Das EU AI Act und die Pharmaindustrie: Was es bedeutet, was es verlangt und was als Nächstes zu tun ist

Die EU-AI-Verordnung — Verordnung (EU) 2024/1689 — trat am 1. August 2024 in Kraft und wurde damit zum weltweit ersten umfassenden Rechtsrahmen für die Entwicklung und den Einsatz künstlicher Intelligenz. Für Pharma- und Biotechnologieunternehmen, die bereits GxP-Verpflichtungen, MDR- und IVDR-Anforderungen sowie sich entwickelnde EMA-Leitlinien managen, fügt sie eine bedeutende neue Compliance-Ebene hinzu.

Die Verordnung ist keine allgemeine Empfehlung. Sie hat reale Durchsetzungswirkung: Verstöße gegen Bestimmungen für Hochrisiko-KI können mit Geldbußen von bis zu €30 Millionen oder 6 % des weltweiten Jahresumsatzes geahndet werden, je nachdem, welcher Betrag höher ist. Für verbotene KI-Einsätze drohen Strafen von bis zu €35 Millionen oder 7 % des weltweiten Umsatzes. Da die primäre Compliance-Frist im August 2026 liegt, wird das Zeitfenster für die Vorbereitung enger.

Was die EU-AI-Verordnung ist und warum die Pharmaindustrie sie nicht als Hintergrundrauschen abtun kann?

Die AI-Verordnung ist das abschließende Element des breiteren digitalen Gesetzespakets der EU, zu dem auch das Digital Services Act, das Digital Markets Act, das Data Governance Act und das Data Act gehören, die alle zwischen 2023 und 2024 finalisiert wurden. Sie gilt für jede Organisation, die KI-Systeme innerhalb der EU entwickelt, einsetzt oder nutzt oder deren KI-Systeme Menschen in der EU betreffen. Der geografische Anwendungsbereich reicht weit über europäisch ansässige Unternehmen hinaus.

Die Pharmaindustrie liegt klar im höchsten Prioritätsbereich der Verordnung. Entscheidungen zur Arzneimittelentwicklung, diagnostische Ergebnisse, Herstellungssteuerungen und behördliche Einreichungen betreffen alle direkt die Patientensicherheit. Die EU hat dies ausdrücklich gemacht: KI, die diese Bereiche berührt, wird an die strengsten Standards der Verordnung gebunden sein.

Drei Aspekte der Verordnung erfordern sofortige Führungsaufmerksamkeit:

1. Risikoklassifizierung bestimmt, welche Compliance-Verpflichtungen gelten, und vieles von dem, was Pharmaunternehmen mit KI tun, fällt in die Hochrisiko-Stufe
2. Durchsetzungsfristen sind verbindlich, da die Anforderungen an Hochrisiko-KI im August 2026 durchsetzbar werden, mit KI, die in Medizinprodukten eingebettet ist, folgend im August 2027
3. Finanzielle Sanktionen sind erheblich und werden am weltweiten Umsatz bemessen, nicht am lokalen Umsatz

Wie die EU-AI-Verordnung KI-Systeme klassifiziert und wo pharmazeutische Anwendungen fallen?

Die Verordnung definiert vier Risikostufen, die jeweils unterschiedliche Verpflichtungen mit sich bringen. Zu wissen, welche Stufe für ein bestimmtes KI-System gilt, ist die Grundlage jeder Compliance-Bewertung.

Unannehmbares Risiko entspricht verbotenen Systemen. KI-Anwendungen, die grundlegende Gefahren für Sicherheit oder Grundrechte darstellen, sind vollständig verboten. Keine legitime pharmazeutische Anwendung fällt hierunter. Hochrisiko ist die Stufe, die für die Pharmaindustrie am wichtigsten ist. Dort liegt der Fokus der Compliance.

