KI-Medizinprodukte und AI Act: Warum MDR-Konformität nicht mehr ausreicht

Ich erlebe es in fast jedem Erstgespräch: Hersteller KI-gestützter Medizinprodukte, die gut aufgestellt sind, die ihre MDR-Compliance ernst nehmen, die mit ihrer Benannten Stelle eingespielt arbeiten — und die dennoch davon ausgehen, damit regulatorisch auf der sicheren Seite zu sein. Seit August 2026 stimmt das nicht mehr.

Nicht weil sich die MDR verändert hat. Sondern weil mit dem AI Act ein eigenständiges Regelwerk in Kraft getreten ist, das eigene Dokumentationspflichten, einen eigenen Sanktionsrahmen und eigene Fristen mitbringt. Und weil der Abstand zwischen dem, was Hersteller heute tun, und dem, was sie tun müssen, in den meisten Fällen größer ist, als sie ahnen.

Dieser Text zeigt, wo die echten Lücken liegen — und warum sie sich nicht nebenbei schließen lassen.

I. Was gerade regulatorisch passiert

Seit dem 2. August 2026 gilt der überwiegende Teil des AI Acts. Für Hochrisiko-KI-Systeme nach Anhang I — zu denen ein Großteil KI-gestützter Medizinprodukte gehört — hat die Digital-Omnibus-Verordnung (EU) 2026/1744, in Kraft seit dem 27. Juli 2026, den Geltungsbeginn vom 2. August 2027 auf den 2. August 2028 verschoben. Bis zu diesem Tag müssen alle Anforderungen vollständig umgesetzt sein. Die Verschiebung verschafft Zeit; am Umfang der Pflichten ändert sie nichts.

In Deutschland ist das Gesetz zur Marktüberwachung und Innovationsförderung von künstlicher Intelligenz (KI-MIG, BGBl. 2026 I Nr. 223) am 29. Juli 2026 in Kraft getreten. Die Bundesnetzagentur ist damit Marktüberwachungsbehörde für die KI-Verordnung, soweit diese Aufgabe nicht anderen Fachbehörden zugewiesen ist, und zugleich zentrale Anlauf- und Beschwerdestelle. Für Hochrisiko-KI-Systeme in Produkten nach Anhang I der KI-Verordnung bleibt es nach Art. 74 Abs. 3 AI Act bei den Behörden, die bereits die Marktüberwachung nach der jeweiligen Harmonisierungsvorschrift führen, für Medizinprodukte also bei der Medizinprodukteaufsicht nach MDR und MPDG. Für Medizinproduktehersteller bedeutet das: Ihr Gegenüber im Konformitätsverfahren bleibt die Benannte Stelle, und die Marktüberwachung nach der KI-Verordnung läuft über dieselben Behörden wie bisher nach der MDR.

Der Schwerpunkt der Prüfung verschiebt sich dabei fundamental — von der Produktdokumentation hin zu Daten- und Modellprozessen. Wer darauf nicht vorbereitet ist, wird das im Auditgespräch sehr konkret merken.

II. Wann gilt der AI Act für Ihr Produkt?

Hier liegt die häufigste Fehlerquelle — eine falsch verstandene Kausalität. Viele Hersteller denken: Wenn das Produkt nach MDR kein hohes Risiko trägt, betrifft mich der AI Act als Hochrisiko-Regelwerk nicht. Das ist falsch.

Die richtige Logik laut MDCG 2025-6, der offiziellen EU-Leitlinie vom Juni 2025: Ein KI-basiertes Medizinprodukt gilt als Hochrisiko-KI-System nach Art. 6 Abs. 1 AI Act, wenn zwei Voraussetzungen kumulativ erfüllt sind:

1. Das System ist selbst ein Medizinprodukt oder eine Sicherheitskomponente davon, und
2. es unterliegt einer Konformitätsbewertung durch eine Benannte Stelle nach MDR.

Da die meisten KI-basierten Medizinprodukte als Standalone-Software mindestens der Risikoklasse IIa zuzuordnen sind, sind sie regelmäßig als Hochrisiko-KI-Systeme zu klassifizieren.

Was MDCG 2025-6 ausdrücklich klarstellt — und was ich für regulatorisch bedeutsam halte: Die Einstufung als Hochrisiko-KI-System nach dem AI Act bedeutet nicht zwangsläufig, dass das Produkt auch ein hohes Risiko nach MDR trägt. Beide Klassifizierungssysteme basieren auf unterschiedlichen Kriterien, auch wenn die Begriffe ähnlich klingen. Diese Differenzierung ist nicht nur dogmatisch relevant — sie hat unmittelbare Auswirkungen auf die Argumentation im Konformitätsgespräch mit Benannter Stelle und Aufsichtsbehörde.

