Compliance-Software für Regulatory Affairs bei Medizinprodukten

Hersteller von Medizinprodukten und In-vitro-Diagnostika (IVD) müssen unterschiedlichen regulatorischen Pflichten über den gesamten Produktlebenszyklus ihrer Produkte nachkommen. Je nach Produktart und Markt können die Pflichten unterschiedlich sein. Bei einem Portfolio aus mehreren Produktfamilien und Zielmärkten vervielfacht sich der Aufwand schnell. Hinzu kommen viele Daten, die aktuell gehalten werden müssen, etwa Zertifikate, UDI-Datensätze, Normenstände, Beschwerdeinformationen, Lieferantennachweise und vieles mehr. Regulatory Affairs-Software für Medizinprodukte verspricht hier Entlastung.

Dieser Beitrag gibt eine Übersicht über Compliance-Software für Regulatory Affairs bei Medizinprodukten. Er beschreibt, welche Kategorien von Softwarelösungen und Online-Diensten es gibt, was sie leisten und wo ihre Grenzen liegen. Er behandelt zudem den Einsatz von KI in solchen Tools und mögliche Folgen der KI-Verordnung für die Tool-Funktionen bei Medizinprodukten.

Welche regulatorischen Aufgaben lassen sich digital unterstützen?

Regulatorische Aufgaben lassen sich besonders dann sinnvoll digital unterstützen, wenn sie mit gleichartigen Datensätzen einhergehen, wiederkehrenden Abläufen folgen oder eine strukturierte Nachweisführung erfordern. Dazu zählen insbesondere die Lenkung von Dokumenten und Aufzeichnungen, die Rückverfolgbarkeit von Anforderungen über Risiken und Risikokontrollmaßnahmen bis zu Verifizierungs- und Validierungsnachweisen, die Verwaltung von Produkt- und Zulassungsstammdaten, Fristen- und Aufgabenverfolgung sowie die Auswertung von Post-Market-Daten.

Der Nutzen digitaler Werkzeuge liegt vor allem dort, wo Vollständigkeit, Konsistenz und Nachvollziehbarkeit nachweisbar sein müssen. Beispiele sind technische Dokumentation, UDI-Daten, Zertifikate, Normenstände, Beschwerdeinformationen, Lieferantennachweise, CAPA-Vorgänge, Schulungsnachweise oder Audit-Trails. Software kann diese Informationen zentral verwalten, Versionen kontrollieren, Freigaben dokumentieren und Zusammenhänge zwischen Datensätzen sichtbar machen.

Deutlich schwerer abbildbar sind Fragen, die eine fachliche Interpretation und regulatorische Auslegung erfordern. Die Zweckbestimmung, die Klassifizierung nach Anhang VIII MDR, die Bewertung einer Änderung als wesentlich oder die Nutzen-Risiko-Abwägung sind Entscheidungen des Herstellers. Software kann solche Entscheidungen allenfalls vorbereiten, strukturieren und dokumentieren. Generative KI kann hierbei Entwürfe, Checklisten, Konsistenzprüfungen und Gegenargumente liefern. Die fachliche Bewertung, Begründung und Freigabe bleiben stets beim Hersteller.

Zu beachten ist außerdem, dass Software, die als Teil des Qualitätsmanagementsystems (QMS) eingesetzt wird, selbst regulatorisch eingeordnet werden muss. ISO 13485:2016 verlangt in Abschnitt 4.1.6 die Validierung solcher Anwendungen für ihren beabsichtigten Gebrauch. Der Umfang dieser Validierung sollte sich am Risiko der jeweiligen Softwarefunktion orientieren.

Compliance-Software: Tools und Dienste im Überblick

Der Markt für Regulatory Affairs- und Compliance-Software bei Medizinprodukten ist breit und nicht trennscharf abgrenzbar. Viele Anbieter decken mehrere Funktionen ab, etwa eQMS, Design Control, Risikomanagement, technische Dokumentation oder regulatorische Stammdaten. Für die Orientierung können Tools und Dienste zunächst nach ihrem Zweck im regulatorischen Prozess gruppiert werden.

