KI im Gesundheitswesen: KI-Verordnung und Medizinprodukteverordnung (MDR)

Kurze Antwort: KI im Gesundheitswesen fällt oft unter zwei Regime zugleich. Ist die KI ein Medizinprodukt (oder Teil davon), gilt die Medizinprodukteverordnung (MDR) mit CE-Kennzeichnung. Zugleich ist KI, die als Sicherheitskomponente in einem solchen regulierten Produkt steckt, Hochrisiko nach der KI-Verordnung (Art. 6, Anhang I). Der Gesetzgeber versucht, die Konformitätsbewertung aufeinander abzustimmen, damit Sie nicht zweimal dasselbe tun müssen. Und Gesundheitsdaten sind besondere personenbezogene Daten nach der DSGVO.

Die doppelte Einstufung

Viele Gesundheits-KI — diagnostische Bilderkennung, Triage-Unterstützung, Entscheidungsunterstützung — ist ein Medizinprodukt nach der MDR (oder IVDR für In-vitro-Diagnostik) und muss daher ohnehin eine Konformitätsbewertung und CE-Kennzeichnung durchlaufen. Die KI-Verordnung fügt dem eine Schicht hinzu: Steckt KI als Sicherheitskomponente darin, qualifiziert sich das System als Hochrisiko (Anhang I). Sie haben es dann mit den Anforderungen beider Verordnungen zu tun.

Wie die beiden ineinandergreifen

Die KI-Verordnung ist bewusst so gestaltet, dass sie auf der bestehenden Produktgesetzgebung aufbaut. Wo möglich, wird die KI-Konformitätsbewertung in die bestehende MDR-Route integriert, über dieselbe benannte Stelle (notified body), um Doppelarbeit zu begrenzen. Die schwersten Hochrisikopflichten für KI in regulierten Produkten (Anhang I) gelten zudem gestuft — später als die eigenständigen Anhang-III-Systeme. Siehe die Übersicht der Hochrisikopflichten und die Konformitätsbewertung.

Auch Anhang III und die DSGVO

Nicht jede Gesundheits-KI ist ein Medizinprodukt. KI, die den Zugang zu Gesundheits- oder Notdiensten bestimmt (etwa Triage), kann als eigenständiges Hochrisikosystem unter Anhang III fallen. Und jede Gesundheits-KI verarbeitet Gesundheitsdaten — besondere personenbezogene Daten nach Artikel 9 DSGVO, mit einem strengen Schutzregime.

Was zu tun ist

• Bestimmen Sie die Einstufung: Ist es ein Medizinprodukt (MDR/IVDR), ein Anhang-III-System oder beides?
• Kombinieren Sie die Konformitätswege — lassen Sie die Anforderungen der KI-Verordnung wo möglich in der MDR-Bewertung mitlaufen.
• Sichern Sie menschliche Aufsicht und klinische Validierung.
• Regeln Sie die DSGVO-Rechtsgrundlage für Gesundheitsdaten und führen Sie eine Datenschutz-Folgenabschätzung (DSFA) durch.
• Verfolgen Sie die gestuften Daten für Anhang-I-Produkte.

Gesundheits-KI ist vielleicht die schärfste Schnittstelle der KI-Verordnung mit sektoraler Gesetzgebung: zwei Regime, ein System. Wer die MDR-Route bereits kennt, baut die Anforderungen der KI-Verordnung am klügsten darauf auf — nicht daneben.