EU AI Act & MDR: Doppel-Compliance für HealthTech-Startups — effizienter als Sie denken
MDR und EU AI Act gleichzeitig erfüllen: Vergleichstabelle, gemeinsame Anforderungen und effizienter Compliance-Pfad für HealthTech-Startups.
- 01MDR und EU AI Act gelten gemeinsam für KI-Software, die als Medizinprodukt eine Benannte Stelle braucht, in der Praxis ab Klasse IIa. Die Hochrisiko-Pflichten greifen dann ab dem 02.08.2028.
- 02Die Schnittmengen liegen bei Risikomanagement, technischer Dokumentation und Marktüberwachung.
- 03Ein Qualitätsmanagementsystem nach ISO 13485 lässt sich um die KI-Anforderungen des AI Act ergänzen, ein zweites System braucht es dafür nicht.
- 04Ob ein Produkt überhaupt ein Medizinprodukt ist, entscheidet seine Zweckbestimmung, und die steht auch in Werbung und Vertriebsunterlagen.
Kurzantwort
MDR und EU AI Act gelten gemeinsam für KI-Software, die als Medizinprodukt eine Benannte Stelle bewerten muss, in der Praxis also ab Klasse IIa. Sie ist dann zugleich Hochrisiko-KI nach Art. 6 Abs. 1 AI Act, mit Pflichten ab dem 02.08.2028. In Klasse I oder ohne Medizinprodukt-Status führt dieser Weg nicht in den Hochrisikobereich.
Wo beide gelten, überschneiden sich Risikomanagement, technische Dokumentation und Marktüberwachung so weit, dass ein Hersteller sie in einem System führen kann. Ob ein Produkt überhaupt ein Medizinprodukt ist, entscheidet seine Zweckbestimmung, für Dokumentations-KI erklärt im Beitrag Ist unsere Dokumentations-KI ein Medizinprodukt?
Daniel Kleiboldt (Kleiboldt Legal Engineering; Jurist, LL.M., Software Engineer) ordnet für Anbieter von Health-Software ein, ob ihr Produkt ein Medizinprodukt ist und was Praxen und Kliniken als Betreiber von ihnen brauchen. Den Aufbau eines Qualitätsmanagementsystems und die Konformitätsbewertung umfasst das Angebot nicht, dafür sind Regulatory-Affairs-Dienstleister und die Benannte Stelle da. Für KI-Anbieter
Anbieter von KI-basierter Medizinsoftware stehen vor einer doppelten regulatorischen Aufgabe. Ab Klasse IIa müssen ihre Produkte die Anforderungen der Medizinprodukteverordnung (MDR) und die Hochrisiko-Anforderungen des EU AI Act zugleich erfüllen. Für Startups und mittelständische Unternehmen kann das den Unterschied zwischen Markterfolg und regulatorischem Scheitern bedeuten.
Beide Regulierungen teilen wesentliche Grundprinzipien. Wer die Überschneidungen früh identifiziert und ein integriertes Compliance-System aufbaut, kann erheblich Zeit und Ressourcen sparen und gleichzeitig eine robustere regulatorische Basis schaffen.
Anforderungsvergleich: MDR vs. EU AI Act
Die folgende Tabelle stellt die zentralen Anforderungsbereiche gegenüber und zeigt, wo sich Synergien für ein integriertes Compliance-System ergeben:
| Anforderungsbereich | MDR | EU AI Act (Hochrisiko) | Synergie |
|---|---|---|---|
| Risikomanagement | ISO 14971, Anhang I GSPR | Art. 9 Risikomanagement-System | Hoch |
| Technische Dokumentation | Anhang II und III MDR | Art. 11, Anhang IV AI Act | Hoch |
| Qualitätsmanagementsystem | Art. 10 MDR, ISO 13485 | Art. 17 QMS-Pflicht | Hoch |
| Post-Market Surveillance | Art. 83–86 MDR, PMCF | Art. 72 Post-Market Monitoring | Hoch |
| Daten & Datenqualität | Klinische Bewertung, Anhang XIV | Art. 10 Trainings-, Validierungs-, Testdaten | Mittel |
| Transparenz | Gebrauchsanweisung, EUDAMED | Art. 13 Transparenzpflichten, EU-Datenbank | Mittel |
| Menschliche Aufsicht | Zweckbestimmung, IFU | Art. 14 Human Oversight | Mittel |
| Konformitätsbewertung | Benannte Stelle (ab Klasse IIa) | Art. 43, bei MDR-Produkten durch Benannte Stelle | Hoch |
Gemeinsame Anforderungen: Die drei Synergiekerne
Drei Bereiche bilden den Kern der Überschneidung zwischen MDR und EU AI Act. Wer diese richtig aufsetzt, hat den größten Teil der Doppel-Compliance bereits abgedeckt.
