Medizintechnikunternehmen, die KI-gestützte Diagnosesoftware, klinische Entscheidungsunterstützung oder automatisierte Qualitätskontrolle einsetzen, stehen seit dem schrittweisen Inkrafttreten der EU-KI-Verordnung (EU AI Act, Verordnung (EU) 2024/1689) unter einem neuartigen, sektorspezifischen Regulierungsdruck. Die KI-VO klassifiziert nahezu jeden KI-Einsatz mit direktem Patientenbezug als Hochrisiko-System – mit unmittelbaren Pflichten für Geschäftsführer, die persönlich haften können.
Die KI-Verordnung verpflichtet Medizintechnikunternehmen als Anbieter oder Betreiber von KI-Systemen der Klasse Hochrisiko zu umfassender Konformitätsbewertung, technischer Dokumentation und internem Risikomanagement. Für Geschäftsführer des deutschen Mittelstands bedeutet das: Prüfpflichten entstehen bereits jetzt, da die zentralen Hochrisiko-Pflichten ab August 2026 vollständig anwendbar sind. Wer heute keine Bestandsaufnahme vornimmt, riskiert empfindliche Bußgelder und Marktzugangssperren.
Diese Checkliste führt Geschäftsführer und Justiziare in der Medizintechnik Schritt für Schritt durch die wesentlichen Prüfpunkte der KI-VO – von der Systemklassifikation über DSGVO-Konformität bis zur Einbindung anwaltlicher Begleitung.
Warum die KI-Verordnung für die Medizintechnik besondere Bedeutung hat
Kein anderer Wirtschaftszweig ist durch die KI-VO stärker betroffen als die Medizintechnik. Der Grund liegt in der Konstruktion der Hochrisiko-Kategorie: Die KI-VO stuft in ihrem Anhang III alle KI-Systeme als hochriskant ein, die im Bereich der Sicherheitskomponenten von Medizinprodukten oder als Medizinprodukte selbst eingesetzt werden – einschließlich KI-gestützter Bilddiagnostik, klinischer Entscheidungsunterstützungssysteme (Clinical Decision Support, CDS) und automatisierter Auswertung von Vitaldaten.
In der Mandatspraxis sehen wir regelmäßig, dass mittelständische Medizintechnikunternehmen ihre eigene KI-Nutzung unterschätzen. Wer eine externe KI-Softwarelösung für die Bildauswertung im Rahmen einer CE-zertifizierten Klasse-IIb-Diagnosevorrichtung integriert, ist in aller Regel als Betreiber eines Hochrisiko-KI-Systems einzustufen. Die Pflichten treffen ihn unabhängig davon, ob die Entwicklung der KI intern oder extern erfolgte.
Hinzu kommt das Zusammenspiel mit dem Medizinprodukterecht: Die MDR (Verordnung (EU) 2017/745) und die KI-VO überschneiden sich erheblich. KI-Systeme, die als Sicherheitskomponente eines Medizinprodukts fungieren oder selbst als Medizinprodukt einzustufen sind, unterliegen einer erweiterten Konformitätsbewertung. Welche Normen Vorrang haben und wie technische Dokumentation konvergiert werden kann, ist nach unserer Erfahrung einer der häufigsten Beratungsanlässe in der Branche.
Nicht zu vergessen: Bußgelder nach Art. 99 KI-VO erreichen bis zu 30 Mio. € oder 6 % des weltweiten Jahresumsatzes bei schwerwiegenden Verstößen gegen die Verbotstatbestände; Verstöße gegen Hochrisiko-Pflichten können bis zu 15 Mio. € oder 3 % des Umsatzes kosten. Diese Dimensionen erfordern auch im Mittelstand strategisches Vorgehen, nicht reaktives Abwarten.
Schritt 1: KI-Systembestand erfassen und klassifizieren
Wer seine Pflichten nicht kennt, kann sie nicht erfüllen. Am Beginn jeder Compliance-Prüfung steht deshalb die vollständige Inventarisierung aller genutzten KI-Systeme – intern entwickelter wie zugekaufter oder lizenzierter Lösungen.
