Der EU AI Act reguliert Künstliche Intelligenz branchenübergreifend, die MDR und Normen wie IEC 62304 oder ISO 14971 regulieren Medizinprodukte. Sobald KI in einem Medizinprodukt steckt, gelten beide Regelwerke gleichzeitig – mit teils überlappenden, teils zusätzlichen Anforderungen an Risikomanagement, technische Dokumentation und Qualitätsmanagement. Seit dem Digital Omnibus (Verordnung (EU) 2026/1744, in Kraft seit 27. Juli 2026) haben Hersteller mehr Zeit: Die Hochrisiko-Pflichten für KI-Medizinprodukte nach Anhang I gelten erst ab 2. August 2028 statt wie ursprünglich vorgesehen ab August 2027. Wer jetzt beginnt, beide Rahmen strukturell zusammenzuführen, spart sich spätere Doppelarbeit.
Die 4 wichtigsten Fragen kurz beantwortet
?
Muss ich für mein KI-Medizinprodukt schon heute eine separate AI-Act-Konformitätsbewertung durchführen?
Nein. Solange Ihr Produkt über die MDR zertifiziert wird, bleibt die MDR-Zertifizierung derzeit der einzige regulatorische Weg zum Markt. Eine gesonderte Konformitätsbewertung nach dem AI Act ist für Anhang-I-Produkte wie Medizinprodukte erst ab 2. August 2028 verbindlich.
?
Wann gilt ein KI-Medizinprodukt als Hochrisiko-KI-System?
Nach den Kriterien der MDCG 2025-6 immer dann, wenn das KI-System selbst ein Medizinprodukt oder eine Sicherheitskomponente davon ist und eine benannte Stelle in die Konformitätsbewertung eingebunden ist – also praktisch bei jedem Produkt ab Risikoklasse IIa aufwärts.
?
Reicht unser bestehendes ISO-13485-QMS für die AI-Act-Anforderungen aus?
Nicht ohne Erweiterung. Artikel 17 AI Act verlangt ein eigenes Qualitätsmanagementsystem für Hochrisiko-KI, das sich aber strukturell in ein bestehendes ISO-13485-QMS integrieren lässt, statt ein komplett neues System aufzubauen.
?
Was passiert mit bereits CE-gekennzeichneten KI-Medizinprodukten?
Sie bleiben vorerst vollständig konform mit den aktuellen Vorschriften. Es gibt keine pauschale Bestandsschutzregelung für die Zukunft – bestehende Systeme müssen bis zum jeweiligen Stichtag in Konformität gebracht werden, aktuell ist das der 2. August 2028.
Zwei Regelwerke, ein Produkt
Wer eine KI-gestützte Diagnoseunterstützung, ein Predictive-Maintenance-Modul für ein Beatmungsgerät oder eine automatisierte Bildauswertung in der Laborautomation entwickelt, bewegt sich unweigerlich in zwei Rechtsrahmen gleichzeitig. Die MDR regelt, unter welchen Bedingungen ein Medizinprodukt auf den EU-Markt darf – mit einem Software-Lebenszyklusmodell nach IEC 62304, einem Risikomanagementprozess nach ISO 14971 und einer Klassifizierung, die häufig über Regel 11 auch reine Software erfasst. Der EU AI Act regelt parallel dazu, was ein KI-System an sich leisten und nachweisen muss – unabhängig davon, in welchem Produkt es steckt.
Für die meisten KI-basierten Medizinprodukte bedeutet das: Beide Regelwerke greifen ineinander, nicht nacheinander. Ein Produkt, das über eine benannte Stelle zertifiziert wird und KI als Sicherheitskomponente enthält, gilt nach den Kriterien der MDCG 2025-6 automatisch als Hochrisiko-KI-System – unabhängig davon, ob der Hersteller sein Produkt selbst als „KI“ vermarktet oder nicht. Entscheidend ist die technische Funktion, nicht die Marketingsprache.
Der Zeitplan ist in Bewegung, aber nicht offen
Der AI Act trat am 1. August 2024 in Kraft, seine Anwendung erfolgt seither gestaffelt über mehrere Jahre. Verbotene KI-Praktiken griffen bereits im Februar 2025, Pflichten für allgemeine KI-Modelle folgten im August 2025. Für Hochrisiko-Systeme sah der ursprüngliche Zeitplan deutlich frühere Stichtage vor: August 2026 für eigenständige Systeme nach Anhang III, August 2027 für KI als Sicherheitskomponente in regulierten Produkten wie Medizingeräten.
