Demnach gehören die meisten KI-Medizinprodukte zu den so genannten Hochrisiko-Systemen. Für diese gelten die Regelungen ab dem 2. August 2027. Gleichwohl sei bereits jetzt der richtige Zeitpunkt zu handeln, so Hüning. Die Aufgaben:
- Kompetenz aufbauen, Art. 4 AI Act (Mitarbeiter schulen, externe Beratung)
- KI-Systeme identifizieren und Risiken einstufen (Mapping von KI-Projekten)
- QM-Systeme anpassen
- Transparenzanalyse erstellen
- Mit externen Partnern notwendige Maßnahmen abstimmen, im Hinblick auf PMS, Informationspflichten, etc. (Lieferanten, Händler, …)
Immerhin: Viele Pflichten des AI Acts erfüllen MedTech-Unternehmen bereits gemäß MDR/IVDR, so Hüning. „Hier kann auf bestehenden Strukturen aufgebaut werden.“
Außerdem ging der Anwalt auf den Cloud-Einsatz im Gesundheitswesen ein. § 393 Abs. 1 SGB V (neu) bestimme laut Hüning „recht plakativ“, dass Leistungserbringer sowie ihre jeweiligen Auftragsdatenverarbeiter „Sozialdaten und Gesundheitsdaten auch im Wege des Cloud-Computing-Dienstes verarbeiten dürfen. Dafür müssen bestimmte Voraussetzungen und Vorgaben erfüllt sein, wie etwa der Standort der Datenverarbeitung. Außerdem brauchen Cloud-Nutzer ein C5-Testat oder vergleichbare Zertifikate. Hüning rät:
- Stellen Sie sicher, dass Ihr Cloud-Anbieter über ein C5-Testat verfügt.
- Verfolgen Sie aktuelle BSI-Richtlinien.
- Ziehen Sie die eigene Einbeziehung in das C5-Testat in Betracht
- Verfolgen Sie rechtliche Entwicklungen und Interpretationen der Behörden.
Der Anwalt beendete seine Ausführungen zum Cloud-Einsatz mit einer beruhigenden Botschaft: „Keine Panik: Selbst der Gesetzgeber hat keine Sanktion vorgesehen.“