Die KI-VO definiert KI-Systeme technisch weit: Jedes auf maschinellem Lernen oder logikbasiertem Schließen beruhende System, das auf Basis von Eingaben Ausgaben wie Vorhersagen, Inhalte, Empfehlungen oder Entscheidungen erzeugt und dabei die physische oder virtuelle Umgebung beeinflusst, fällt darunter. Klassische regelbasierte Software ohne Lernkomponente ist hingegen in der Regel ausgenommen – diese Abgrenzung ist im Einzelfall sorgfältig zu prüfen.
- Vollständige KI-Inventarliste erstellen: Alle Systeme mit Hersteller, Zweck, Einsatzbereich und Integrationspunkt in Produkt oder Prozess dokumentieren.
- Verbotene Praktiken ausschließen (Art. 5 KI-VO, ab 2. Februar 2025 anwendbar): Prüfen, ob kein System im Bestand unter die absolut verbotenen Anwendungen fällt (z. B. Social Scoring mit öffentlichem Kontext, manipulative Subliminalsteuerung).
- Hochrisiko-Klassifikation prüfen (Anhang III KI-VO): Für jedes System prüfen, ob es als Medizinprodukt oder Sicherheitskomponente eines Medizinprodukts einzustufen ist oder in einem der weiteren Hochrisiko-Bereiche (Kritische Infrastruktur, Bildung, Beschäftigung) eingesetzt wird.
- Rolle klären – Anbieter oder Betreiber? Anbieter (Provider) bringen KI-Systeme in Verkehr; Betreiber (Deployer) nutzen fremde Systeme in eigener Verantwortung. Die Pflichten unterscheiden sich erheblich.
- MDR-Überschneidung prüfen: Für jedes als Hochrisiko-KI klassifizierte System prüfen, ob es auch unter die MDR fällt und welche Dokumentationsanforderungen konvergiert werden können.
Nach unserer Erfahrung unterschätzen Unternehmen in der Medizintechnik vor allem den „eingekauften" KI-Anteil: Wer ein Labor-Informationssystem (LIS) mit integrierter KI-Auswertung betreibt, ist als Betreiber im Sinne der KI-VO einzustufen, auch wenn die KI nicht selbst entwickelt wurde. Die vertragliche Absicherung gegenüber dem Softwareanbieter (insbesondere hinsichtlich technischer Dokumentation und Konformitätserklärung) ist dann essenziell.
Schritt 2: Konformitätsbewertung und technische Dokumentation für Hochrisiko-Systeme
Für als Hochrisiko klassifizierte KI-Systeme schreibt die KI-VO eine umfassende Konformitätsbewertung vor Inbetriebnahme vor. Für Medizintechnikunternehmen als Anbieter gelten dabei die strengsten Anforderungen; Betreiber tragen ergänzende Pflichten.
Die technische Dokumentation nach Anhang IV KI-VO muss für Anbieter unter anderem enthalten: eine allgemeine Beschreibung des KI-Systems und seiner Nutzung, detaillierte Informationen zu Trainings- und Testdaten, Beschreibung der Überwachungsarchitektur sowie Maßnahmen zur Cybersicherheit. Für KI-Systeme, die zugleich unter die MDR fallen, ermöglicht Art. 8 KI-VO eine einheitliche Konformitätsbewertung, sofern die notifizierte Stelle für Medizinprodukte eingebunden ist.
- Risikomanagementsystem einrichten (Art. 9 KI-VO): Für jedes Hochrisiko-System ein fortlaufendes Risikomanagement implementieren, das den gesamten Lebenszyklus abdeckt – von der Entwicklung über den Betrieb bis zur Außerbetriebnahme.
- Technische Dokumentation nach Anhang IV KI-VO erstellen: Systemarchitektur, Trainingsdaten, Leistungsmetriken, Robustheitstests und Cybersicherheitsmaßnahmen dokumentieren.
- Datenqualität und Data-Governance sicherstellen (Art. 10 KI-VO): Trainings-, Validierungs- und Testdaten müssen relevante, repräsentative, fehlerbereinigte und vollständige Datensätze umfassen. In der Medizintechnik sind hier Bias-Risiken (z. B. demografische Unterrepräsentation in Trainingsdaten) besonders relevant.
- Protokollierungspflichten (Art. 12 KI-VO): Automatische Protokollierung von Ereignissen über die gesamte Lebensdauer des Systems sicherstellen, mindestens für die in Art. 12 Abs. 2 genannten Parameter.
