Kurze Antwort: Der AI Act (Verordnung (EU) 2024/1689) reguliert KI-Systeme nach Risiko. Für den Gesundheitsbereich sind drei Situationen relevant. Ein KI-System, das ein Medizinprodukt ist oder eine Sicherheitskomponente davon darstellt und eine externe Konformitätsbewertung gemäß der MDR oder IVDR erfordert, ist hochriskant (Anhang I): Es muss die Anforderungen des Gesetzes an Risikomanagement, Daten, Dokumentation, Protokollierung, Transparenz, menschliche Aufsicht, Genauigkeit und Cybersicherheit erfüllen, die zusammen mit der Konformitätsbewertung des Produkts bewertet werden. KI, die zur Notfall-Triage oder zur Entscheidung über den Zugang zu Gesundheitsdiensten verwendet wird, ist gemäß Anhang III hochriskant, auch außerhalb des Medizinprodukterechts. Assistenten und Chatbots, die nicht hochriskant sind, unterliegen dennoch Transparenzpflichten (Menschen müssen wissen, dass sie mit KI sprechen; generierte Inhalte müssen gekennzeichnet werden). Das Gesetz trat am 1. August 2024 in Kraft, wobei die Verpflichtungen schrittweise bis 2027 eingeführt werden; die Kommission hat Ende 2025 vorgeschlagen, einige Fristen anzupassen, prüfen Sie daher den aktuellen Stand.
Die Risikopyramide
Der EU-KI-Gesetz stuft KI-Systeme in verschiedene Kategorien ein: Verbotene Praktiken, die seit Februar 2025 gelten, Hochrisikosysteme gemäß Anhang I (KI in Medizinprodukten, die eine Benannte Stelle benötigen) und Anhang III (Notfall-Triage, Zugang zu Gesundheitsdiensten), Systeme mit begrenztem Risiko und Transparenzpflichten wie Gesundheits-Chatbots, Werkzeuge mit minimalem Risiko ohne spezifische Verpflichtungen und allgemeine KI-Modelle mit Pflichten für die Anbieter.
| Stufe | Gesundheitsbeispiele | Konsequenz |
|---|---|---|
| Verboten (Art. 5) | Manipulative Techniken, die Schwachstellen ausnutzen, ungezieltes Scrapen zur Gesichtserkennung, Emotionserkennung am Arbeitsplatz oder in der Schule (mit Ausnahmen für medizinische und Sicherheitszwecke) | Seit dem 2. Februar 2025 verboten |
| Hochriskant, Anhang I | KI in einem Medizinprodukt oder IVD, das eine benannte Stelle benötigt (die meisten Software der Klasse IIa und höher): Bildgebungs-KI, Entscheidungsunterstützung, Dosisrechner | Vollständige Hochrisikoanforderungen, bewertet im Rahmen der MDR/IVDR-Konformitätsbewertung |
| Hochriskant, Anhang III | Notrufsysteme und Patiententriage-Systeme; KI zur Bewertung der Berechtigung für öffentliche Gesundheitsleistungen und -dienste; biometrische Kategorisierung; Beschäftigungsentscheidungen über medizinisches Personal | Vollständige Hochrisikoanforderungen, Selbsterklärung oder benannte Stelle gemäß den Regeln von Anhang III, Registrierung in der EU-Datenbank |
| Begrenztes Risiko (Transparenz, Art. 50) | Gesundheits-Chatbots und -Assistenten, KI-generierte Texte oder Bilder über Gesundheit, Deepfake-ähnliche Inhalte | Offenlegung der KI-Interaktion; Kennzeichnung generierter Inhalte; menschliche Aufsicht, wo relevant |
| Minimales Risiko | Spamfilter, Optimierung von Zeitplänen, Verwaltungstools | Keine spezifischen Verpflichtungen; freiwillige Verhaltenskodizes |
| Allgemein einsetzbare KI-Modelle (Kapitel V) | Basismodelle, die in Gesundheitsprodukten verwendet werden | Anbieterpflichten: technische Dokumentation, Urheberrechtspolitik, Zusammenfassung des Trainings; zusätzliche Pflichten für Modelle mit systemischem Risiko |
Eine Gesundheits-App, die kein Medizinprodukt ist und nicht unter Anhang III fällt (ein Datensatz mit einer KI-Zusammenfassungsfunktion, ein Symptomtagebuch mit einer Konversationsschnittstelle), gehört zur begrenzten Stufe: Transparenz und die allgemeine Pflicht zur KI-Kompetenz für Mitarbeiter (Art. 4) sowie alles, was die DSGVO bereits vorschreibt. Wenn dieselbe App eine Funktion hinzufügt, die die Diagnose oder Behandlung informiert, wird sie zu einem Medizinprodukt gemäß der MDR und, wenn eine benannte Stelle beteiligt ist, hochriskant gemäß dem AI Act; siehe Software als Medizinprodukt.