Zwei Unterkategorien gelten:

1. KI-Systeme, die ein sicherheitskritisches Element eines Produkts sind oder ein solches bilden, das unter die Medical Device Regulation (MDR) oder die In Vitro Diagnostic Regulation (IVDR) fällt, werden automatisch als Hochrisiko eingestuft. Dies umfasst diagnostische Bildgebungssoftware, KI-gestützte Patientenüberwachungstools und Software as a Medical Device (SaMD).
2. KI-Systeme, die in Anhang III der Verordnung aufgeführt sind und kritische Infrastruktur, Beschäftigung, essentielle Dienste und bestimmte klinische Entscheidungsunterstützungsanwendungen abdecken, fallen je nach Gestaltung und Einsatzkontext ebenfalls hierunter.

General-purpose-AI-Modelle sind eine eigenständige und wachsende Kategorie. Large Language Models und Foundation Models, die für medizinisches Schreiben, Pharmakovigilanz-Signalerkennung, Literaturrecherche oder das Erstellen regulatorischer Dokumente verwendet werden, fallen unter einen separaten Abschnitt der Verordnung mit eigenen Pflichten für Modellanbieter und -einsetzer.

Begrenztes und minimales Risiko erfordert nur Transparenzpflichten. Interne Verwaltungstools, einfache Automatisierung und KI, die ausschließlich für nicht-regulierte wissenschaftliche Forschung eingesetzt wird, fallen in der Regel hierunter. Die Artikel 2(6) bis 2(8) der Verordnung enthalten ausdrückliche Ausnahmen für KI, die ausschließlich für wissenschaftliche Forschung und Entwicklung verwendet wird, sodass viele Anwendungen der frühen Wirkstoffforschung und präkompetitiven Forschung außerhalb des vollen Geltungsbereichs der Verordnung liegen.

KI in GxP-Umgebungen benötigt mehr als eine Klassifizierung; sie braucht von Anfang an validierte Governance.

→ Lesen: Wie KI die Qualitätssicherung in der Pharmaindustrie transformiert

Die vier Kern-Compliance-Verpflichtungen für Hochrisiko-KI-Systeme in der Pharmaindustrie

Für jedes als Hochrisiko klassifizierte KI-System legt die Verordnung verpflichtende Pflichten fest. Dies sind gesetzliche Anforderungen, keine Leitlinien, und der Nachweis der Einhaltung jeder Pflicht ist Bedingung für eine rechtmäßige Inbetriebnahme auf dem EU-Markt.

1. Risikomanagement über den gesamten Lebenszyklus des KI-Systems: Ein dokumentiertes Risikomanagementsystem muss von der Erstentwurfsphase bis zur Außerbetriebnahme funktionieren. Es muss die vorhersehbaren Risiken in Bezug auf den vorgesehenen Gebrauch des Systems identifizieren, Risiken aus sowohl korrektem Betrieb als auch Missbrauch bewerten, Minderungsmaßnahmen implementieren und verifizieren sowie regelmäßig aktualisiert werden, während sich das System weiterentwickelt. Dies überschneidet sich mit ICH Q9- und GAMP 5-Prinzipien, geht aber ausdrücklich auf das algorithmische Verhalten des KI-Systems ein — nicht nur auf die Prozessumgebung darum herum.
2. Governance und Qualität der Trainingsdaten: Trainings-, Validierungs- und Testdatensätze müssen angemessenen Governance-Praktiken unterliegen, repräsentativ genug und frei von wesentlichen Fehlern sein, geeignete statistische Eigenschaften für den beabsichtigten Zweck aufweisen und dokumentiert werden, um zu zeigen, dass bekannte Verzerrungen identifiziert und behandelt wurden. Für Pharmaunternehmen schneidet sich dies direkt mit den GxP-Anforderungen an Datenintegrität, und in den meisten Organisationen wurden Trainingsdaten-Pipelines ursprünglich nicht aufgebaut, um beide Standards gleichzeitig zu erfüllen.
3. Technische Dokumentation vor der Inbetriebnahme: Bevor ein Hochrisiko-KI-System auf den Markt gebracht oder in Betrieb genommen wird, muss eine umfassende technische Dokumentation erstellt und gepflegt werden. Diese muss eine Beschreibung des vorgesehenen Zwecks und des Designs des Systems, der Trainingsmethodik und des Validierungsprozesses, Nachweise des Risikomanagements sowie Details zu Überwachungs- und menschlichen Aufsichtmechanismen enthalten, die in das System integriert sind.
4. In das Systemdesign eingebettete Mechanismen zur menschlichen Aufsicht: High-risk-KI-Systeme müssen so konzipiert sein, dass menschliche Bediener die Fähigkeiten und Grenzen des Systems verstehen, seinen Betrieb überwachen, anomales Verhalten erkennen und Ausgaben bei Bedarf außer Kraft setzen oder aussetzen können. In der Fertigung bedeutet dies, dass KI-basierte prozessanalytische Technologie definierte Eskalationsprotokolle für unerwartete Ausgaben enthalten muss. In klinischen oder regulatorischen Zusammenhängen müssen KI-generierte Analysen von qualifizierten Personen verifiziert werden, bevor sie folgenschwere Entscheidungen beeinflussen.