Qualitäts- und Entwicklungsprozesse

Hierzu gehören Tools, die das Qualitätsmanagement und die Produktentwicklung unterstützen. Dazu zählen elektronische Qualitätsmanagementsysteme (eQMS), Systeme für Design Control und Application Lifecycle Management (ALM), Risikomanagement-Werkzeuge sowie Lösungen für Cybersecurity und Software Bill of Materials (SBOM). Diese Systeme helfen dabei, Anforderungen, Risiken, Risikokontrollmaßnahmen, Verifizierungs- und Validierungsnachweise, CAPA-Vorgänge, Änderungen, Schulungen und Audit-Trails nachvollziehbar zu verwalten. Besonders wichtig sind sie dort, wo Entwicklungsentscheidungen, Qualitätsprozesse und Nachweise über den gesamten Produktlebenszyklus miteinander verknüpft werden müssen.

Regulatory Operations

Tools dieser Gruppe unterstützen regulatorische Betriebsprozesse. Hierzu gehören Regulatory-Information-Management-Systeme (RIM), Tools für Registrierung und Kennzeichnung, Lösungen für UDI- und EUDAMED-Daten sowie Dienste für Regulatory Intelligence und Normenmanagement. Ihr Schwerpunkt liegt auf der strukturierten Verwaltung von Produkt-, Länder-, Zertifikats-, Registrierungs- und Fristendaten. Der Nutzen steigt mit der Zahl der Produktvarianten, Zielmärkte und regulatorischen Änderungen. Hersteller mit vielen Produkten oder internationalen Märkten profitieren besonders von einem konsistenten regulatorischen Datenmodell. An Bedeutung gewinnen außerdem standardisierte Informationsobjekte und Datenmodelle, die regulatorische Inhalte systemübergreifend beschreiben. Sie bilden eine Brücke zwischen eQMS, ALM, RIM, technischer Dokumentation und Benannten Stellen.

Klinische Bewertung, Evidenz und Post-Market

Diese Gruppe umfasst Software für klinische Bewertung, Leistungsbewertung, Post-Market Surveillance (PMS) und Vigilanz. Dazu zählen Literatur-Review-Systeme, EDC-Systeme (Electronic Data Capture) für klinische Prüfungen, Leistungsstudien, Register, PMCF (Post-Market Clinical Follow-up)- und PMPF (Post-Market Performance Follow-up)-Erhebungen sowie Systeme für Beschwerdemanagement, Vigilanzmeldungen, FSCA (Field Safety Corrective Action)-Vorgänge, Trendanalysen und PSUR (Periodic Safety Update Report)-Zulieferungen. Diese Werkzeuge unterstützen nicht nur die Datenerhebung, sondern auch die nachvollziehbare Bewertung, Auswertung und Rückführung von Erkenntnissen in Risikoakte, klinische Bewertung, Leistungsbewertung und technische Dokumentation.

KI-spezifische Infrastruktur

Eine weitere Gruppe entsteht durch KI-basierte Medizinprodukte und KI-gestützte Unternehmensprozesse. Hierzu gehören MLOps (Machine Learning Operations)- und Datenmanagement-Software, Systeme zur Versionierung von Trainings-, Validierungs- und Testdatensätzen, Modelltests, Drift-Überwachung sowie Governance-Werkzeuge für KI-Softwarekomponenten, Risikobewertung und Konformitätsnachweise. Diese Kategorie ist noch nicht so etabliert wie typische eQMS- oder RIM-Lösungen, gewinnt aber durch AI Act, MDR, IVDR und die zunehmende Nutzung generativer KI in Clinical und Regulatory Affairs an Bedeutung.

Amtliche Portale und öffentliche Datenbanken nehmen im Sinne von Compliance-Software eine Sonderrolle ein. EUDAMED, EUR-Lex, das NANDO-Verzeichnis im Single Market Compliance Space, DMIDS sowie FDA-Portale wie GUDID, MAUDE und eSTAR sind keine internen Compliance-Tools, aber verbindliche Referenz-, Recherche- oder Meldeumgebungen. Relevante Daten und Prozesse müssen daher interoperabel mit diesen Portalen dargestellt werden.