Was Hochrisiko erfordert (Kapitel III, Abschnitt 2)
Ein Hochrisiko-KI-System gemäß dem EU-KI-Gesetz erfordert ein Risikomanagementsystem, Daten-Governance für Trainings- und Testdaten, technische Dokumentation und Protokollierung, Transparenz für die Anwender, menschliche Aufsicht durch Design, Genauigkeit, Robustheit und Cybersicherheit, ein Qualitätsmanagementsystem, eine Konformitätsbewertung mit CE-Kennzeichnung, Überwachung nach dem Inverkehrbringen und Meldung von Vorfällen sowie eine Registrierung in der EU-Datenbank für Systeme gemäß Anhang III.
- Risikomanagementsystem über den gesamten Lebenszyklus (Art. 9), integriert mit ISO 14971 für Medizinprodukte.
- Daten-Governance (Art. 10): Trainings-, Validierungs- und Testdaten sind relevant, repräsentativ, auf Verzerrungen geprüft und mit dokumentierter Herkunft; Verarbeitung besonderer Kategorien von Daten zur Korrektur von Verzerrungen unter bestimmten Bedingungen zulässig.
- Technische Dokumentation (Art. 11, Anhang IV) und Aufzeichnungen / Protokollierung (Art. 12) zur Rückverfolgbarkeit.
- Transparenz und Anweisungen für Anwender (Art. 13).
- Menschliche Aufsicht von vornherein (Art. 14): die Fähigkeit zu verstehen, zu überschreiben und zu stoppen.
- Genauigkeit, Robustheit und Cybersicherheit (Art. 15) mit deklarierten Metriken.
- Ein Qualitätsmanagementsystem (Art. 17), das für Medizinprodukte das ISO 13485-System erweitert ist.
- Konformitätsbewertung, die CE-Kennzeichnung und die EU-Konformitätserklärung, die beide Verordnungen abdecken; Registrierung in der EU-Datenbank für Systeme gemäß Anhang III.
- Überwachung nach dem Inverkehrbringen und Meldung schwerwiegender Vorkommnisse (Art. 72–73), koordiniert mit der MDR-Vigilanz.
- Anwender (Krankenhäuser, Kliniken) haben eigene Pflichten: Nutzung gemäß Anweisungen, menschliche Aufsicht, Protokolle, Information der Personen und für öffentliche Stellen eine Folgenabschätzung zu den Grundrechten (Art. 27).
Die Überschneidung mit der MDR und IVDR
Das EU-KI-Gesetz überschneidet sich mit der MDR und IVDR durchgängig: Für KI in Medizinprodukten, die unter Anhang I aufgeführt sind, werden die Anforderungen des Gesetzes als Teil der Konformitätsbewertung des Produkts durch dieselbe Benannte Stelle bewertet, mit einem einzigen Satz von Dokumentationen und einem einzigen Qualitätssystem. Harmonisierte Normen von CEN-CENELEC JTC 21 werden nach ihrer Veröffentlichung die Vermutung der Konformität begründen.
