatisierte Bildauswertung Radiologie) → Einstufung als Hochrisiko-KI nach Anhang III Nr. 5 lit. a KI-VO höchstwahrscheinlich → Vollständige Anbieterpflichten (Art. 8–15 KI-VO), Konformitätsbewertung mit Benannter Stelle, CE-Kennzeichnung → Zieldatum: Konformität bis spätestens 2. August 2026 hergestellt.
Konstellation B: KI-Chatbot für interne Verwaltung (Urlaubsanträge, HR-Kommunikation) → Grundsätzlich kein Hochrisiko; GPAI-Pflichten je nach eingesetztem Basismodell → Betreiberpflicht nach Art. 26 KI-VO, Transparenzpflicht gegenüber Mitarbeitern → Umsetzung bis August 2025 (GPAI-Regime).
Konstellation C: KI-gestützte Qualitätskontrolle in der Fertigung von Medizinprodukten → Abhängig von der Funktion: Sicherheitskomponente eines Medizinprodukts → Hochrisiko; reine Fertigungsoptimierung ohne Sicherheitsbezug → ggf. kein Hochrisiko → Einzelfallbewertung erforderlich → Interne Risikoklassifizierung und rechtliche Einordnung vor jeder KI-Einführung.
Konstellation D: Zugekauftes KI-Modul, das in ein bestehendes Medizinprodukt integriert wird → Anbieter des Gesamtsystems trägt Verantwortung → Lieferantenqualifizierung, vertragliche Haftungsallokation, Dokumentationsanforderungen an den KI-Zulieferer → Vertragsgestaltung unmittelbar erforderlich.
Praktische Handlungsempfehlung: Der Fahrplan für Medizintechnikunternehmen
Die verbleibende Zeit bis zum Hochrisiko-Geltungsdatum August 2026 ist knapp. Ein strukturiertes Vorgehen in mehreren Phasen ist sinnvoll.
In einem ersten Schritt empfehlen wir die systematische Bestandsaufnahme aller KI-Systeme im Unternehmen — im Betrieb, in der Entwicklung und in der Planung. Jedes System ist anhand der Anhänge I und III der KI-Verordnung zu klassifizieren. Diese Inventarisierung klingt trivial, wird in der Praxis aber häufig unterschätzt: KI-Systeme sind oft in größere Softwarelösungen eingebettet oder werden von Mitarbeitern ohne Wissen der Geschäftsführung eingesetzt.
In einem zweiten Schritt ist für jedes Hochrisiko-System die Anbieter-Betreiber-Konstellation zu klären. Diese Frage entscheidet über die eigene Pflichtenlage und ist häufig nicht eindeutig, wenn eigene Anpassungen an zugekauften Systemen vorgenommen wurden.
Drittens sind bestehende Verträge mit KI-Zulieferern, Softwareanbietern und Cloud-Dienstleistern auf ihre KI-Act-Konformität zu prüfen und gegebenenfalls anzupassen. Die Verordnung enthält keine ausdrückliche Verpflichtung zur bestimmten Vertragsgestaltung, wohl aber implizite Anforderungen: Wer als Anbieter die technische Dokumentation nach Anhang IV nicht eigenständig erstellen kann, weil der Zulieferer die erforderlichen Informationen nicht herausgibt, hat ein substanzielles Konformitätsproblem.
Viertens empfiehlt sich der frühzeitige Kontakt zur zuständigen Benannten Stelle für die Konformitätsbewertung. Die Kapazitäten der Benannten Stellen sind begrenzt; wer spät mit der Konformitätsbewertung beginnt, riskiert Verzögerungen, die das Markteinführungsdatum gefährden.
Nach unserer Erfahrung gelingt die KI-Compliance-Vorbereitung am effizientesten, wenn sie nicht als isoliertes Regulierungsprojekt behandelt wird, sondern in die bestehenden MDR-Compliance- und Qualitätsmanagementsysteme integriert wird. Synergien gibt es insbesondere bei der Risikoklassifizierung, der Post-Market-Überwachung und der Dokumentationsstruktur.
Die vorstehende Darstellung gibt einen Überblick über die regulatorischen Anforderungen in typischen Fallkonstellationen. Ihr konkretes Unternehmen erfordert die Prüfung der eingesetzten KI-Systeme, der bestehenden Dokumentation und der vertraglichen Zuliefererbeziehungen. Für eine erste Durchsicht Ihrer Unterlagen erreichen Sie uns unter info@brandtfalk.com.
Verwandte Leistungen
Häufige Fragen zum KI-Einsatz in der Medizintechnik
Was versteht die KI-Verordnung unter einem Hochrisiko-KI-System in der Medizintechnik?
Als Hochrisiko-KI gelten nach Anhang III der KI-Verordnung (EU) 2024/1689 insbesondere KI-Systeme, die als Medizinprodukte im Sinne der MDR oder MDR-Sicherheitsbauteile eingesetzt werden. Darunter fallen typischerweise KI-gestützte Diagnosesoftware, Bildauswertungssysteme in der Radiologie und algorithmische Entscheidungsunterstützung in der klinischen Praxis. Ausschlaggebend ist nicht die technische Bezeichnung, sondern die tatsächliche Funktion und der Anwendungskontext des Systems. Eine präzise Einstufung erfordert im Einzelfall eine rechtliche Analyse.