Welche Funktionen ein Hersteller tatsächlich benötigt, hängt insbesondere vom Produkttyp ab. Ein Hersteller von Klasse-IIa-Hardware-Produkten mit einem Zielmarkt kann mit eQMS, UDI- und Kennzeichnungs-Support auskommen. Ein Hersteller einer medizinischen App benötigt ggf. zusätzlich ein ALM-System und Werkzeuge für SBOM und Schwachstellenüberwachung. Ein Hersteller mit zwanzig Produktfamilien in fünfzehn Märkten wird ohne RIM-System kaum auskommen. Die Auswahl sollte daher nicht bei Anbieterfunktionen beginnen, sondern bei den eigenen Prozessen, Nachweisrisiken und regulatorischen Fragestellungen.

Compliance-Software für Regulatory Affairs bei Medizinprodukten im Detail

Elektronisches Qualitätsmanagementsystem (eQMS)

Ein elektronisches Qualitätsmanagementsystem (eQMS) bildet zentrale Prozesse des Qualitätsmanagements digital ab. Dazu gehören insbesondere Dokumenten- und Aufzeichnungslenkung, CAPA, Änderungskontrolle, Schulungsnachweise, Lieferantenbewertung, Auditmanagement und Qualitätsereignisse. Der Nutzen liegt vor allem in Versionierung, elektronischer Freigabe, Audit-Trails, Fristenverfolgung und einer nachvollziehbaren Historie qualitätsrelevanter Vorgänge. Für Medizinproduktehersteller ist ein eQMS besonders dann relevant, wenn mehrere Produkte, Standorte, Lieferanten oder Zielmärkte bedient werden. Software ersetzt dabei nicht das Qualitätsmanagementsystem selbst, sondern unterstützt dessen kontrollierte Umsetzung und Nachweisführung.

Design Control und Application Lifecycle Management (ALM)

Design-Control- und ALM-Systeme unterstützen die gelenkte Produktentwicklung. Sie verwalten Anforderungen, Spezifikationen, Architektur- und Designelemente, Verifizierungs- und Validierungsnachweise sowie deren Verknüpfungen. Besonders wichtig ist die Rückverfolgbarkeit von Anforderungen über Risiken und Risikokontrollmaßnahmen bis zu Testfällen und Testergebnissen. Dadurch lässt sich zeigen, welche Anforderungen umgesetzt, welche Risiken kontrolliert und welche Nachweise erbracht wurden. Für Medical Device Software (MDSW), ob eigenständig oder als integrierter Bestandteil eines Medizinprodukts, unterstützen solche Systeme zusätzlich den Softwarelebenszyklus nach IEC 62304. Sie werden häufig mit Entwicklungsumgebungen, Testsystemen, Ticket-Systemen oder Code-Repositories verbunden.

Risikomanagement

Risikomanagement-Werkzeuge unterstützen die Erstellung und Pflege der Risikoakte nach ISO 14971. Sie bilden Gefährdungen, vorhersehbare Ereignisabfolgen, Gefährdungssituationen, Schäden, Risikobewertungen, Risikokontrollmaßnahmen und Wirksamkeitsnachweise ab. Entscheidend ist die Verknüpfung mit Anforderungen, Design Outputs, Verifizierung, Validierung, Gebrauchstauglichkeit, Post-Market-Daten, CAPA und Änderungskontrolle. Das Risikomanagement wird daher häufig als Modul eines eQMS-, Design-Control- oder ALM-Systems umgesetzt. Eigenständige Lösungen kommen vor allem dann zur Geltung, wenn FMEA (Failure Mode and Effects Analysis), komplexe Produktstrukturen oder technische Risikoanalysen im Vordergrund stehen.

Regulatory Information Management (RIM)

Regulatory-Information-Management-Systeme verwalten regulatorische Produkt-, Zulassungs-, Registrierungs- und Länderdaten. Sie beantworten zum Beispiel, welches Produkt in welcher Variante in welchem Markt mit welchem Zertifikat, welcher Registrierungsnummer, welchem Labelstatus und welcher Gültigkeitsdauer verkehrsfähig ist. RIM-Systeme unterstützen außerdem Einreichungen, Verlängerungsfristen, Änderungsbewertungen, Marktzugangsstatus und Portfolioauswertungen. Ihr Nutzen steigt mit der Zahl der Produkte, Varianten und Zielmärkte. Für kleinere Hersteller mit wenigen Produkten in einem Markt kann ein vollständiges RIM-System überdimensioniert sein. Für international aktive Hersteller kann sich ein entsprechend strukturiertes Datenmodell dagegen als geschäftskritisch erweisen.