Das Gesetz wurde so konzipiert, dass ein zweiter paralleler Prozess vermieden wird: Für Produkte gemäß Anhang I werden die KI-Anforderungen als Teil der MDR/IVDR-Konformitätsbewertung durch dieselbe benannte Stelle bewertet, die auch für den AI Act benannt sein muss; die Dokumentation kann eine einzige sein; das Qualitätssystem ist eines. Harmonisierte Normen (für KI-Risiko, Datenqualität, Robustheit) werden von CEN-CENELEC JTC 21 entwickelt und geben die Vermutung der Konformität; bis zu deren Existenz verwenden Hersteller ISO/IEC 42001, ISO/IEC 23894 und die Produktnormen. Die Medical Device Coordination Group und der AI Board werden voraussichtlich gemeinsame Leitlinien veröffentlichen; das Zusammenspiel der Überwachung nach dem Inverkehrbringen und der Meldung von Vorfällen ist der Bereich, den man im Auge behalten sollte.
Zeitplan
Das EU-KI-Gesetz trat am 1. August 2024 in Kraft. Verbote und KI-Alphabetisierungs-Pflichten galten ab dem 2. Februar 2025, Verpflichtungen für allgemeine Modelle ab dem 2. August 2025, der Großteil des Gesetzes einschließlich der Hochrisikosysteme gemäß Anhang III ab dem 2. August 2026 und die Hochrisikosysteme gemäß Anhang I wie KI in Medizinprodukten ab dem 2. August 2027, vorbehaltlich vorgeschlagener Anpassungen.
- 1. August 2024: Inkrafttreten.
- 2. Februar 2025: Verbote und KI-Kompetenzpflichten gelten.
- 2. August 2025: Verpflichtungen für allgemein einsetzbare KI-Modelle; Governance (AI Office, benachrichtigte Stellen); Strafen.
- 2. August 2026: Der Großteil des Gesetzes gilt, einschließlich der Hochrisikosysteme gemäß Anhang III und der Transparenzpflichten.
- 2. August 2027: Hochrisikosysteme gemäß Anhang I (KI in regulierten Produkten wie Medizinprodukten) und allgemein einsetzbare Modelle, die vor August 2025 in Verkehr gebracht wurden.
Im November 2025 schlug die Kommission im Rahmen eines "digitalen Omnibus" vor, die Anwendung der Hochrisikoregeln an die Verfügbarkeit von Normen und Unterstützungswerkzeugen zu koppeln, was die Daten von 2026 und 2027 verschieben könnte; der Vorschlag befand sich zum Zeitpunkt der Erstellung in Verhandlung. Betrachten Sie die obigen Daten als das verabschiedete Gesetz und folgen Sie dem Amtsblatt für Änderungen.
Was ein Gesundheit-App-Team jetzt tun sollte
Die praktischen Schritte für ein Gesundheit-App-Team im Rahmen des EU-KI-Gesetzes sind: Klassifizierung jeder KI-Funktion als Medizinprodukt, Anhang III oder Transparenz-Stufe, Offenlegung der KI-Interaktion und Kennzeichnung generierter Inhalte, Dokumentation der Trainingsdaten und Auswertung nach Untergruppen, Beibehaltung der menschlichen Kontrolle mit Ausgaben als Entwürfe, Einholung der Dokumentation vom Anbieter des allgemeinen Modells und parallele Durchführung der DSGVO-Arbeit.
- Klassifizieren Sie jede KI-Funktion: Medizinprodukt oder nicht (Ist eine Gesundheits-App ein Medizinprodukt?); Anhang III oder nicht; andernfalls Transparenzstufe.
- Offenlegen Sie die KI-Interaktion und kennzeichnen Sie generierte Inhalte jetzt; es kostet nichts und wird erforderlich sein.
- Dokumentieren Sie Daten und Auswertung: Woher Trainings- und Testdaten stammen, wie die Leistung gemessen wurde, nach Untergruppen; dies ist der Kern der Artikel 10 und 15 und auch gutes Engineering (KI auf medizinischen Daten: die Karte).
- Behalten Sie die Kontrolle durch Menschen: Ausgaben als Entwürfe und Vorschläge, niemals automatisch übernommene klinische Fakten; Protokolle darüber, was die KI produziert hat und wer es akzeptiert hat.
- Prüfen Sie den Modelllieferanten: Anbieter von allgemein einsetzbaren Modellen müssen Dokumentationen liefern, die Sie für Ihre eigene Akte benötigen.