- EU-Konformitätserklärung und CE-Kennzeichnung (Art. 48 KI-VO): Vor dem Inverkehrbringen Konformitätserklärung ausstellen; CE-Kennzeichnung nach Abschluss der Konformitätsbewertung anbringen.
- Registrierung in EU-Datenbank (Art. 49, 71 KI-VO): Hochrisiko-KI-Systeme vor Inverkehrbringen in der europäischen KI-Datenbank registrieren lassen.
Welche konkreten Anforderungen im Einzelfall gelten, hängt nicht zuletzt davon ab, ob das Unternehmen als Anbieter, Einführer, Händler oder Betreiber tätig ist. Diese Rollenabgrenzung ist fließend und wird in der Praxis – insbesondere bei White-Label-Produkten oder OEM-Integrationen – häufig nicht hinreichend sauber vorgenommen.
Schritt 3: Betreiberpflichten und interne Governance im laufenden Betrieb
Betreiber von Hochrisiko-KI-Systemen – also Unternehmen, die fremde KI-Systeme in eigener Verantwortung nutzen – treffen eigene, von den Anbieterpflichten unabhängige Obliegenheiten. Diese werden von Geschäftsführern im Mittelstand häufig unterschätzt, weil die Dokumentation der Konformitätsbewertung formal beim Anbieter liegt.
Entscheidend ist: Betreiber haften eigenständig für den sachgerechten Einsatz und die Überwachung des KI-Systems im Betrieb. Art. 26 KI-VO verpflichtet Betreiber unter anderem, das KI-System nur gemäß Gebrauchsanweisung einzusetzen, eine menschliche Aufsicht sicherzustellen und bei Fehlfunktionen unverzüglich zu handeln.
- Nutzungsdokumentation anlegen: Zweckbestimmung, Einsatzbedingungen und verantwortliche Personen für jedes genutzte Hochrisiko-KI-System intern dokumentieren.
- Gebrauchsanweisung des Anbieters einhalten: Technische und organisatorische Anforderungen aus der Betriebsdokumentation des Anbieters vollständig umsetzen und regelmäßig überprüfen.
- Menschliche Aufsicht gewährleisten (Art. 14 KI-VO): Interne Prozesse einrichten, die sicherstellen, dass qualifiziertes Personal die KI-Ausgaben überwacht und im Zweifelsfall übersteuern kann. In der Medizintechnik ist dies häufig die behandelnde Person oder ein klinischer Experte.
- Nachträgliche Markteinsatz-Überwachung (Art. 72 KI-VO): Für Betreiber medizinischer Hochrisiko-KI ein Post-Market-Monitoring-System einrichten, das Leistungsabweichungen und unerwünschte Ereignisse systematisch erfasst.
- Meldepflichten bei schwerwiegenden Vorfällen (Art. 73 KI-VO): Interne Eskalationsprozesse definieren und Meldekanäle an die zuständige Marktüberwachungsbehörde etablieren. In Deutschland ist dies voraussichtlich das Bundesamt für Sicherheit in der Informationstechnik (BSI) oder eine sektorspezifische Behörde.
- Schulung und Kompetenznachweis: Mitarbeiter, die Hochrisiko-KI-Systeme bedienen, müssen über ausreichende KI-Kompetenz verfügen (Art. 4 KI-VO). Schulungsnachweise dokumentieren.
In einem aktuellen Mandat beriet die Kanzlei ein mittelständisches Medizintechnikunternehmen aus der bildgebenden Diagnostik. Ausgangslage: Das Unternehmen nutzte eine zugekaufte KI-Software zur automatisierten Erkennung radiologischer Befundauffälligkeiten und ging davon aus, dass Compliance-Verantwortung allein beim Softwareanbieter liege. Vorgehen: Die Bestandsaufnahme ergab, dass das Unternehmen als Betreiber eines Hochrisiko-KI-Systems im Sinne der KI-VO einzustufen war; die vertragliche Absicherung gegenüber dem Anbieter war unzureichend und enthielt keine Verpflichtung zur Bereitstellung der technischen Dokumentation. Ergebnis: Die Kanzlei begleitete die Nachverhandlung des Softwarevertrags, die Einrichtung einer internen KI-Governance-Struktur sowie die Dokumentation der Betreiberpflichten – deutlich unterhalb des Aufwands, der bei einem Bußgeldverfahren entstanden wäre.
