EU AI Act Gesundheitswesen Compliance: Vollständiger Leitfaden für Softwareentwicklung 2026

EU AI Act Gesundheitswesen Compliance: Vollständiger Leitfaden für Softwareentwicklung 2026

Die Compliance-Anforderungen des EU AI Act für das Gesundheitswesen stellen den umfassendsten jemals erlassenen KI-Regulierungsrahmen dar, und Gesundheitssoftware steht dabei im Zentrum. Der EU AI Act (Verordnung (EU) 2024/1689), der am 1. August 2024 in Kraft getreten ist, klassifiziert die meisten KI-Systeme im Gesundheitswesen als „Hochrisiko" und unterwirft sie detaillierten Anforderungen an Daten-Governance, Transparenz, menschliche Aufsicht und technische Dokumentation. Für Gesundheitssoftware-Entwicklungsunternehmen, die KI auf europäischen Märkten entwickeln oder einsetzen, ist das Verständnis dieser Verordnung keine Option mehr — es ist eine Voraussetzung für den Marktzugang.

Dieser Leitfaden bietet eine systematische Durcharbeitung der gesundheitsspezifischen Bestimmungen des EU AI Act, des Implementierungszeitplans und der praktischen Schritte, die Softwareentwicklungsteams unternehmen müssen, um die Compliance zu erreichen und aufrechtzuerhalten.

Hochrisiko-Klassifizierung für Gesundheits-KI

Anhang III und KI-Systeme im Gesundheitswesen

Der EU AI Act klassifiziert KI-Systeme in vier Risikostufen: unannehmbares Risiko (verboten), Hochrisiko, begrenztes Risiko und minimales Risiko. KI-Systeme im Gesundheitswesen fallen überwiegend in die Hochrisiko-Kategorie. Anhang III der Verordnung identifiziert explizit mehrere für die Gesundheitssoftware-Entwicklung relevante Kategorien.

KI-Systeme, die als Sicherheitskomponenten von Medizinprodukten verwendet werden sollen, oder KI-Systeme, die selbst Medizinprodukte im Sinne der Medizinprodukteverordnung (EU MDR 2017/745) oder der In-vitro-Diagnostika-Verordnung (EU IVDR 2017/746) sind, werden standardmäßig als Hochrisiko eingestuft. Das bedeutet, dass jedes KI-System, das für klinische Entscheidungsunterstützung, Diagnosehilfe, Prognosemodellierung, Behandlungsempfehlung oder Patientenüberwachung vorgesehen ist, unter die Hochrisiko-Klassifizierung fällt, wenn es als Medizinprodukt gemäß EU MDR qualifiziert ist.

Die praktische Auswirkung ist erheblich. Während in den USA das SaMD-Framework der FDA einen gestuften Ansatz bietet, bei dem einige KI-gestützte klinische Werkzeuge unterhalb der Schwelle für regulatorische Prüfung fallen können, schafft der EU AI Act eine breite Hochrisiko-Klassifizierung, die praktisch alle KI-Systeme erfasst, die in klinischen Umgebungen eingesetzt werden. Gesundheitssoftware-Unternehmen müssen die Hochrisiko-Compliance als Ausgangsprämisse für jedes KI-Produkt planen, das auf den EU-Markt abzielt.

Über Medizinprodukte hinaus: Weitere Hochrisiko-Kategorien

Die Hochrisiko-Klassifizierung des EU AI Act erstreckt sich über Medizinprodukte hinaus. KI-Systeme, die zur Bestimmung des Zugangs zu Gesundheitsdienstleistungen, zur Bewertung der Berechtigung für Krankenversicherungsleistungen oder zur Priorisierung der Notfallversorgung eingesetzt werden, werden ebenfalls als Hochrisiko gemäß Anhang III, Punkt 5 eingestuft. Dieser erweiterte Anwendungsbereich erfasst KI-Werkzeuge, die möglicherweise nicht als Medizinprodukte gemäß EU MDR qualifiziert sind, aber dennoch in Gesundheitskontexten mit erheblichen Auswirkungen auf das Patientenwohl eingesetzt werden.

