Die Norm EN 18286, die das Qualitätsmanagementsystem gemäß dem AI Act regelt, wurde im Juli 2026 veröffentlicht – das Warten hat nun ein Ende. Da der AI Act es Ihnen ermöglicht, seine Anforderungen in Ihr bestehendes QMS nach ISO 13485 zu integrieren, müssen Sie kein paralleles Managementsystem aufbauen. Es gibt also keine Ausreden mehr: Es ist an der Zeit, Ihr Qualitätsmanagementsystem zu aktualisieren!
Wenn Ihr Medizinprodukt KI-Funktionen enthält, müssen Sie den EU-KI-Gesetz einhalten , eine zusätzliche Verordnung, die über die Verordnung zur Medizinprodukteverordnung (MDR) oder die In-vitro-Diagnostika-Verordnung (IVDR) hinausgeht. Wenn für ein Produkt gemäß MDR oder IVDR die Einbeziehung einer benannten Stelle erforderlich ist, wird sein KI-System als risikoreich eingestuft, und die Konformität mit dem KI-Gesetz muss von einer benannten Stelle bewertet werden.
Im Gegensatz zur MDR traten die ersten Verpflichtungen des KI-Gesetzes schnell in Kraft: Die Anforderungen an die KI-Kompetenz und die verbotenen Praktiken gelten seit Februar 2025, die Transparenzvorschriften seit August 2026. Die Anforderungen für KI-Systeme mit hohem Risiko, bei denen es sich um regulierte Produkte oder Sicherheitskomponenten regulierter Produkte wie Medizinprodukte handelt, wurden jedoch bis zum 2. August 2028 aufgeschoben.
Die nationalen Behörden können diese Verpflichtungen seit August 2026 durchsetzen.
Die Verschiebung ergibt sich aus dem Digital Omnibus on AI, Verordnung (EU) 2026/1744, die am 27. Juli 2026 in Kraft getreten ist.
EN 18286, „Künstliche Intelligenz – Qualitätsmanagementsystem für die Zwecke des EU-KI-Gesetzes“, ist die Norm, auf die Unternehmen gewartet haben. Sie wurde im Juli 2026 veröffentlicht und ist eine Norm für Qualitätsmanagementsysteme, die auf die spezifischen Anforderungen des KI-Gesetzes zugeschnitten ist – nicht auf die KI-Governance im Allgemeinen.
Eine der Anforderungen, die den Unternehmen Kopfzerbrechen bereitete, war die Frage, wie ein mit dem KI-Gesetz konformes Managementsystem umgesetzt werden sollte, da für diese neue Verordnung keine Norm wie die bewährte ISO 13485 für Medizinprodukte zur Verfügung stand. Die Norm ISO/IEC 42001 „Künstliche Intelligenz – Managementsystem“ war zwar bereits seit 2023 verfügbar, doch als allgemeine Norm für KI-Managementsysteme mit Schwerpunkt auf verantwortungsvoller KI-Governance war sie nie darauf ausgelegt, die spezifischen Anforderungen des KI-Gesetzes zu erfüllen.
Und die EN 18286 hat nun Rechtskraft. Am 14. Oktober 2026 hat die Europäische Kommission sie im Amtsblatt durch den Durchführungsbeschluss (EU) 2026/2274 zitiert, sodass ihre Anwendung eine Konformitätsvermutung für die von ihr abgedeckten Anforderungen des KI-Gesetzes begründet. Diese Vermutung beschränkt sich auf diese Anforderungen, und die Anwendung der Norm bleibt freiwillig.