Schritt 4: DSGVO-Anforderungen beim KI-Einsatz in der Medizintechnik
Die KI-VO tritt nicht neben die DSGVO, sondern ergänzt sie. In der Medizintechnik ist der DSGVO-Bezug besonders sensibel, weil Gesundheitsdaten nach Art. 9 DSGVO zu den besonders schutzbedürftigen Kategorien personenbezogener Daten zählen und ihre Verarbeitung grundsätzlich verboten ist, sofern keine der abschließend geregelten Ausnahmen greift.
Für KI-Systeme, die mit Patientendaten trainiert wurden oder im Betrieb Patientendaten verarbeiten, ergibt sich ein kumulatives Pflichtenprogramm aus KI-VO und DSGVO. Die Meldung einer Datenschutzverletzung muss binnen 72 Stunden nach Bekanntwerden an die zuständige Aufsichtsbehörde erfolgen (Art. 33 DSGVO) – diese Frist gilt unverändert neben etwaigen Meldepflichten nach der KI-VO.
- Rechtsgrundlage für KI-Datenverarbeitung festlegen: Für jeden KI-Verarbeitungsvorgang eine DSGVO-Rechtsgrundlage (Art. 6, ggf. Art. 9 DSGVO) dokumentieren. Im klinischen Umfeld kommt häufig Art. 9 Abs. 2 lit. h DSGVO (medizinische Versorgung) oder eine ausdrückliche Einwilligung in Betracht.
- Datenschutz-Folgenabschätzung (DSFA) durchführen (Art. 35 DSGVO): Für KI-Systeme, die Hochrisiko-Verarbeitungen durchführen (Profiling, Verarbeitung besonderer Kategorien im großen Maßstab), ist eine DSFA verpflichtend. In der Medizintechnik ist dies nahezu immer der Fall.
- Verzeichnis der Verarbeitungstätigkeiten aktualisieren (Art. 30 DSGVO): Jede KI-gestützte Verarbeitung als eigenen Eintrag aufnehmen, mit Angabe von Zweck, Rechtsgrundlage, Datenkategorien, Empfängern und Speicherdauer.
- Auftragsverarbeitungsverträge mit KI-Anbietern prüfen (Art. 28 DSGVO): Sofern KI-Anbieter personenbezogene Daten im Auftrag verarbeiten, muss ein AVV vorliegen, der die Anforderungen des Art. 28 DSGVO vollständig abdeckt – insbesondere Unterauftragsverarbeitung, Löschpflichten und technisch-organisatorische Maßnahmen.
- Betroffenenrechte gewährleisten: Auskunft nach Art. 15 DSGVO ist grundsätzlich binnen eines Monats zu erteilen. Für automatisierte Einzelentscheidungen nach Art. 22 DSGVO muss geprüft werden, ob ein Opt-out-Mechanismus oder eine menschliche Überprüfung einzurichten ist.
- Drittlandtransfers prüfen (Art. 44 ff. DSGVO): Viele KI-Anbieter betreiben Infrastrukturen in den USA oder anderen Drittländern. Für jede Übermittlung muss ein geeignetes Schutzniveau nachgewiesen werden (Angemessenheitsbeschluss, Standardvertragsklauseln, Binding Corporate Rules).
Besondere Aufmerksamkeit verdient das Zusammenspiel von KI-Transparenzpflichten und DSGVO: Art. 13 KI-VO verpflichtet Anbieter, KI-Systeme so zu gestalten, dass Betreiber die Ausgaben sinnvoll interpretieren können. Diese Transparenz korrespondiert mit dem DSGVO-Grundsatz der Rechenschaftspflicht (Art. 5 Abs. 2 DSGVO) und mit dem Recht auf Erläuterung automatisierter Entscheidungen – eine Verknüpfung, die in der Praxis häufig übersehen wird.
Welche Fristen gelten für die Umsetzung der KI-Verordnung?