Wie interagiert der EU AI Act mit MDR, IVDR und GxP-Rahmenwerken?

Der AI Act ersetzt nicht die Medical Device Regulation, die In Vitro Diagnostic Regulation oder die GxP-Qualitätsrahmen der Pharmaindustrie. Er ergänzt sie und schafft überlappende Verpflichtungen, die gleichzeitig gehandhabt werden müssen.

Hersteller von Medizinprodukten, deren Produkte KI enthalten, stehen vor einem doppelten Compliance-Modell: Ihre KI-Komponenten müssen gleichzeitig sowohl die MDR- oder IVDR-Konformitätsanforderungen als auch die Hochrisikobestimmungen des AI Act erfüllen. Die Medical Device Coordination Group der EU hat dies direkt in ihrer MDCG 2025-6-Leitlinie angesprochen und klargestellt, dass:

1. Risikoabschätzungen nach dem AI Act, technische Dokumentation und Anforderungen an die Datenverwaltung in bestehende MDR- oder IVDR-Qualitätsmanagementprozesse integriert werden sollten, anstatt als parallele Systeme zu laufen
2. Artikel 8 des AI Act erlaubt ausdrücklich die Integration KI-spezifischer Tests und Dokumentation in bestehende MDR-Konformitätsprozesse, um Duplikation zu vermeiden
3. Benannte Stellen, die für MDR- oder IVDR-Konformitätsbewertungen verantwortlich sind, werden erwartet, die Einhaltung des AI Act gleichzeitig zu bewerten, wenn KI-Komponenten vorhanden sind

Für Pharmahersteller, deren KI außerhalb CE-gekennzeichneter Geräte eingesetzt wird und Prozessanalytik, Steuerung von Herstellprozessen, Pharmakovigilanz und die Erstellung regulatorischer Dokumente umfasst, ist die Schnittstelle zu MDR und IVDR nicht anwendbar, wohl aber GxP-Verpflichtungen. 

Diese Organisationen müssen ihre KI-Systeme eigenständig an den Anforderungen des Gesetzes messen und gleichzeitig die Ausrichtung an EMA-Leitlinien, GAMP 5 und bestehenden QMS-Verpflichtungen aufrechterhalten.

In Medizinprodukte eingebettete KI trägt doppelte Verpflichtungen nach MDR und dem EU AI Act. Die SaMD-Compliance beginnt hier.

→ Lesen: SaMD In Pharma | Vorschriften, Risiken & Compliance

Wichtige Compliance-Termine, die Pharma- und Biotech-Führungskräfte verfolgen sollten:

1. 1. August 2024 — Act trat in Kraft; Portfolio-Bewertungen für KI sollten begonnen haben
2. 2. Februar 2025 — Verbotene KI-Praktiken wurden durchsetzbar
3. 2. August 2025 — Verpflichtungen für Anbieter allgemeiner KI-Modelle wurden anwendbar
4. 2. August 2026 — Hauptfrist für die Einhaltung von Hochrisiko-KI für Systeme, die nicht in CE-gekennzeichnete Medizinprodukte eingebettet sind
5. 2. August 2027 — Verlängerte Frist für Hochrisiko-KI, die in CE-gekennzeichnete Geräte unter MDR oder IVDR eingebettet ist

Ein im November 2025 veröffentlichter Änderungsvorschlag, bekannt als Digital Omnibus, signalisierte mögliche Fristverlängerungen. Organisationen, die auf mögliche Verlängerungen statt auf feststehende Daten planen, akzeptieren ein regulatorisches Risiko, vor dem die meisten Compliance-Berater eindringlich warnen.