Diese Termine haben sich verschoben. Im November 2025 legte die EU-Kommission den sogenannten Digital Omnibus vor, mit der offiziellen Begründung, viele Unternehmen – insbesondere KMU – seien noch nicht bereit, und die notwendigen harmonisierten Normen lägen noch nicht vollständig vor. Nach einem vergleichsweise kurzen Gesetzgebungsverfahren – Ausschussvotum im April 2026, vorläufige Einigung im Mai, Annahme im Juni, Unterzeichnung im Juli – ist die Verordnung (EU) 2026/1744 seit dem 27. Juli 2026 in Kraft. Sie setzt neue, feste Stichtage: 2. Dezember 2027 für eigenständige Anhang-III-Systeme, 2. August 2028 für Hochrisiko-KI in Produkten nach Anhang I, wozu Medizinprodukte zählen.
Für die Planung ist ein Detail besonders wichtig: Anders als im ursprünglichen Kommissionsentwurf hängen die neuen Termine an festen Kalenderdaten, nicht mehr an der Verfügbarkeit harmonisierter Normen. Eine weitere Verschiebung würde also ein komplett neues Gesetzgebungsverfahren erfordern – die 16 zusätzlichen Monate sind ein belastbarer Zeitrahmen, keine vorläufige Verzögerung, mit der jederzeit weiter gerechnet werden müsste.
Wann ein Medizinprodukt automatisch zur Hochrisiko-KI wird
Ob ein KI-Medizinprodukt als Hochrisiko-KI-System im Sinne des AI Act gilt, hängt nicht davon ab, ob „KI“ im Produktnamen oder in der Marketingsprache auftaucht. Die MDCG-2025-6-Leitlinie definiert stattdessen zwei objektive Kriterien: Das KI-System muss selbst ein Medizinprodukt oder eine Sicherheitskomponente eines Medizinprodukts sein, und eine benannte Stelle muss in die Konformitätsbewertung nach MDR eingebunden sein.
In der Praxis bedeutet das zweite Kriterium: Sobald ein Produkt aufgrund seiner Risikoklasse – üblicherweise ab Klasse IIa aufwärts – ohnehin eine benannte Stelle durchläuft, ist die Frage der Hochrisiko-Einstufung nach AI Act damit im Grunde schon beantwortet, bevor die eigentliche KI-spezifische Analyse überhaupt beginnt. Ein Machine-Learning-Modell, das Diagnosen priorisiert oder Behandlungsempfehlungen ableitet, fällt darunter – unabhängig davon, wie technisch ausgereift oder einfach das zugrunde liegende Modell tatsächlich ist. Umgekehrt bleiben rein organisatorische Funktionen ohne medizinische Zweckbestimmung, etwa ein reiner Terminvergabe-Assistent, in aller Regel außen vor.
Wo sich Risikomanagement, Dokumentation und QMS überschneiden
Die inhaltliche Überschneidung zwischen AI Act und MDR ist an drei Stellen besonders spürbar, weil dort jeweils zwei mit ähnlichem Ziel, aber unterschiedlichem Detailgrad formulierte Anforderungen aufeinandertreffen.
Beim Risikomanagement verlangt ISO 14971 eine Risikoanalyse über den gesamten Produktlebenszyklus, während Artikel 9 des AI Act ein kontinuierliches Risikomanagement speziell für das KI-System fordert – inklusive einer Bewertung vorhersehbarer Fehlanwendung, nicht nur des bestimmungsgemäßen Gebrauchs. Beide Prozesse decken sich strukturell in weiten Teilen. Ein integriertes Vorgehen, das KI-spezifische Risiken wie Verzerrungen im Trainingsdatensatz als eigenen Abschnitt in die bestehende ISO-14971-Akte aufnimmt, vermeidet zwei parallele, sich teils widersprechende Dokumente.
Bei der technischen Dokumentation verlangt Artikel 11 AI Act detaillierte Angaben zu Entwicklungsmethodik, Trainingsdaten und Leistungskennzahlen, während IEC 62304 eine vergleichbar detaillierte Dokumentation des Software-Lebenszyklus fordert. Wer beide Pflichten von Anfang an in einer gemeinsamen Struktur denkt, muss dieselben Informationen nicht zweimal in unterschiedlichem Format aufbereiten.
Beim Qualitätsmanagementsystem schließlich verlangt Artikel 17 AI Act ein eigenes QMS für Hochrisiko-KI-Anbieter, mit Post-Market-Monitoring, Cybersicherheitsverfahren und dokumentierten Kontrolltechniken. Ein bestehendes ISO-13485-QMS deckt strukturell bereits weite Teile davon ab – der sinnvollere Weg ist deshalb fast immer ein KI-Erweiterungsmodul innerhalb des bestehenden Systems statt eines zweiten, separaten QMS.
