Gilt der EU AI Act für mein KI-System und welche Pflichten habe ich neben MDR, IVDR und GMP?

Der EU AI Act (Verordnung (EU) 2024/1689) ist seit August 2024 in Kraft und führt für KI in Medizinprodukten, IVD und GxP-Prozessen eine zweite Compliance-Ebene neben MDR und IVDR ein. Die Pflichten richten sich nach der Risikoklasse.

• Einstufung als Hochrisiko-KI: KI als Sicherheitskomponente oder als Produkt, das nach MDR oder IVDR einer Konformitätsbewertung durch eine Benannte Stelle unterliegt, gilt über Art. 6 Abs. 1 als Hochrisiko-KI. Anhang III (Art. 6 Abs. 2) erfasst zusätzlich KI in bestimmten Anwendungsfällen unabhängig vom Produktrecht. Die Risikoklasse muss zuerst bestimmt und dokumentiert werden, bevor sich der Pflichtenumfang ableiten lässt.
• Pflichten für Hochrisiko-KI nach Art. 8 bis 15: kontinuierliches Risikomanagement (Art. 9), Daten-Governance mit Nachweis zu Repräsentativität und Bias (Art. 10), technische Dokumentation nach Art. 11 und Anhang IV, menschliche Aufsicht (Art. 14) sowie Genauigkeit, Robustheit und Cybersicherheit (Art. 15).
• Parallelität zu MDR (EU 2017/745) und IVDR (EU 2017/746): Software as Medical Device unterliegt beiden Rahmen gleichzeitig. Die AI-Act-Anforderungen müssen in die bestehende technische Dokumentation und das QMS integriert werden, statt einen zweiten Dokumentensatz zu führen.
• KI in GxP-Prozessen: Für KI in der Pharmaproduktion, Qualitätskontrolle und in Laborsystemen adressiert der EU-GMP-Annex-22-Entwurf (Konsultation 2025) eine zusätzliche Ebene über Annex 11, etwa Modellüberwachung und KI-spezifisches Change Control. Der Annex ist noch nicht final; die Anforderungen sollten frühzeitig mitgedacht werden.