Regulatory Intelligence und Normenmanagement

Regulatory-Intelligence-Dienste beobachten regulatorische Änderungen, Leitlinien, Behördenveröffentlichungen und Marktzugangsanforderungen in unterschiedlichen Jurisdiktionen. Normenmanagement-Systeme verfolgen Ausgabestände, Zurückziehungen, Ersatzdokumente und den Harmonisierungsstatus angewendeter Normen. Beide Funktionen wirken in der Praxis oft zusammen. Regulatory Intelligence hilft vor allem dabei, relevante Änderungen früh zu erkennen und ihre Auswirkungen auf Produkte, technische Dokumentation, Registrierungen und Prozesse zu bewerten. Normenmanagement ist besonders wichtig für die Aktualität der grundlegenden Sicherheits- und Leistungsanforderungen, der Risikoakte, der technischen Dokumentation und der Entwicklungsnachweise. Oft kommen hier unternehmensintern aufgebaute Lösungen zum Einsatz.

Klinische Bewertung und Evidenz

Literatur-Review-Systeme unterstützen die systematische Recherche und Bewertung klinischer Literatur. Sie helfen bei Suchstrategie, Dublettenbereinigung, Titel- und Abstract-Screening, Volltextbewertung, Datenextraktion und Dokumentation von Ein- und Ausschlussgründen. Damit schaffen sie die Grundlage für eine nachvollziehbare klinische Bewertung nach Anhang XIV MDR. EDC-Systeme erfassen strukturierte klinische Daten aus klinischen Prüfungen, Leistungsstudien, Registern sowie PMCF- und PMPF-Erhebungen. Sie stellen elektronische Prüfbögen, Rollen- und Rechtekonzepte, Plausibilitätsprüfungen, Query-Management, Audit-Trails und exportierbare Datensätze bereit.

Für IVD gelten eigene Anforderungen. An die Stelle der klinischen Bewertung tritt die Leistungsbewertung nach Anhang XIII IVDR mit den drei Nachweissträngen wissenschaftliche Validität, analytische und klinische Leistung. Entsprechende Tools müssen diese Struktur abbilden können. Hinzu kommen bei Produkten der Klasse D die Chargenprüfung und die Einbindung der EU-Referenzlaboratorien sowie der PSUR nach Art. 81 IVDR.

Registrierung und Kennzeichnung

Werkzeuge für Registrierung und Kennzeichnung verwalten UDI-Daten, EUDAMED- und GUDID-Datenlieferungen, Labels, IFU, Sprachversionen, Symbole und Verpackungsebenen. Sie sorgen dafür, dass regulatorische Produktdaten, Etiketten, Gebrauchsanweisungen, Übersetzungen und externe Datenbankmeldungen konsistent bleiben. Gerade bei mehreren Märkten, Sprachversionen und Produktvarianten reduziert dies den Aufwand für Pflege, Prüfung und Freigabe erheblich. Typische Funktionen sind UDI-Datenhaltung, Datenvalidierung, Barcode-Erzeugung, Label-Workflow, Freigabeprozesse, Übersetzungsmanagement und Versionierung von IFU. Auch die strukturierte Bereitstellung von EUDAMED-Daten gewinnt weiter an Bedeutung, weil die vier EUDAMED-Module Actor Registration, UDI/Devices registration, Notified Bodies and Certificates und Market Surveillance seit dem 28. Mai 2026 verpflichtend zu nutzen sind.

Post-Market Surveillance und Vigilanz

Post-Market-Tools unterstützen die Überwachung von Produkten nach dem Inverkehrbringen. Sie erfassen Beschwerden, prüfen Meldepflichten, verwalten Vigilanzmeldungen, FSCA, Trends, CAPA-Bezüge und PSUR-Zulieferungen. Wichtig ist die Rückführung der Erkenntnisse in Risikomanagement, klinische Bewertung, Leistungsbewertung, Gebrauchsanweisung, technische Dokumentation und Änderungskontrolle. Ein Teil der Dienste ergänzt die Auswertung öffentlicher Datenbanken, etwa MAUDE, um vergleichbare Produkte und bekannte Vorkommnisse zu beobachten. Umfassende Post-Market-Systeme sind daher nicht nur Fallverwaltungssysteme, sondern verbinden Beschwerdedaten, Sicherheitsbewertungen, Trendanalysen und regulatorische Berichtspflichten.

