Teil 1: Grundlagen und Anwendungsbereich der KI-Verordnung für Medizinprodukte

Von Vaclav Vlcek, MD

Drei Fragen entscheiden darüber, wie die KI-Verordnung auf ein Produkt anzuwenden ist: Handelt es sich überhaupt um ein KI-System, ist es hochriskant, und welche Rolle nimmt das Unternehmen ein? Die Antworten bestimmen alle weiteren Pflichten.

Dieser Teil arbeitet die Definitionen, den Anwendungsbereich, den Zeitplan und die Risikokategorien durch, die festlegen, wo ein bestimmtes System einzuordnen ist. Er bildet die Referenzebene hinter dem Überblick in der Einführung zur KI-Verordnung für Medizinprodukte.

Kurz gefasst

Die KI-Verordnung definiert ein KI-System weit und ordnet Systeme Risikokategorien mit sehr unterschiedlichen Pflichten zu. Ein KI-gestütztes Medizinprodukt ist nach Artikel 6 Absatz 1 hochriskant, wenn zwei Voraussetzungen zugleich erfüllt sind: Die KI ist Sicherheitsbauteil eines Produkts oder selbst ein Produkt, das unter eine in Anhang I, Abschnitt A aufgeführte Rechtsvorschrift wie die MDR oder IVDR fällt, und dieses Produkt unterliegt einer Konformitätsbewertung durch Dritte. Anbieter ist, wer ein System entwickelt oder entwickeln lässt und es unter eigenem Namen oder eigener Handelsmarke in Verkehr bringt oder in Betrieb nimmt; die Organisation, die es einsetzt, etwa ein Krankenhaus, ist der Betreiber. Nach dem Digital-Omnibus zur KI (Verordnung (EU) 2026/1744) gelten die Hochrisiko-Pflichten für nach Artikel 6 Absatz 1 eingestufte Systeme ab dem 2. August 2028, vorbehaltlich der Übergangsregelung des Artikels 111 Absatz 2 und einer gesonderten Prüfung nach Anhang III.

Was als KI-System gilt

Die Definition eines KI-Systems in der Verordnung ist bewusst weit gefasst. Das Ableiten ist das zentrale Merkmal, das ein KI-System von herkömmlicher Software unterscheidet, doch Artikel 3 Nummer 1 ist als Ganzes zu würdigen.

Artikel 3 Nummer 1 definiert ein KI-System als „ein maschinengestütztes System, das für einen in unterschiedlichem Grade autonomen Betrieb ausgelegt ist und das nach seiner Betriebsaufnahme anpassungsfähig sein kann und das aus den erhaltenen Eingaben für explizite oder implizite Ziele ableitet, wie Ausgaben wie etwa Vorhersagen, Inhalte, Empfehlungen oder Entscheidungen erstellt werden, die physische oder virtuelle Umgebungen beeinflussen können".

Die Definition ist technologieneutral und weit, aber nicht jede Software, die Eingaben verarbeitet und Ausgaben erzeugt, ist ein KI-System. Artikel 3 Nummer 1 ist als Ganzes zu lesen. Das System benötigt einen gewissen Grad an Autonomie und die Fähigkeit abzuleiten, wie seine Ausgaben erzeugt werden. Software, die lediglich fest programmierte Regeln ausführt oder eine einfache Datenverarbeitung vornimmt, erfüllt die Definition allein dadurch nicht. Anpassungsfähigkeit nach der Betriebsaufnahme ist fakultativ.

Beispiel: Ein Werkzeug zur klinischen Entscheidungsunterstützung kann die Definition erfüllen, wenn es mittels maschinellen Lernens oder logik- und wissensbasierter Schlussfolgerung seine Empfehlungen aus Anamnese, genetischen Daten und aktuellen Laborwerten ableitet. Dass es Patientendaten entgegennimmt und eine Empfehlung ausgibt, belegt für sich genommen noch nicht, dass es sich um ein KI-System handelt. Verfeinert es diese Empfehlungen fortlaufend, sobald neue Ergebnisse vorliegen, zeigt es zusätzlich die in Erwägungsgrund 12 beschriebene Anpassungsfähigkeit; diese ist jedoch keine Voraussetzung.

Dies entspricht den nicht bindenden Leitlinien der Kommission zur Definition des KI-Systems, die das Ableiten als unverzichtbar behandeln und einfache Datenverarbeitung sowie bestimmte regelbasierte Software ausdrücklich außerhalb der Definition verorten.

Eingebettete und nicht eingebettete Systeme

„Eingebettet" und „nicht eingebettet" sind praktische Bezeichnungen und keine Begriffe der KI-Verordnung; die Unterscheidung hilft jedoch dabei einzuordnen, wo die KI im Verhältnis zum Produkt sitzt.