Die ISO 13485 ist darauf ausgelegt, Ihr Qualitätsmanagementsystem (QMS) und Ihre Medizinprodukte mit den Vorschriften aller Länder, in denen Sie Ihre Produkte vertreiben, in Einklang zu bringen. EN 18286 ist für eine einzige Verordnung konzipiert – und zwar ausschließlich für den KI-Gesetz! Während ISO 13485 Ihnen viel Flexibilität lässt, schreibt der KI-Gesetz weitaus genauer vor, was Sie tun müssen und wie Sie dabei vorgehen müssen.
|
Aspekt |
ISO 13485 |
EN 18286 |
|
Regulierungsumfang |
Vorschriften aller Länder, in denen Sie Ihre Produkte verkaufen |
Eine einzige Vorschrift: das KI-Gesetz |
|
Detaillierungsgrad |
Große Flexibilität bei der Umsetzung Ihres Prozesses; geht nicht ins Detail |
Weitaus präskriptiver in Bezug auf „Was“ und „Wie“ |
|
Struktur |
Alte Struktur (ISO 13485:2016) |
Harmonisierte Struktur (HS), die seit 2015 von ISO 9001 verwendet wird |
ISO 13485 ist eine weltweit anerkannte Norm, die entwickelt wurde, um sicherzustellen, dass Ihr Qualitätsmanagementsystem (QMS) und Ihre Medizinprodukte den Vorschriften aller Länder entsprechen, in denen Sie Ihre Produkte verkaufen. Deshalb finden Sie 37 Mal eine Anforderung, gefolgt von dem gefürchteten Zusatz „sowie alle geltenden Vorschriften“, was für jeden Qualitätsfachmann schnell zu einer Herausforderung wird, wenn sich die Vorschriften häufen.
Da die EN 18286 eine brandneue Norm ist, übernimmt sie die Harmonisierte Struktur (HS) zur Gliederung der verschiedenen Abschnitte. Während diese Reihenfolge bereits seit 2015 in der ISO 9001 verwendet wird, nutzt die ISO 13485:2016 noch immer die alte Struktur, sodass Sie beim Vergleich der beiden Normen möglicherweise etwas geistige Akrobatik betreiben müssen.
Im Vergleich zu ISO 13485 sind vier Dinge wirklich neu in der EN 18286:
Dies ist wahrscheinlich die größte Neuerung: Die Norm ISO 13485 enthält keinen vergleichbaren Prozess für die Daten, die zur Erstellung und zum Betrieb eines KI-Systems verwendet werden. EN 18286 verlangt eine Datenmanagementstrategie, die auf Ihre Strategie zur Einhaltung gesetzlicher Vorschriften abgestimmt ist, sowie einen dokumentierten Prozess, der den gesamten Datenlebenszyklus abdeckt. Jede Version eines Datensatzes muss auf die Version des KI-Systems zurückverfolgbar sein, für die sie verwendet wurde.
Wenn Sie bereits Produkte auf dem Markt haben, verfügen Sie hoffentlich schon über Verfahren zur Verwaltung all Ihrer Daten; es lohnt sich, diese anhand von EN 18286 zu überprüfen, um verbleibende Lücken zu schließen. Wenn Sie ein junges Unternehmen sind, sollten Sie das Verfahren so früh wie möglich erstellen und eine Versionsverwaltung für Datensätze einrichten, bevor sich Ihre Konstruktionsunterlagen anhäufen.
Während sich das Risikomanagement für Medizinprodukte auf Sicherheit und Leistung konzentriert, erweitert die Norm EN 18286 das Ziel des gesamten Qualitätsmanagementsystems (QMS) und des Risikomanagements, indem sie Grundrechte mit einbezieht. Grundrechte beziehen sich auf Würde, Freiheit und andere Aspekte, die in der Charta der Grundrechte der Europäischen Union aufgeführt sind .
Diese Ergänzung erfordert die Schaffung neuer Schadenskategorien, überarbeitete Kriterien für die Risikoakzeptanz sowie eine überarbeitete Bewertung der Risikokontrollmaßnahmen. Im Rahmen der Managementbewertung müssen Sie beurteilen, wie wirksam die Grundrechte geschützt werden.
