Ein CE-Kennzeichen sagt nichts darüber aus, ob das darin verbaute KI-Modul die Anforderungen des AI Act erfüllt. Genau an dieser Lücke scheitern die meisten generischen KI-Führerschein-Programme, sobald ein Medizintechnik-Betrieb sie für seine SaMD-Abteilung (Software as a Medical Device) einsetzen will. Für die Kriterien einer passenden Schulung reicht MDR-Compliance allein nicht aus, und AI Literacy im Sinne von Art. 4 KI-VO bedeutet in der Medizintechnik etwas anderes als in einer Marketing-Abteilung.
Bevor ich ins Detail gehe: Dieser Beitrag enthält Affiliate-Links zu einem Kursanbieter, dessen Module ich bei mehreren Mandanten im Einsatz gesehen habe – kaufen Sie darüber, erhalte ich eine Provision, ohne dass sich Ihr Preis ändert. Ich verlinke ausschließlich Angebote, die ich vorher selbst geprüft habe.
Warum MDR-Compliance und AI Act in der Medizintechnik kollidieren
Ein mittelständischer Medizintechnik-Betrieb aus dem Taunus wandte sich an mich, weil die Geschäftsführung mehrere KI-Führerschein-Angebote eingeholt hatte und keines davon die Brücke zur MDR 2017/745 schlug. In der Medizintechnik steckt ein KI-Modul selten isoliert in einer App – es ist meist Teil eines Produkts, das bereits nach ISO 13485 zertifiziert ist, weshalb jede Schulung sich in die vorhandene Dokumentationsstruktur einfügen muss. Software als Medizinprodukt (SaMD) fällt über die Verknüpfung von Art. 6 und Anhang III der KI-Verordnung fast immer in die Kategorie der Hochrisiko-Systeme, sobald eine Konformitätsbewertung durch eine Benannte Stelle erforderlich ist – welche anderen Fälle im Mittelstand generell als Hochrisiko-KI gelten, habe ich in einem separaten Beitrag ausführlicher aufgeschlüsselt.
Selbst mir fällt es an der Schnittstelle zwischen MDR-Risikoklasse IIb und der KI-Act-Einstufung manchmal schwer, in einem Erstgespräch sofort eine eindeutige Linie zu ziehen, und das sage ich Mandanten auch so offen. Mein früherer Kollege Reinhard Wulff liest ohnehin nur die englischen Originaltexte der Verordnungen – und die deutsche Fassung von Art. 4 KI-VO verliert an genau den Nuancen, die für die Risikoeinstufung in dieser Branche entscheidend sind. Wo Zulieferer eigene KI-Komponenten in ein Medizinprodukt einbauen, überlagert sich die Weitergabe von KI-Pflichten zusätzlich mit der bestehenden Zertifizierungskette der MDR, und genau dort entstehen doppelte Nachweispflichten, die ich in einem eigenen Beitrag zur Zulieferer-Compliance in der Industrie behandle. Mehr zu den allgemeinen Schulungspflichten im Mittelstand lesen Sie im Beitrag KI-Führerschein für den Mittelstand und gesetzliche Schulungspflichten.
Reicht ein einheitliches KI-Kompetenz-Programm für die ganze Belegschaft?
Nein, und mein Ansatz unterscheidet sich hier bewusst vom Standardmarkt. KMU verschwenden Ressourcen, wenn sie die komplette Belegschaft durch ein identisches, mehrstündiges Programm schleusen. Ein Betrieb, den ich später übernommen habe, hatte das selbst versucht: eine PowerPoint-Präsentation mit dem vollständigen Verordnungstext, die keine einzige Mitarbeiterin bis zur letzten Folie durchgeklickt hatte. Ein modularer Aufbau nach Rolle ist entscheidend: Die Geschäftsführung braucht Wissen zu Haftung, strategischer Compliance und Ressourcenplanung, die Entwicklung und Qualitätssicherung müssen technische Dokumentation, Validierung und die Anforderungen aus Anhang III im Detail verstehen, und Anwender sowie Vertrieb vor allem die korrekte Nutzung innerhalb der Zweckbestimmung und das Erkennen von Fehlfunktionen im Rahmen der Post-Market Surveillance.