Ein eingebettetes System ist Bestandteil des Produkts und in der Regel nicht getrennt davon nutzbar.

Beispiel: Der Algorithmus in einer intelligenten Insulinpumpe, der die Dosierung anhand von Glukosewerten anpasst. Er arbeitet als Teil des Produkts und nicht als eigenständiges Produkt.

Ein nicht eingebettetes System läuft außerhalb des Produkts und prägt dennoch klinische Entscheidungen.

Beispiel: Ein cloudbasiertes Diagnosewerkzeug, das medizinische Bilder auswertet und die Ergebnisse an eine radiologische Arbeitsstation sendet. Die KI läuft entfernt und beeinflusst dennoch die klinische Entscheidung. Zu beachten ist, dass eine solche Software selbst ein nach MDR oder IVDR reguliertes Produkt sein kann und nicht nur ein Zusatz zu einem solchen.

Die Einbettung entscheidet für sich genommen nicht über den Anwendungsbereich. Jedes System muss weiterhin Artikel 3 Nummer 1 und Artikel 2 erfüllen und außerhalb der jeweils geltenden Ausnahmen liegen.

Wer verantwortlich ist: Anbieter und Betreiber

Die Verordnung weist Pflichten nach Rollen zu; die beiden wichtigsten sind Anbieter und Betreiber. Die Rolle richtig zu bestimmen, ist die erste Compliance-Entscheidung eines Unternehmens, denn aus ihr folgen die Pflichten.

Ein Anbieter (Artikel 3 Absatz 3) ist eine Einrichtung, die ein KI-System entwickelt oder entwickeln lässt und es unter ihrem eigenen Namen oder ihrer eigenen Handelsmarke in Verkehr bringt oder in Betrieb nimmt, entgeltlich oder unentgeltlich. Beide Hälften sind maßgeblich: Die bloße Entwicklung macht ein Unternehmen ebenso wenig zum Anbieter wie das Inverkehrbringen eines fremd gekennzeichneten Systems.

Beispiel: Ein Unternehmen der Gesundheitstechnologie entwickelt ein KI-Diagnosewerkzeug und vertreibt es unter eigener Marke in einer Radiologie-Software. Es ist der Anbieter, auch wenn Krankenhäuser die Software unentgeltlich erhalten. Ein Einführer, der das System eines Drittlandanbieters unter dessen Marke in die EU bringt, wird dadurch nicht zum Anbieter.

Ein Betreiber (Artikel 3 Absatz 4) verwendet das System in eigener Verantwortung im Rahmen einer beruflichen Tätigkeit.

Beispiel: Ein Krankenhaus setzt ein KI-Triage-Werkzeug ein, um Patienten in der Notaufnahme zu priorisieren. Das Krankenhaus ist der Betreiber.

Die Aufteilung ist praktisch begründet. Bei Hochrisiko-Systemen tragen die Anbieter, sobald die einschlägigen Bestimmungen gelten, die Pflichten vor dem Inverkehrbringen: Risikomanagement, Daten-Governance, technische Dokumentation und Konformitätsbewertung.

Betreiber tragen die Pflichten im Betrieb: menschliche Aufsicht, Überwachung sowie die unverzüglichen Meldepflichten zu Risiken und schwerwiegenden Vorfällen nach Artikel 26 Absatz 5. Die förmliche Meldung nach Artikel 73 ist grundsätzlich Sache des Anbieters und trifft den Betreiber nur, wenn der Anbieter nicht erreichbar ist.

Wo die Verordnung gilt

Die KI-Verordnung wirkt über die Grenzen der EU hinaus. Artikel 2 erfasst unter anderem Anbieter außerhalb der EU, die Systeme auf dem EU-Markt in Verkehr bringen, sowie Anbieter oder Betreiber außerhalb der EU, wenn die Ausgabe des Systems in der Union verwendet wird.

Beispiel: Händler wird Anbieter. Ein Einführer aus der EU bringt ein US-KI-Werkzeug in die Union und vertreibt dieses bereits in Verkehr gebrachte Hochrisiko-System anschließend unter eigenem Namen. Er übernimmt damit die Pflichten des Anbieters.

Dieser letzte Fall ist ein Rollenwechsel, und er wird leicht übersehen.

Artikel 25 legt fest, wann er eintritt, und die Auslöser sind eng gefasst und nicht allgemein. Eine Partei wird zum Anbieter, wenn sie ihren eigenen Namen oder ihre eigene Handelsmarke auf einem bereits in Verkehr gebrachten Hochrisiko-System anbringt; wenn sie eine wesentliche Veränderung an einem Hochrisiko-System vornimmt, das dadurch weiterhin hochriskant bleibt; oder wenn sie die Zweckbestimmung eines Systems, das nicht hochriskant war, so ändert, dass es hochriskant wird.

