Die EU-KI-Verordnung (AI Act), in Kraft seit August 2024, legt schrittweise Fristen für hochriskante KI-Systeme fest, die in Bereichen wie Gesundheitswesen, Bildung oder Justiz eingesetzt werden und fundamentale Rechte gefährden könnten. Freiwillige Harmonisierte Standards wie ISO/IEC 42001 (KI-Managementsysteme) oder ISO/PAS 8800 (sicherheits-relevante Eigenschaften) erleichtern die Vermutung der Konformität; die EU-Kommission legt bis 2026 Leitlinien vor. In Gesundheits-IT synergieren diese mit MDR, DSGVO und BSI-Standards für Cybersicherheit.
Seit 2. August 2025 greifen erste Regelungen, darunter Pflichten für allgemeine KI-Modelle und Sanktionen, während hochriskante Systeme ab 2. August 2026 umfassend konform sein müssen, inklusive Risikomanagement, Transparenz, menschlicher Aufsicht und Registrierung in einer EU-Datenbank.
Für bereits in regulierten Produkten (z. B. Medizinprodukten oder Fahrzeugen) eingebettete hochriskante Systeme endet die Übergangsfrist erst am 2. August 2027, um Innovationen nicht zu behindern. Zudem erstellt die EU-Kommission bis 2. Februar 2026 Leitlinien und Beispiele zur Einstufung hochriskanter Systeme gemäß Artikel 6, inklusive Kriterien für Anhang III-Anwendungen wie Biometrie oder Profiling. Aktuelle Entwicklungen deuten auf eine mögliche Verschiebung der Hauptfrist für Hochrisiko-Systeme auf Dezember 2027 hin.
Sensible Bereiche wie die Gesundheits-IT
Für hochriskante KI-Systeme in der EU gelten gemäß der KI-Verordnung (AI Act) strenge Anforderungen aus den Artikeln 8 bis 15, die ein umfassendes Risikomanagement, hohe Datenqualität, technische Dokumentation, Protokollierung, Transparenz, menschliche Aufsicht sowie Genauigkeit, Robustheit und Cybersicherheit umfassen.
Anbieter müssen vor Inverkehrbringung eine Konformitätsbewertung durchführen, oft durch Dritte, und das System in einer EU-Datenbank registrieren. Ein Qualitätsmanagementsystem (Art. 17) ist verpflichtend, das den gesamten Lebenszyklus abdeckt, inklusive kontinuierlicher Überwachung und Meldung schwerwiegender Vorfälle. Hochriskante Systeme fallen unter Anhang III (z. B. Biometrie, Bildung, Justiz) oder sind Sicherheitskomponenten regulierter Produkte (Anhang I).
Harmonisierte Standards wie ISO/IEC 42001 (KI-Managementsysteme) oder ISO/PAS 8800 (sicherheitsrelevante Eigenschaften) unterstützen die Umsetzung, sind aber freiwillig; die EU-Kommission legt bis 2026 Leitlinien vor. In sensiblen Bereichen wie Gesundheits-IT (z. B. Medizinprodukte) synergieren diese mit DSGVO und MDR, um Grundrechte zu schützen.
In Deutschland übernehmen Behörden wie das BSI die Umsetzung, mit Fokus auf DSGVO-Synergien für Gesundheits-KI. Frühe Compliance-Vorbereitung ist maßgeblich, um Bußgelder bis 35 Mio. Euro zu vermeiden.
Autor: Wolf-Dietrich Lorenz
Symbolbild: SAR / AdobeStock