Eine praktikable Compliance-Reihenfolge für Pharmaorganisationen

Ein effektives Compliance-Programm lässt sich nicht in Wochen aufbauen. Dies sind die Schritte, die Organisationen mit ausgereiften GxP-Compliance-Fähigkeiten priorisieren:

1) Inventar und Risikoklassifizierung von KI-Systemen. Dokumentieren Sie jedes in Gebrauch befindliche oder in Entwicklung befindliche KI-System. Klassifizieren Sie jedes nach der Risikoebene des Gesetzes. Diese Übung deckt häufig ein größeres und vielfältigeres KI-Portfolio auf, als die Führung erwartet, und legt sofort fest, wo der Schwerpunkt liegen muss.

2) Funktionsübergreifende Governance-Struktur mit exekutiver Sponsorship. Benennen Sie die Verantwortung für KI-Compliance über Qualität, Regulatory Affairs, Recht, IT und Data Science hinweg und richten Sie eine direkte Berichtslinie zur Geschäftsleitung ein.

3) Gap-Analyse bestehender Risikomanagementprozesse. Vergleichen Sie ICH Q9- und GAMP 5-Risikomanagementverfahren mit den Anforderungen des Gesetzes. Erweitern Sie diese, um KI-spezifische Risiken abzudecken: Modelldrift, Verzerrungen in Trainingsdaten und Erklärbarkeitsbeschränkungen.

4) Überprüfung der Governance für Trainingsdaten. Bewerten Sie, ob die zur Schulung und Validierung von Hochrisiko-KI-Systemen verwendeten Daten die Qualitäts- und Dokumentationsanforderungen des Gesetzes erfüllen. Hier finden sich am häufigsten die größten Compliance-Lücken.

5) Erstellung technischer Dokumentation.Beginnen Sie mit dem Aufbau der erforderlichen technischen Dokumentation für jede Hochrisiko-KI-Anwendung, integriert in vorhandene MDR- oder IVDR-Technical Files, wo zutreffend.

6) Überprüfung der Qualifizierung von Drittanbieter-KI. Prüfen Sie Lieferantenverträge und Qualifizierungsunterlagen, um zu bestätigen, dass Drittanbieter-KI-Tools die Anforderungen des Gesetzes erfüllen und dass die Verantwortung für die laufende Überwachung der Compliance klar zugewiesen ist.

Warum die Einhaltung des EU AI Act ein strategischer Vorteil und nicht nur eine regulatorische Verpflichtung ist?

Pharmaunternehmen, die als Reaktion auf das Gesetz echte Infrastrukturen für KI-Governance aufbauen, werden Fähigkeiten gewinnen, die weit über die reine Compliance hinausgehen. Sie können KI‑Tools schneller von der Pilotphase in die Produktion überführen, weil die Governance‑Infrastruktur zur Validierung und Freigabe bereits vorhanden ist. 

Sie werden eine verteidigungsfähige Position einnehmen, während die EMA und andere Behörden ihre eigenen Erwartungen an die KI‑Aufsicht formalisieren. Und sie reduzieren das Risiko kostspieliger KI‑Fehler in der Fertigung, in klinischen Abläufen oder in regulatorischen Kontexten, weil das vom Gesetz geforderte Lifecycle‑Monitoring dieselbe Disziplin ist, die Modellverschiebung und Datenqualitätsprobleme unentdeckt verhindert.

Die Unternehmen, die langfristig den größten Nutzen aus KI in regulierten Pharmaumgebungen ziehen werden, sind nicht diejenigen, die am schnellsten in schwach regulierten Kontexten vorgegangen sind. 

Es sind diejenigen, die die Compliance‑Infrastruktur früh genug aufgebaut haben, um KI dort einzusetzen, wo sie in GxP‑Umgebungen, in patientenbezogenen Anwendungen und in regulatorischen Einreichungen mit der wissenschaftlichen und rechtlichen Glaubwürdigkeit, die jede Ausgabe stützt, am wichtigsten ist. 