Wer dies übersieht, trägt konkrete Folgen. Der Anbieterstatus bringt die Pflichten des Anbieters mit sich. Die Haftung ist eine gesonderte Frage, die nach der KI-Verordnung, der MDR beziehungsweise IVDR, dem Produkthaftungsrecht und nationalem Recht zu beurteilen ist und nicht auf den Träger des Anbieterstatus beschränkt bleibt. Artikel 25 selbst führt nicht automatisch zur Ungültigkeit von Bescheinigungen; über den Fortbestand und eine etwaige erneute Bewertung ist nach dem jeweils anwendbaren Verfahren der KI-Verordnung und der MDR beziehungsweise IVDR zu entscheiden. Nach Artikel 44 Absatz 3 muss eine benannte Stelle nach der KI-Verordnung die Bescheinigung aussetzen, einschränken oder zurückziehen, wenn ein KI-System die Anforderungen des Abschnitts 2 nicht mehr erfüllt und nicht innerhalb der von ihr gesetzten Frist angemessene Korrekturmaßnahmen ergriffen werden.

Wann eine neue Konformitätsbewertung erforderlich ist

Sobald die einschlägigen Bestimmungen des Kapitels III gelten, und vorbehaltlich des Artikels 111, muss ein Hochrisiko-KI-System vor dem Inverkehrbringen grundsätzlich eine Konformitätsbewertung durchlaufen, vorbehaltlich der eng gefassten Ausnahmeregelung des Artikels 46. Bei einem Medizinprodukt kann die sektorale benannte Stelle die Anforderungen der KI-Verordnung bewerten, wenn die Kompetenzvoraussetzungen des Artikels 43 Absatz 3 erfüllt sind. Bereits nach MDR oder IVDR notifizierte Stellen dürfen diese Bewertung nur durchführen, wenn im bestehenden sektoralen Notifizierungsverfahren geprüft und belegt wurde, dass sie die Anforderungen des Artikels 31 Absätze 4, 5, 10 und 11 erfüllen. Die benannten Stellen nach Anhang I, Abschnitt A, auf die Artikel 43 Absatz 3 verweist, müssen bis zum 28. Januar 2028 eine Benennung nach der Verordnung beantragen; dies ist eine Frist zur Beantragung, nicht zur Erteilung. Ein Antrag ist noch keine Benennung; Kapazitäten sollten daher frühzeitig geklärt und nicht vorausgesetzt werden.

Die integrierte Bewertung erfasst die Anforderungen des Abschnitts 2 — Risikomanagement, Daten-Governance, technische Dokumentation, Protokollierung, Transparenz, menschliche Aufsicht, Genauigkeit, Robustheit und Cybersicherheit — zusammen mit dem Qualitätsmanagementsystem nach Artikel 17. Die Beobachtung nach dem Inverkehrbringen und die Vorfallmeldung fließen über dieses Qualitätsmanagementsystem ein; die Artikel 72 und 73 gehören selbst nicht zu Abschnitt 2.

Eine Bewertung stellt sich an zwei Punkten. Die erste Konformitätsbewertung vor dem Inverkehrbringen oder der Inbetriebnahme und eine erneute Bewertung nach Artikel 43 Absatz 4 nach einer wesentlichen Änderung.

Der Begriff „wesentliche Veränderung" ist in Artikel 3 Nummer 23 definiert; der authentische deutsche Text des Artikels 43 Absatz 4 verwendet daneben auch „wesentliche Änderung". Eine Änderung durch eine andere Partei als den ursprünglichen Anbieter ist kein gesonderter dritter Auslöser; sie ist deshalb bedeutsam, weil sie nach Artikel 25 den Anbieterstatus verlagern kann, und der neue Anbieter trägt dann die Bewertungspflicht.

Beispiel. Ein Hersteller trainiert einen diagnostischen Algorithmus nach der Markteinführung mit neuen Daten nach. Dies kann eine wesentliche Veränderung darstellen und eine erneute Bewertung auslösen.

Die Ausnahme ist eng und gilt speziell für Hochrisiko-Systeme, die nach dem Inverkehrbringen weiterlernen. Bei diesen Systemen stellt eine Änderung keine wesentliche Veränderung dar, wenn sie vom Anbieter bei der ersten Konformitätsbewertung vorab festgelegt und in die technische Dokumentation nach Anhang IV aufgenommen wurde. Die Dokumentationsvoraussetzung ist entscheidend: Vorab festgelegte Änderungen müssen von Anfang an in der Anhang-IV-Dokumentation festgehalten sein und dürfen nicht nachträglich als vorhergesehen dargestellt werden.

