6 Min. Lesezeit
Künstliche Intelligenz ist in der Medizinprodukteindustrie längst nicht mehr nur ein technologischer Vorsprung – sie wird zu einer regulierten Funktion des Vertrauens, der Rechenschaftspflicht und der Leistung. Mit der Verabschiedung des EU-Gesetzes über künstliche Intelligenz (AI Act) am 1. August 2024 hat Europa eine klare Grenze zwischen technologischem Fortschritt und Verantwortung gezogen.
Die neue Gesetzgebung bietet Herstellern von Medizinprodukten, insbesondere denjenigen, die mit KI-gestützter Software als Medizinprodukt (SaMD) arbeiten, sowohl regulatorische Anforderungen als auch Marktindikatoren.
Der EU AI Act: Ein neues regulatorisches Paradigma
Das Gesetz legt durch seine umfassenden Maßnahmen neuartige Standards für die Entwicklung, Bewertung und Überwachung von KI innerhalb der Europäischen Union fest. Alle Entwickler von KI-Lösungen, die den Markt der Europäischen Union anstreben, müssen verstehen, dass die Botschaft bezüglich des KI-Einsatzes klar und prägnant ist: Jedes System, das die Diagnose oder Behandlung von Patienten bzw. die Gesundheit beeinflusst, wird vom Regulierungssystem als Hochrisikosystem eingestuft.
Den Kern des EU AI Act verstehen: Risikobasiert, branchenspezifisch und wirkungsorientiert
Der EU AI Act integriert ein risikobasiertes Klassifizierungsmodell, das drei Kategorien vorsieht: Verbotene Praktiken, Hochrisiko-KI-Systeme und Systeme mit begrenztem Risiko. Medizinische KI fällt fast immer in die Kategorie der Hochrisikosysteme, insbesondere gemäß Artikel 6 Absatz 1 Buchstabe b, der jede KI-Komponente eines Medizinprodukts, die eine Prüfung durch eine benannte Stelle erfordert, standardmäßig als Hochrisikosystem einstuft.
KI-Systeme für die Diagnose, Therapieplanung, klinische Entscheidungsunterstützung und Fernüberwachung fallen alle in diese Hochrisikokategorie. Dazu gehören auch Systeme, die Folgendes nutzen:
- Machine Learning (ML)-Modelle
- Deep-Learning-Algorithmen
- Neuronale Netze oder statistische Klassifikatoren
- Vorhersage- oder Mustererkennungssoftware, die in Medizinprodukte integriert ist
Wichtige Herstelleranforderungen im Rahmen des EU AI Act:
Die Umsetzung zentraler technischer Vorgaben innerhalb eines Qualitätsmanagementsystems erfordert die Aufmerksamkeit der Hersteller für eine wirksame Einhaltung der Vorschriften.
