Qualitätsmanagement für KI-gestützte Medizinprodukte
Mit dem EU AI-Act entsteht für Medizinproduktehersteller, die KI-Systeme für Medizinprodukte entwickeln oder als Bestandteil ihrer Produkte in Verkehr bringen, neben der etablierten Medizinprodukteregulierung ein zusätzlicher regulatorischer Rahmen. Gerade für Hersteller mit einem bestehenden Qualitätsmanagementsystem nach ISO 13485 stellt sich damit eine praktische Frage: Müssen neue, parallele Strukturen aufgebaut werden, oder lässt sich die KI-Regulierung in das vorhandene QMS integrieren?
Die EN18286:3036 wurde unter dem AI-Act harmonisiert
Mit der EN 18286:2026 „Artificial intelligence – Quality management system for EU AI Act regulatory purposes“ gibt es nun erstmals eine harmonisierte europäische Norm zur Unterstützung des AI-Act. Ihre Referenz wurde im Oktober 2026 im Amtsblatt der Europäischen Union veröffentlicht. Damit ist sie die erste harmonisierte Norm unter dem AI-Act.
Im Kern übersetzt die EN 18286 die regulatorischen Vorgaben zum Qualitätsmanagement aus Artikel 17 des AI Act in konkrete organisatorische und operative QMS-Anforderungen. Sie betrachtet dabei den Lebenszyklus des jeweiligen KI-Systems. Die Europäische Kommission nennt hierfür neben ISO 9001 und ISO/IEC 42001 explizit auch ein sektorspezifisches QMS nach ISO 13485. Für Medizinproduktehersteller ist das entscheidend: Die EN 18286 ist nicht als separates Managementsystem zu verstehen, sondern kann in bestehende Managementsysteme integriert werden.
Für Med-Tech-Hersteller lautet die entscheidende Frage deshalb nicht:
„Brauchen wir neben ISO 13485 ein zweites QMS?“
Sondern:
„Welche Anforderungen der EN 18286 deckt unser bestehendes QMS bereits ab und wo müssen wir es KI-spezifisch erweitern?“
Genau diese Analyse bildet den sinnvollen Ausgangspunkt für die praktische Umsetzung.
ISO 13485 allein reicht für die Entwicklung von KI-gestützten Produkten nicht aus
Die gute Nachricht für Medizinproduktehersteller: Der praktische Ansatz sollte deshalb nicht darin bestehen, neben dem bestehenden Medizinprodukte-QMS ein isoliertes zweites Managementsystem aufzubauen. Vielmehr geht es darum, vorhandene Prozesse dort gezielt zu erweitern, wo die EN 18286 zusätzliche Anforderungen an Governance, regulatorische Nachweisführung und Lifecycle Management von KI-Systemen stellt.
Dazu gehört insbesondere, regulatorische Anforderungen für jedes KI-System systematisch zu identifizieren und in einer dokumentierten Regulatory-Compliance-Strategie abzubilden. Die EN 18286 erweitert damit die Perspektive eines klassischen Medizinprodukte-QMS: Nicht nur das Medizinprodukt und dessen regulatorischer Lebenszyklus stehen im Fokus, sondern auch das darin eingesetzte oder damit verbundene KI-System.
[Bild ist KI-generiert]
Diese Erweiterung betrifft auch das Verständnis von Risiken und Schutzzielen. Neben Gesundheit und Sicherheit spielen im AI-Act Grundrechte eine zentrale Rolle. Für Hersteller bedeutet das, über den KI-Lebenszyklus hinweg zu betrachten, welche Auswirkungen ein KI-System auf diese geschützten Rechtspositionen haben kann. Damit kommt eine Dimension hinzu, die in einem klassischen ISO 13485 QMS nicht in gleicher Weise im Mittelpunkt steht.
Die entscheidenden Neuerungen: Daten, Lifecycle und KI-Governance
Besonders deutlich wird der zusätzliche Handlungsbedarf beim Datenmanagement. Während ein QMS nach ISO 13485 bereits umfangreiche Vorgaben zur Entwicklung und Kontrolle von Medizinprodukten enthält, werden Daten bei KI-Systemen selbst zu einem zentralen Gegenstand des Qualitätsmanagements. Hersteller müssen deshalb geeignete Prozesse über den Datenlebenszyklus etablieren. Das betrifft unter anderem Gewinnung und Erhebung, Analyse und Labeling, Speicherung und Filterung sowie Aggregation und Aufbewahrung von Daten bis hin zur kontrollierten Archivierung oder Vernichtung nicht mehr benötigter Daten. Gleichzeitig müssen die Anforderungen an das KI-System systematisch abgeleitet und dokumentiert werden. Ausgangspunkte sind insbesondere die Zweckbestimmung und der vernünftigerweise vorhersehbare Fehlgebrauch des KI-Systems. Regulatorische Vorgaben werden daraus in konkrete Anforderungen an Entwicklung und Betrieb übersetzt. Dadurch rücken KI-spezifische Eigenschaften wie Genauigkeit, Robustheit, Cybersicherheit, Transparenz und Human Oversight ebenso stärker in das Entwicklungs-QMS wie die Anforderungen an Daten und Aufzeichnungen. Der AI Act adressiert diese Themen als zentrale Anforderungen an Hochrisiko-KI-Systeme.