Cybersecurity und SBOM

Für vernetzte Produkte und Medical Device Software gehören eine Software Bill of Materials (SBOM), also ein „Inventar“ der verwendeten Softwarekomponenten, und die fortlaufende Schwachstellenüberwachung zu den zentralen Nachweisen der Software- und IT-Sicherheitsanforderungen. Die Tools erzeugen SBOM-Dateien in gängigen Formaten, gleichen Komponenten gegen Schwachstellendatenbanken ab und dokumentieren die Bewertung einzelner Meldungen. Der Schwerpunkt liegt nicht nur auf der Erstellung einer Komponentenliste, sondern auf dem fortlaufenden Vulnerability Management. Dazu gehören die Bewertung von CVEs (Common Vulnerabilities and Exposures), die Dokumentation nicht betroffener Komponenten, VEX-Informationen (Vulnerability Exploitability eXchange), Patch-Entscheidungen, Risikoakzeptanz und die Rückführung an PMS, Risikomanagement und Change Management. Produkte, die unter MDR oder IVDR fallen, sind nach derzeitigem Stand vom Cyber Resilience Act ausgenommen. Nicht als Medizinprodukt regulierte Begleitsoftware, Cloud-Komponenten und Unternehmenssoftware können dagegen erfasst sein. Die Abgrenzung sollte bei der Tool-Auswahl dokumentiert werden

KI-Qualitätssicherung und Datenmanagement

Diese Kategorie ist im Vergleich zu eQMS, RIM oder ALM noch jünger und stammt häufig aus dem MLOps-Umfeld. Die Tools versionieren Trainings-, Validierungs- und Testdatensätze, dokumentieren Datenherkunft, protokollieren Trainingsläufe, verwalten Modellversionen, führen Modelltests aus und überwachen Leistung oder Drift im Feld. Für KI-basierte Medizinprodukte gewinnen solche Funktionen durch AI Act, MDR, IVDR und neue normative Anforderungen erheblich an Bedeutung. MLOps-Tools liefern allein keinen regulatorischen Konformitätsnachweis. Sie müssen dazu mit Risikoakte, technischer Dokumentation, Softwarelebenszyklus, Qualitätsmanagement, PMS/PMCF/PMPF und Change Management verknüpft werden.

Nutzen und Grenzen des Softwareeinsatzes

Regulatory Affairs- und Compliance-Software kann den Aufwand für wiederkehrende regulatorische Aufgaben deutlich reduzieren. Zu den wichtigsten Vorteilen zählen:

die Konsistenz regulatorischer Daten,
eine belastbare Rückverfolgbarkeit,
ein geringerer Aufwand bei Audits und Inspektionen sowie
eine bessere Skalierbarkeit bei größer werdendem Portfolio.

Bei mehreren Zielmärkten kommt hinzu, dass Nachweise, Produktdaten, Dokumente und Bewertungen leichter wiederverwendet werden können. Ein strukturiertes Datenmodell verhindert zudem, dass Produktbezeichnung, UDI-Daten, Zertifikate, Label, Gebrauchsanweisung und technische Dokumentation in verschiedenen Systemen uneinheitlich werden.

Software verbessert außerdem die Transparenz von offenen Aufgaben, Fristen und Verantwortlichkeiten. Das betrifft etwa CAPA-Vorgänge, Änderungen, Schulungen, Lieferantenbewertungen, Auditfeststellungen, Beschwerden, Vigilanzbewertungen oder anstehende Registrierungsverlängerungen. Dadurch werden regulatorische Pflichten weniger personenabhängig und besser steuerbar. Auch für Management Reviews, Audits und Benannte Stellen lassen sich Auswertungen und Nachweise schneller bereitstellen.