Der Zeitplan der Anwendung

Die Verordnung gilt gestaffelt, und der Digital-Omnibus zur KI hat mehrere der späteren Termine verschoben. Für Systeme, die ausschließlich nach Artikel 6 Absatz 1 und Anhang I eingestuft werden, einschließlich KI, die selbst das Produkt oder ein Sicherheitsbauteil ist, gelten die einschlägigen Bestimmungen ab dem 2. August 2028; zur ungeklärten Überschneidung beider Wege siehe unten. Die folgende Tabelle gibt den geänderten Zeitplan wieder.

Tabelle 1: Zeitplan der Anwendung der KI-Verordnung in der Fassung der Verordnung (EU) 2026/1744. Artikelangaben beziehen sich auf die Verordnung (EU) 2024/1689.

Zwei Merkmale dieses Zeitplans stechen hervor.

Von den beiden allgemeinen Anwendungsterminen der Abschnitte 1, 2 und 3 des Kapitels III liegt der spätere bei regulierten Branchen wie dem Gesundheitswesen: Für ausschließlich nach Artikel 6 Absatz 1 und Anhang I eingestufte Systeme gelten die einschlägigen Bestimmungen ab dem 2. August 2028. Den kürzesten hatten die Kapitel I und II, die ab dem 2. Februar 2025 galten, darunter Artikel 4 zur KI-Kompetenz und die ursprünglichen Verbote des Artikels 5; der überwiegende Teil des Sanktionskapitels folgte am 2. August 2025; Artikel 101 blieb bis zum 2. August 2026 ausgenommen.

Der Omnibus hat weder Artikel 50 noch den allgemeinen Anwendungstermin verschoben. Die Transparenzpflichten nach Artikel 50 gelten seit dem 2. August 2026. Seit diesem Tag setzen das Büro für Künstliche Intelligenz und die nationalen Behörden außerdem die jeweils anwendbaren Vorschriften durch. Ein Hersteller hat damit neben 2028 einen früheren Termin im Blick zu behalten.

Eine Regelung entscheidet darüber, ob all dies ein bereits im Verkehr befindliches Produkt erfasst, und sie ist wirtschaftlich die bedeutsamste Bestimmung des Zeitplans. Nach Artikel 111 Absatz 2 gelten die Hochrisiko-Vorschriften für die Akteure von Systemen, die vor dem jeweils maßgeblichen Tag bereits in Verkehr gebracht oder in Betrieb genommen wurden, grundsätzlich nur, wenn diese Systeme danach in ihrer Konzeption erheblich verändert wurden. Der Digital-Omnibus hat den früheren festen Bezug auf den 2. August 2026 gestrichen, sodass der Auslöser nun dem jeweils maßgeblichen Termin des Kapitels III nach Artikel 113 folgt: Artikel 113 weist dem Weg über Artikel 6 Absatz 2 und Anhang III den 2. Dezember 2027 und dem Weg über Artikel 6 Absatz 1 und Anhang I den 2. August 2028 zu. Greift nur ein Weg, ist der Termin eindeutig. Für ein System, das eigenständig unter beide Wege fällt, regelt die Verordnung den maßgeblichen Termin nicht ausdrücklich.

Erwägungsgrund 39 des Digital-Omnibus stellt klar, dass die Übergangsregelung auf der Ebene der Art und des Modells wirkt. Wurde mindestens eine Einheit eines Hochrisiko-KI-Systems vor dem maßgeblichen Stichtag rechtmäßig in Verkehr gebracht oder in Betrieb genommen, fallen weitere Einheiten derselben Art und desselben Modells unter die Übergangsfrist, solange die Gestaltung unverändert bleibt. Maßgeblich ist der Zeitpunkt der ersten Einheit. Eine signifikante Änderung der Gestaltung nach dem Stichtag löst die vollständige Anwendung der einschlägigen Hochrisiko-Vorschriften einschließlich der Konformitätsbewertung aus.

Zwei Hinweise. Artikel 111 Absatz 2 knüpft daran an, ob die betreffenden Systeme „danach in ihrer Konzeption erheblich verändert wurden". Dieser Übergangstatbestand ist nicht mit der „wesentlichen Veränderung“ nach Artikel 43 Absatz 4 gleichzusetzen; bei einer solchen Veränderung muss ein bereits konformitätsbewertetes Hochrisiko-KI-System einem neuen Konformitätsbewertungsverfahren unterzogen werden. Für Anbieter und Betreiber von Hochrisiko-Systemen, die zur Verwendung durch Behörden bestimmt sind, gilt außerdem der gesonderte Endtermin 2. August 2030.