III. Aus Herstellersicht: eine funktionale Doppelbelastung

Der AI Act ist bewusst als horizontale Ergänzung zur sektoralen MDR konzipiert — nicht als paralleles Zulassungsregime. Er schafft keine Pflichten, die über das hinausgehen, was AI Act und MDR zusammen verlangen. Das ist die gute Nachricht.

Die schlechte: Er bringt vier Anforderungsbereiche mit sich, die in der MDR so schlicht nicht existieren. Und genau dort liegen die realen Umsetzungsprobleme — nicht in der Theorie, sondern in der Praxis laufender Entwicklungsprojekte.

IV. Die vier kritischen Anforderungsbereiche — und wo Projekte scheitern

1. Data Governance — der unterschätzte Aufwand

Art. 10 AI Act verlangt, dass Hochrisiko-KI-Systeme mit qualitativ hochwertigen Trainings-, Validierungs- und Testdatensätzen entwickelt werden, für die spezifische Data-Governance-Verfahren gelten. Was das bedeutet, geht in der Praxis deutlich über MDR-Datenanforderungen hinaus.

a. Repräsentativität und Bias-Kontrolle. Trainingsdaten müssen demografisch und klinisch repräsentativ sein. Ein Algorithmus, der an westeuropäischen Patientenpopulationen trainiert wurde und in anderen klinischen Kontexten eingesetzt wird, ist ohne explizite Bias-Analyse nicht AI-Act-konform. Das klingt selbstverständlich — ist es aber in der täglichen Entwicklungspraxis oft nicht.

b. Traceability entlang des ML-Lifecycle. Woher stammen die Daten? Wurden sie rechtmäßig erhoben? Welche Preprocessing-Schritte wurden angewendet? All das muss dokumentiert und nachvollziehbar sein — nicht nur zum Zeitpunkt der Zulassung, sondern fortlaufend. Das ist ein Prozessanspruch, kein einmaliger Dokumentationsakt.

c. Kontinuierliche Datenpflege im Post-Market. Verändert sich die Datenbasis nach Marktzulassung durch neue Quellen oder Modell-Updates, entsteht sofort regulatorischer Handlungsbedarf. Das ist der Punkt, an dem viele Entwicklungsteams die regulatorische Konsequenz ihres Handelns noch nicht vollständig durchdacht haben.

In meiner Arbeit mit Herstellern begegnen mir dabei zwei Muster mit fast schon beunruhigender Regelmäßigkeit:

aa. Nicht dokumentierte Datensätze. Datensätze, die während der Entwicklung nie formal dokumentiert wurden — weil das Team wusste, woher sie stammten, ohne dass irgendjemand es aufgeschrieben hat. Im Audit ist das nicht erklärbar.

bb. Unklare Verantwortlichkeit für Post-Market-Datenmonitoring. Das Thema landet zwischen Regulatory Affairs und Data Science und wird von beiden als Aufgabe des jeweils anderen betrachtet. Das ist kein Kommunikationsproblem. Das ist eine strukturelle Lücke — und sie ist im Audit sofort sichtbar.

2. Transparenz und Erklärbarkeit — das Black-Box-Problem

Der AI Act schreibt rechtlich verbindlich vor, dass Hersteller KI-Systeme so konzipieren, dass medizinisches Fachpersonal Ausgaben des Systems überwachen, verstehen und übersteuern kann.

In der klinischen Praxis ist das anspruchsvoller als es klingt. Ein reiner Konfidenzwert — 87 % Wahrscheinlichkeit für Befund X — reicht regulatorisch und klinisch oft nicht aus. Warum hat das System dieses Ergebnis produziert? Welche Merkmale im Input waren entscheidend? Wie verhält sich das System bei Grenzfällen?

Was mich an dieser Frage fasziniert: Es ist keine rein regulatorische Frage. Es ist eine Frage, die jeder gute Klinikarzt stellen würde — und die jedes gute KI-System beantworten können sollte. Der AI Act macht aus einer klinischen Selbstverständlichkeit eine Rechtspflicht.

Hersteller stehen damit vor einer realen Design-Entscheidung:

(1) Architektonische Anpassungen, die Explainability ermöglichen — mit allen Konsequenzen für Modellarchitektur und Validierungsaufwand.

(2) Umfassende klinische Validierung, die zeigt, dass das System auch ohne vollständige Transparenz sicher betrieben werden kann.