Für Gesundheitssoftware-Entwicklungsunternehmen bedeutet dieser erweiterte Anwendungsbereich, dass KI-Systeme, die im Krankenhausbetrieb eingesetzt werden — Patienten-Triage-Algorithmen, Ressourcenallokationsoptimierung, Personalmodelle, die die Versorgung beeinflussen — Hochrisiko-Anforderungen auslösen können, selbst wenn es sich nicht um klinische Entscheidungsunterstützungswerkzeuge im traditionellen Sinne handelt.

Technische Dokumentationsanforderungen nach Artikel 11

Was der EU AI Act verlangt

Artikel 11 des EU AI Act verpflichtet Anbieter von Hochrisiko-KI-Systemen, eine umfassende technische Dokumentation zu führen, die die Einhaltung der Anforderungen der Verordnung nachweist. Die Dokumentation muss erstellt werden, bevor das KI-System in Verkehr gebracht oder in Betrieb genommen wird, und muss während des gesamten Lebenszyklus des Systems aktuell gehalten werden.

Die erforderliche Dokumentation umfasst folgende Bereiche: Eine allgemeine Beschreibung des KI-Systems, einschließlich seines Verwendungszwecks, des Nutzerprofils (Deployer) und der spezifischen Versionen von Hardware und Software, von denen das System abhängt. Eine detaillierte Beschreibung der Elemente des KI-Systems und des Prozesses seiner Entwicklung, einschließlich Designspezifikationen, Systemarchitektur, Datenanforderungen, Trainingsmethoden, verwendeter Rechenressourcen und wichtiger Designentscheidungen mit Begründung.

Der Abschnitt zur Daten-Governance erfordert die Dokumentation von Trainings-, Validierungs- und Testdatensätzen, einschließlich Datenerfassungsprozessen, Datenaufbereitungsoperationen (Annotation, Labeling, Bereinigung, Anreicherung), Datenherkunft, demographischen und relevanten Merkmalen, Identifizierung von Datenlücken oder Defiziten sowie Maßnahmen zur Erkennung und Behebung von Verzerrungen.

Die Dokumentation der Leistungsmetriken muss eine Beschreibung der verwendeten Metriken zur Messung der Systemleistung, Genauigkeit, Robustheit und Cybersicherheit enthalten, zusammen mit den Testverfahren und Validierungsergebnissen. Die Dokumentation muss auch die Leistung des Systems über verschiedene Untergruppen der Bevölkerung hinweg beschreiben, insbesondere wenn der Verwendungszweck des Systems natürliche Personen betrifft.

Praktische Dokumentationsstrategie

Gesundheitssoftware-Unternehmen sollten ein Dokumentationsframework etablieren, das erforderliche Informationen als Nebenprodukt des Entwicklungsprozesses erfasst, anstatt zu versuchen, Dokumentation nachträglich zu rekonstruieren. Das bedeutet die Implementierung von strukturiertem Experiment-Tracking (mit Werkzeugen wie MLflow, Weights and Biases oder ähnlichen Plattformen), das Trainingskonfigurationen, Datensatzversionen, Modellarchitekturen und Evaluierungsergebnisse automatisch aufzeichnet. Es bedeutet die Pflege einer lebenden Design-Historie, die Designentscheidungen und ihre Begründungen in Echtzeit festhält. Und es bedeutet die Etablierung von Daten-Lineage-Tracking, das Datensätze von ihren klinischen Quellen über alle Transformations- und Kurationschritte bis hin zu ihrer Verwendung im Modelltraining verfolgt.

Der Dokumentationsaufwand ist erheblich, unterscheidet sich aber grundsätzlich nicht von den Anforderungen an die Design-History-Datei, die Medizinproduktunternehmen unter EU MDR und ISO 13485 seit Jahren erfüllen. Gesundheitssoftware-Unternehmen mit bestehender Erfahrung in der Medizinproduktentwicklung haben hier einen bedeutenden Vorteil.

Qualitätsmanagementsysteme

ISO-13485-Ausrichtung

Der EU AI Act verpflichtet Anbieter von Hochrisiko-KI-Systemen zur Implementierung eines Qualitätsmanagementsystems (QMS), das die spezifischen Risiken und Anforderungen von KI adressiert. Für KI-Systeme im Gesundheitswesen, die auch als Medizinprodukte qualifiziert sind, muss dieses QMS sowohl die Anforderungen des EU AI Act als auch die ISO-13485-Anforderungen der EU MDR erfüllen.