- Führen Sie die DSGVO-Arbeit (Artikel 22 zu automatisierten Entscheidungen, die DPIA) parallel durch; der AI Act ersetzt sie nicht (DSGVO Artikel 9).
In Anpheros
Die KI-Funktionen von Anpheros geben die Inhalte eines persönlichen Datensatzes wieder und lokalisieren sie und werden als KI offengelegt; sie diagnostizieren oder empfehlen keine Behandlung, daher ist das Produkt kein Medizinprodukt und fällt unter die Transparenzstufe des Gesetzes. Die Modellnutzung ist dokumentiert, Ausgaben tragen eine Herkunftsangabe, und nichts, was ein Assistent produziert, wird zu einer klinischen Tatsache im Datensatz, ohne dass ein Mensch dies bestätigt.
Diese Seite erklärt die Regulierung für Produkt- und Engineering-Teams. Sie ist keine Rechtsberatung; die unter Quellen verlinkten Texte sind maßgeblich. Zuletzt überprüft: Oktober 2026.
Verwandte Seiten
- KI auf medizinischen Daten: die Karte
- Software als Medizinprodukt: MDR und IEC 62304 Klassen
- Ist eine Gesundheits-App ein Medizinprodukt? EU MDR Regel 11
- DSGVO Artikel 9 für Gesundheitsdaten
- Karte der Gesundheitsdatenregulierung
- RAG auf medizinischen Datensätzen
Quellen
- Verordnung (EU) 2024/1689 (AI Act), EUR-Lex
- Europäische Kommission: AI Act (Politikseite und Zeitplan)
- Europäische Kommission: AI Office
- Verordnung (EU) 2017/745 (MDR), EUR-Lex
- CEN-CENELEC JTC 21: Künstliche Intelligenz
- ISO/IEC 42001:2023, KI-Managementsystem
Häufige Fragen
Ist jedes Medizinprodukt mit KI unter dem AI Act hochriskant?
Nur diejenigen, die einer externen Konformitätsbewertung gemäß der MDR oder IVDR unterliegen, was für die meisten Software der Klasse IIa und höher gilt. Ein Produkt der Klasse I mit KI, das selbstzertifiziert ist, ist nicht gemäß Anhang I hochriskant, unterliegt aber dennoch den allgemeinen und Transparenzpflichten des Gesetzes.
Gilt der AI Act für ein US-amerikanisches Unternehmen?
Ja, wenn sein KI-System auf dem EU-Markt angeboten wird oder seine Ausgabe in der EU verwendet wird, genauso wie die MDR und die DSGVO gelten. Anbieter außerhalb der EU benennen für Hochrisikosysteme einen Bevollmächtigten.
Benötige ich ein zweites CE-Zeichen für KI?
Nein. Für Produkte gemäß Anhang I deckt eine Konformitätsbewertung beide Verordnungen ab und ein CE-Zeichen und eine Konformitätserklärung beziehen sich auf beide. Die Dokumentation muss die Anforderungen des AI Acts abdecken.
Was ändert sich für einen Gesundheits-Chatbot?
Transparenz: Benutzer müssen darüber informiert werden, dass sie mit KI interagieren, generierte Inhalte müssen gekennzeichnet werden und Mitarbeiter benötigen KI-Kompetenz. Wenn der Chatbot individuelle Diagnose- oder Behandlungsempfehlungen gibt, wird er zu einem Medizinprodukt und das Bild ändert sich vollständig.
Kostenlos in der Sandbox testen
Ihr erster FHIR-Aufruf in 5 Minuten. Eine HL7 FHIR R4 API mit der Zustimmung des Patienten: probieren Sie sie in der Sandbox aus und verbinden Sie dann Ihre eigene App oder Ihr Kliniksystem.
Kostenlos · 30 synthetische Patienten · keine Karte
Anpheros entwickelt eine Patientenakte, die der Patient kontrolliert und mit jeder Klinik teilen kann, auf einer HL7 FHIR R4-Plattform mit Sitz in der EU. Diese Anleitungen helfen Ihnen, Ihre Gesundheit zu verstehen und zu organisieren; sie ersetzen nicht Ihren Arzt.
Über Anpheros →