Integriertes Risikomanagement
Die MDR verlangt Risikomanagement nach ISO 14971 über den gesamten Produktlebenszyklus. Der EU AI Act fordert in Art. 9 ein kontinuierliches iteratives Risikomanagementsystem für Hochrisiko-KI. In der Praxis lässt sich ein einziges Framework aufbauen, das beide Anforderungen bedient. KI-spezifische Risiken (Bias, Modelldrift, Robustheit) werden als zusätzliche Risikokategorien in das bestehende ISO-14971-Framework integriert, statt ein paralleles System aufzubauen.
Technische Dokumentation
Beide Regulierungen verlangen umfangreiche technische Dokumentation und folgen einer ähnlichen Logik: Systembeschreibung, Zweckbestimmung, Risikobewertung, Verifizierung und Validierung. Der AI Act ergänzt KI-spezifische Elemente (Trainingsmethodik, Datengovernance, Performance-Metriken). Ein modularer Dokumentationsansatz, bei dem KI-spezifische Module an die MDR-Kernstruktur andocken, vermeidet Redundanz.
Post-Market Surveillance / Monitoring
Die MDR fordert kontinuierliche Marktüberwachung (PMS) einschließlich Post-Market Clinical Follow-up (PMCF). Der AI Act verlangt Post-Market Monitoring mit Fokus auf KI-Performance (Art. 72). Beide lassen sich in einem Monitoring-Framework zusammenführen, das sowohl klinische Sicherheitssignale als auch KI-Performance-Metriken erfasst und auswertet.
Für Software as a Medical Device (SaMD) ist der modulare Dokumentationsansatz besonders effizient, weil SaMD-Produkte regelmäßig sowohl MDR-Klasse IIa oder höher als auch Hochrisiko nach AI Act sind.
Konkret werden
Ist Ihr Produkt ein Medizinprodukt?
Im Erstgespräch kläre ich in 30 Minuten mit Ihnen, welche Fragen Ihr Produkt nach MDR und AI Act aufwirft und was Ihre Kunden in Praxis und Klinik als Betreiber von Ihnen brauchen. Die Einordnung selbst leistet die Regulatorische Standortbestimmung.
Der effiziente Compliance-Pfad: Integriertes QMS
Für Startups ist der praktikabelste Ansatz ein integriertes Qualitätsmanagementsystem, das von Anfang an beide Regulierungen berücksichtigt. Die fünf Module:
Kern-QMS nach ISO 13485
Bildet das Fundament und erfüllt die MDR-Anforderung an ein dokumentiertes QMS (Art. 10 MDR).
KI-Erweiterungsmodul (ISO 42001)
Ergänzt KI-spezifische Prozesse für Datengovernance, Modellmanagement, Bias-Monitoring und Robustheitstests. ISO 42001 (AI Management System) liefert den Rahmen und adressiert gleichzeitig Art. 17 AI Act (QMS für Hochrisiko-KI).
Integriertes Risikomanagement
Ein Framework, das ISO 14971 mit den KI-Risikokategorien des AI Act verbindet.
Einheitliche Dokumentenstruktur
Modulare technische Dokumentation mit MDR-Kerndokumenten und KI-spezifischen Anhängen.
Gemeinsames PMS/Monitoring
Ein System für klinische Sicherheit und KI-Performance-Überwachung.
Timeline: Wann müssen Sie was erfüllen?
Die zeitliche Staffelung von MDR und EU AI Act ergibt ein konkretes Handlungsfenster. Nach dem Digital Omnibus (Verordnung (EU) 2026/1744, in Kraft seit 27.07.2026) gelten zwei getrennte Fristen für Hochrisiko-Systeme:
Bereits in Kraft
MDR
Vollständig in Kraft. Alle Medizinprodukte müssen MDR-konform sein. Übergangsfristen für Bestandsprodukte laufen schrittweise aus.
Seit Feb 2025
AI Act: Art. 4 + Art. 5
Verbotene Praktiken (Art. 5) und Bemühungspflicht nach Art. 4 (Art. 4) gelten bereits. Wer ein KI-System einsetzt, ergreift Maßnahmen, die das Verständnis seiner Funktionsweise unterstützen.
Ab 02.12.2027
Anhang-III-Systeme
Standalone-Hochrisiko-KI nach Anhang III (z.B. biometrische Identifikation, HR-Screening). Für Startups relevant, wenn ihr KI-System auch standalone-Hochrisiko-Merkmale aufweist.
