Medizinprodukte-Hersteller: AI Act, Data Act & DSGVO-Pflichten

Medizinprodukte-Hersteller mit KI sind hochriskant nach Anhang I AI Act (KI als Sicherheitskomponente oder selbstständiges Medizinprodukt nach MDR) PLUS MDR. KI wird zum Medizinprodukt, wenn sie medizinischen Zweck hat (Diagnose, Prävention, Überwachung, Behandlung, Linderung von Krankheit — Art. 2 MDR). Beispiele: KI-gestützte Bildgebung (Tumor-Erkennung im MRT), EKG-KI (AFib-Erkennung), Diagnostik-KI (Hautkrebs-Screening), Patientenüberwachung (Sturzerkennung), Therapie-Unterstützung (Dosis-Berechnung). Pflichtenbündel: Art. 8–15 (Risikomanagement, Daten-Governance, technische Dokumentation, Aufzeichnung, Transparenz, menschliche Aufsicht, Genauigkeit/Robustheit/Cybersecurity, QMS) PLUS MDR (klinische Bewertung, Risikoklassifizierung, benannte Stelle, CE, Vigilanz).

Praktisch: (1) Doppelte CE — notifizierte Stelle prüft MDR + AI Act, CE deckt beide Regime (Art. 47 Abs. 2–4); (2) klinische Bewertung nach MDR (klinische Daten, Performance, Sicherheit) PLUS AI-Act-Risikoanalyse/-Tests (Bias an Patientenkohorten, Robustheit, Cybersecurity); (3) kontinuierliches Lernen — Updates nach Art. 12 aufzeichnen, Konformität erhalten; (4) menschliche ärztliche Letztverantwortung (Art. 14) — KI unterstützt Ärztin/Arzt, entscheidet nicht; (5) Vigilanz (MDR) PLUS Vorfallsmeldung (AI Act Art. 73) — kumulierte Meldungen an BfArM/PEI und Marktüberwachung; (6) DSGVO Art. 9 (Gesundheitsdaten — Verarbeitung nur unter engen Ausnahmen, Einwilligung/Gesundheitsfürsorge, DSFA); (7) Berufsrecht (ärztliche Schweigepflicht, ärztliche Verantwortung), SGB V/Versorgungsrecht (Erstattung). Aufsichtlich: BfArM/PEI (DE, Medizinprodukte-Sicherheit), Marktüberwachungsbehörden (AI Act), AI Office bei grenzüberschreitend. Die Kombination MDR + AI Act + DSGVO ist komplex — spezialisierte Medizinprodukte-/AI-Act-Beratung ist ratsam. Die klinische Bewertung ist der anspruchsvollste Teil (Patientenstudien, Kohorten-Daten).

Die Grenze der Medizinprodukte-KI ist die ärztliche Letztverantwortung: die KI ist Werkzeug ärztlicher Tätigkeit, sie entscheidet nicht autonom. Vollautomatisierte Diagnosen/Therapieentscheidungen ohne menschliche Überprüfung sind unzulässig (Art. 14 menschliche Aufsicht, § 630e BGB Aufklärung, ärztliches Berufsrecht). Hersteller müssen menschliche Aufsicht technisch ermöglichen (Art. 14 — Alarme, Eingriffsmechanismen, Interpretationshilfen) und dokumentieren. Klinische Ethik: bei Hochrisiko-Medizin-KI sind Ethikkommissionen (bei Forschung/Pilot), Klinische Ethikkomitees (im Klinikalltag) und Patienteneinbindung etablierte Instrumente. Vulnerable Gruppen (Kinder, Demenz-Patientinnen/Patienten, Notfallpatientinnen/-patienten) brauchen besonderen Schutz. Kontinuierliches Lernen erfordert Versions-/Konformitäts-Management (Art. 12, 43). Eine KI, die ärztliche Verantwortung aushöhlt oder Patientenautonomie untergräbt, ist rechtswidrig und ethisch inakzeptabel — Compliance und Ethik sind im Medizin-KI-Bereich untrennbar.