Der EU AI Act trifft Medizinprodukte doppelt

Ein Medizinprodukt mit KI-Anteil steht seit 2024 unter zwei Regelwerken zugleich. Neben der Medizinprodukteverordnung (MDR), die Ihre Teams im Feld kennen, gilt die KI-Verordnung der Europäischen Union. Beide verlangen eine Konformitätsbewertung, beide haben eigene Fristen — und wer nur an eines von beiden denkt, plant das andere zu spät ein.

Zwei Verordnungen, ein Produkt

Die MDR (Verordnung (EU) 2017/745) entscheidet, ob Software ein Medizinprodukt ist und in welche Risikoklasse sie fällt. Die KI-Verordnung (Verordnung (EU) 2024/1689, in Kraft seit dem 1. August 2024) regelt, welche Anforderungen an ein KI-System gestellt werden — an sein Risikomanagement, seine Daten, seine Nachvollziehbarkeit. Für ein KI-Medizinprodukt greifen beide nebeneinander: Die KI-Verordnung ersetzt die MDR nicht, sie legt sich darüber.

Zwei Begriffe tragen den Rest des Textes. Ein KI-System im Sinne der Verordnung ist mehr als jede Statistik oder feste Regel; ob eine Funktion darunterfällt, ist selbst eine Prüfung. Eine Benannte Stelle ist eine unabhängige, staatlich benannte Prüfstelle, die für viele Medizinprodukte die Konformität bewertet.

Wann ein KI-Medizinprodukt als hochriskant gilt

Nach Artikel 6 Absatz 1 der KI-Verordnung ist ein KI-System hochriskant, wenn zwei Bedingungen zusammentreffen: Das KI-System ist erstens selbst ein Produkt — oder Sicherheitsbauteil eines Produkts —, das unter eine der in Anhang I der KI-Verordnung gelisteten Harmonisierungsvorschriften fällt, und dieses Produkt muss zweitens vor dem Inverkehrbringen einer Konformitätsbewertung durch Dritte unterzogen werden. Die MDR steht in diesem Anhang I.

Weil Medizinsoftware nach Regel 11 des Anhangs VIII der MDR nur selten in Klasse I fällt, sondern regelmäßig ab Klasse IIa — und damit eine Benannte Stelle einschaltet —, ist die zweite Bedingung für die meisten KI-Medizinprodukte erfüllt. Kurz: Sobald eine Benannte Stelle Ihr KI-Medizinprodukt prüfen muss, ist es nach der KI-Verordnung hochriskant.

Die Koordinierungsgruppe (MDCG) und das KI-Gremium (AIB) haben das im Juni 2025 in der Leitlinie MDCG 2025-6 bestätigt: Ein KI-Medizinprodukt ist hochriskant, wenn es Sicherheitsbauteil ist oder selbst ein Medizinprodukt ist und der Konformitätsbewertung durch eine Benannte Stelle nach MDR oder IVDR unterliegt. Produkte ohne Benannte Stelle — etwa Eigenherstellung oder selbstzertifizierte Klasse I — erfüllen die zweite Bedingung nicht und sind insoweit nicht hochriskant.

Wie sich die beiden Konformitätswege verbinden

Beide Rahmen verlangen eine Konformitätsbewertung, sie sollen aber nicht doppelt geführt werden. Nach MDCG 2025-6 werden die zusätzlichen Anforderungen der KI-Verordnung in die bestehende Bewertung nach MDR eingebettet und über dieselbe Benannte Stelle abgewickelt, um Doppelprüfungen zu vermeiden. Praktisch hat sich diese Reihenfolge bewährt:

1. Klären, ob das Produkt ein KI-System im Sinne der Verordnung ist und ob es nach Artikel 6 hochriskant ist.
2. Anforderungen abgleichen: Risikomanagement, Daten-Governance, technische Dokumentation, Aufzeichnung, menschliche Aufsicht und Transparenz überschneiden sich mit MDR-Pflichten, sind aber nicht deckungsgleich.
3. Nur die Lücke zur MDR schließen, statt die vorhandene MDR-Dokumentation ein zweites Mal zu schreiben.
4. Früh mit der Benannten Stelle abstimmen, wie beide Bewertungen zusammengeführt werden.

Fristen — und ein bewegliches Ziel

Die KI-Verordnung gilt gestaffelt. Die Regeln für Hochrisiko-Systeme über den Produktweg des Anhangs I — also der Weg, über den Medizinprodukte erfasst werden — gelten nach Artikel 113 ab dem 2. August 2027.

Dieses Datum ist derzeit in Bewegung. Die EU-Kommission hat 2025 ein Vereinfachungspaket („Digital Omnibus") vorgeschlagen, das die Hochrisiko-Pflichten für eingebettete Produkte wie Medizinprodukte verschieben soll; nach dem Stand der Beratungen im Frühjahr 2026 war von einer Verschiebung auf den 2. August 2028 die Rede. Das Verfahren war zum Redaktionsschluss nicht abgeschlossen. Die verbindliche Frist prüfen Sie deshalb am aktuellen Verordnungstext, nicht an dieser Einschätzung.

Einordnung

Nicht jedes KI-Medizinprodukt trägt die volle Last der KI-Verordnung, und keine MDR-Pflicht verschwindet, weil die KI-Verordnung greift. Erfüllt ein Produkt die zweite Bedingung nicht — keine Prüfung durch eine Benannte Stelle —, ist es nach Artikel 6 Absatz 1 nicht hochriskant; einzelne Pflichten wie Transparenzvorgaben können dennoch gelten. Umgekehrt ersetzt die KI-Verordnung weder die klinische Bewertung noch die Marktüberwachung der MDR. Und die Einordnung als KI-System ist selbst eine Prüfung: Nicht jede statistische Funktion ist KI im Sinne der Verordnung. Wo die Rechtslage — wie bei den Fristen — noch nicht feststeht, ist Zurückhaltung gegenüber pauschalen Aussagen angebracht.

Fazit

Für KI-gestützte Medizinprodukte ist Konformität keine Frage von entweder MDR oder KI-Verordnung, sondern von beidem in einem Verfahren. Wer die KI-Anforderungen früh neben die MDR-Dokumentation legt und mit der Benannten Stelle einen gemeinsamen Weg abstimmt, vermeidet doppelte Arbeit und späte Überraschungen. Weil die Fristen sich noch bewegen, gehört der Blick auf den aktuellen Verordnungsstand zur Planung dazu.