Dem Nutzen stehen jedoch erhebliche Aufwände für Einführung und Betrieb der Tools gegenüber. Die Einführung kann viele interne Ressourcen binden, da Prozesse beschrieben, Rollen und Rechte festgelegt, Daten migriert, Vorlagen angepasst, Schnittstellen geklärt und Anwender geschult werden müssen. Auch die Migration aus Legacy-Software, Dateiservern und Tabellenkalkulationen kann unterschätzt werden. Hinzu kommt die Pflicht, die Software als Teil des QMS nach ISO 13485:2016 Abschnitt 4.1.6 für den beabsichtigten Gebrauch zu validieren. Der Hersteller muss selbst festlegen und nachweisen, dass die konkrete Nutzung, Konfiguration und Prozessintegration für den vorgesehenen Zweck geeignet sind. Dies betrifft auch relevante Updates oder Änderungen, die ebenfalls risikobasiert zu bewerten sind.

Ein anderer Aspekt betrifft die Datenqualität. Eine Software kann zwar prüfen, ob ein Feld ausgefüllt, ein Dokument vorhanden oder ein Prozessschritt abgeschlossen ist. Sie kann aber nicht sicherstellen, dass der Inhalt fachlich richtig, plausibel und regulatorisch ausreichend begründet ist. So kann eine formal vollständige Traceability-Matrix im Risikomanagement fachlich falsche oder unzureichende Verknüpfungen enthalten. Ebenso kann ein vollständig ausgefüllter Risikodatensatz methodisch schwach sein oder eine klinische Bewertung trotz fehlerfreier Dokumentenlenkung inhaltliche Lücken aufweisen. Dies kann zu Abweichungen im Audit führen.

Auch Abhängigkeiten sind zu berücksichtigen. Bei Software bestimmt der Anbieter den Update-Rhythmus, die technische Weiterentwicklung und teilweise auch die Prozesslogik. Ein späterer Anbieterwechsel kann aufwendig werden, wenn Daten, Audit-Trails, Freigaben, Anhänge und Verknüpfungen nicht vollständig und in nutzbaren Formaten exportierbar sind. Insellösungen ohne brauchbare Schnittstellen können zudem zu Mehrfachpflege von Systemen führen, etwa wenn Risikodaten im ALM-System, Beschwerdedaten im eQMS und Registrierungsdaten im RIM-System getrennt verwaltet werden.

Der Einsatz von Software sollte daher nicht mit der Erwartung verbunden werden, regulatorische Komplexität vollständig zu beseitigen. Der Nutzen entsteht dann, wenn das Werkzeug zu den eigenen Produkten, Zielmärkten, Prozessen und Nachweispflichten passt.

KI in Compliance Tools und Diensten für Regulatory Affairs bei Medizinprodukten

Der Einsatz von KI in Compliance Tools und Diensten für Regulatory Affairs bei Medizinprodukten reicht mittlerweile von einfachen Assistenzfunktionen bis zu spezialisierten Auswertungen in Literaturrecherche, Beschwerdemanagement, technischer Dokumentation, Regulatory Intelligence, Traceability, Cybersecurity und KI-Qualitätssicherung. Der praktische Nutzen liegt vor allem darin, große Datenmengen schneller zu durchsuchen, Inhalte zu strukturieren, Zusammenfassungen zu erzeugen und Auffälligkeiten sichtbar zu machen.

Verbreitet sind derzeit vor allem assistierende Funktionen. Dazu gehören etwa die Priorisierung und Klassifizierung von Literaturtreffern, KI-gestützte Unterstützung bei Beschwerdeaufnahme, Entwürfe für technische Dokumentationsinhalte, Zusammenfassungen und Vergleiche regulatorischer Dokumente, Übersetzungsvorschläge für regulatorische Inhalte sowie Hinweise auf Lücken in Traceability-Verknüpfungen.

Besonders hilfreich ist generative KI dort, wo Informationen aus mehreren Quellen zusammengeführt oder strukturiert werden müssen. Sie kann beispielsweise Entwürfe für Klassifizierungsbegründungen, Änderungsbewertungen, klinische Zusammenfassungen, CAPA-Texte oder Nutzen-Risiko-Argumentationen vorbereiten. Ebenso kann KI als kritischer Reviewer eingesetzt werden, etwa um Widersprüche zwischen Zweckbestimmung, Risikoakte, klinischer Bewertung, Gebrauchsanweisung und Marketingaussagen zu identifizieren. Die eigentliche regulatorische Bewertung bleibt jedoch stets Aufgabe des Herstellers.