Eine weitere Entwicklung ist zu verfolgen, aber nicht darauf zu bauen. Artikel 2 Absatz 13, eingefügt durch den Omnibus, ermächtigt die Kommission, bestimmte Anforderungen der Artikel 9 bis 15 und 17 bis 25 für Systeme nach Artikel 6 Absatz 1 einzuschränken, und zwar unter zwei kumulativen Voraussetzungen: dass Rechtsvorschriften des Anhangs I, Abschnitt A wie die MDR in Bezug auf die jeweilige Anforderung ein gleichwertiges oder höheres Schutzniveau bieten und dass die Einschränkung das Gesamtschutzniveau der Verordnung nicht verringert. Die Kommission muss die konkretisierenden delegierten Rechtsakte bis zum 2. August 2027 erlassen. Artikel 2 Absatz 13 enthält keine unmittelbar wirkende Einschränkung für die Akteure: Vorbehaltlich der Anwendungstermine des Artikels 113 bleiben die Artikel 9 bis 15 und 17 bis 25 anwendbar, solange kein delegierter Rechtsakt bestimmte Anforderungen für bestimmte Systeme einschränkt. Mit Stand vom 11. August 2026 war kein solcher Rechtsakt in Kraft.

Beispiel: Nutzung eines Reallabors. Ab dem 2. August 2027 muss jeder Mitgliedstaat mindestens ein nationales KI-Reallabor betreiben. Ein Unternehmen, das ein KI-Werkzeug zur Krebsfrüherkennung entwickelt, kann eine Teilnahme beantragen, um sein System unter Aufsicht der nationalen Behörde zu erproben und die Anforderungen nach MDR und KI-Verordnung zu erörtern, bevor es sich auf eine Markteinführung festlegt. Die Teilnahme ersetzt weder die Konformitätsbewertung noch eine erforderliche Genehmigung. Die Mitgliedstaaten müssen ein Reallabor sicherstellen, Artikel 58 sieht jedoch Zugangs- und Auswahlverfahren vor, sodass eine Aufnahme nicht automatisch erfolgt. Ein Reallabor setzt anderes Recht nicht außer Kraft: DSGVO, MDR beziehungsweise IVDR und die Vorschriften für klinische Prüfungen gelten weiter. Artikel 59 erlaubt die Weiterverarbeitung rechtmäßig erhobener Daten nur unter kumulativen Voraussetzungen, darunter Erforderlichkeit, öffentliches Interesse, eine abgeschottete Umgebung und Risikokontrollen; Tests unter Realbedingungen erfordern die einschlägigen Genehmigungen und Schutzvorkehrungen nach den Artikeln 58 und 60.

Die wichtigsten Artikel

Die Verordnung umfasst mehr als hundert Artikel. Für einen Medizinproduktehersteller leistet ein kleinerer Teil davon die meiste Arbeit; die folgende Tabelle ordnet sie zu.

Tabelle 2: Zentrale Artikel der KI-Verordnung für Medizinproduktehersteller. Alle Artikelangaben beziehen sich auf die Verordnung (EU) 2024/1689; zu beachten ist, dass der Omnibus mehrere davon geändert hat. Die konsolidierte Fassung ist eine nützliche Arbeitsgrundlage; für die rechtsverbindliche Zitierung sind die authentischen Amtsblatt-Texte der Verordnungen 2024/1689 und 2026/1744 heranzuziehen.

Die Risikokategorien

Die Verordnung staffelt ihre Anforderungen nach Risiko, und die Kategorie eines Systems entscheidet darüber, wie hoch diese Anforderungen ausfallen.

• Unannehmbares Risiko (Artikel 5)

  • Bestimmte Praktiken sind verboten, etwa Social Scoring und bestimmte manipulative Techniken. Der Digital-Omnibus hat zwei weitere Verbote in Artikel 5 Absatz 1 Buchstaben ba und bb ergänzt, anwendbar ab dem 2. Dezember 2026. Sie erfassen KI, die bestimmtes realistisches intimes Bild-, Video-, Audio- oder vergleichbares Material erzeugt oder manipuliert, sowie KI, die bestimmtes Material über sexuellen Kindesmissbrauch oder entsprechende Darstellungen erzeugt. Keines von beiden ist ein pauschales Technologieverbot. Die Voraussetzungen verteilen sich auf mehrere Bestimmungen. Buchstabe ba enthält die Einwilligungsvoraussetzung; Buchstabe bb behält eine Verteidigung des Handelns „ohne Recht" nach nationalem Recht vor. Absatz 1a trägt die Einschränkungen zu Zweckbestimmung, vernünftigerweise vorhersehbarer und reproduzierbarer Erzeugung, Schutzvorkehrungen und der Zweckverfolgung des Betreibers. Absatz 1b enthält die enge Manipulationsregel und betrifft Manipulationen, die weder die Sichtbarkeit der dargestellten intimen Körperteile erhöhen noch die dargestellte Handlung verändern. Der vollständige Text steht in Artikel 5 selbst.

• Hohes Risiko (Artikel 6)

  • Diese Kategorie erfasst einschlägige KI-gestützte Medizinprodukte, und es führen zwei Wege hinein.