Ab wann muss ein mittelständisches Medizintechnikunternehmen die KI-Verordnung vollständig einhalten?
Das vollständige Hochrisiko-Regime des EU AI Act gilt ab dem 2. August 2026. Für KI-Systeme, die bereits vor diesem Datum nach dem alten Recht als Medizinprodukt zugelassen waren und keine wesentliche Änderung erfahren, besteht eine Übergangsfrist bis zum 2. August 2027. Verbote unzulässiger KI-Praktiken gelten bereits seit dem 2. Februar 2025. Die Konformitätsvorbereitung sollte angesichts der begrenzten Kapazitäten der Benannten Stellen deutlich vor dem Stichtag beginnen.
Welche Unterschiede bestehen zwischen den Pflichten eines Anbieters und eines Betreibers nach dem EU AI Act?
Anbieter — also Hersteller, die ein KI-System in Verkehr bringen — tragen die Hauptlast: Sie müssen die vollständige Konformitätsbewertung, technische Dokumentation, CE-Kennzeichnung und das Post-Market-Monitoring sicherstellen. Betreiber — Unternehmen, die ein KI-System im beruflichen Kontext nutzen — haben demgegenüber schlankere, aber substanzielle Pflichten: menschliche Aufsicht gewährleisten, Nutzungsvorgaben des Herstellers einhalten, Mitarbeiter schulen und Protokolle aufbewahren. Wer am System wesentliche Änderungen vornimmt, rückt in die Anbieterpflichten auf.
Wie verhält sich die KI-Verordnung zur DSGVO bei der Verarbeitung von Patientendaten?
KI-Verordnung und DSGVO ergänzen einander; sie schließen sich nicht aus. Die KI-Verordnung reguliert die technische Ausgestaltung und Sicherheit des Systems. Die DSGVO regelt die Zulässigkeit der Datenverarbeitung. Bei Gesundheitsdaten — nach Art. 9 DSGVO besonders geschützt — ist für Training, Validierung und Betrieb von KI-Systemen stets eine tragfähige Rechtsgrundlage erforderlich. Datenschutzverletzungen sind der Aufsichtsbehörde binnen 72 Stunden zu melden. Verstöße gegen die DSGVO können mit Bußgeldern bis zu 20 Millionen Euro oder 4 Prozent des weltweiten Jahresumsatzes geahndet werden.
Was sind die Folgen, wenn ein Unternehmen die Anforderungen des EU AI Act nicht einhält?
Der EU AI Act sieht gestaffelte Bußgelder vor: Verstöße gegen die Verbote unzulässiger KI-Praktiken können mit bis zu 30 Millionen Euro oder 6 Prozent des weltweiten Jahresumsatzes geahndet werden. Verstöße gegen Hochrisiko-Pflichten können bis zu 15 Millionen Euro oder 3 Prozent des Jahresumsatzes kosten. Hinzu treten mögliche Marktentnahme-Anordnungen durch die Marktüberwachungsbehörden sowie die persönliche Haftung des Geschäftsführers nach § 43 GmbHG, wenn Compliance-Pflichten schuldhaft vernachlässigt wurden.
Muss ein Unternehmen alle KI-Anwendungen inventarisieren, oder nur jene mit direktem Patientenbezug?
Die Inventarisierung sollte sämtliche KI-Systeme im Unternehmen erfassen, da die Einstufung als Hochrisiko-KI nicht ausschließlich vom Patientenbezug abhängt. Auch KI-Systeme in der Fertigung von Medizinprodukten, in der Qualitätskontrolle oder in der Personalentscheidung können je nach Funktion regulatorisch relevant sein. Allzweck-KI-Modelle (GPAI) unterliegen eigenen Regeln, die seit August 2025 gelten. Eine systematische Bestandsaufnahme ist Ausgangspunkt jeder AI-Compliance-Strategie.
Die vorstehende Darstellung betrifft die Regelfälle des KI-Einsatzes in der Medizintechnik. Ihr konkreter Fall erfordert die Prüfung der eingesetzten Systeme, bestehender Verträge mit KI-Lieferanten und der vorhandenen Dokumentation. Für eine erste Durchsicht Ihrer Unterlagen erreichen Sie uns unter info@brandtfalk.com.
Dieser Beitrag dient ausschließlich der allgemeinen Information und stellt keine Rechtsberatung im Einzelfall dar. Er ersetzt nicht die anwaltliche Prüfung Ihres konkreten Sachverhalts. Für eine auf Ihre Situation zugeschnittene Beratung wenden Sie sich an info@brandtfalk.com.
Dieser Beitrag ist eine allgemeine Information und stellt keine Rechtsberatung dar. Für eine Prüfung Ihres Falls kontaktieren Sie info@brandtfalk.com.