Die KI-VO ist am 1. August 2024 in Kraft getreten und wird stufenweise anwendbar. Für Geschäftsführer in der Medizintechnik sind folgende Meilensteine entscheidend:
- 2. Februar 2025: Verbotstatbestände nach Art. 5 KI-VO werden anwendbar. Systeme, die verbotene KI-Praktiken nutzen, müssen abgeschaltet sein.
- 2. August 2025: Governance-Vorschriften (Kapitel III, Abschnitt 4), Verpflichtungen für GPAI-Modelle (Kapitel V) und Behördenstrukturen (Kapitel VII) werden anwendbar.
- 2. August 2026: Hochrisiko-Pflichten nach Kapitel III Abschnitte 1, 2, 3, 5 und 6 werden vollständig anwendbar. Ab diesem Datum müssen neue Hochrisiko-KI-Systeme vollständig konform sein.
- 2. August 2027: Für bereits vor dem 2. August 2026 in Verkehr gebrachte Hochrisiko-KI-Systeme, die Medizinprodukte nach MDR sind, gilt eine verlängerte Übergangsfrist bis zu diesem Datum.
Diese Staffelung gibt Medizintechnikunternehmen theoretisch Zeit für die Umsetzung. In der Praxis ist dieser Zeitraum angesichts der Komplexität der Anforderungen – insbesondere bei der Erstellung technischer Dokumentation, der Einrichtung von Risikomanagementsystemen und der Verhandlung mit Softwareanbietern – erheblich knapper als es erscheint. Wer heute mit der Bestandsaufnahme beginnt, schafft sich den notwendigen Handlungsspielraum.
Schritt 5: Vertragsgestaltung und Haftungsabgrenzung gegenüber KI-Anbietern
Eine der häufig unterschätzten Stellschrauben der KI-Compliance ist die Vertragsgestaltung. Die Lieferkette für KI-Systeme in der Medizintechnik ist komplex: Zwischen dem eigentlichen KI-Modellanbieter, dem Softwareintegrator, dem OEM-Gerätehersteller und dem klinischen Betreiber entstehen Pflichtenüberschneidungen, die vertraglich klar abgegrenzt sein müssen.
Wer haftet, wenn ein Hochrisiko-KI-System einen Diagnosefehler produziert, der zu einem Patientenschaden führt? Die KI-VO selbst trifft keine abschließende Haftungsregelung für Schäden – diese bleibt dem nationalen Recht überlassen. In Deutschland kommen Produkthaftungsrecht, Produzentenhaftung nach BGB sowie sektorspezifische Regelungen des Medizinprodukterechts in Betracht. Die EU-KI-Haftungsrichtlinie, die diesen Bereich harmonisieren soll, befindet sich nach unserer Kenntnis noch im Gesetzgebungsverfahren.
- KI-Anbieterverträge auf KI-VO-Konformität prüfen: Enthält der Vertrag Zusicherungen zur Bereitstellung technischer Dokumentation, Konformitätserklärung und Information über wesentliche Änderungen am KI-System?
- Haftungsklauseln analysieren: Sind Haftungsbeschränkungen des Anbieters wirksam und sachgerecht? Decken Versicherungen des Anbieters KI-spezifische Risiken ab?
- Update- und Versionspflichten regeln: Wesentliche Änderungen am KI-System können eine neue Konformitätsbewertungspflicht auslösen. Verträge sollten Informationspflichten des Anbieters bei wesentlichen Systemänderungen explizit vorsehen.
- Audit-Rechte vereinbaren: Das Recht, technische Dokumentation und Testprotokolle des Anbieters einzusehen oder durch Dritte prüfen zu lassen, sollte vertraglich gesichert sein.
- Exit-Szenarien regeln: Was geschieht mit Trainingsdaten, Modellparametern und betrieblichen Logs bei Vertragsende? Datenlöschung und Portabilitätsrechte müssen klar definiert sein.
In der Entscheidungsmatrix der Haftungsabgrenzung gilt: Ist das Unternehmen als Anbieter tätig (eigenes KI-System in Verkehr gebracht) → trägt es die vollständigen Anbieter-Compliance-Pflichten und ist primärer Adressat behördlicher Maßnahmen. Ist es als Betreiber tätig (fremdes KI-System genutzt) → trägt es Betreiberpflichten nach Art. 26 KI-VO; primäre Compliance-Verantwortung liegt beim Anbieter, sofern das System bestimmungsgemäß eingesetzt wird. Liegt eine wesentliche Zweckänderung durch den Betreiber vor → kann dieser zum Anbieter werden (Art. 25 KI-VO). Diese Dreistufigkeit ist bei der Vertragsgestaltung und bei der Rollenklärung gegenüber Zertifizierungsstellen entscheidend.