- Risikomanagement (Artikel 9):
Hersteller sollten strukturierte Strategien für das KI-Risikomanagement aufbauen und pflegen, da diese algorithmische Verzerrungen, Modellinstabilität, Sicherheitslücken und Probleme mit algorithmischen Vorurteilen adressieren. Darüber hinaus ist die Software-Sicherheitsklassifizierung gemäß IEC 62304 ein entscheidender Schritt. Jedes Softwareelement muss basierend auf dem Risiko als Klasse A, B oder C eingestuft werden. Diese Klassifizierung bestimmt den Umfang der erforderlichen Maßnahmen über den gesamten Software-Lebenszyklus hinweg. Es ist wichtig, diese Klassifizierung bereits in der frühen Design- und Risikobewertungsphase zu berücksichtigen. - Data Governance (Artikel 10):
Hersteller sollten qualitativ hochwertige Datensätze auswählen sowie repräsentative Stichproben und annotierbare, unvoreingenommene Informationen für die Auswahl von Datensätzen unter anderem berücksichtigen. - Technische Dokumentation (Artikel 11):
Erstellen Sie ein aktives Dokumentationssystem, das vollständige Informationen über die Struktur des KI-Systems zusammen mit Leistungsmessungen, Betriebskontrollen und Sicherheitskomponenten darstellt. Gemäß IEC 82304 muss in der Phase der Anforderungen Finalisierung zudem eine Produktsicherheits-Anforderungsspezifikation enthalten sein. Dieses Dokument definiert wesentliche Sicherheits-, Schutz- und Usability-Anforderungen und sollte als zentrales Arbeitsergebnis überprüft werden. - Transparenz und Erklärbarkeit (Artikel 13):
Anwender müssen leicht verständliche Beschreibungen der KI-Systemlogik erhalten, die sowohl die betrieblichen Funktionen als auch die Systemgrenzen sowie eine Begründung für die Entscheidungsprozesse darlegen. - Menschliche Aufsicht (Artikel 14):
Fachkräfte mit entsprechender Schulung können autorisierte Verfahren nutzen, um fehlerhafte automatisierte Entscheidungen zu verhindern und gleichzeitig die operative Kontrolle über diese Abläufe zu wahren. - Protokollierung und Rückverfolgbarkeit (Artikel 12):
Systemeingaben sowie -ausgaben und Entscheidungspfade sollten lückenlos aufgezeichnet werden – insbesondere beim klinischen Einsatz für Maßnahmen im Rahmen der Marktüberwachung. - Überwachung nach dem Inverkehrbringen (Artikel 72):
Es sollten Richtlinien eingeführt werden, um die Leistung von KI-Systemen nach ihrer Markteinführung kontinuierlich zu messen. Das System sollte reale Analysen der tatsächlichen Betriebsleistungsdaten nutzen, um Nutzerfeedback einzubinden und Risikokontrollsysteme zu optimieren. Darüber hinaus fordert IEC 62304 einen dokumentierten Software-Wartungsplan. Dieser Plan muss festlegen, wie Software-Auffälligkeiten, Patches und Updates nach der Freigabe verwaltet und validiert werden. Wartungsarbeiten sollten an langfristigen Überwachungspraktiken ausgerichtet sein. - CE-Kennzeichnung und Registrierung (Artikel 17):
Bei der Anbringung der CE-Kennzeichnung auf medizinischen KI-Produkten müssen sowohl die Anforderungen der Verordnung über Medizinprodukte (MDR 2017/745) oder der Verordnung über In-vitro-Diagnostika (IVDR 2017/746) als auch der EU-KI-Verordnung erfüllt werden.
Mehr als nur Regulierung: Eine umfassende Überarbeitung des Lebenszyklus
Die Transformation geht über rein regulatorische Anforderungen hinaus, da sie eine vollständige Neugestaltung des Entwicklungsprozesses für den KI-Systemlebenszyklus erfordert – von der Erstellung bis zur Wartung. Technische Höchstleistungen weichen dabei einer dauerhaften behördlichen Überwachung und der Verfolgung ethischer Standards.
Unter Einbindung der Prinzipien der Norm IEC 62304 ist ein formaler Prozess zur Behebung von Softwareproblemen über den gesamten Lebenszyklus hinweg erforderlich. Hersteller müssen Verfahren definieren, um Software-Auffälligkeiten zu erkennen, zu dokumentieren, zu analysieren und zu beheben. Dies sollte an jedem Qualitäts-Meilenstein (Quality Gate), insbesondere nach der Verifizierung, verankert werden.
Auch die Verwaltung von SOUP (Software of Unknown Provenance) ist vorgeschrieben. Jede SOUP-Komponente muss identifiziert, einer Risikoanalyse unterzogen und durch Prüfungen der Design- und Architekturdokumentation kontrolliert werden. Dadurch wird sichergestellt, dass externe Abhängigkeiten sicher und angemessen gehandhabt werden.
Darüber hinaus betont IEC 82304 definierte Prozesse für die Installation, das Konfigurationsmanagement und die Systemstilllegung. Diese müssen in der späten Entwicklungsphase vor der Marktfreigabe validiert und dokumentiert werden. Ein Prozess zur Minderung von Cybersicherheitsrisiken muss zudem in den SDLC integriert und in jeder Phase des Lebenszyklus verifiziert werden.
