Amgun / stock.adobe.com
AI Act Compliance für KI-basierte Medizinprodukte: Praktische Schritte zur Umsetzung
KI-basierte Medizinprodukte bzw. In-vitro-Diagnostika (IVD) unterliegen in Europa grundsätzlich den Anforderungen der Europäischen Verordnungen über Medizinprodukte, (EU) 2017/745 (MDR), und In-vitro-Diagnostika, (EU) 2017/746 (IVDR). Hersteller müssen zunächst klären, ob ihr Produkt als Medizinprodukt/IVD und zugleich als KI-System im Sinne des AI Acts einzustufen ist. Je nach Zweckbestimmung, Risikoklasse und Einbindung des KI-Systems können sich daraus zusätzliche regulatorische Anforderungen ergeben.
Mit dem AI Act kommen für viele KI-basierte Medizinprodukte weitere Pflichten hinzu, sofern sie als Hochrisiko-KI-Systeme einzustufen sind oder sonstige AI-Act-Pflichten auslösen.
Häufig wird von "Zulassung" gesprochen. Doch auch für KI-basierte Medizinprodukte handelt es sich weder nach MDR/IVDR noch nach dem AI Act um eine Zulassung im rechtlichen Sinne, sondern um den Nachweis der Konformität mit den jeweils anwendbaren Anforderungen - einschließlich der AI-Act-Anforderungen an KI-Systeme - im Rahmen eines Konformitätsbewertungsverfahrens mit anschließender CE-Kennzeichnung.
Medizinproduktehersteller müssen daher bestehende MDR- bzw. IVDR-Prozesse gezielt um KI-spezifische Anforderungen erweitern. Ein frühzeitig aufgesetztes AI Act Compliance Projekt hilft dabei, regulatorische Lücken zu identifizieren, Verantwortlichkeiten festzulegen und die technische Dokumentation sowie das Qualitätsmanagementsystem rechtzeitig weiterzuentwickeln.
Regulatorischer Hintergrund
Die Verordnung (EU) 2024/1689 über künstliche Intelligenz, der Artificial Intelligence Act (AU Act) ist 2024 in Kraft getreten und wird stufenweise anwendbar. Die jeweils relevanten Anwendungstermine sollten produktbezogen geprüft und in die MDR-/IVDR-Roadmap integriert werden. Medizinproduktehersteller müssen sich mit den Anforderungen des AI Acts auseinandersetzen, wenn sie ein KI-System im Sinne von Art. 3 Nr. 1 AI Act im Unionsmarkt in Verkehr bringen oder in Betrieb nehmen wollen.
Handelt es sich bei dem KI-System selbst um ein Produkt oder um eine Sicherheitskomponente eines MDR-/IVDR-Produkts und ist hierfür ein Drittstellen-Konformitätsbewertungsverfahren erforderlich, gilt es nach Art. 6 Abs. 1 AI Act grundsätzlich als Hochrisiko-KI-System.
Die wesentlichen Pflichten für Anbieter von Hochrisiko-KI-Systemen sind in Art. 16 AI Act zusammengefasst. Zu prüfen sind daneben insbesondere die Anforderungen der Art. 8 bis 15 sowie QMS-, Dokumentations-, Logging-, Konformitätsbewertungs-, Registrierungs- und Post-Market-Pflichten. Für Hochrisiko-KI-Systeme nach Anhang I AI Act werden diese Pflichten stufenweise anwendbar. Medizinproduktehersteller sollten daher frühzeitig prüfen, welche Anforderungen für ihre Produkte relevant sind und wie diese in bestehende regulatorische Prozesse integriert werden können.
Ein strukturiertes AI Act Compliance Projekt unterstützt dabei, die neuen Anforderungen systematisch umzusetzen.
Praktische Schritte für ein erfolgreiches AI Act Compliance Projekt
Hersteller von Medizinprodukten bzw. IVD können die Umsetzung der AI-Act-Anforderungen anhand der folgenden acht grundlegenden Schritte vorbereiten. Einige dieser Schritte können auch parallel durchgeführt werden.
1. Organisationsübergreifendes Projektteam einsetzen
Zu Beginn sollte ein interdisziplinäres Projektteam eingerichtet werden. Dieses sollte die Funktionen Regulatory Affairs, Qualitätsmanagement, Recht, Entwicklung, Clinical/Performance Evaluation, IT/Cybersecurity, Datenschutz, Post-Market Surveillance und das Management umfassen.
Die Zuständigkeiten und Aufgaben der Projektmitglieder sowie externer Dienstleister sollten eindeutig festgelegt werden. Auch Verantwortlichkeiten von Anbietern, Betreibern, Importeuren, Händlern, Bevollmächtigten und KI-/ Datenlieferanten sollten abgegrenzt werden. Weitere Aktivitäten wie Zeit- und Meilensteinplanung, Ressourcenplanung und Risikomanagement können auf bewährten Methoden des Projektmanagements aufbauen.
