Regulatorische Überschneidungen in der Medizintechnik: MDR/IVDR, AI Act und Datenschutz im Fokus
Die Integration künstlicher Intelligenz (KI) in Medizinprodukte eröffnet neue Möglichkeiten – stellt die Hersteller jedoch auch vor komplexe regulatorische Herausforderungen. Mit dem AI Act der Europäischen Union entsteht ein weiteres Regulierungsinstrument, das zusätzlich zu den bereits geltenden Vorgaben der MDR (Medical Device Regulation) und der IVDR (In-vitro-Diagnostic Regulation) sowie der Datenschutz-Grundverordnung (DSGVO) beachtet werden muss.
In der Praxis ergibt sich daraus ein komplexes Zusammenspiel dreier Regelwerke, das eine sorgfältige strategische und operative Vorgehensweise erfordert.
MDR/IVDR: Regulatorische Grundlage für Medizinprodukte
Die MDR (EU 2017/745) und die IVDR (EU 2017/746) bilden den rechtlichen Rahmen für Medizinprodukte bzw. In-vitro-Diagnostika in der EU. Auch Medizinprodukte mit integrierter KI müssen diesen Vorgaben uneingeschränkt entsprechen. Die wichtigsten Anforderungen betreffen:
-
Die klinische Bewertung und Leistungsbewertung
-
Die Risikoklassifizierung, insbesondere bei selbstlernenden Algorithmen
-
Die Softwarevalidierung unter Berücksichtigung aktueller Normen (z. B. IEC 62304, ISO 14971)
Gerade bei KI-basierten Produkten stellt sich regelmäßig die Frage, ob es sich um ein „festgelegtes Verhalten“ handelt oder ob die KI selbstständig neue Entscheidungslogiken entwickelt. Letzteres kann direkte Auswirkungen auf die Klassifizierung und die Zulassung haben.
KI-Gesetz: Neue Anforderungen an KI-Systeme
Mit dem Entwurf des AI Act schafft die EU erstmals ein eigenständiges Regelwerk zur Regulierung künstlicher Intelligenz. Medizinprodukte mit KI zählen in der Regel zu den sogenannten „Hochrisiko-KI-Systemen“ und unterliegen damit einer Reihe zusätzlicher Verpflichtungen.
Zu den zentralen Anforderungen des AI Act gehören:
-
Strenge Anforderungen an die Transparenz: Die Funktionsweise der KI muss nachvollziehbar sein.
-
Datensätze und Trainingsdaten müssen qualitativ hochwertig und repräsentativ sein.
-
Es müssen Mechanismen für eine menschliche Kontrolle automatisierter Entscheidungen vorhanden sein.
-
Hersteller müssen ein KI-spezifisches Risikomanagement einführen.
Diese Anforderungen überschneiden sich teilweise mit bestehenden MDR-Vorgaben, führen aber auch zu neuen Bewertungs- und Nachweispflichten – etwa in Bezug auf Verzerrungen, Nachvollziehbarkeit oder systemische Risiken der KI.
Datenschutz: Die Anforderungen der DSGVO bleiben bestehen
Neben der MDR/IVDR und dem AI Act gilt die Datenschutz-Grundverordnung (DSGVO) weiterhin in vollem Umfang – insbesondere da KI-basierte Systeme häufig auf sensiblen Gesundheitsdaten beruhen.
Für Hersteller von Medizintechnik gilt:
-
„Privacy by Design“ muss von Anfang an in die Entwicklung integriert sein.
-
Die Verarbeitung personenbezogener Daten erfordert eine klare Rechtsgrundlage, meist in Form einer informierten Einwilligung.
-
Automatisierte Entscheidungen mit rechtlichen oder ähnlichen Auswirkungen sind besonders kritisch (Art. 22 DSGVO).
Zudem besteht bei der Verwendung von Trainingsdaten die Gefahr, dass Rückschlüsse auf einzelne Personen gezogen werden können. Hersteller müssen durch geeignete technische und organisatorische Maßnahmen sicherstellen, dass die Datenverarbeitung im Einklang mit der DSGVO erfolgt.
Herausforderungen durch sich überschneidende Vorschriften
Die gleichzeitige Anwendung von MDR/IVDR, AI-Gesetz und DSGVO kann zu inhaltlichen und verfahrensrechtlichen Überschneidungen führen – mit potenziellen Zielkonflikten:
-
Die MDR fordert eine hohe Leistungsfähigkeit und Zweckbestimmung des Produkts, während der AI Act die erklärbare Funktion und Nachvollziehbarkeit in den Vordergrund stellt.
-
KI-basierte Systeme können ihre Logik dynamisch anpassen, was die Validierung gemäß MDR erschwert.
-
Gleichzeitig stellt die DSGVO strenge Anforderungen an die Einwilligung und Transparenz bei der Datenverarbeitung – Anforderungen, die sich teilweise nur schwer mit selbstlernenden Systemen vereinbaren lassen.
Wie DeviceMed analysiert, stellt sich in der Praxis oft die Frage, welcher Rechtsrahmen „Vorrang hat“. Eine klare gesetzliche Hierarchie gibt es nicht – daher ist es Aufgabe des Herstellers, die Anforderungen in einem konsistenten, dokumentierten Gesamtsystem abzubilden.
Was Hersteller jetzt tun sollten
-
Frühzeitige Einbindung des AI Act: Anforderungen an KI sollten bereits in der frühen Entwicklungsphase berücksichtigt werden.
-
Ganzheitlicher Ansatz im Qualitätsmanagement: Die regulatorischen Anforderungen aus MDR/IVDR, AI Act und DSGVO müssen im Qualitätsmanagementsystem (QMS) einheitlich abgebildet werden.
-
Interdisziplinäre Teams: Die Integration von Datenschutz, Technik, klinischer Bewertung und regulatorischen Anforderungen sollte nicht getrennt, sondern im Dialog erfolgen.
-
Dokumentationsstrategie überdenken: Unternehmen sollten prüfen, wie sie ihre technische Dokumentation strukturieren, um eine Mehrfachnutzung für verschiedene regulatorische Anforderungen zu ermöglichen.
Fazit: Die regulatorische Widerstandsfähigkeit stärken
Das Zusammenspiel von MDR/IVDR, AI Act und DSGVO erfordert von Medizintechnikherstellern ein hohes Maß an regulatorischer Widerstandsfähigkeit, strategischem Denken und technischer Exzellenz. Unternehmen, die frühzeitig integrierte Compliance-Strategien entwickeln und ihre Prozesse entsprechend ausrichten, sichern sich klare Vorteile beim Marktzugang und im internationalen Wettbewerb.
MEDAGENT unterstützt Hersteller bei der sicheren und vorschriftsmäßigen Integration von KI in Medizinprodukte – von der Strategie bis zur konkreten Umsetzung im Qualitätsmanagement.
Bei Fragen rund um die MDR, das AI-Gesetz oder den Datenschutz stehen Ihnen unsere Expertenteams gerne zur Verfügung.