    • Der zweite Weg, Artikel 6 Absatz 2 in Verbindung mit Anhang III, stellt auf die Zweckbestimmung ab und nicht darauf, wo die KI im Produkt sitzt. Er erfasst Systeme, die in aufgeführten Bereichen wie Biometrie, Beschäftigung und Kreditwürdigkeitsprüfung eingesetzt werden — und die Liste umfasst die Triage in der Notfallversorgung, weshalb KI in Medizinprodukten diesen Weg unabhängig vom Weg über Anhang I erfüllen kann.

      Die Aufnahme in Anhang III ist noch nicht das Ende. Nach Artikel 6 Absatz 3 ist ein aufgeführtes System nicht hochriskant, wenn es kein erhebliches Risiko der Beeinträchtigung von Gesundheit, Sicherheit oder Grundrechten birgt und eine der dort genannten Voraussetzungen erfüllt, etwa die Ausführung einer eng umgrenzten Verfahrensaufgabe oder die Verbesserung des Ergebnisses einer zuvor abgeschlossenen menschlichen Tätigkeit. Zwei Grenzen gelten. Ein System, das ein Profiling natürlicher Personen vornimmt, ist stets hochriskant; der Filter steht dann nicht zur Verfügung. Und wer sich auf den Filter stützt, muss seine Bewertung vor dem Inverkehrbringen dokumentieren und das System nach Artikel 49 registrieren.

      Die beiden Wege tragen unterschiedliche Termine. Für Systeme, die ausschließlich nach Artikel 6 Absatz 2 und Anhang III eingestuft werden, gelten die Abschnitte 1, 2 und 3 des Kapitels III, mit Ausnahme des Artikels 6 Absatz 5, ab dem 2. Dezember 2027. Für Systeme, die ausschließlich nach Artikel 6 Absatz 1 und Anhang I eingestuft werden, ab dem 2. August 2028. Erfüllt ein System beide Wege, regelt die Verordnung nicht ausdrücklich, welcher Anwendungstermin für ein System gilt, das eigenständig über beide Wege eingestuft wird. Artikel 43 Absatz 3 bestimmt für ein solches System das sektorale Konformitätsbewertungsverfahren, nicht aber seinen Anwendungstermin.

      Aus der zweiten Voraussetzung folgt eine Ausnahme. Sind alle Voraussetzungen des Artikels 5 Absatz 5 MDR erfüllt — einschließlich der Grenzen für die Weitergabe und die Herstellung im industriellen Maßstab —, unterliegt ein Produkt, das ausschließlich innerhalb von in der Union ansässigen Gesundheitseinrichtungen hergestellt und verwendet und nicht an eine andere juristische Person weitergegeben wird, ohne an eine andere juristische Person weitergegeben zu werden, nicht dem üblichen Weg der Konformitätsbewertung durch Dritte. Es erfüllt daher die zweite Voraussetzung nicht und ist über Artikel 6 Absatz 1 nicht hochriskant. Die gemeinsame Orientierungshilfe von MDCG und KI-Gremium kommt in Frage 35 zum selben Ergebnis (MDCG 2025-6). Diese Orientierungshilfe ist die aktuellste offiziell gelistete gemeinsame Leitlinie zu diesem Zusammenspiel, sie ist jedoch nicht bindend, datiert vom 19. Juni 2025 und stammt aus der Zeit vor dem Digital-Omnibus; sie ist daher überholt, soweit ihre Termine oder rechtlichen Aussagen der geänderten Verordnung widersprechen.

      Dass Artikel 6 Absatz 1 nicht erfüllt ist, beendet die Prüfung nicht. Artikel 6 Absatz 2 stuft Systeme nach Anhang III eigenständig als hochriskant ein, und die Triage in der Notfallversorgung ist einer der dort aufgeführten Anwendungsfälle. Ein intern hergestelltes System ist deshalb eigenständig an Anhang III zu messen — einschließlich der Frage, ob der Filter des Artikels 6 Absatz 3 greift. Fällt es unter Anhang III, gelten die Registrierungspflichten des Artikels 49 je nach Ergebnis: Absatz 1, wenn das System hochriskant ist, vorbehaltlich der dortigen Ausnahme für Anhang III Nummer 2; Absatz 2, wenn sich der Anbieter auf den Filter des Artikels 6 Absatz 3 stützt. Im zweiten Fall verlangt Artikel 6 Absatz 4 zusätzlich eine Dokumentation der Bewertung. Die allgemein anwendbaren Bestimmungen der Verordnung gelten in jedem Fall, darunter die Pflicht nach Artikel 4, Maßnahmen zur Förderung der KI-Kompetenz des Personals zu ergreifen, sowie die Verbote des Artikels 5.