Stärker automatisierte KI-Funktionen erscheinen dort geeignet, wo das Ergebnis strukturiert und gut überprüfbar ist. Beispiele sind die Zuordnung von Schwachstellenmeldungen zu SBOM-Komponenten, die Dublettenprüfung in Literaturlisten, die Vorstrukturierung von Beschwerdedaten oder die Erkennung fehlender Verknüpfungen zwischen Anforderungen, Risiken und Tests. Auch hier kann die (KI-)Software Hinweise liefern und Arbeitsschritte vorbereiten, aber sie darf fachliche Entscheidungen nicht ungeprüft ersetzen.

Aus regulatorischer Perspektive bleibt die Verantwortung für Inhalt, Richtigkeit und Vollständigkeit beim Hersteller. KI-generierte oder KI-unterstützte Ergebnisse sollten daher durch qualifizierte Personen geprüft, freigegeben und, soweit relevant, als Qualitätsaufzeichnung dokumentiert werden. Auch hier gilt die Validierungspflicht nach ISO 13485:2016 für KI-gestützte Funktionen, wenn sie als Teil des QMS zum Einsatz kommen. Darüber hinaus sind Datenschutz, Vertraulichkeit und Datenverwendung zu klären, insbesondere ob Eingaben, Anhänge oder Ausgaben für Modelltraining oder Anbieterzwecke verwendet werden.

Auswirkungen des AI Acts

Für KI-basierte Medizinprodukte und IVD kommt mit dem AI Act neben MDR bzw. IVDR eine weitere Regulierungsebene hinzu. KI-basierte Medizinprodukte und IVD fallen nach Art. 6 Abs. 1 AI Act dann unter die Hochrisiko-Definition, wenn das KI-System selbst ein Medizinprodukt/IVD oder Sicherheitsbauteil eines solchen Produkts ist und das Produkt nach MDR oder IVDR einer Drittstellen-Konformitätsbewertung unterliegt. Die Digital-Omnibus-Verordnung (EU) 2026/1744 hat den Geltungsbeginn für Hochrisiko-KI nach Art. 6 Abs. 1 in Verbindung mit Anhang I auf den 2. August 2028 verschoben. Davon abzugrenzen sind die im vorangegangenen Abschnitt beschriebenen KI-Funktionen in Compliance-Software für Regulatory Affairs. Diese sollten im Regelfall nicht als Hochrisiko-KI nach Art. 6 Abs. 1 einzuordnen sein.

Hochrisiko-KI-Medizinprodukte stellen neue Anforderungen an Compliance-Tools für Regulatory Affairs bei Medizinprodukten. Neben klassischen eQMS-, ALM-, Risikomanagement- und PMS-Systemen wird Software benötigt, die Datensätze, Modelle, Tests, Leistungsüberwachung und Änderungen über den Lebenszyklus hinweg kontrollierbar machen. Die Anforderungen des AI Acts betreffen insbesondere Risikomanagement, Datenqualität, technische Dokumentation, Protokollierung, Transparenz, menschliche Aufsicht, Genauigkeit, Robustheit und Cybersicherheit.

Ein zentraler Punkt ist die Datenqualität, so dass Trainings-, Validierungs- und Testdatensätze nachvollziehbar verwaltet werden müssen. Dazu gehören Herkunft, Zweck, Repräsentativität, Vollständigkeit, Qualität, mögliche Verzerrungen, Vorverarbeitung, Annotationen, Versionierung und Zugriffskontrolle. Klassische Dokumentenlenkung reicht dafür nur begrenzt aus, weil Datensätze keine statischen Dokumente darstellen. Hersteller benötigen daher Tools, die Datenbestände versionieren, Datenflüsse dokumentieren und Datensätze mit Modellversionen, Tests und regulatorischen Nachweisen verknüpfen können. Die IEC PAS 63621:2026 (Publicly Available Specification) adressiert genau dieses Datenmanagement für KI-fähige Medizinprodukte.