2. AI Act nachvollziehen
Im nächsten Schritt müssen die für Medizinprodukte/IVD relevanten Bestimmungen, Begriffe und Pflichten des AI Acts identifiziert und interpretiert werden. Dazu gehören insbesondere KI-System-Definition, Anbieter-/Betreiberrollen, Risikokategorien, Hochrisiko-Anforderungen, General-Purpose-AI (GPAI)-Abhängigkeiten sowie Schnittstellen zu MDR, IVDR, DSGVO, Cybersecurity-Recht und ggf. weiteren Rechtsbereichen.
Die Ergebnisse sollten in einem internen Richtlinien- oder Interpretationsdokument zusammengefasst werden. Sinnvoll ist zusätzlich ein produktbezogener Entscheidungsbaum zur AI-Act-Einstufung. Dieses Dokument dient als Grundlage für die weitere Umsetzung im Unternehmen.
3. KI-basiertes Medizinprodukt nach dem AI Act einordnen
Auf Basis der Zweckbestimmung und technischen Funktionsweise sollte der Hersteller prüfen, ob das Medizinprodukt ein KI-System enthält oder selbst ein KI-System ist. Außerdem ist zu klären, ob das KI-System selbst Produkt, Sicherheitskomponente oder sonstiger funktionaler Produktbestandteil ist. Anschließend erfolgt die Zuordnung zu einer Risikokategorie des AI Acts. Diese Einstufung sollte nachvollziehbar dokumentiert und, soweit erforderlich, mit der zuständigen Benannten Stelle erörtert werden.
Viele KI-basierte Medizinprodukte, für die nach MDR oder IVDR eine Benannte Stelle einzubeziehen ist, etwa MDR-Klassen IIa bis III, ggf. Klasse I s/m/r, sowie IVDR-Klassen B bis D, ggf. Klasse A steril, dürften bei Erfüllung von Art. 6 Abs. 1 AI Act Hochrisiko-KI-Systeme sein.
4. Gap-Analyse für technische Dokumentation und Qualitätsmanagementsystem durchführen
Die bestehende technische Dokumentation und das etablierte Qualitätsmanagementsystem sollten anhand der einschlägigen AI-Act-Anforderungen überprüft werden. Ziel ist es, Lücken zwischen dem bestehenden regulatorischen System und den zusätzlichen Anforderungen des AI Acts zu identifizieren.
Die Pflichten für Anbieter von Hochrisiko-KI-Systemen umfassen sowohl neue Anforderungen als auch Anforderungen, die aus MDR und IVDR bereits bekannt sind. Neu bzw. KI-spezifisch sind insbesondere Anforderungen an Daten-Governance, technische Dokumentation, Transparenz, menschliche Aufsicht, Genauigkeit, Robustheit, Cybersicherheit und Logging.
Für die praktische Umsetzung ist es entscheidend, geeignete KI-spezifische Normen, Leitlinien und Best Practices zu identifizieren und in die eigene Gap-Analyse einzubeziehen. Dabei sollten auch harmonisierte Normen, gemeinsame Spezifikationen und Leitlinien der Kommission fortlaufend überwacht werden.
5. Technische Dokumentation und Qualitätsmanagementsystem weiterentwickeln
Die Ergebnisse der Gap-Analyse sollten in konkrete Maßnahmen überführt werden. Dies kann sowohl neue Prozesse als auch die Anpassung bestehender Prozesse betreffen.
Das Qualitätsmanagementsystem kann dabei in das bereits etablierte MDR- bzw. IVDR-konforme System integriert werden. Zusätzlich kann es sinnvoll sein, ISO/IEC 42001 als Managementsystem-Referenz ergänzend zu ISO 13485 und ISO 14971 zu berücksichtigen.
Auch die technische Dokumentation muss um KI-spezifische Inhalte erweitert werden. Dazu gehören Zweckbestimmung, Daten-Governance, Trainings-/Validierungs-/Testdaten, Modellentwicklung, klinische bzw. Leistungsbewertung, Risikomanagement, Human Oversight, Cybersecurity, Logging und Post-Market-Monitoring.
Der AI Act verfolgt in mehreren Bereichen einen Compliance-by-Design-Ansatz. Dies ist besonders wichtig bei adaptiven Modellen, Modellupdates und wesentlichen Produktänderungen. Regulatorische Anforderungen sollten daher nicht erst am Ende der Entwicklung geprüft, sondern frühzeitig in den Entwicklungsprozess des KI-Systems integriert werden.