      Beispiel: Ein Universitätsklinikum entwickelt ein eigenes KI-System, das anhand seiner Patientenakten auf ein Sepsisrisiko hinweist, setzt es ausschließlich auf den eigenen Stationen ein und erfüllt die Voraussetzungen des Artikels 5 Absatz 5 MDR. Das System ist über den Weg nach Anhang I nicht hochriskant, das Klinikum trägt aber weiterhin die allgemeinen Pflichten der Verordnung und kann sich nicht mehr auf die Ausnahme berufen, sobald es das System an eine andere juristische Person weitergibt. Maßgeblich ist die Weitergabe an eine andere juristische Person; verschiedene Standorte derselben juristischen Person fallen nicht ohne Weiteres aus Artikel 5 Absatz 5 heraus.

  • KI-Modelle mit allgemeinem Verwendungszweck (Artikel 3 Absatz 63, Artikel 51 bis 56 und Anhang XIII)

    • Dies steht neben den Risikokategorien für Systeme und nicht in einer Reihe mit ihnen: GPAI-Modelle unterliegen einer eigenen Modellregelung, mit zusätzlichen Pflichten, wenn ein Modell ein systemisches Risiko aufweist. Die Einstufung als systemisches Risiko regeln Artikel 51 und Anhang XIII über einen Test der Fähigkeiten mit hoher Wirkkraft oder eine Einstufung durch die Kommission.

      Beispiel: Ein großes Sprachmodell, das branchenübergreifend Texte verfasst, Fragen beantwortet und Dokumente zusammenfasst, ist ein Modell mit allgemeinem Verwendungszweck. Ein Hersteller, der ein solches Modell in eine klinische Funktion integriert, wird weder allein durch die Integration noch allein durch das Anbringen seiner Marke zum Anbieter des Modells. Maßgeblich ist der Maßstab des Artikels 3 Nummer 3: das Modell entwickeln oder entwickeln lassen und es anschließend unter eigenem Namen in Verkehr bringen. Die nicht bindenden Leitlinien der Kommission zu KI mit allgemeinem Verwendungszweck weisen gesondert darauf hin, dass eine wesentliche Änderung ausnahmsweise die Anbieterstellung begründen kann. In jedem Fall muss er wissen, was der Modellanbieter dokumentiert und was nicht, denn diese Dokumentation fließt in seine eigene technische Dokumentation ein.

      Wer die KI-Entwicklung formal steuern will, tut dies häufig über ein KI-Managementsystem; dazu bieten wir eine ISO-42001-Beratung für KI-Systeme an.

• Unterhalb der Hochrisiko-Schwelle

  • Systeme, die keinen der beiden Hochrisiko-Wege erfüllen, tragen leichtere Pflichten, aber nicht keine. Die Transparenzpflichten nach Artikel 50 können gelten, etwa der Hinweis an eine Person, dass sie es mit einem KI-System zu tun hat. Die Pflicht nach Artikel 4, Maßnahmen zur Förderung der KI-Kompetenz zu ergreifen — eine Förderpflicht und keine Pflicht, für jede einzelne Person ein bestimmtes Niveau zu gewährleisten —, sowie die Verbote des Artikels 5 gelten unabhängig von der Risikokategorie, und sonstiges Unions- und nationales Recht bleibt anwendbar. Freiwillige Verhaltenskodizes werden darüber hinaus empfohlen.

    Beispiel: Ein Hersteller, der den Support-Chatbot auf seiner Website selbst bereitstellt, hat es nicht mit einem Hochrisiko-System zu tun; für diesen gilt Artikel 50 Absatz 1 jedoch seit dem 2. August 2026 — es sei denn, die Interaktion mit KI ist aus Sicht einer angemessen informierten, aufmerksamen und verständigen natürlichen Person offensichtlich. Handelt es sich um ein Produkt eines Dritten, trifft diese Gestaltungs- und Entwicklungspflicht dessen Anbieter.

Was Teil 1 klärt und wie es weitergeht

An diesem Punkt kann ein Hersteller sein Produkt einordnen: ob es ein KI-System ist, in welche Kategorie es fällt, welche Rolle das Unternehmen trägt und ab wann die Pflichten greifen.

Bei einem KI-gestützten Medizinprodukt, das beide Voraussetzungen des Artikels 6 Absatz 1 erfüllt, ist der Hersteller in der Regel der Anbieter, und für die Einstufung über den Weg des Artikels 6 Absatz 1 gilt der 2. August 2028. Eine gesonderte Prüfung nach Anhang III bleibt erforderlich, und der Termin für ein System, das eigenständig über beide Wege eingestuft wird, ist nicht ausdrücklich geregelt.

Teil 2: Kernanforderungen an KI-Systeme in Medizinprodukten wechselt von der Einstufung zur Pflicht: die Anforderungen Artikel für Artikel, die eine hochriskante KI in einem Medizinprodukt erfüllen muss, und wie sie sich auf MDR, ISO 13485 und IEC 62304 legen.