Der Schutz der Grundrechte muss bereits zu Beginn jeder Produktentwicklung berücksichtigt werden. Es reicht nicht aus, ihn lediglich als Konstruktionsanforderung in Ihren Konstruktions- und Entwicklungsprozess (D&D) aufzunehmen: Die Norm EN 18286 führt die „Inception“-Phase ein, eine spezielle Phase vor der Konzeption und Entwicklung, in der Sie den beabsichtigten Zweck des KI-Systems festlegen, dessen potenzielle Auswirkungen auf die Grundrechte berücksichtigen und je nach Risiko die Konsultation betroffener Personen oder deren Vertreter in Betracht ziehen. Die Ergebnisse der „Inception“-Phase fließen dann in die Konzeption und Entwicklung ein.
Die Norm ISO 13485 befasst sich nicht mit dem Ende der Lebensdauer eines Produkts. Die Norm EN 18286 verlangt von Ihnen, die Prozesse und Aufgaben zu definieren, die bei der Außerbetriebnahme eines KI-Systems durchzuführen sind, wie z. B. Maßnahmen zur Risikokontrolle und zum Datenmanagement. Sie müssen außerdem die Anwender über alle Maßnahmen informieren, die diese bei der Außerbetriebnahme des Systems selbst durchführen müssen.
Gebrauchsanweisungen sind für Hersteller von Medizinprodukten nichts Neues, doch EN 18286 verlangt ein spezielles System und Verfahren zu ihrer Erstellung und Pflege für jedes KI-System, wobei der Mindestinhalt in Artikel 13 des KI-Gesetzes definiert ist. Die Gebrauchsanweisung wird hier und nicht im folgenden Abschnitt aufgeführt, da sie zudem neue Funktionen übernimmt: Wenn Sie das KI-System nicht selbst überwachen können, muss sie die Überwachung beschreiben, die die Anwender durchführen müssen, und sie muss mit der eindeutigen Referenz jeder KI-Systemversion verknüpft sein.
Wenn Sie bereits Medizinprodukte in der EU vermarkten, werden Ihnen drei Themen der EN 18286 ein Déjà-vu-Gefühl vermitteln, da die Medizinproduktevorschriften diese bereits behandeln: Regulierungsstrategie, Überwachung nach dem Inverkehrbringen und Vigilanz. Sie können Ihre MDR-/IVDR-Verfahren erweitern, doch das KI-Gesetz fügt KI-spezifische Inhalte hinzu, wie beispielsweise verbindliche Überwachungsanforderungen und eine andere Definition eines schwerwiegenden Vorfalls.
Die EN 18286 verlangt eine dokumentierte Strategie, die mindestens die Einhaltung der grundlegenden Anforderungen des KI-Gesetzes, die Überwachung nach dem Inverkehrbringen, die Meldung schwerwiegender Vorfälle, das Datenmanagement, den Konformitätsbewertungsweg und das Management von Änderungen abdeckt. Sie müssen also lediglich Ihr MDR/IVDR-Verfahren und Ihre Strategie um die Anforderungen des KI-Gesetzes erweitern – und schon sind Sie fertig.
Die Marktüberwachung gibt es bereits seit den Medizinprodukterichtlinien, es handelt sich also um ein bekanntes Thema, auch wenn das KI-Gesetz von „Überwachung nach dem Inverkehrbringen“ spricht. Die Norm EN 18286 folgt derselben Logik: ein Überwachungssystem nach dem Inverkehrbringen, das in einem Plan dokumentiert ist, der Teil der technischen Dokumentation ist, und das die fortdauernde Einhaltung der grundlegenden Anforderungen bis zur Außerbetriebnahme des KI-Systems bewertet.
