Medizinprodukte, die künstliche Intelligenz integrieren, ob es sich um Algorithmen des maschinellen Lernens für die diagnostische Bildgebung, um prädiktive Modelle für die Patientenüberwachung oder um Systeme zur klinischen Entscheidungsunterstützung handelt, befinden sich nun am Schnittpunkt zweier europäischer Verordnungen: der MDR (Verordnung (EU) 2017/745) und des AI Act (Verordnung (EU) 2024/1689).
Die Veröffentlichung des Leitfadens MDCG 2025-6 im Juni 2025, mitunterzeichnet von der MDCG und dem Artificial Intelligence Board, hat das Wesentliche dieses Zusammenspiels geklärt. Hersteller, die dieses Dokument noch nicht in ihre regulatorische Überwachung aufgenommen haben, geraten in einen Rückstand, dessen Aufrechterhaltung riskant wird.
Was die MDR bereits für Medizinprodukte mit KI abdeckt
Die MDR erwähnt künstliche Intelligenz als solche nicht. Ihre Anforderungen gelten dennoch uneingeschränkt für jedes Medizinprodukt, das eine Software integriert, ob mit KI oder ohne.
Für eine als Medizinprodukt qualifizierte KI-Software (SaMD) umfassen die einschlägigen MDR-Anforderungen: die Klassifizierung nach Regel 11 des Anhangs VIII, die Software, die Informationen zu therapeutischen oder diagnostischen Zwecken liefert, je nach Schwere der möglichen Folgen in IIa, IIb oder III einstuft; die Anforderungen des Anhangs I, Abschnitt 17, an programmierbare elektronische Systeme, die Wiederholbarkeit, Zuverlässigkeit und eine dem Stand der Technik entsprechende Entwicklung vorschreiben; den Software-Lebenszyklus nach IEC 62304; die klinische Bewertung der algorithmischen Leistung; und das Risikomanagement unter Einbeziehung der Besonderheiten der KI (Modelldrift, algorithmische Verzerrungen, Robustheit außerhalb der Verteilung).
Aufseiten der MDCG-Leitlinien rahmen drei Dokumente das Thema ein: MDCG 2019-11 zur Qualifizierung und Klassifizierung von Software als Medizinprodukt, MDCG 2020-1 zu den klinischen Daten von Medizinprodukte-Software und MDCG 2019-16 Rev. 1 zum Lebenszyklus von Cybersicherheitssoftware. Diese Texte behandeln die KI nicht spezifisch, aber sie legen die regulatorische Grundlage, auf die der AI Act aufsetzt.
Der AI Act und sein Zusammenspiel mit der MDR: was MDCG 2025-6 aussagt
Der am 1. August 2024 in Kraft getretene AI Act schafft einen horizontalen Regulierungsrahmen für KI-Systeme in der Europäischen Union. Er nimmt eine Klassifizierung nach Risikostufen vor: inakzeptabel, hohes Risiko, begrenztes Risiko, minimales Risiko.
Medizinprodukte, die ein KI-System integrieren, fallen nicht unter Anhang III des AI Act (entgegen dem, was häufig zu lesen ist). Sie werden als Hochrisikosysteme nach Artikel 6 Absatz 1 in Verbindung mit Anhang I eingestuft: als Sicherheitsbauteile, die in Produkte integriert sind, die einer Harmonisierungsrechtsvorschrift der EU (hier der MDR) unterliegen. Die Unterscheidung ist nicht akademisch. Sie bestimmt die Anwendungsfrist und das Konformitätsbewertungsverfahren.
MDCG 2025-6 führt den Begriff MDAI (Medical Device Artificial Intelligence) ein, um KI-Systeme zu bezeichnen, die zu medizinischen Zwecken eingesetzt werden und unter die MDR oder die IVDR fallen. Dieses als FAQ strukturierte Dokument klärt mehrere kritische Punkte.
Klassifizierung. Ein MDAI gilt als Hochrisiko-KI-System, wenn zwei Bedingungen erfüllt sind: Es stellt ein Sicherheitsbauteil dar oder ist selbst ein Medizinprodukt, und es unterliegt einer Konformitätsbewertung durch eine Benannte Stelle nach der MDR. Die Hochrisikoeinstufung nach dem AI Act ändert nicht die MDR-Klasse des Produkts. Es ist die MDR-Klasse, die bestimmt, ob das KI-System im Sinne des AI Act ein Hochrisikosystem ist, und nicht umgekehrt.
Konformitätsbewertung. Die Konformitätsbewertung für MDAI erfolgt über das bestehende MDR-Verfahren, über die Benannte Stelle. Es gibt kein gesondertes AI-Act-Verfahren. Hingegen müssen die AI-Act-spezifischen Anforderungen, die nicht von der MDR abgedeckt sind, in die technische Dokumentation und das Qualitätsmanagementsystem integriert werden. Dazu zählen insbesondere die Governance der Trainingsdaten, die algorithmische Transparenz, die wirksame menschliche Aufsicht und die Überwachung der KI-Leistung nach dem Inverkehrbringen.
Hersteller = Anbieter. MDCG 2025-6 stellt klar, dass der Begriff „Hersteller“ im Sinne der MDR dem Begriff „Anbieter“ im Sinne des AI Act entspricht. Ein einziger Akteur, eine einzige Verantwortung, zwei zu dokumentierende Anforderungsrahmen.
Zeitplan: was sich mit dem Digital Omnibus geändert hat
Die politische Einigung Digital Omnibus vom 7. Mai 2026 (förmliche Annahme vor dem 2. August 2026 erwartet) hat die Anwendungsfristen der AI-Act-Pflichten für Hochrisikosysteme geändert.