Ab 02.08.2028
Eingebettete Hochrisiko-KI (MDR-Route)
KI-Systeme, die als Sicherheitskomponente eines Medizinprodukts dienen oder selbst Medizinprodukte sind. Konformitätsbewertung durch Benannte Stelle (Art. 43 AI Act).
Vier Phasen zum integrierten Compliance-System
Der integrierte Ansatz erfordert anfänglich mehr Planung, zahlt sich aber durch erhebliche Effizienzgewinne gegenüber dem sequenziellen Aufbau separater Compliance-Systeme aus. Für Startups, die mit begrenzten Ressourcen arbeiten, ist dieser Effizienzgewinn oft entscheidend.
Regulatorische Analyse
- ›Klassifizierung des Produkts nach MDR (Regel 11 für Software) und AI Act (Hochrisiko-Prüfung)
- ›Gap-Analyse: Wo stehen Sie heute, was fehlt für beide Regulierungen?
- ›Identifikation der Synergien und produktspezifischen Anforderungen
QMS-Aufbau
- ›ISO 13485-basiertes QMS mit KI-Erweiterungsmodul (ISO 42001) aufsetzen
- ›Integriertes Risikomanagement-Framework implementieren
- ›Dokumentenstrukturen für Doppel-Compliance definieren
Wenn das Produkt auch als DiGA vertrieben werden soll: frühzeitig DiGA-spezifische Anforderungen einbeziehen.
Implementierung und Nachweise
- ›Technische Dokumentation erstellen (modularer Ansatz)
- ›Klinische Bewertung und KI-Validierung durchführen
- ›PMS/Monitoring-System aufsetzen
- ›Konformitätsbewertungsverfahren bei Benannter Stelle einleiten
Zertifizierung und Markteinführung
- ›Audit durch Benannte Stelle (MDR und perspektivisch AI Act)
- ›EU-Konformitätserklärung für beide Regulierungen
- ›Registrierung in EUDAMED und EU-KI-Datenbank
- ›Go-to-Market mit vollständiger regulatorischer Compliance
Häufige Fragen
Muss KI-basierte Medizinsoftware sowohl MDR als auch EU AI Act erfüllen?
+
Die MDR gilt für jedes Medizinprodukt. Die Hochrisiko-Anforderungen des AI Act kommen hinzu, wenn eine Benannte Stelle das Produkt bewerten muss, in der Praxis also ab Klasse IIa (Art. 6 Abs. 1 AI Act). Sie greifen auf diesem Weg ab dem 02.08.2028. KI-Medizinsoftware der Klasse I wird über die MDR nicht Hochrisiko-KI. Die Verbote nach Art. 5 AI Act gelten für alle KI-Systeme seit Februar 2025.
Wo überschneiden sich MDR und EU AI Act am stärksten?
+
Die größten Synergien liegen im Risikomanagement (ISO 14971 / Art. 9 AI Act), der technischen Dokumentation (Anhang II MDR / Anhang IV AI Act) und der Post-Market Surveillance. Ein integriertes System für diese Bereiche reduziert den Compliance-Aufwand erheblich.
Brauche ich für MDR und AI Act zwei getrennte Qualitätsmanagementsysteme?
+
Nein. Ein integriertes QMS auf Basis von ISO 13485 mit einem KI-Erweiterungsmodul (ISO 42001) kann beide Anforderungen abdecken. Art. 17 AI Act verlangt ein QMS für Hochrisiko-KI, das sich in das bestehende MDR-QMS integrieren lässt.
Ab wann gelten die Hochrisiko-Anforderungen des EU AI Act für Medizinprodukte?
+
Nach aktuellem Stand des Digital Omnibus (Verordnung (EU) 2026/1744, in Kraft seit 27.07.2026) ab Dezember 2027 für Anhang-III-Systeme (standalone Hochrisiko-KI) und ab August 2028 für in regulierte Produkte eingebettete KI (MDR-Route). Verbotene Praktiken und Bemühungspflicht nach Art. 4 gelten bereits seit Februar 2025.
Wie lange dauert der Aufbau eines integrierten MDR-AI-Act-Compliance-Systems?
+
In der Regel ein Jahr und mehr, je nach Risikoklasse und Verfügbarkeit Benannter Stellen. Am Anfang stehen die Einordnung nach MDR und AI Act und eine Lückenanalyse, danach Qualitätsmanagementsystem, technische Dokumentation, klinische Bewertung und Konformitätsbewertung. Wer früh anfängt, spart nachträgliche Umbauten.
Daniel Kleiboldt
Legal Engineer · Jurist, LL.M., Software Engineer
Berät Praxen, MVZ und Kliniken zu EU AI Act, DSGVO und Haftungsfragen beim KI-Einsatz. Lehrauftrag an der Hochschule Neu-Ulm (HNU).