Startseite › Aktuelles › KI-Verordnung: Hochrisiko-Pflichten für Medizinprodukte erst ab 2028
Aktuelles · Gesetzgebung · 27. Juli 2026
KI-Verordnung: Hochrisiko-Pflichten für Medizinprodukte erst ab 2028
Die Verordnung (EU) 2026/1744 hat die KI-Verordnung geändert und ist am 27. Juli 2026 in Kraft getreten. Die Hochrisiko-Pflichten kommen später, für KI in Medizinprodukten erst am 2. August 2028. Die Transparenzpflichten gelten dagegen schon seit dem 2. August 2026.
Was ist passiert
Die KI-Verordnung (VO (EU) 2024/1689) sollte ihre Hochrisiko-Pflichten ursprünglich ab August 2026 und 2027 entfalten. Mit dem sogenannten Digital Omnibus zur KI hat der EU-Gesetzgeber diese Termine verschoben und einzelne Pflichten angepasst. Die Änderungsverordnung (EU) 2026/1744 ist am 27. Juli 2026 in Kraft getreten. Text: VO (EU) 2026/1744 auf EUR-Lex.
Was gilt ab wann
| Pflicht | Termin |
|---|---|
| Transparenz nach Art. 50 (Chatbots, Kennzeichnung KI-generierter Inhalte, Deepfakes) | seit 02.08.2026 |
| Maschinenlesbare Kennzeichnung bei generativen Systemen, die vor dem 02.08.2026 in Verkehr kamen | bis 02.12.2026 |
| Zwei neue Verbote in Art. 5 (u. a. nicht einvernehmliche intime Darstellungen) | ab 02.12.2026 |
| Hochrisiko-KI nach Anhang III (z. B. Zugang zu wesentlichen Leistungen) | ab 02.12.2027 |
| Hochrisiko-KI in Produkten nach Anhang I, u. a. Medizinprodukte und IVD | ab 02.08.2028 |
Die Pflicht zur KI-Kompetenz in Art. 4 ist abgeschwächt: Statt ein ausreichendes Kompetenzniveau sicherzustellen, müssen Anbieter und Betreiber dieses nun fördern. Geschulte Mitarbeitende bleiben trotzdem nötig, etwa für die menschliche Aufsicht. Neu gefasst wurde auch der Begriff der Sicherheitskomponente. Reine Unterstützungs- oder Optimierungsfunktionen machen ein System nicht mehr automatisch zur Hochrisiko-KI.
Wen betrifft es
Hersteller von Medical-Device-Software mit KI-Funktion gewinnen ein Jahr. Ihre Produkte fallen über Anhang I in die Hochrisiko-Kategorie, sobald eine Benannte Stelle nach MDR oder IVDR beteiligt ist. Kliniken und Praxen, die KI-Chatbots für Patientenkommunikation einsetzen, müssen dagegen schon jetzt die Transparenzpflichten beachten. In Deutschland übernimmt nach dem KI-Durchführungsgesetz die Bundesnetzagentur die zentrale Marktüberwachung.
Was jetzt zu tun ist
- Bestand an KI-Systemen erfassen und nach Anhang I, Anhang III, Art. 50 oder ohne besondere Pflichten einordnen.
- Patientenchatbots, Terminassistenten und KI-Texte auf Hinweis- und Kennzeichnungspflichten prüfen.
- Bei generativen Systemen aus der Zeit vor August 2026 die maschinenlesbare Kennzeichnung bis 02.12.2026 umsetzen.
- Für KI-Medizinprodukte den Zeitgewinn nutzen und technische Dokumentation, Datenqualität und Risikomanagement an die Anforderungen des AI Act anpassen.
- Schulungskonzept für KI-Kompetenz dokumentieren.
Praxistipp: Die MDR-Reform schlägt vor, Medizinprodukte in Abschnitt B des Anhangs I zu verschieben. Dann würde vorrangig die MDR gelten. Beschlossen ist das nicht. Planen Sie deshalb weiter mit den Anforderungen der KI-Verordnung ab 2028.
Einordnung
Die Verschiebung ist kein Freibrief. Die Pflichten selbst bleiben inhaltlich weitgehend bestehen, nur der Termin ändert sich. Für Medizinprodukte ist zudem offen, wie sich KI-Verordnung und reformierte MDR künftig zueinander verhalten. Die Bußgeldrahmen der KI-Verordnung bleiben unverändert.
Zusammenspiel mit MDR und Haftung
Für KI-Medizinprodukte bleibt die MDR das Fundament. Klinische Bewertung, Risikomanagement nach ISO 14971 und Post-Market-Surveillance gelten unverändert. Die KI-Verordnung ergänzt Anforderungen an Daten-Governance, Protokollierung, Transparenz gegenüber Anwendern und menschliche Aufsicht. Viele davon lassen sich in das bestehende Qualitätsmanagement integrieren, wenn man früh beginnt.
Unabhängig von den verschobenen Fristen gilt für Produkte, die ab dem 9. Dezember 2026 in Verkehr gebracht werden, das neue Produkthaftungsrecht. Danach ist Software ausdrücklich ein Produkt, und lernfähige Funktionen fließen in die Fehlerbeurteilung ein. Wer die Anforderungen der KI-Verordnung freiwillig früher umsetzt, kann damit auch im Haftungsprozess besser darlegen, dass sein Produkt dem Stand der Technik entsprach.
Betreiber in Kliniken sollten interne Richtlinien für den Einsatz von KI festlegen. Dazu gehören Zuständigkeiten, Freigabeprozesse und eine Dokumentation, welche Systeme im Einsatz sind.
- VO (EU) 2024/1689
- VO (EU) 2026/1744
- Art. 50 KI-VO
- Anhang I KI-VO
- VO (EU) 2017/745
- VO (EU) 2017/746
Praxisbeispiele
Zwei typische Konstellationen aus unserer Beratung, anonymisiert und vereinfacht.
Radiologie-Software mit KI
Ein Start-up vertreibt eine zertifizierte Software, die Auffälligkeiten in CT-Bildern markiert. Es wollte die AI-Act-Dokumentation bis 2027 abschließen.
Unser Vorgehen: Wir erstellen einen neuen Zeitplan bis August 2028 und verbinden die Anforderungen mit der laufenden MDR-Überwachung.
Klinik mit Patientenchatbot
Ein Krankenhaus beantwortet Patientenanfragen über einen KI-Chatbot auf der Website, ohne darauf hinzuweisen.
Unser Vorgehen: Wir prüfen die Pflichten nach Art. 50 und formulieren Hinweise, die zugleich den Datenschutzanforderungen genügen.
Häufige Fragen
Gilt die KI-Verordnung für Medizinprodukte jetzt gar nicht?
Doch. Die Hochrisiko-Pflichten für KI in Medizinprodukten gelten ab 2. August 2028. Andere Pflichten, etwa zur Transparenz, gelten schon heute.
Wer überwacht die KI-Verordnung in Deutschland?
Zentral ist nach dem KI-Durchführungsgesetz die Bundesnetzagentur. Für Medizinprodukte bleiben die bisherigen Behörden und Benannten Stellen eingebunden.
Verwandte Rechtsgebiete
Sie haben eine konkrete Frage?
Schildern Sie uns kurz Ihr Anliegen. Wir melden uns in der Regel innerhalb eines Werktags und sagen Ihnen offen, wie wir die Lage einschätzen und was eine Beratung kostet.