Was sich ändert, ist der Inhalt, da die EN 18286 weitaus präskriptiver ist. Die Überwachung muss KI-spezifische Aspekte wie Datenschutz, vernünftigerweise vorhersehbaren Missbrauch, Interaktionen mit anderen KI-Systemen und technische Einschränkungen berücksichtigen und stützt sich häufig auf die Protokolle des KI-Systems, um Betriebsdaten zu erfassen – eine Funktion, die Sie möglicherweise in Ihr Design integrieren müssen.
Der Gesetzgeber hatte die gute Idee, die Meldung schwerwiegender Vorfälle nach dem Vorbild der MDR zu gestalten. Die Meldung schwerwiegender Vorfälle ist ein vertrautes Terrain, und die Fristen des KI-Gesetzes entsprechen denen der MDR. Allerdings unterscheidet sich die Definition eines schwerwiegenden Vorfalls im KI-Gesetz von der medizinischen Definition. Da sie auch Verstöße gegen Verpflichtungen zum Schutz der Grundrechte umfasst, muss Ihr Wachsamkeitsverfahren überprüft werden. Schließlich können Betreiber eine Schlüsselrolle spielen und müssen in Ihrem Verfahren neben Händlern, Importeuren und Behörden berücksichtigt werden.
Drei Bereiche Ihres bestehenden QMS erfordern eher eine Anpassung als eine Neugestaltung: Personalwesen, der Konstruktions- und Entwicklungsprozess sowie die Identifizierung.
Schulungspläne und Stellenbeschreibungen müssen das KI-Gesetz und den Verwendungszweck jedes KI-Systems abdecken, und bei den Kompetenzanforderungen müssen KI-spezifische Faktoren wie die Art der Technologie und der Daten berücksichtigt werden. Zwar ist auch eine Person erforderlich, die die Funktion des Managementbeauftragten erfüllt, doch muss die Unternehmensleitung darüber hinaus Personen benennen, die für das Risikomanagement sowie für die Überwachung der regulatorischen Anforderungen und des Stands der Technik verantwortlich sind, und diesen ausdrückliche Befugnisse zum Eingreifen erteilen.
EN 18286 ist präskriptiver als ISO 13485; während sich der D&D-Prozess also bis auf die neue Einleitungsphase nicht wirklich ändert, müssen Sie Ihre Dokumentation überprüfen, um sicherzustellen, dass alle spezifischen Anforderungen an Entwurfsergebnisse, Prüfprotokolle usw. in Ihrer Dokumentation enthalten sind.
Ihr Identifizierungs- und Rückverfolgbarkeitsverfahren bietet eine gute Grundlage, doch jede Version eines KI-Systems muss nun eine eindeutige Referenz erhalten. Diese Referenz muss mit der Gebrauchsanweisung, der technischen Dokumentation und den Datensätzen verknüpft sein.
Beginnen Sie mit einer Lückenanalyse Ihres Qualitätsmanagementsystems im Hinblick auf die Norm EN 18286, priorisieren Sie anschließend die Änderungen und aktualisieren Sie Ihre Verfahren. Sie verfügen über eine gute Ausgangsbasis und sollten nicht bis 2028 warten, um herauszufinden, wo Ihre Lücken liegen.
Es gibt noch viele weitere kleine Anpassungen, die hier und da in Ihren Prozessen und Unterlagen vorgenommen werden müssen, aber dieser Blogbeitrag ist bereits ziemlich lang.
Unsere Qserve-Experten haben die Norm EN 18286 bereits mit der ISO 13485 abgeglichen und können Ihnen dabei helfen, eine Lückenanalyse Ihres Qualitätsmanagementsystems durchzuführen, die Änderungen zu priorisieren und Ihre Verfahren anzupassen. Kontaktieren Sie uns, um Ihr QMS für den AI Act vorzubereiten.
Erfahren Sie mehr über unsere Unterstützung bei der KI-Zulassung und Unterstützung im Bereich Qualitätssicherung oder prüfen Sie zunächst mit unserem Quiz zur KI-Bereitschaft Ihres QMS, wo Sie stehen.