KI-Verordnung und AI Act: Warum der Digital Omnibus nicht den kleinen, sondern den großen Medizin-KI-Anbietern hilft
Der Digital Omnibus hat die materiellen Pflichten der KI-Verordnung, im Englischen AI Act, also der Verordnung (EU) 2024/1689 über Künstliche Intelligenz, für Hochrisiko-KI im Gesundheitssektor erneut verschoben, jetzt auf spätestens den 2. August 2028. Das klingt zunächst nach Entlastung. Eine neue ökonomische Studie von Wiens und Dieler zeigt jedoch, dass für kleine Medizin-KI-Unternehmen genau das Gegenteil der Fall ist.
Teilen Sie diesen Beitrag:
Teilen Sie diesen Beitrag:
Was ist der Digital Omnibus?
Der Digital Omnibus ist kein einzelnes Gesetz, sondern ein Bündel von EU-Vereinfachungspaketen, die mehrere digitale Regelwerke aufeinander abstimmen. Wichtig für die Einordnung: Es gibt aktuell zwei parallele Stränge. Der allgemeine Digital Omnibus betrifft vor allem die DSGVO und die ePrivacy-Regeln, während der spezielle Digital Omnibus on AI genau die Fristen der KI-Verordnung anpasst, um die es in diesem Beitrag geht. Beide Pakete laufen zeitgleich durch den Gesetzgebungsprozess, regeln aber unterschiedliche Materien.
Was der Digital Omnibus für Hochrisiko-KI im Gesundheitssektor ändert
Der Digital Omnibus on AI unterscheidet zwischen zwei Gruppen von Hochrisiko-KI-Systemen, und das ist für Medizinprodukte-Hersteller der entscheidende Punkt. Eigenständige Hochrisiko-KI-Systeme nach Anhang III bekommen bis zum 2. Dezember 2027 Aufschub. KI, die in bereits regulierte Produkte eingebettet ist, etwa in Medizinprodukte nach der MDR, fällt unter Anhang I und rückt erst zum 2. August 2028 in die Pflicht, gut zwei Jahre später als ursprünglich vorgesehen. Unverändert bleiben dagegen die Transparenzpflichten nach Artikel 50, die weiterhin ab dem 2. August 2026 gelten, unabhängig von der Risikoklasse.
Für Hersteller von Medizin-KI heißt das konkret: Die materiellen Anforderungen an Risikomanagement, Konformitätsbewertung und Post-Market-Surveillance nach der KI-Verordnung greifen später, aber die Pflicht, KI-generierte Inhalte und automatisierte Entscheidungen kenntlich zu machen, bleibt vom Zeitplan unberührt.
Die Studie: Warum kleine Medizin-KI-Unternehmen freiwillig in Sicherheit investieren
Wiens und Dieler modellieren das Konformitätsbewertungsverfahren spieltheoretisch als Wettbewerb zwischen einem kleinen oder mittleren Unternehmen, einer Benannten Stelle, also der für die externe Prüfung zuständigen Zertifizierungsstelle, und dem Verordnungsgeber. Alle drei konkurrieren zusätzlich um dieselbe knappe Ressource: qualifizierte KI-Fachkräfte. Das Ergebnis der Studie überrascht auf den ersten Blick, ergibt bei genauerem Hinsehen aber Sinn: Unternehmen investieren freiwillig in Produktsicherheit, obwohl die Pflicht dazu noch gar nicht greift.
Drei Motive stecken dahinter. Erstens der Eigenschutz vor späteren Haftungsrisiken, die mit der ebenfalls neuen Produkthaftungsrichtlinie (EU) 2024/2853 noch zunehmen. Zweitens ein Sicherheits-USP gegenüber Kundinnen und Kunden, gerade weil es an sektorspezifischen Standards für KI-Haftung und Datensicherheit bislang fehlt, eine Nische, die sich besetzen lässt. Drittens gut kalibrierte regulatorische Anreize, die frühzeitiges Investment belohnen. Besonders der zweite Punkt ist für europäische Anbieter interessant: Wer schon vor der verbindlichen Frist belastbare Sicherheitsnachweise vorlegen kann, hebt sich von der Konkurrenz ab.