Die QMS-Anforderungen des AI Act fügen dem Standard-ISO-13485-Framework mehrere KI-spezifische Elemente hinzu. Dazu gehören eine Strategie zur regulatorischen Compliance, einschließlich Konformitätsbewertungsverfahren und Verfahren zur Verwaltung von Änderungen am KI-System. Techniken, Verfahren und systematische Maßnahmen für das Design, die Designkontrolle und die Designverifikation des KI-Systems. Techniken, Verfahren und systematische Maßnahmen für die Entwicklung, Qualitätskontrolle und Qualitätssicherung des KI-Systems, einschließlich Datenmanagement und Daten-Governance. Risikomanagementverfahren gemäß Artikel 9, der KI-spezifische Risiken wie Verzerrung, Opazität und übermäßiges Vertrauen auf KI-Outputs speziell adressiert.

Aufbau eines KI-spezifischen QMS

Gesundheitssoftware-Entwicklungsunternehmen, die KI-Systeme für den EU-Markt entwickeln, sollten ihre KI-Qualitätsmanagementprozesse in ihr bestehendes Medizinprodukt-QMS integrieren, anstatt parallele Systeme zu pflegen. Die Integrationspunkte sind natürlich: Designkontrollprozesse sollten das KI-Modelldesign umfassen (einschließlich Trainingsdatendesign, Architekturauswahl und Hyperparameter-Optimierung), Verifikation und Validierung sollten KI-spezifische Tests umfassen (Adversarial Robustness, Bias-Tests, Leistung über Untergruppen hinweg), und die Post-Market-Überwachung sollte die an anderer Stelle in diesem Leitfaden beschriebenen Anforderungen an die KI-Leistungsüberwachung einbeziehen.

Konformitätsbewertungsverfahren

Selbstbewertung vs. Einbeziehung einer Benannten Stelle

Der Konformitätsbewertungsweg für KI-Systeme im Gesundheitswesen hängt von der doppelten Klassifizierung sowohl unter dem EU AI Act als auch der EU MDR ab. Für KI-Systeme, die Klasse-I-Medizinprodukte gemäß EU MDR sind (und keiner Überprüfung durch eine Benannte Stelle gemäß MDR unterliegen), erlaubt der EU AI Act eine Selbstbewertung durch eine interne Konformitätsbewertung auf Grundlage von Anhang VI. Der Anbieter führt die Bewertung eigenständig durch, dokumentiert die Konformität, gibt eine Konformitätserklärung ab und bringt das CE-Kennzeichen an.

Für KI-Systeme, die Klasse-IIa-, IIb- oder III-Medizinprodukte gemäß EU MDR sind (was die meisten klinischen KI-Systeme betrifft), muss die Konformitätsbewertung eine Benannte Stelle einbeziehen. In der Praxis bedeutet dies, dass die Benannte Stelle, die das Medizinprodukt prüft, auch die Einhaltung der Hochrisiko-Anforderungen des EU AI Act bewertet. Gesundheitssoftware-Unternehmen sollten frühzeitig mit ihrer Benannten Stelle in Kontakt treten, um zu verstehen, wie diese die AI-Act-Bewertungen in den bestehenden EU-MDR-Konformitätsbewertungsprozess integrieren wird.

Praktische Überlegungen

Die Kapazität der Benannten Stellen ist ein erhebliches praktisches Problem. Die Anzahl der unter der EU MDR benannten Stellen bleibt begrenzt, und die Hinzufügung von Bewertungsverantwortlichkeiten im Rahmen des EU AI Act wird ihre Arbeitsbelastung weiter erhöhen. Gesundheitssoftware-Unternehmen sollten die Zusammenarbeit mit Benannten Stellen weit im Voraus ihrer geplanten Markteinführung beginnen und längere Überprüfungszeiträume einplanen als bei historischen reinen MDR-Bewertungen.

Regulatorische Sandboxes

Was sie sind

Der EU AI Act schreibt vor, dass die Mitgliedstaaten regulatorische KI-Sandboxes einrichten — kontrollierte Umgebungen, in denen KI-Systeme unter regulatorischer Aufsicht entwickelt, getestet und validiert werden können, bevor sie in Verkehr gebracht werden. Sandboxes bieten Gesundheitssoftware-Unternehmen einen strukturierten Kanal, um während des Entwicklungsprozesses mit Regulierungsbehörden in Kontakt zu treten, Compliance-Ansätze zu testen und Feedback zu neuartigen KI-Anwendungen zu erhalten, die möglicherweise nicht in bestehende regulatorische Kategorien passen.