Schritt 6: Interne KI-Governance und Zuständigkeiten im Unternehmen
Die KI-VO ist kein reines Dokumentationsprojekt, sondern ein Auftrag zur organisatorischen Verankerung von KI-Governance im Unternehmen. Für Geschäftsführer im Mittelstand bedeutet das konkret: KI-Compliance braucht eine verantwortliche Person, einen internen Prozess und eine periodische Überprüfungsstruktur – auch wenn die Ressourcen begrenzt sind.
Art. 4 KI-VO normiert explizit die Pflicht zur Förderung von KI-Kompetenz im Unternehmen. Diese Norm mag abstrakt klingen, hat aber konkrete Folgen: Wer keine nachweisbaren Schulungsmaßnahmen für Mitarbeitende, die mit Hochrisiko-KI-Systemen arbeiten, vorweisen kann, riskiert bereits auf dieser Ebene Bußgelder.
- KI-Verantwortlichen benennen: Eine Person (KI-Compliance-Officer oder Datenschutzbeauftragter in erweiterter Funktion) mit Gesamtverantwortung für KI-Compliance ausstatten und dies intern dokumentieren.
- KI-Register einrichten: Ein zentrales Verzeichnis aller im Unternehmen genutzten KI-Systeme pflegen, das Klassifikation, Konformitätsstatus, verantwortliche Personen und Überprüfungsdaten enthält.
- Interne Freigabeprozesse für neue KI-Systeme definieren: Bevor ein neues KI-System eingeführt wird, muss ein strukturierter Prüfprozess (Klassifikation, DSFA, Vertragscheck) durchlaufen werden.
- Schulungsprogramm etablieren: Regelmäßige Schulungen für alle Mitarbeitenden, die Hochrisiko-KI-Systeme nutzen oder beaufsichtigen, dokumentieren. Schulungsnachweise aufbewahren.
- Incident-Response-Plan für KI-Vorfälle erstellen: Klare Eskalationswege für den Fall von KI-Fehlfunktionen, unerwarteten Ausgaben oder sicherheitsrelevanten Ereignissen definieren – inklusive Meldewegen an Behörden und ggf. Patienten.
- Periodische KI-Audits einplanen: Mindestens jährlich eine strukturierte Überprüfung aller Hochrisiko-KI-Systeme auf Compliance-Status, wesentliche Systemänderungen und neue regulatorische Anforderungen vornehmen.
Wie gestaltet man diese Strukturen ressourceneffizient im Mittelstand? Nach unserer Erfahrung empfiehlt sich ein modularer Ansatz: Zunächst Bestandsaufnahme und Priorisierung nach Hochrisiko-Status, dann schrittweise Implementierung der Governance-Elemente nach Risikoprioritäten – beginnend mit den Systemen, die direkten Patientenbezug haben. Eine externe anwaltliche Begleitung in der Aufbauphase spart erfahrungsgemäß erheblich mehr Zeit und Ressourcen, als sie kostet.
Verwandte Leistungen
Häufig gestellte Fragen zum KI-Einsatz in der Medizintechnik
Ab wann gilt die KI-Verordnung für Hochrisiko-KI-Systeme in der Medizintechnik?
Die zentralen Hochrisiko-Pflichten der KI-VO (Kapitel III) werden ab dem 2. August 2026 vollständig anwendbar. Für KI-Systeme, die zugleich als Medizinprodukte unter die MDR einzustufen sind und bereits vor diesem Datum in Verkehr gebracht wurden, gilt eine verlängerte Übergangsfrist bis zum 2. August 2027. Ungeachtet dieser Fristen sind die Verbotstatbestände des Art. 5 KI-VO bereits seit dem 2. Februar 2025 anwendbar. Eine frühzeitige Bestandsaufnahme ist deshalb ratsam, um den Implementierungsaufwand rechtzeitig einschätzen zu können.