6. Interne Schulungen durchführen
Die neuen oder angepassten Prozesse des Qualitätsmanagementsystems sowie die KI-spezifischen Inhalte der technischen Dokumentation müssen intern vermittelt werden.
Darüber hinaus sollte sichergestellt sein, dass Mitarbeitende und relevante Beauftragte über ausreichende KI-Kompetenz im Sinne des AI Acts verfügen. Dies betrifft insbesondere Personen, die an Entwicklung, Bewertung, Risikomanagement, Qualitätssicherung, Regulatory Affairs, Marktüberwachung oder Entscheidungsprozessen im Zusammenhang mit KI-Systemen beteiligt sind.
Schulungen sollten zielgruppenspezifisch geplant, dokumentiert und regelmäßig aktualisiert werden.
7. AI-Act-Konformitätsbewertung vorbereiten und durchführen
Für KI-basierte Medizinprodukte und IVD erfolgt die Konformitätsbewertung nach Art. 43 Abs. 3 AI Act grundsätzlich im Rahmen der entsprechenden MDR- bzw. IVDR-Konformitätsbewertungsverfahren unter Beteiligung einer Benannten Stelle.
Ein frühzeitiger strukturierter Dialog mit der Benannten Stelle ist daher sinnvoll. Dabei können insbesondere die KI-spezifische Weiterentwicklung des Qualitätsmanagementsystems, die Ergänzungen der technischen Dokumentation und die geplante Nachweisführung besprochen werden. Vorab sollte geklärt werden, ob Mandat, Kompetenz und Kapazität der Benannten Stelle die AI-Act-Prüfung abdecken.
Ziel ist es, die AI-Act-Anforderungen so in die bestehende Konformitätsbewertung zu integrieren, dass Doppelarbeit vermieden und regulatorische Unsicherheiten frühzeitig adressiert werden. Erforderlich sind zudem eine konsistente EU-Konformitätserklärung, CE-Kennzeichnung und Registrierungen.
8. Regulatorische Entwicklung des AI Acts überwachen
Die praktische Umsetzung des AI Acts konkretisiert sich fortlaufend durch Leitlinien, Normung, gemeinsame Spezifikationen, Aufsichtspraxis und sektorale Auslegung. Die Europäische Kommission kann Leitlinien veröffentlichen, gemeinsame Spezifikationen festlegen und weitere Durchführungs- oder Auslegungsdokumente bereitstellen.
Zudem arbeiten europäische Normungsorganisationen an Normen, die einzelne Anforderungen des AI Acts unterstützen sollen. Auch Änderungen oder Präzisierungen des Rechtsrahmens sind möglich. Das Monitoring sollte deshalb auch Übergangsfristen, Digital-Omnibus-Änderungen und nationale Zuständigkeitsregelungen erfassen.
Medizinproduktehersteller sollten deshalb ein kontinuierliches Regulatory-Intelligence-Verfahren mit dokumentierter Bewertung und CAPA-/Change-Anbindung etablieren. Neue Anforderungen, Leitlinien und Normen müssen bewertet und bei Bedarf zeitnah in das Qualitätsmanagementsystem, die technische Dokumentation und die Produktentwicklung integriert werden.
Unser Unterstützungsangebot
Die Umsetzung des AI Acts stellt Medizinproduktehersteller vor komplexe regulatorische und organisatorische Herausforderungen. Ein strukturiertes AI Act Compliance Projekt hilft dabei, die Anforderungen frühzeitig zu verstehen, Lücken zu identifizieren und bestehende MDR- bzw. IVDR-Prozesse gezielt um KI-spezifische Inhalte zu erweitern. Für neue (Legal-)Hersteller bzw. Startups sollte das Projekt bereits vor Design Freeze und vor Einbindung der Benannten Stelle starten.
Wenn Sie Unterstützung bei Einstufung, Gap-Analyse, QMS-/TD-Erweiterung oder Benannte-Stellen-Vorbereitung benötigen, sprechen Sie uns gerne an. In einem ersten unverbindliche Gespräch erörtern wir den Rahmen eines möglichen Projekts.
Haben Sie Fragen zu Ihrem Projekt oder Produkt?
Dieser Beitrag dient ausschließlich der allgemeinen Information und stellt keine Rechtsberatung dar. Sämtliche Inhalte wurden vor Veröffentlichung fachlich geprüft und werden regelmäßig auf Aktualität, Vollständigkeit und Richtigkeit überprüft. Trotz sorgfältiger Erstellung und Qualitätskontrolle können Fehler, Unvollständigkeiten oder zwischenzeitlich eingetretene Änderungen der Rechtslage nicht ausgeschlossen werden.