Hersteller, die die Einstufung mit uns durcharbeiten, tun dies im Rahmen unserer EU-AI-Act-Beratung für Medizinprodukte-Software.

Häufig gestellte Fragen

1. Was macht ein KI-gestütztes Medizinprodukt nach der KI-Verordnung hochriskant?

   • Nach Artikel 6 Absatz 1 müssen zwei Voraussetzungen zugleich erfüllt sein. Die KI muss Sicherheitsbauteil eines Produkts sein oder selbst ein Produkt darstellen, das unter eine in Anhang I, Abschnitt A aufgeführte Rechtsvorschrift fällt, darunter die MDR und die IVDR. Und dieses Produkt muss einer Konformitätsbewertung durch Dritte unterliegen. Nur eine der beiden zu erfüllen genügt nicht.

     Drei Absätze des Omnibus schränken dies ein. Artikel 6 Absatz 1a nimmt KI, die ausschließlich nicht sicherheitsrelevanten Zwecken dient, vom Weg über das Sicherheitsbauteil aus, Artikel 6 Absatz 1b führt sie dorthin zurück, wenn ein Ausfall Gesundheit und Sicherheit gefährden würde, und Artikel 6 Absatz 1c lässt eine Konformitätsbewertung durch Dritte außer Betracht, die ausschließlich wegen anderer als Gesundheits- oder Sicherheitsrisiken erforderlich ist. Zu beachten ist: Die Absätze 1a und 1b schränken nur den Weg über das Sicherheitsbauteil ein. Ein KI-System, das selbst ein nach MDR oder IVDR reguliertes Produkt ist, etwa eigenständige Software als Medizinprodukt, erfüllt Artikel 6 Absatz 1 Buchstabe a ohne sie — es ist über Artikel 6 Absatz 1 aber nur dann hochriskant, wenn auch Buchstabe b erfüllt ist, vorbehaltlich des Absatzes 1c.

2. Ist der Hersteller Anbieter oder Betreiber?

   • In der Regel Anbieter. Der Anbieter (Artikel 3 Absatz 3) entwickelt das System oder lässt es entwickeln und bringt es unter eigenem Namen in Verkehr; er trägt die Pflichten vor dem Inverkehrbringen. Ein Krankenhaus oder eine Klinik, die es einsetzt, ist Betreiber (Artikel 3 Absatz 4) und trägt die Pflichten im Betrieb.

3. Wann benötigt ein KI-Medizinprodukt eine neue Konformitätsbewertung?

   • Nach einer wesentlichen Veränderung im Sinne des Artikels 3 Nummer 23, wie es Artikel 43 Absatz 4 verlangt. Bei einem Hochrisiko-System, das nach dem Inverkehrbringen oder der Inbetriebnahme weiterlernt, lösen Änderungen, die der Anbieter bei der ersten Konformitätsbewertung vorab festgelegt und in die technische Dokumentation nach Anhang IV aufgenommen hat, keine neue Bewertung aus.

4. Gilt die Verordnung für KI, die ein Krankenhaus für den Eigenbedarf entwickelt?

   • Teilweise. Sind alle Voraussetzungen des Artikels 5 Absatz 5 MDR beziehungsweise IVDR erfüllt, unterliegt ein Produkt, das innerhalb derselben juristischen Person einer Gesundheitseinrichtung in der EU hergestellt und verwendet und nicht an eine andere juristische Person weitergegeben wird, nicht dem üblichen Weg der Konformitätsbewertung durch Dritte und ist daher über Artikel 6 Absatz 1 nicht hochriskant. Damit ist die Prüfung nicht abgeschlossen: Artikel 6 Absatz 2 stuft Systeme nach Anhang III eigenständig als hochriskant ein, und die Triage in der Notfallversorgung ist ein dort genannter Anwendungsfall; das System ist daher gesondert an Anhang III zu messen. Die allgemein anwendbaren Bestimmungen, einschließlich der Verbote des Artikels 5, gelten in jedem Fall. Eine Gesundheitseinrichtung, die ein System entwickelt und unter eigenem Namen in Betrieb nimmt, kann zugleich Anbieter und Betreiber sein.

5. Wird mein Unternehmen zum Anbieter, wenn es ein fremdes KI-System umbenennt oder ändert?

   • Das ist möglich, und zwar bei drei konkreten Auslösern nach Artikel 25: Anbringen des eigenen Namens oder der eigenen Handelsmarke auf einem bereits in Verkehr gebrachten Hochrisiko-System; eine wesentliche Veränderung an einem Hochrisiko-System, das dadurch weiterhin hochriskant bleibt; oder Änderung der Zweckbestimmung eines Systems, das nicht hochriskant war, sodass es hochriskant wird.