Die deutsche Medizintechnik-Industrie / SPECTARIS Jahrbuch 2022/2023

64 Digitalisierung im Gesundheitswesen | Die europäische KI-Verordnung und ihre möglichen Folgen für Medizintechnikhersteller Die europäische KI- Verordnung und ihre möglichen Folgen für Medizintechnik- hersteller Rechtsunsicherheit vorprogrammiert? I m April 2021, gleich zu Beginn der selbstausgerufenen „digitalen Dekade“, veröffentlichte die Europäische Kom- mission einen ersten Verordnungsentwurf, um künstliche Intelligenz (KI) EU-weit zu regulieren. Die KI-Verordnung (Artificial Intelligence Act, AIA) stellt nicht nur ein ambiti- oniertes und hochkomplexes, sondern in dieser Form auch weltweit einzigartiges Unterfangen dar. Umso wichtiger ist es, die möglichen Implikationen für Medizintechnik- hersteller und den aktuellen Stand der Verhandlungen in Brüssel im Blick zu behalten. Dass künstliche Intelligenz bislang wenig reguliert ist, erscheint kaum verwunderlich. Vor allem vor dem Hintergrund, dass die genaue Definition von Begriffen wie „KI“ oder „maschinelles Lernen“ weiterhin umstritten ist – und sich dieser Technologie- bereich mitten in rasanten und unvorhersehbaren Entwicklungs- schüben befindet. Dieser hochvariable und schwer vorherseh- bare Entwicklungsverlauf von künstlicher Intelligenz ist der EU-Kommission sicherlich bewusst. Sie sieht den akuten Hand- lungsbedarf für einen KI-Rechtsrahmen aber eher darin begrün- det, EU-Bürgerinnen und -Bürger zeitnah vor gefährlichen KI- Systemen zu schützen, Grundrechte zu stärken und – durch horizontale Vorgaben für KI-Systeme – ein hohes Sicherheits­ niveau von KI-Technologie im EU-Binnenmarkt zu garantieren. Gleichzeitig soll durch einen klaren Regulierungsrahmen mehr Rechtssicherheit geschaffen werden – im Sinne eines gestärkten europäischen Standorts für mehr Innovationen und Investitionen im KI-Bereich. Bei aller Betonung von innovationsfördernden Effekten kristallisiert sich aber, nach genauerer Betrachtung des Rechtstextes, die sicher­ heitsbezogene Zielsetzung als eindeutiger Schwerpunkt der KI-Ver- ordnung heraus. So soll die Regulierung von KI-Systemen in einem klassifizierenden, risikobasierten Ansatz verankert sein: KI-Syste- me mit unannehmbaren Risiken (wie z. B. für Social Scoring) werden verboten, für Hochrisiko-KI-Systeme sollen umfassende Pflichten gelten und Konformitätsbewertungsverfahren erforder- lich sein, während ausgewählten Systemen mit besonderem Manipulationspotential Transparenzpflichten auferlegt werden. » Implikationen für Medizintechnikhersteller: Überschneidungen mit der MDR – und zusätzliche Anforderungen Aus Medizintechnik-Perspektive ist mit Blick auf die Klassifizie- rung durch den AIA (Art. 6 / Anhang II) davon auszugehen, dass die allermeisten KI-basierten Produkte wohl als Hochrisiko-Sys- tem einzustufen wären. Der Gesetzesentwurf behandelt die Anforderungen für Produkte dieser Risikoklasse in besonderem Umfang: Während die Einrichtung eines Risikomanagementsys- tems (Art. 9 AIA) bereits durch die MDR (Art. 10(2)) eingefordert wird, bringt der AIA gänzlich neue Anforderungen zu Daten und Daten-Governance (Art. 10), Aufzeichnungspflichten (Art. 12) und Menschliche Aufsicht (Art. 14) ein, die in der MDR nicht adressiert werden. Zudem erweitert der AIA mit seinen Vorgaben Regelungsbereiche, die bereits aus der MDR bekannt, aber nur in Teilen deckungsgleich sind – darunter Anforderungen an die Technische Dokumentation (Art. 11 / Art. 18, AIA; Anhang II/III, MDR), Transparenz und Bereitstellung von Informationen für die Nutzer (Art. 13, AIA; Anhang I, MDR) sowie an Genau- igkeit, Robustheit und Cybersicherheit (Art. 15, AIA; Anhang I, MDR). Ergänzend dazu sind auch damit verbundene direkte Pflichten für Hersteller 1 zu beachten: Gänzlich neu wäre die Anbieterpflicht zur Aufbewahrung automatischer Protokolle (Art. 20). In Teilen von der MDR abweichen würden Vorgaben zum Qualitäts­ Felix Dotzauer Referent Regulatory Affairs dotzauer@spectaris.de 1 Statt „Hersteller“ wird im AIA der Begriff „Anbieter“ verwendet. In den Begriffsbe- stimmungen aus Artikel 3 wird diese Akteursgruppe wie folgt definiert: „eine natürliche oder juristische Person, Behörde, Einrichtung oder sonstige Stelle, die ein KI-System entwickelt oder entwickeln lässt, um es unter ihrem eigenen Namen oder ihrer eigenen Marke – entgeltlich oder unentgeltlich – in Verkehr zu bringen oder in Betrieb zu nehmen“ ( Art. 30(2)).