Der EU AI Act macht den Aufbau dieser Infrastruktur erforderlich. Organisationen, die ihn als Investition und nicht als Belastung betrachten, dürften deutlich besser aufgestellt sein, wenn die nächste Welle regulatorischer KI‑Erwartungen anrollt.

Wie der EU AI Act KI‑Systeme klassifiziert und wo pharmazeutische Anwendungen eingeordnet werden

Abschließend

Der EU AI Act stellt einen Wendepunkt für Pharma und Biotech dar, indem er klare Verpflichtungen, strenge Zeitpläne und bedeutende finanzielle Folgen einführt, die Führungskräfte nicht länger als fern oder theoretisch abtun können. 

Die Organisationen, die jetzt handeln, indem sie ihre KI‑Systeme neu kartieren, die Dokumentation stärken, Datenlücken schließen und medizinproduktbezogene KI an doppelte regulatorische Anforderungen angleichen, werden am besten positioniert sein, um unter dem neuen Regime selbstbewusst zu agieren.

Wichtiger noch: Proaktive Compliance dient nicht nur der Vermeidung von Strafen; sie wird zunehmend zu einem Merkmal von Zuverlässigkeit, Transparenz und langfristiger Wettbewerbsfähigkeit. 

Unternehmen, die heute eine starke, auditierbare KI‑Governance etablieren, werden nicht nur regulatorische Erwartungen erfüllen, sondern auch das Vertrauen schaffen, das in einer zunehmend KI‑getriebenen Pharmalandschaft Wettbewerbsvorteile bringt.

FAQs

1. Gilt der EU AI Act für Pharma‑ und Biotech‑Unternehmen außerhalb der EU?

Ja. Das Gesetz gilt für jede Organisation, deren KI‑Systeme in der EU verwendet werden oder auf Personen in der EU einwirken – unabhängig davon, wo das Unternehmen seinen Sitz hat. Das bedeutet, dass globale Pharma‑ und Biotech‑Unternehmen konform sein müssen, wenn ihre KI‑Tools EU‑Operationen, klinische Tätigkeiten, regulatorische Einreichungen oder patientenbezogene Dienste unterstützen. In der Praxis macht dies das Gesetz zu einem de-facto globalen Standard für jedes Unternehmen, das im regulierten Bereich der Lebenswissenschaften tätig ist.

2. Warum werden die meisten pharmazeutischen KI‑Systeme nach dem Gesetz als hochriskant eingestuft?

Pharma‑KI‑Anwendungen beeinflussen häufig die Patientensicherheit, die Produktqualität, klinische Entscheidungen oder regulatorische Prozesse. Aufgrund dieser Auswirkungen fallen viele in die Kategorie „hohes Risiko“, insbesondere KI, die in nach MDR/IVDR regulierten Medizinprodukten, diagnostischen Instrumenten, Fertigungssteuerungssystemen und KI‑Modellen zur Unterstützung klinischer oder regulatorischer Entscheidungen eingebettet ist. Die Einstufung als hohes Risiko löst die umfassendsten Compliance‑Anforderungen des Gesetzes aus. Infolgedessen werden die meisten KI‑Anwendungsfälle in der Pharmaindustrie strukturierte Governance, Dokumentation und Aufsicht benötigen, um konform zu bleiben.

3. Was sollten pharmazeutische Organisationen zuerst tun, um sich auf die Frist 2026 vorzubereiten?

Der wesentliche erste Schritt ist die Erstellung eines vollständigen Inventars aller KI‑Systeme, die in Forschung & Entwicklung, Fertigung, Qualitätssicherung, Klinik und Regulierung eingesetzt werden. Jedes System muss dann nach Risikostufe klassifiziert werden. Dies bestimmt, welche Systeme unter die Pflichten für hohe Risiken fallen und neue Kontrollen, Dokumentation, Verbesserungen in der Datenverwaltung und Aufsichtsmechanismen erfordern – und das rechtzeitig vor der Compliance‑Frist im August 2026. Frühzeitiges Handeln hilft den Teams, überstürzte Nachbesserungen zu vermeiden und stellt sicher, dass Compliance‑Programme organisationsweit skaliert werden können.