AI-Act: Das ist jetzt zu tun

Demnach gehören die meisten KI-Medizinprodukte zu den so genannten Hochrisiko-Systemen. Für diese gelten die Regelungen ab dem 2. August 2027. Gleichwohl sei bereits jetzt der richtige Zeitpunkt zu handeln, so Hüning. Die Aufgaben:

• Kompetenz aufbauen, Art. 4 AI Act (Mitarbeiter schulen, externe Beratung)
• KI-Systeme identifizieren und Risiken einstufen (Mapping von KI-Projekten)
• QM-Systeme anpassen
• Transparenzanalyse erstellen
• Mit externen Partnern notwendige Maßnahmen abstimmen, im Hinblick auf PMS, Informationspflichten, etc. (Lieferanten, Händler, …)

Immerhin: Viele Pflichten des AI Acts erfüllen MedTech-Unternehmen bereits gemäß MDR/IVDR, so Hüning. „Hier kann auf bestehenden Strukturen aufgebaut werden.“

Außerdem ging der Anwalt auf den Cloud-Einsatz im Gesundheitswesen ein. § 393 Abs. 1 SGB V (neu) bestimme laut Hüning „recht plakativ“, dass Leistungserbringer sowie ihre jeweiligen Auftragsdatenverarbeiter „Sozialdaten und Gesundheitsdaten auch im Wege des Cloud-Computing-Dienstes verarbeiten dürfen. Dafür müssen bestimmte Voraussetzungen und Vorgaben erfüllt sein, wie etwa der Standort der Datenverarbeitung. Außerdem brauchen Cloud-Nutzer ein C5-Testat oder vergleichbare Zertifikate. Hüning rät:

• Stellen Sie sicher, dass Ihr Cloud-Anbieter über ein C5-Testat verfügt.
• Verfolgen Sie aktuelle BSI-Richtlinien.
• Ziehen Sie die eigene Einbeziehung in das C5-Testat in Betracht
• Verfolgen Sie rechtliche Entwicklungen und Interpretationen der Behörden.

Der Anwalt beendete seine Ausführungen zum Cloud-Einsatz mit einer beruhigenden Botschaft: „Keine Panik: Selbst der Gesetzgeber hat keine Sanktion vorgesehen.“