Auch die Test- und Nachweisführung verändert sich. Bei deterministischer Software steht im Vordergrund, ob definierte Eingaben zu definierten Ausgaben führen. Bei KI- und ML-Modellen ist der Nachweis stärker statistisch geprägt, d.h. Software-Tools müssen Leistungsmetriken, Akzeptanzkriterien, Testdatensätze, Subgruppenanalysen, Regressionstests, Robustheitsprüfungen und Drift-Überwachung nachvollziehbar dokumentieren. In der Normung ist diese Entwicklung sichtbar, etwa mit dem Normentwurf IEC 63450 zur Prüfung von KI-/ML-fähigen Medizinprodukten. Auch die bei CEN-CENELEC JTC 21 entstehenden und mit dem AI Act zu harmonisierenden Normen spielen in diesem Kontext eine Rolle.

Insgesamt ergeben sich neue Schnittstellen zwischen bisher getrennten Tool-Gruppen. MLOps-Werkzeuge können Datensatzversionierung, Modelltraining, Modelltests und Monitoring unterstützen. ALM-Systeme verwalten Anforderungen, Architektur, Softwareänderungen und Verifikation. eQMS-Systeme sichern Freigaben, Änderungsmanagement, CAPA, Schulungen und Aufzeichnungen. Risikomanagement- und PMS-Systeme liefern Sicherheits- und Felddaten. Für einen belastbaren Konformitätsnachweis müssen diese Informationen zusammengeführt werden. Da sich Normen, deren Auslegung und Anbieterfunktionen in diesem Bereich derzeit erst entwickeln, sollten Hersteller ihre Tools anpassungsfähig halten und die weitere Entwicklung laufend beobachten.

Vorgehen bei der Tool-Auswahl

Aus Perspektive des Herstellers ist es wesentlich, herauszufinden, welche Software die regulatorisch relevanten Abläufe abbilden und validierbar unterstützen kann. Folgende Vorgehensweise kann bei der Auswahl helfen:

Bedarf aus Prozessen ableiten: Zuerst wird der Prozess festgelegt, dann das Tool gesucht. Die Prozesslogik eines Softwareanbieters sollte nicht ungeprüft übernommen werden.
Engpässe priorisieren: Zuerst diejenige Funktion digitalisieren, mit der der größte manuelle Aufwand oder das größte Nachweisrisiko verbunden ist.
Obligatorische und fakultative Anforderungen trennen: eine kurze, gewichtete Anforderungsliste, z. B. mit 20 - 30 Kriterien, versachlicht Entscheidungen.
Vorauswahl auf drei Anbieter begrenzen: Ausschlusskriterien zuerst anwenden, z. B. Marktabdeckung, Ort des Hostings / der Datenhaltung, Exportfähigkeit, Validierungsunterlagen, Mandantenfähigkeit, Exit-Szenario.
Pilot mit echten Daten: Einen realen, vollständigen Vorgang von Anfang bis Ende mit eigenen Produktdaten und Anwendern durchführen.
Einführung und Umsetzungsplan gemeinsam entscheiden: Migration, Validierung, Schulung und Abschaltung des Legacy-Softwaresystems sollten eine Entscheidung sein.

Fazit

Compliance-Tools für Regulatory Affairs bei Medizinprodukten können Nachweise, Daten und Abläufe deutlich besser strukturieren und skalierbar machen. Sie ersetzen jedoch keine fachliche Bewertung und keine Herstellerverantwortung.

KI kann Prozesse zusätzlich beschleunigen, etwa durch Recherche, Zusammenfassungen, Dokumentationsentwürfe oder Traceability-Hinweise. Ihre Ergebnisse müssen jedoch ebenfalls kontrolliert, validiert und fachlich freigegeben werden.

Entscheidend ist daher nicht der größte Funktionsumfang, sondern ob ein Werkzeug regulatorische Informationen zuverlässig, nachvollziehbar und über den Produktlebenszyklus beherrschbar macht und zu den Prozessen eines Herstellers passt.

Sie möchten Ihre Tools einordnen oder eine anstehende Auswahl absichern? Vereinbaren Sie ein unverbindliches Erstgespräch.

Compliance-Software für Regulatory Affairs bei Medizinprodukten: Tools und Dienste im Überblick

Haben Sie Fragen zu Ihrem Projekt oder Produkt?