Auch die menschliche Aufsicht nach Artikel 14 AI Act – die Anforderung, dass Menschen die Ausgaben eines KI-Systems verstehen, überstimmen und abschalten können müssen – überschneidet sich mit der Gebrauchstauglichkeitsanalyse nach IEC 62366-1. Wer die Usability-Analyse für ein KI-gestütztes Produkt ohnehin durchführt, kann die Nachweise zu Automatisierungsbias und menschlicher Aufsicht direkt darin mitführen, statt eine separate Analyse aufzusetzen.
Die sechs wichtigsten Punkte auf einen Blick
Zeitplan
Hochrisiko-Pflichten für KI-Medizinprodukte gelten erst ab 2. August 2028, nicht mehr ab August 2027.
Klassifizierung
Benannte Stelle involviert (meist ab Klasse IIa) = automatisch Hochrisiko-KI nach MDCG 2025-6.
Risiko-Management
KI-Risiken als eigenen Abschnitt in die ISO-14971-Akte integrieren, nicht separat führen.
Dokumentation
Trainingsdaten und Modellvalidierung als Zusatzkapitel der IEC-62304-Akte, nicht als zweites Dokument.
Menschliche Aufsicht
Nachweise zu Automatisierungsbias direkt in die IEC-62366-1-Usability-Analyse einbetten.
Qualitätsmanagement
KI-Erweiterungsmodul im bestehenden ISO-13485-QMS statt eines zweiten QMS.
Praxisbeispiel: Diagnoseunterstützung mit Bildauswertung
Ein Hersteller entwickelt eine Softwarekomponente, die radiologische Aufnahmen automatisch auf auffällige Befunde vorsortiert und dem befundenden Arzt priorisiert vorlegt. Die Klassifizierung ist eindeutig: Als eigenständige Software mit diagnostischer Zweckbestimmung fällt das Produkt unter MDR Regel 11 und wird über eine benannte Stelle zertifiziert – womit es nach MDCG 2025-6 automatisch als Hochrisiko-KI-System im Sinne des AI Act gilt.
In der Praxis heißt das für dieses Projekt: Die Risikoanalyse nach ISO 14971 wird um einen Abschnitt zu KI-spezifischen Risiken erweitert, etwa zu Verzerrungen im Trainingsdatensatz oder zu Leistungsabfall bei ungewöhnlichen Bildparametern. Die technische Dokumentation nach IEC 62304 bekommt einen zusätzlichen Baustein zu Trainingsdaten, Validierungsmethodik und Leistungskennzahlen, wie ihn Artikel 11 AI Act verlangt. Die Gebrauchstauglichkeitsanalyse nach IEC 62366-1 wird so erweitert, dass sie explizit nachweist, wie der Arzt die KI-Vorsortierung überstimmen kann und woran ein Automatisierungsbias erkennbar wäre. Am Ende steht keine zweite, parallele AI-Act-Akte, sondern eine MDR-Technikdokumentation mit klar gekennzeichneten KI-Zusatzkapiteln – vorbereitet auf den Stichtag im August 2028, ohne bis dahin unnötige Mehrarbeit zu leisten.
Fazit – EU AI Act und MDR
Der EU AI Act und die MDR verfolgen unterschiedliche Ziele, überschneiden sich aber in der Praxis an genau den Stellen, die für Software-Engineering-Teams ohnehin im Zentrum stehen: Risikomanagement, technische Dokumentation, Usability und Qualitätsmanagement. Die Verschiebung der Hochrisiko-Pflichten auf August 2028 verschafft KI-Medizinprodukt-Herstellern Zeit – aber keine Entwarnung. Wer die KI-spezifischen Anforderungen jetzt strukturell in bestehende MDR-Prozesse integriert, statt sie später als separates Projekt nachzuziehen, vermeidet den höheren Aufwand einer nachträglichen Zusammenführung zweier getrennt gewachsener Dokumentationswelten.
Wie infoteam unterstützt
Wir entwickeln seit 1983 Software für Medizin- und Labortechnik nach IEC 62304, ISO 13485 und ISO 14971 – und bringen KI-gestützte Funktionen so in bestehende regulatorische Prozesse ein, dass am Ende eine Dokumentation entsteht, keine zwei. Wenn Sie prüfen möchten, wie sich der EU AI Act konkret auf Ihr Projekt auswirkt, sprechen Sie unverbindlich mit uns.
Hinweis: Der EU AI Act befindet sich in einer sich weiterentwickelnden Umsetzungsphase. Die in diesem Artikel genannten Fristen entsprechen dem Stand nach der Verordnung (EU) 2026/1744 (Digital Omnibus) vom Juli 2026. Für eine rechtsverbindliche Einschätzung Ihres konkreten Produkts empfehlen wir die Abstimmung mit Ihrer Rechtsberatung und Ihrer benannten Stelle.