[KI-generiert]
Eine weitere wesentliche Veränderung liegt in der konsequenten Lifecycle-Perspektive. Die EN 18286 ist ausdrücklich am Lebenszyklus des KI-Systems ausgerichtet. Für Hersteller endet die Betrachtung des KI-Systems damit nicht bei Entwicklung, Verifizierung und Validierung. Auch Wartung, Updates, Änderungen und vor Allem das neu hinzugekommene Nachtraining müssen in geeignete QMS-Prozesse eingebunden werden. Das ist insbesondere bei Systemen relevant, deren Modelle oder Leistungsmerkmale sich nach dem erstmaligen Inverkehrbringen verändern können. Änderungen müssen hinsichtlich ihrer Auswirkungen auf Risiken, Zweckbestimmung und Qualität bewertet und dokumentiert werden. Dazu gehören auch kumulative Effekte mehrerer Änderungen und der kontrollierte Umgang mit vorab bestimmten Änderungen.
Auch das Lieferantenmanagement erhält eine neue Dimension. Die Lieferkette eines KI-Systems besteht nicht nur aus klassischen Komponenten oder ausgelagerten Dienstleistungen. Datenquellen, Trainings- und Prüfdaten sowie extern durchgeführte Aktivitäten innerhalb des KI-Lebenszyklus müssen ebenfalls in die Lieferkettensteuerung einbezogen werden. Das bedeutet, das bestehende Supplier-Control-Prozesse daraufhin zu prüfen sind, ob sie diese neuen Abhängigkeiten angemessen erfassen.
Schließlich erweitert sich auch das Post-Market Monitoring. Klassische Quellen wie Feedback, Beschwerden und Vorfälle bleiben relevant, reichen für KI-Systeme aber nicht zwangsläufig aus. Hinzu kommen KI-spezifische Informationsquellen und Veränderungen, etwa System-Logs, neu entstehende Risiken (wie z.B. Drift-Modelle), Wechselwirkungen mit anderen KI-Systemen oder Rückmeldungen betroffener Personen.
Drei Dinge, die Medizinproduktehersteller jetzt tun sollten
Der pragmatischste Weg zur Umsetzung der EN 18286 führt für Medizinproduktehersteller über das bereits vorhandene Qualitätsmanagementsystem. Statt parallele Strukturen aufzubauen, sollten Hersteller jetzt vor allem drei Handlungsfelder angehen.
[KI-generiert]
Das bestehende ISO-13485-QMS gezielt auf KI-Gaps überprüfen
Ausgangspunkt sollte eine strukturierte Gap-Analyse sein, die mindestens folgende bestehende Prozesse betrachtet:
- Design & Development
- Risikomanagement
- Lieferantenmanagement
- Post-Market Surveillance
- Change Control
- Management Review
Diese Prozesse sollten systematisch gegen die KI-spezifischen Anforderungen gespiegelt werden. Besondere Aufmerksamkeit verdienen dabei Themen, die über die bestehenden Vorgaben der ISO 13485 hinausgehen. Ein wesentliches Beispiel ist das durchgängige Datenmanagement für KI-Systeme oder die Regulatory-Compliance-Strategie.
KI-Governance und Verantwortlichkeiten klar verankern
Für jedes KI-System sollte zunächst geklärt sein, welche regulatorische Rolle und welcher Scope vorliegen sowie welche Anforderungen daraus resultieren. Darauf aufbauend müssen Verantwortlichkeiten für Regulatory Compliance, KI-Risikomanagement und Entscheidungen über den gesamten Lebenszyklus eindeutig festgelegt werden. Dazu gehört auch die Frage nach den notwendigen Kompetenzen: Neben Medizinprodukterecht und Qualitätsmanagement werden Kenntnisse zu KI-Technologien, Daten, AI-Act sowie KI-spezifischen Risiken für Gesundheit, Sicherheit und Grundrechte benötigt. Ist diese Expertise nicht vorhanden, sollte sie innerhalb eines Weiterbildungsplans für spezielle Gruppen und Personen aufgebaut werden.
Daten- und Lifecycle-Prozesse frühzeitig operationalisieren
Datenmanagement sollte künftig nicht mehr ausschließlich als Teil einzelner Entwicklungsaktivitäten verstanden werden, sondern als eigener Bestandteil des QMS. In der Praxis braucht es beispielsweise eine belastbare Versionierung und Traceability zwischen KI-System, verwendeten Modellen, relevanten Datensätzen und technischer Dokumentation. Gleichzeitig müssen Prozesse für Updates und Nachtraining, Änderungen, Monitoring, Logs und den Umgang mit neu identifizierten Risiken definiert werden.
Fazit: Kein zweites QMS, aber ein deutlich erweitertes
Für Medizinproduktehersteller mit einem etablierten Qualitätsmanagementsystem nach ISO 13485 bedeutet die EN 18286 keinen Start bei null. Viele zentrale Mechanismen und Prozesse sind bereits vorhanden und können als Grundlage für die Umsetzung der zusätzlichen Anforderungen des AI-Act dienen.
Der pragmatische Weg lautet deshalb: Bestehende Strukturen nutzen, KI-spezifische Gaps identifizieren und diese systematisch schließen. Ein funktionierendes ISO-13485-QMS verschafft Medizinprodukteherstellern dafür eine gute Ausgangsposition. Es ersetzt aber nicht die konkrete Auseinandersetzung mit den neuen Anforderungen an KI-Systeme.
Genau hier kann ai6 Solutions unterstützen: von der strukturierten Gap-Analyse zwischen bestehendem QMS und EN 18286 bis zur praktischen Integration der notwendigen KI-Prozesse in das Qualitätsmanagement. Unser Anspruch dabei ist bewusst pragmatisch: „We uncomplicate medtec for our customers.“ Denn AI-Act-Compliance sollte nicht bedeuten, gewachsene und funktionierende Prozesse unnötig komplizierter zu machen, sondern sie dort gezielt weiterzuentwickeln, wo KI tatsächlich neue Anforderungen mit sich bringt.
Bitte beachten Sie, dass alle Angaben und Auflistungen nicht den Anspruch der Vollständigkeit haben, ohne Gewähr sind und der reinen Information dienen.