KI-Einführung in Europa: Die Landschaft im Jahr 2024
Der Eurostat-Bericht für 2024 über den KI-Einsatz in europäischen Unternehmen zeigt anhand von Remote-Daten ein wachsendes Muster bei der KI-Implementierung in europäischen Unternehmen im Laufe des Jahres 2024:
- 41,2 % der Großunternehmen nutzen derzeit Künstliche Intelligenz.
- 34,1 % der Unternehmen profitieren davon in den Bereichen Marketing und Vertrieb.
- 27,5 % profitieren in den Geschäftsabläufen.
- 6,1 % profitieren in der Logistik.
Die Lücke bei der KI-Einführung ist zwischen großen und kleineren Unternehmen deutlich erkennbar:
- KI-Technologie wird von 46,4 % der Großunternehmen für die IKT-Sicherheit eingesetzt, während dies bei kleinen Unternehmen nur zu 17,2 % der Fall ist.
- Ein beachtlicher Anteil von 34,7 % der Großunternehmen setzt KI in Produktionsprozessen ein, verglichen mit 21,6 % bei kleineren Unternehmen.
- Die industrielle Einführung von Künstlicher Intelligenz bringt sowohl Vorteile als auch Herausforderungen mit sich, da derzeit 13,5 % der EU-Unternehmen KI-Technologien anwenden.
Diese Zahlen verdeutlichen eine doppelte Realität: Einerseits prägt KI bereits wichtige Geschäftsfelder um, andererseits besteht eine erhebliche Lücke bei der Skalierung der Einführung – insbesondere in regulierten Bereichen wie dem Gesundheitswesen, in denen Vertrauen und Sicherheit die Grundvoraussetzung für Wachstum sind.
Europa regelt nicht nur – es investiert in die Skalierung vertrauenswürdiger KI
Anders als frühere Wellen der digitalen Transformation verknüpft die EU ihren Ansatz für KI mit politischem Handeln und proaktiven Investitionen.
Ein Bericht des Europäischen Parlaments räumt ein, dass KI-Innovationen beschleunigt werden müssen, jedoch nicht zulasten der Patientensicherheit oder ethischer Kontrollen.
- 1,8 Milliarden US-Dollar an finanzieller Unterstützung für europäische KI-Start-ups (2023)
- Die EU erhält nur 6 % des weltweiten Wagniskapitals für KI, wobei die Investitionen viermal geringer sind als in den US.
Zu den Finanzierungsinitiativen gehören:
- Programm „Digitales Europa“: 1,3 Milliarden Euro (2025–2027) für Testeinrichtungen und Kompetenzzentren.
- InvestAI: Teil der Strategie für die digitale Dekade mit dem Ziel, 200 Milliarden Euro bereitzustellen für:
- KI-Fabriken
- Cloud-Dienste
- Grenzüberschreitende Innovationsnetzwerke
Die EU-Institutionen schaffen durch regulatorische Änderungen ein unterstützendes Umfeld, das ethische KI-Systeme ermöglicht, die klinisch zuverlässig und für SaMD-Hersteller skalierbar sind.
Was dies für Medizintechnikunternehmen bedeutet
Die Vorschriften des EU-KI-Gesetzes sowie deren wesentliche geschäftliche Auswirkungen bringen zwei Hauptpunkte mit sich, die Medizinproduktehersteller berücksichtigen müssen.
Diese Punkte werden noch verstärkt, wenn sie auf die Normen IEC 62304 und IEC 82304 abgestimmt sind, die Struktur, Klassifizierungssorgfalt, Kontinuität nach der Markteinführung und Sicherheits-Governance über den gesamten Software-Lebenszyklus hinweg bieten.