Beides ist aufwändig. Beides muss in der Technischen Dokumentation nicht nur erwähnt, sondern begründet werden.

3. Menschliche Aufsicht — kein Feature, sondern Pflicht

Human Oversight nach Art. 14 AI Act ist keine Empfehlung. Es ist eine Design-Anforderung: Das System muss so gestaltet sein, dass klinisches Personal es überwachen, korrigieren und im Zweifel übergehen kann.

Das betrifft Schnittstellengestaltung und klinische Workflows — aber auch, was viele noch nicht auf dem Schirm haben: die Schulungsanforderungen für das medizinische Personal auf Betreiberseite. Wer ein MDAI-System in den Markt bringt, trägt Mitverantwortung dafür, dass es kompetent bedient wird.

4. QMS-Erweiterung und ISO 42001

Art. 17 AI Act verlangt ein Qualitätsmanagementsystem, das AI-spezifische Anforderungen adressiert. Art. 17 Abs. 3 AI Act lässt dabei ausdrücklich zu, dass Anbieter, die bereits einem sektoralen Qualitätsmanagementsystem unterliegen, die KI-spezifischen Elemente in dieses System aufnehmen. Viele dieser Anforderungen sind durch ISO 13485 bereits abgedeckt — aber eben nicht alle.

ISO 42001, der internationale Standard für KI-Managementsysteme, wird sich nach meiner Einschätzung mit hoher Wahrscheinlichkeit als faktischer Referenzstandard in Benannten-Stellen-Audits etablieren — vergleichbar mit der Rolle, die ISO 27001 im Cybersicherheitsbereich heute spielt. Wer frühzeitig darauf ausrichtet, schafft sich strukturellen Vorsprung. Wer wartet, bis Benannte Stellen das explizit einfordern, wird unter Zeitdruck nacharbeiten.

V. Was passiert, wenn nicht gehandelt wird

Für Verstöße gegen die Pflichten der Anbieter von Hochrisiko-KI-Systemen sieht Art. 99 Abs. 4 AI Act Geldbußen von bis zu 15 Mio. EUR oder 3 % des gesamten weltweiten Jahresumsatzes des vorangegangenen Geschäftsjahres vor, je nachdem, welcher Betrag höher ist. Für KMU und Start-ups gilt nach Art. 99 Abs. 6 der jeweils niedrigere der beiden Beträge. Verhängt werden die Geldbußen von den nationalen Behörden; in Deutschland regelt das KI-MIG das Verfahren. Das ist erheblich — aber das Bußgeld ist nicht das eigentliche Problem.

Das eigentliche Problem ist das Marktzugangsrisiko: Ohne nachgewiesene AI-Act-Konformität kein CE-Kennzeichen für neue Produkte, keine Verlängerung für bestehende. Und ein Risiko, das in den meisten Leitfäden unerwähnt bleibt: Unvollständige oder inkonsistente Dokumentation führt zu Rückfragen, Nachforderungen und erheblichen Verzögerungen im Konformitätsverfahren.

Benannte Stellen sind bereits heute kapazitiv an ihrer Grenze. Wer unter Zeitdruck nachbessert — und das ist keine hypothetische Situation, das ist Alltag in laufenden Projekten — verliert regulatorische Qualität. Das ist vermeidbar. Aber nur mit ausreichend Vorlaufzeit.

VI. Die gute Nachricht: kein zweites QMS erforderlich

MDCG 2025-6 ermutigt Hersteller ausdrücklich, die AI-Act-Elemente in das bestehende MDR-QMS zu integrieren statt parallele Strukturen aufzubauen. Für KI-Medizinprodukte mit hohem Risiko genügt eine einzige Technische Dokumentation als Nachweis der Konformität nach beiden Regelwerken.

Der Ansatz ist Erweiterung, nicht Verdoppelung. Wer sein MDR-QMS methodisch sauber aufgestellt hat, baut darauf auf. Der AI Act ist kein Neustart — er ist eine Tiefenerweiterung. Das macht ihn nicht kleiner, aber er wird beherrschbar.

VII. Drei konkrete nächste Schritte

1. Klassifizierung dokumentieren

Ist Ihr Produkt ein KI-System im Sinne des AI Acts? Ist eine Benannte Stelle eingebunden? Wenn ja: Sie haben ein Hochrisiko-KI-Medizinprodukt (MDAI). Diese Einschätzung gehört in die Technische Dokumentation — schriftlich, begründet, aktuell. Nicht als Fußnote, sondern als regulatorische Grundlage.