Wie man sich bewirbt

Anträge auf Teilnahme an einer regulatorischen Sandbox werden bei der von jedem Mitgliedstaat benannten zuständigen nationalen Behörde eingereicht. Die Auswahlkriterien priorisieren typischerweise KI-Systeme, die bedeutende öffentliche Interessen adressieren (wobei das Gesundheitswesen ein Paradebeispiel ist), neuartige technologische Ansätze beinhalten und ein echtes Engagement für regulatorische Compliance zeigen. Gesundheitssoftware-Unternehmen, die sich für eine Sandbox-Teilnahme bewerben, sollten einen detaillierten Innovationsplan vorbereiten, der den Verwendungszweck des KI-Systems, die spezifischen regulatorischen Fragen, die die Sandbox-Teilnahme klären soll, und die vorgeschlagene Testmethodik beschreibt.

Stand Anfang 2026 haben mehrere Mitgliedstaaten — darunter Spanien, die Niederlande, Frankreich und Deutschland — KI-regulatorische Sandboxes eingerichtet oder angekündigt. Die praktischen Erfahrungen der ersten Sandbox-Teilnehmer deuten darauf hin, dass der primäre Wert nicht in regulatorischer Nachsicht liegt, sondern im strukturierten Dialog: der Möglichkeit, Compliance-Interpretationen mit Regulierungsbehörden zu testen, bevor irreversible architektonische oder geschäftliche Entscheidungen getroffen werden.

Zusammenspiel mit der EU MDR

Doppelte Compliance-Anforderungen

KI-Systeme im Gesundheitswesen, die als Medizinprodukte qualifiziert sind, müssen sowohl den EU AI Act als auch die Medizinprodukteverordnung (EU MDR 2017/745) einhalten. Der EU AI Act adressiert diese Überschneidung explizit in Artikel 6(1), der besagt, dass KI-Systeme, die Sicherheitskomponenten von Medizinprodukten sind oder selbst Medizinprodukte darstellen, als Hochrisiko eingestuft werden und die Anforderungen des AI Act zusätzlich zu den EU-MDR-Anforderungen erfüllen müssen.

Die praktische Herausforderung ist die Abstimmung. Die Anforderungen des EU AI Act an Daten-Governance, Transparenz und menschliche Aufsicht sind grundsätzlich mit den wesentlichen Anforderungen der EU MDR vereinbar, werden aber auf einer anderen Detailebene spezifiziert und verwenden unterschiedliche Terminologie. Gesundheitssoftware-Unternehmen müssen Compliance-Matrizen entwickeln, die die Anforderungen des EU AI Act den wesentlichen Anforderungen der EU MDR gegenüberstellen, Lücken identifizieren und sicherstellen, dass ihre technische Dokumentation und ihre Qualitätsmanagementsysteme beide Anforderungskataloge ohne Dopplung oder Widerspruch adressieren.

Wo sich die Anforderungen gegenseitig verstärken

In mehreren wichtigen Bereichen verstärken sich die Anforderungen des EU AI Act und der EU MDR gegenseitig. Beide erfordern Risikomanagement über den gesamten Produktlebenszyklus. Beide schreiben Post-Market-Überwachung mit aktiver Kontrolle vor. Beide verlangen umfassende technische Dokumentation. Und beide betonen die Bedeutung klinischer Bewertung und Real-World-Leistungsdaten. Gesundheitssoftware-Unternehmen, die bereits robuste EU-MDR-Compliance-Prozesse aufgebaut haben, werden feststellen, dass der zusätzliche Aufwand für die EU-AI-Act-Compliance beherrschbar ist, wenn auch nicht trivial.

Implementierungszeitplan

Wichtige Termine

Die Implementierung des EU AI Act folgt einem gestaffelten Zeitplan, den Gesundheitssoftware-Unternehmen sorgfältig verfolgen müssen.