Bereiten Sie sich vor dem Markteintritt auf die Einhaltung vor
- Durchführung einer Gap-Analyse zum KI-Gesetz
- Aktualisierung technischer Unterlagen, RMFs und SOPs
- Integrieren von Rückverfolgbarkeitsmechanismen bereits in der Entwurfsphase
- Frühzeitiger Kontakt mit benannten Stellen zur Vorab-Bewertung
- Planung einer langfristigen Marktüberwachung (Post-Market Surveillance) mit Feedbackschleifen
Compliance in einen Wettbewerbsvorteil verwandeln
- Unternehmen, die bei der Compliance führend sind, führen auch bei Vertrauen und Marktanteilen
- QMS von der Konzeptphase an im Einklang mit dem KI-Gesetz aufbauen
- Transparenz und Prüfbarkeit als Alleinstellungsmerkmale auf dem Markt positionieren
- CE-Kennzeichnung + KI-Compliance als Vertrauenssiegel nutzen
Häufig gestellte Fragen (FAQs) zum EU-KI-Gesetz für Medizinprodukte
Um Medizinprodukteherstellern dabei zu helfen, sich im sich wandelnden regulatorischen Umfeld zurechtzufinden, haben wir hier einige der am häufigsten gestellten Fragen zusammengestellt:
- Was ist das EU-Gesetz über künstliche Intelligenz (EU AI Act) und wie wirkt es sich auf Hersteller von Medizinprodukten aus?
Der EU AI Act ist der weltweit erste umfassende Regulierungsrahmen für künstliche Intelligenz. Er schreibt verbindliche Anforderungen an das Risikomanagement, die Daten governance, die menschliche Aufsicht und die Überwachung nach dem Inverkehrbringen vor – insbesondere für KI im Hochrisikobereich wie Diagnosewerkzeuge und Software zur Unterstützung klinischer Entscheidungen. - Welche KI-Systeme in Medizinprodukten gelten gemäß dem EU AI Act als Hochrisiko-KI?
Jedes KI-System, das bei der Diagnose, der Therapieplanung oder der Patientenüberwachung eingesetzt wird, gilt als Hochrisiko-KI. Dazu gehören ML-basierte SaMD, Deep-Learning-Modelle und KI-Tools, die medizinische Entscheidungen oder Ergebnisse beeinflussen. - Was sind die wichtigsten Compliance-Anforderungen für KI-gestützte Medizinprodukte im Rahmen des EU AI Act?
Hersteller müssen Folgendes sicherstellen:
• Rückverfolgbarkeit von Eingaben und Ausgaben
• Hohe Datenqualität und -governance
• Mechanismen für die menschliche Aufsicht
• Vollständige technische Dokumentation
• CE-Kennzeichnung sowohl nach den MDR-/IVDR-Standards als auch nach den Vorgaben des AI Act Wie verhält sich der EU AI Act zur MDR (2017/745) und IVDR (2017/746)?
Der EU AI Act baut auf der MDR und IVDR auf, indem er KI-spezifische Anforderungen wie Erklärbarkeit, Algorithmentransparenz und Risikokontrollen hinzufügt. Alle KI-gestützten Produkte müssen eine doppelte Konformität erfüllen – sowohl die traditionellen Regeln für Medizinprodukte als auch die neuen KI-Standards.
Branchenführer betrachten den EU AI Act nicht als Hürde, sondern als Leitfaden für die Entwicklung vertrauenswürdiger und leistungsstarker Medizintechnologien. Sie verankern die Einhaltung von Vorschriften bereits auf Architekturebene und nutzen sie zur Gestaltung ihrer Strategie, ihres Marketings und ihrer Markenpositionierung.
Unternehmen für Medizinprodukte müssen die Bereitschaft für den AI Act in ihrem gesamten Produkt- und Compliance-Ökosystem verankern, um sich einen Wettbewerbsvorteil zu sichern. Kontaktieren Sie uns noch heute, um Ihre Innovationen mit den Vorschriften in Einklang zu bringen und regulatorische Bereitschaft in einen Wettbewerbsvorteil zu verwandeln.