Wenn Sicherheit zur Nebensache wird: die Kehrseite des Aufschubs
Der Aufschub zerstört nach Einschätzung der Studie genau diesen Vorteil. Wenn die Hochrisiko-Pflichten erst 2028 greifen, verschiebt sich der Wettbewerb weg von Sicherheit und hin zu Geschwindigkeit. Wer sein Produkt vor Geltungsbeginn auf den Markt bringt, sichert sich einen First-Mover-Vorteil, ohne die Kosten der Regulierung zu tragen.
Das begünstigt strukturell größere Wettbewerber und vor allem außereuropäische Anbieter. In der KI-Diagnostik sind das vor allem US-amerikanische und chinesische Plattformen, die ohnehin früher auf ihren Heimatmärkten starten und sich Kundenstamm und Lock-in-Effekte sichern können, bevor europäische KMU überhaupt an den Markteintritt denken. Die Zeit, die der Omnibus vermeintlich schenkt, verteilt sich also nicht gleich auf alle Marktteilnehmer.
Der eigentliche Engpass sind nicht die Fristen, sondern die Prüfkapazitäten
Die neue Small-Mid-Cap-Kategorie: Erleichterung mit Nebenwirkungen
Auch bei den KMU-Privilegien selbst ist Vorsicht geboten. Der Omnibus dehnt Erleichterungen bei Gebühren, Dokumentation und beim Zugang zu Reallaboren auf eine neue Kategorie namens Small Mid-Cap Companies aus, Unternehmen mit bis zu 750 Beschäftigten und 150 Millionen Euro Jahresumsatz, also dem Dreifachen der klassischen KMU-Schwelle. Kleine und Kleinstunternehmen profitieren zwar zusätzlich von einer Bußgeldreduktion um 50 beziehungsweise 75 Prozent, doch die neue, deutlich größere Kategorie verwässert die gezielte Förderung genau der kleinen, ressourcenschwachen Unternehmen, für die sie ursprünglich gedacht war.
Was Medizin-KI-Unternehmen jetzt tun sollten
Für die Praxis lassen sich aus der Studie ein paar konkrete Schlüsse ziehen:
- Auf den 2. August 2028 planen, aber mit Puffer. Die Verschiebungshistorie der KI-Verordnung spricht für sich, weitere Anpassungen sind nicht ausgeschlossen.
- Die Zeit bis dahin nicht als Verschnaufpause, sondern aktiv nutzen. Sicherheit by Design und eine belastbare, dokumentierte Risikomanagement-Praxis bleiben ein echter Wettbewerbsvorteil, nicht weil das Gesetz es heute verlangt, sondern weil es die tragfähigere Marktposition ist, sobald es das tut.
- Frühzeitig klären, ob das eigene Produkt unter Anhang I oder Anhang III fällt, denn davon hängt ab, welche Frist tatsächlich gilt.
- Die eigene Position bei der Benannten Stelle im Blick behalten. Wer früh anfragt, sitzt nicht am Ende der Warteschlange, wenn die Kapazitätsengpässe näher an die neue Frist heranrücken.
- Die KI-Kompetenzpflicht nach Artikel 4 nicht mit den Hochrisiko-Fristen verwechseln, sie gilt bereits und läuft unabhängig weiter.
Fazit
Der Digital Omnibus verschafft der Branche formal mehr Zeit, aber nicht allen Marktteilnehmern gleichermaßen. Am Ende entscheidet ohnehin nicht der Kalender über den Marktzugang, sondern die Kapazität der Benannten Stellen und die Frage, wer schon vorher in eine belastbare Sicherheitsarchitektur investiert hat.