2. Gap-Analyse durchführen

Data Governance, Transparenz, Human Oversight, QMS-Erweiterung. Wo bestehen heute Lücken? Welche Prozesse, welche Dokumentation, welche technischen Maßnahmen fehlen? Diese Analyse ist der Ausgangspunkt für jede realistische Zeitplanung — und die meisten Hersteller sind überrascht, wie viel dabei zum Vorschein kommt.

3. Fristen intern verankern

Der 2. August 2028 ist näher, als er wirkt. Planen Sie rückwärts: Konformitätsbewertung, interne Audits, Dokumentationsanpassungen — das braucht Vorlaufzeit, zumal die Benannten Stellen schon heute ausgelastet sind. Wer jetzt anfängt, hat noch die Wahl zwischen verschiedenen Wegen. Wer wartet, hat nur noch einen.

VIII. Fazit

Wer die MDR gemeistert hat, hat das Fundament. Der AI Act baut darauf auf — aber er verlangt echte inhaltliche Erweiterungen, besonders bei Datentransparenz, Erklärbarkeit und Modell-Governance. Das sind keine Formalitäten. Das sind operative Eingriffe in Ihre Produktentwicklung.

Was mich an diesem Thema antreibt: Es geht nicht nur um Compliance. Es geht darum, KI in der Medizin so zu entwickeln, dass sie klinisch vertrauenswürdig ist — nicht nur auf dem Papier, sondern in der Praxis. Der AI Act zwingt zu einer Qualität, die ohnehin geboten wäre. Das ist unbequem. Und es ist richtig.

Wer bis Ende 2026 keine strukturierte Integration begonnen hat, wird 2027 unter Zeitdruck regulatorische Qualität verlieren. Das ist vermeidbar — aber nur, wenn man jetzt handelt.

Was MARKSEN Company in diesem Kontext leistet

MARKSEN Company begleitet MedTech-Hersteller und Softwareentwickler im Gesundheitswesen an der Schnittstelle von MDR, AI Act und digitalem Gesundheitsrecht — nicht als Dokumentenlieferant, sondern als regulatorischer Sparringspartner, der versteht, wie Produktentwicklung tatsächlich funktioniert.

In der Praxis bedeutet das: Gap-Analysen, die nicht beim Offensichtlichen stehen bleiben. Technische Dokumentation, die Audits standhält. QMS-Erweiterungen, die in bestehende Strukturen passen. Und die Fähigkeit, regulatorische Komplexität in klare Handlungslogik zu übersetzen — für Regulatory-Teams ebenso wie für Geschäftsführung und Investoren.

Wenn Sie wissen wollen, wo Ihr Produkt heute steht und was Sie bis August 2028 konkret tun müssen: Das lässt sich klären. Ein erstes Gespräch zeigt schnell, ob und wie ich helfen kann.

Quellen

1. Verordnung (EU) 2024/1689 des Europäischen Parlaments und des Rates vom 13. Juni 2024 (Verordnung über künstliche Intelligenz, AI Act), insbesondere Art. 6, 10, 13, 14, 17, 74, 99 und 113
2. Verordnung (EU) 2026/1744 des Europäischen Parlaments und des Rates vom 8. Juli 2026 zur Änderung der Verordnungen (EU) 2024/1689, (EU) 2018/1139 und (EU) 2023/1230 (Digital-Omnibus-Verordnung zur künstlichen Intelligenz), ABl. L vom 24. Juli 2026, in Kraft seit 27. Juli 2026
3. Verordnung (EU) 2017/745 des Europäischen Parlaments und des Rates vom 5. April 2017 über Medizinprodukte (MDR)
4. Gesetz zur Marktüberwachung und Innovationsförderung von künstlicher Intelligenz (KI-MIG), BGBl. 2026 I Nr. 223, in Kraft seit 29. Juli 2026
5. Medizinprodukte-Durchführungsgesetz (MPDG)
6. MDCG 2025-6 / AIB 2025-1, Leitlinie der Europäischen Kommission zum Zusammenspiel von MDR/IVDR und KI-Verordnung (Juni 2025)

Marksen Ouahes ist Volljurist und Gründer von MARKSEN Company. MARKSEN Company berät MedTech-Hersteller und Softwareentwickler im Gesundheitswesen zu regulatorischen Anforderungen an der Schnittstelle von MDR, AI Act und digitalem Gesundheitsrecht. Dieser Artikel dient der allgemeinen Information und stellt keine Rechtsberatung im Einzelfall dar.