Der AI Act wurde verschoben. Für Ihr IVD mit KI-Komponente hilft das weniger, als Sie denken

Seit dem Sommer höre ich in Gesprächen mit Gründern und QM-Leitungen immer wieder denselben Satz: Der AI Act sei ja jetzt verschoben, also kümmere man sich später darum. Ich verstehe den Reflex. Er ist trotzdem gefährlich, und zwar aus einem Grund, der in den Pressemeldungen zur Verschiebung kaum vorkommt.

Was verschoben wurde, und was nicht

Mit der Verordnung (EU) 2026/1744, dem sogenannten Digital Omnibus on AI, wurden die Anwendungsdaten der Hochrisiko-Pflichten verschoben. Für eigenständige Systeme nach Anhang III gilt nun der 2. Dezember 2027 statt des 2. August 2026. Für KI in regulierten Produkten nach Anhang I gilt der 2. August 2028 statt des 2. August 2027. Medizinprodukte und IVD stehen in Anhang I Abschnitt A, also im Anwendungsbereich von Artikel 6 Absatz 1. Ein Carve-out, wie ihn der Maschinenbau erreicht hat, gab es für MDR und IVDR nicht. Beide Rahmenwerke gelten künftig parallel.

Für die Einstufung gilt eine einfache Logik. Ein KI-System ist nach Artikel 6 Absatz 1 hochriskant, wenn es als Sicherheitskomponente eines Produkts nach Anhang I dient oder selbst ein solches Produkt ist und das Produkt einer Konformitätsbewertung durch Dritte unterliegt. Bei IVD der Klassen B, C und D ist eine Benannte Stelle beteiligt, die Bedingung ist also in aller Regel erfüllt. Bei IVD der Klasse A ohne Benannte Stelle ist sie es in der Regel nicht. Prüfen Sie diese Abgrenzung für Ihr Produkt im Einzelfall und anhand der Leitlinien der Kommission zur Hochrisiko-Klassifizierung.

Warum die Frist nicht Ihr Zeitplan ist

Der entscheidende Punkt: Die Anforderungen haben sich nicht geändert, nur ihr Datum. Artikel 10 verlangt Daten-Governance für Trainings-, Validierungs- und Testdaten, einschließlich Repräsentativität und Prüfung auf Verzerrungen. Artikel 11 in Verbindung mit Anhang IV verlangt technische Dokumentation, Artikel 12 Aufzeichnungspflichten, Artikel 14 menschliche Aufsicht, Artikel 15 Genauigkeit, Robustheit und Cybersicherheit. Wer heute einen Algorithmus zur Befundinterpretation trainiert, entscheidet jetzt über Datensätze, Splits und Dokumentation, die in zwei Jahren einer Prüfung standhalten müssen. Trainingsdaten, deren Herkunft und Rechtsgrundlage nicht dokumentiert wurden, lassen sich nachträglich nicht heilen.

Das Problem ist uns aus der Praxis vertraut: Datenherkunft ist in akademischen Ausgründungen selten so dokumentiert, wie es ein Konformitätsbewerter verlangt. Ein Kohortendatensatz aus einer Uniklinik ohne saubere Versionierung ist für die Leistungsbewertung nach IVDR Anhang XIII schon heikel, für Artikel 10 AI Act erst recht.

Die Benannte-Stelle-Frage

Hersteller hoffen auf Synergien, und die sind angelegt. Nach Artikel 43 Absatz 3 folgen Anbieter von Anhang-I-Abschnitt-A-Produkten dem Konformitätsbewertungsverfahren des jeweiligen Sektorrechts, die Anforderungen aus Abschnitt 2 des AI Act und das Qualitätsmanagement nach Artikel 17 werden dort mitbewertet. Das setzt voraus, dass die Benannte Stelle die einschlägigen Anforderungen des AI Act erfüllt. Die Kapazitätsengpässe der Benannten Stellen unter der IVDR sind bekannt. Müssen dieselben Stellen zusätzlich AI-Act-Kompetenz aufbauen, ist ein weiteres Nadelöhr wahrscheinlicher als eine Beschleunigung. Wer erst 2028 anfängt, steht in der Schlange.

Was ich empfehle

Nutzen Sie die gewonnene Zeit für das, was Sie später nicht mehr rekonstruieren können. Bauen Sie eine Datenpipeline mit Nachvollziehbarkeit: Herkunft, Einwilligung oder Rechtsgrundlage, Versionierung, dokumentierte Splits. Integrieren Sie die Artikel-10-Anforderungen in Ihr Design-Control-Verfahren nach ISO 13485 Abschnitt 7.3. Und legen Sie ein Mapping zwischen den grundlegenden Sicherheits- und Leistungsanforderungen (IVDR Anhang I) und den Anforderungen des AI Act an. Das kostet jetzt einen überschaubaren Aufwand. 2028 kostet es ein Re-Design.

Eine Nebenbeobachtung zu Artikel 4: Die Pflicht zur KI-Kompetenz wurde abgeschwächt. Sie verlangt nun Maßnahmen zur Förderung, aber keinen garantierten Kenntnisstand einzelner Personen. Sie ist damit nicht verschwunden. Wer Modelle einsetzt, sollte Schulungen weiterhin belegen können.

---

Wenn Ihre Organisation KI in ein IVD oder eine Software als Medizinprodukt integriert und ein belastbares Mapping zwischen IVDR und AI Act braucht, das nicht erst 2028 anfängt, sprechen Sie mich an. Keine Theorie um der Theorie willen.