Für KI-Systeme, die in regulierte Produkte integriert sind (Anhang I des AI Act, einschließlich Medizinprodukten): Die Anwendungsfrist verschiebt sich vom 2. August 2027 auf den 2. August 2028. Für Hochrisikosysteme des Anhangs III (Einstellung, Kreditscoring, Bildung) wird die Frist auf den 2. Dezember 2027 verschoben.
Konkret erhält ein Hersteller von KI-Medizinprodukten einen zusätzlichen Aufschub von zwölf Monaten, um die AI-Act-Konformität zu erreichen. Das ist kein Grund zum Aufschieben: Die technische Dokumentation des AI Act (Anhang IV) erfordert drei bis sechs Monate Arbeit, und die harmonisierten CEN-CENELEC-Normen (JTC 21) werden frühestens Ende 2026 fertiggestellt sein.
Was Hersteller von KI-Medizinprodukten jetzt antizipieren müssen
Die Verschiebung auf den 2. August 2028 setzt keine MDR-Pflicht aus. Hersteller, die 2026 oder 2027 ein technisches Dossier bei einer Benannten Stelle einreichen, müssen die KI-Besonderheiten bereits jetzt unabhängig vom AI Act in ihre MDR-Dokumentation integrieren.
Fünf Arbeitsfelder drängen sich ab sofort auf.
Erstens, das erweiterte Risikomanagement. Die Risikomanagementpläne nach ISO 14971 müssen die für die KI spezifischen Risiken integrieren: Verzerrung der Trainingsdaten, Modelldrift nach dem Einsatz, Verhalten außerhalb der Verteilung, gegnerische Angriffe. Das ist keine künftige AI-Act-Option, sondern eine aktuelle MDR-Anforderung nach Anhang I, Abschnitt 3.
Zweitens, die Dokumentation der Trainingsdaten. Der AI Act wird eine vollständige Rückverfolgbarkeit der Datensätze verlangen: Herkunft, Repräsentativität, identifizierte Verzerrungen, Korrekturmaßnahmen. Bis 2028 mit der Strukturierung dieser Dokumentation zu warten, bedeutet, zu diesem Zeitpunkt festzustellen, dass die drei Jahre zuvor verwendeten Daten nicht nach den geforderten Standards dokumentiert wurden.
Drittens, die klinische Validierung an repräsentativen Kohorten. Die klinische Bewertung eines KI-Medizinprodukts beschränkt sich nicht darauf, die algorithmische Leistung an einem Testdatensatz nachzuweisen. Sie muss belegen, dass sich diese Leistung an Populationen hält, die für die Zweckbestimmung repräsentativ sind, einschließlich an Teilpopulationen mit Verzerrungsrisiko.
Viertens, die verstärkte Überwachung nach dem Inverkehrbringen. KI-Algorithmen entwickeln sich weiter, ob das Modell aktualisiert wird oder nicht. Die Drift der Eingabedaten unter realen Bedingungen kann die Leistung verschlechtern, ohne dass das Modell selbst verändert wird. Der PMS-Plan muss eine kontinuierliche Überwachung der algorithmischen Leistung integrieren, nicht nur die klassischen Vigilanzkanäle.
Fünftens, die dokumentierte menschliche Aufsicht. Der AI Act verlangt, dass Hochrisiko-KI-Systeme so konzipiert sind, dass sie eine wirksame menschliche Aufsicht ermöglichen. Für eine Diagnoseunterstützungssoftware bedeutet dies, zu dokumentieren, wie die Fachkraft die algorithmische Ausgabe verstehen, interpretieren und gegebenenfalls widerlegen kann.
Der Standpunkt von ISOFAC
Bei ISOFAC stellen wir fest, dass die Mehrheit der KMU-Hersteller, die KI in ihre Produkte integrieren, das Thema AI Act noch immer als ein Problem der Zukunft behandelt. Das ist ein Sequenzierungsfehler. Die Anforderungen, die der AI Act 2028 formalisieren wird, sind im Wesentlichen bereits nach der MDR durchsetzbar: das KI-Risikomanagement fällt unter Anhang I, Abschnitt 3; die Softwarevalidierung fällt unter Abschnitt 17; die klinische Bewertung der algorithmischen Leistung fällt unter Artikel 61. Was sich mit dem AI Act ändert, ist der Grad an Formalismus, der bei der Datengovernance, der Transparenz und der menschlichen Aufsicht erwartet wird.
Das eigentliche Risiko für einen KMU-Hersteller besteht nicht darin, die Frist von 2028 zu verpassen. Es besteht darin, 2026 oder 2027 ein technisches Dossier bei einer Benannten Stelle mit einem unzureichenden KI-Risikomanagement einzureichen und mit einer schwerwiegenden Abweichung bei bereits geltenden MDR-Anforderungen konfrontiert zu werden.
Wenn Sie ein Medizinprodukt mit KI entwickeln und Ihren kombinierten regulatorischen Ansatz MDR/AI Act noch nicht strukturiert haben, ist der richtige Zeitpunkt dafür vor Ihrer nächsten Einreichung, nicht nach der Veröffentlichung der harmonisierten Normen.
Quellen
- Verordnung (EU) 2024/1689, AI Act (EUR-Lex)
- Verordnung (EU) 2017/745, MDR (EUR-Lex, konsolidierte Fassung 10.01.2025)
- MDCG 2025-6 / AIB 2025-1, FAQ on interplay between MDR/IVDR and the AI Act (health.ec.europa.eu, Juni 2025)
- MDCG 2019-11, Guidance on qualification and classification of software (health.ec.europa.eu)
- MDCG 2020-1, Guidance on clinical evaluation of SaMD (health.ec.europa.eu)
- Politische Einigung Digital Omnibus on AI (Rat der EU, 7. Mai 2026)