Der 2. Februar 2025 markierte das Inkrafttreten der Verbote inakzeptabler KI-Praktiken (Artikel 5). Obwohl die meisten KI-Systeme im Gesundheitswesen von diesen Verboten nicht betroffen sind, sollten Gesundheitssoftware-Unternehmen überprüfen, dass keine ihrer KI-Anwendungen verbotene Praktiken wie unterschwellige Manipulation oder Echtzeit-biometrische Fernidentifizierung im öffentlichen Raum beinhaltet.

Der 2. August 2025 markierte das Inkrafttreten der Verpflichtungen für General Purpose AI (GPAI)-Modelle. Gesundheitssoftware-Unternehmen, die Foundation Models (einschließlich Large Language Models) als Komponenten ihrer Gesundheits-KI-Systeme verwenden, müssen sicherstellen, dass die GPAI-Modellanbieter die Transparenz- und Dokumentationsanforderungen von Kapitel V einhalten.

Der 2. August 2026 ist das entscheidende Datum für die Compliance von Hochrisiko-KI-Systemen. Ab diesem Datum müssen alle Hochrisiko-KI-Systeme — einschließlich praktisch aller KI-Systeme im Gesundheitswesen — die vollständigen Anforderungen des EU AI Act erfüllen, einschließlich technischer Dokumentation, QMS, Konformitätsbewertung und Post-Market-Monitoring. Gesundheitssoftware-Unternehmen, die nach diesem Datum neue KI-Produkte auf dem EU-Markt einführen, müssen die vollständige Compliance nachweisen.

Der 2. August 2027 markiert die verlängerte Compliance-Frist für Hochrisiko-KI-Systeme, die Bestandteile großer IT-Systeme sind, die durch bestimmte EU-Rechtsakte etabliert wurden. Die meisten KI-Systeme im Gesundheitswesen werden von dieser Verlängerung nicht profitieren.

Planung für August 2026

Gesundheitssoftware-Entwicklungsteams, die den Stichtag August 2026 anstreben, sollten Anfang 2026 bereits weit in ihrer Compliance-Vorbereitung fortgeschritten sein. Zu den Schlüsselaktivitäten gehören die Durchführung der Gap-Analyse zwischen aktuellen Praktiken und EU-AI-Act-Anforderungen, die Implementierung oder Aktualisierung von QMS-Prozessen für KI-spezifische Anforderungen, die Erstellung technischer Dokumentationspakete, die Einbindung Benannter Stellen für die Planung der Konformitätsbewertung sowie die Durchführung von Bias- und Fairness-Bewertungen über relevante Bevölkerungsuntergruppen hinweg.

Warum der EU AI Act Nachfrage nach spezialisierter Gesundheitssoftware-Entwicklung schafft

Die Compliance-Anforderungen des EU AI Act sind anspruchsvoll, gesundheitsspezifisch und technisch fordernd. Allgemeine KI-Entwicklungsfirmen verfügen typischerweise nicht über die nötige Erfahrung in der Medizinproduktregulierung, die Expertise in klinischer Daten-Governance und die EU-MDR-Vertrautheit, um die kombinierte EU-AI-Act- und EU-MDR-Compliance-Landschaft effizient zu navigieren.

Dies schafft eine erhebliche Nachfrage nach Gesundheitssoftware-Entwicklungsunternehmen, die KI-Engineering-Fähigkeiten mit Expertise in der Medizinproduktregulierung und Erfahrung auf dem EU-Markt kombinieren. Die besten Gesundheitssoftware-Entwicklungsunternehmen bauen die EU-AI-Act-Compliance bereits in ihre Entwicklungsmethoden ein und positionieren sich als unverzichtbare Partner für Gesundheitsorganisationen, die in europäische Märkte eintreten oder dort expandieren.

Für Teams, die auch US-Regulierungsanforderungen verwalten, bietet der Leitfaden zur HIPAA-konformen KI-Entwicklung den ergänzenden Datenschutzrahmen, der für transatlantische Gesundheits-KI-Deployments benötigt wird. Die Organisationen, die in der Umgebung nach August 2026 erfolgreich sein werden, sind diejenigen, die regulatorische Compliance nicht als Belastung, sondern als Wettbewerbsvorteil betrachten — einen, den spezialisierte Gesundheitssoftware-Unternehmen am besten aufbauen können.

Veröffentlicht am 27. Februar 2026 · SectorPunk Research