Was ist der Unterschied zwischen Anbieter und Betreiber nach der KI-VO?
Als Anbieter (Provider) gilt, wer ein KI-System entwickelt oder entwickeln lässt und es unter eigenem Namen oder eigener Marke in Verkehr bringt oder in Betrieb nimmt. Als Betreiber (Deployer) gilt, wer ein KI-System in eigener Verantwortung und unter seiner Kontrolle für einen bestimmten Zweck nutzt, ohne es selbst entwickelt zu haben. In der Medizintechnik sind Unternehmen häufig gleichzeitig Anbieter eigener Gesamtprodukte und Betreiber zugekaufter KI-Komponenten. Die Pflichten unterscheiden sich erheblich; die genaue Rollenabgrenzung sollte anwaltlich geprüft werden.
Gilt die DSGVO neben der KI-Verordnung weiterhin?
Ja, die DSGVO gilt vollständig neben der KI-VO. Beide Regelwerke ergänzen sich: Die KI-VO regelt Anforderungen an KI-Systeme als solche (Risikomanagement, Dokumentation, Transparenz), während die DSGVO den Schutz personenbezogener Daten sicherstellt. Insbesondere bei der Verarbeitung von Gesundheitsdaten – in der Medizintechnik der Regelfall – greift die erhöhte Schutzklasse des Art. 9 DSGVO. Eine Datenschutz-Folgenabschätzung ist bei KI-gestützter Verarbeitung von Patientendaten im großen Maßstab in aller Regel verpflichtend.
Welche Bußgelder drohen bei Verstößen gegen die KI-Verordnung?
Die KI-VO sieht ein gestuftes Sanktionssystem vor. Verstöße gegen die Verbotstatbestände des Art. 5 KI-VO können mit Bußgeldern von bis zu 35 Mio. € oder 7 % des weltweiten Jahresumsatzes geahndet werden. Verstöße gegen Hochrisiko-Pflichten können bis zu 15 Mio. € oder 3 % des Umsatzes kosten. Für die Bereitstellung falscher Informationen gegenüber Behörden drohen bis zu 7,5 Mio. € oder 1 % des Umsatzes. Für KMU und Startups sehen die Behörden nach der KI-VO eine verhältnismäßige Sanktionspraxis vor; dennoch ist das Risiko für mittelständische Medizintechnikunternehmen erheblich.
Muss für jedes KI-System eine Datenschutz-Folgenabschätzung durchgeführt werden?
Eine Datenschutz-Folgenabschätzung (DSFA) nach Art. 35 DSGVO ist verpflichtend, wenn ein KI-System voraussichtlich ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen mit sich bringt. In der Medizintechnik ist dies bei KI-Systemen, die Patientendaten im großen Maßstab verarbeiten, in aller Regel zu bejahen. Nationale Datenschutzbehörden veröffentlichen zudem Positivlisten von Verarbeitungstätigkeiten, für die eine DSFA zwingend ist. Eine Prüfung im Einzelfall bleibt unerlässlich; die genaue Abgrenzung ist anwaltlich zu klären.
Die vorstehende Darstellung betrifft die Regelfälle der KI-Compliance in der Medizintechnik. Ihr konkreter Fall erfordert die Prüfung Ihrer spezifischen KI-Systeme, der vertraglichen Dokumentation und der einschlägigen Übergangspflichten im Licht der KI-VO und DSGVO.
Für eine erste Durchsicht Ihrer KI-Systemlandschaft und der relevanten Verträge erreichen Sie uns unter info@brandtfalk.com. Wir prüfen, welche Systeme in Ihrem Unternehmen als Hochrisiko einzustufen sind und welche Maßnahmen mit Blick auf die Fristen der KI-VO vorrangig anzugehen sind.
Dieser Beitrag dient ausschließlich der allgemeinen Information und stellt keine Rechtsberatung im Einzelfall dar. Er ersetzt nicht die anwaltliche Prüfung Ihres konkreten Sachverhalts. Für eine auf Ihre Situation zugeschnittene Beratung wenden Sie sich an info@brandtfalk.com.
Dieser Beitrag ist eine allgemeine Information und stellt keine Rechtsberatung dar. Für eine Prüfung Ihres Falls kontaktieren Sie info@brandtfalk.com.