Der Art. 4 KI-VO fordert zwar Maßnahmen zur Förderung der KI-Kompetenz für alle Mitarbeiter, die mit KI-Systemen befasst sind – wie sich diese Pflicht über verschiedene Unternehmensgrößen hinweg konkret unterscheidet, habe ich andernorts im Detail aufgeschlüsselt, aber Gleichschaltung verlangt der Artikel nicht. Ob dabei eLearning-Module oder Präsenz-Workshops die bessere Wahl sind, hängt stark von der jeweiligen Rolle ab und ist Thema eines eigenen Formatvergleichs. Dieser rollenbasierte Fokus erhöht die Akzeptanz im Team spürbar, und wenn Sie überlegen, ob interne Multiplikatoren oder externe Kurse die richtige Wahl sind, hilft der Vergleich zwischen Multiplikatoren und externen Kursen.
Haftungsangst von echtem Risiko trennen
Bei einem Workshop, den ich kürzlich am Börsenplatz bei der IHK Frankfurt hielt, zeigte sich die größte Hürde nicht in der Technik, sondern in der Angst der Ingenieure und QS-Verantwortlichen vor persönlicher Haftung. Wer im Unternehmen für welche Entscheidung geradesteht, muss ein KI-Führerschein für Medizintechnik klar benennen. Wie sich diese Haftung zwischen Geschäftsführung, QS und Entwicklung im Detail verteilt, ist Thema eines eigenen Beitrags, den ich hier nur streife. Rein theoretische Vermittlung von Paragraphen reicht dafür nicht aus, es braucht Fallbeispiele wie die Frage, was zu tun ist, wenn ein KI-Modul zur Bildauswertung in der Radiologie plötzlich eine Drift in der Genauigkeit zeigt, und solche Szenarien müssen in Standardarbeitsanweisungen einfließen, damit sie im Audit auch nachweisbar sind.
Kurt Dallmann, IT-Leiter eines Maschinenbauers aus der Rhein-Main-Region, liest jedes Schulungsdokument grundsätzlich zweimal, bevor er es intern weitergibt. In der Medizintechnik multipliziert sich dieser Aufwand noch, weil am Ende auch eine Benannte Stelle mitliest. Als der Geschäftsführer eines Zulieferers aus Hanau mir in einem Abstimmungstermin ohne meine Vorgabe selbst die richtige Risikoklasse für sein neues Bildgebungsmodul nannte, war das für mich der klarste Beleg, dass eine Schulung greift und kein externer Berater mehr für diese eine Entscheidung nötig ist. In meinem Büro im Frankfurter Ostend hängt hinter mir eine handschriftliche Skizze der Risikoklassen. An diese zoome ich neue Mandanten im ersten Videocall (Kamera meist aus, nur das Headset an) kurz heran. Der Ausdruck von Anhang III daneben trägt inzwischen so verblasste orange Textmarker-Linien, dass ich sie im Gegenlicht kaum noch entziffern kann. Ich bin kein Anwalt und darf keine Rechtsberatung im Einzelfall leisten, aber Auditoren wollen genau diese Verknüpfung von Schulung und Betriebspraxis sehen.
Anbieterwahl: Kriterien für den richtigen KI-Führerschein in der Medizintechnik
Ein Online-Kurs namens „KI-Kompakt-Zertifikat", den mir gleich drei Mandanten in den vergangenen Monaten vorgelegt haben, erklärt stundenlang ChatGPT-Prompts, ohne die Risikoanalyse nach AI Act auch nur zu erwähnen. Für ein nach ISO 13485 zertifiziertes Unternehmen ist das wertlos, weil jede Schulung Teil der technischen Dokumentation sein muss. Welche Nachweise, Referenzen und Vertragsdetails Sie vor dem Kauf konkret prüfen sollten, habe ich in einer eigenen Checkliste zur Anbieterauswahl zusammengestellt; hier zählt vor allem, ob der Anbieter über MDR und ISO 14971 überhaupt spricht oder nur allgemeine KI-Grundlagen verkauft.
Wie Sie die entstehende Schulungsdokumentation am effizientesten für ein Audit aufbereiten, ist ebenfalls Stoff für einen eigenen Beitrag – an dieser Stelle reicht der Hinweis, dass ein Auditor die Verknüpfung zwischen Schulungsnachweis und tatsächlicher Betriebspraxis sehen will, nicht nur ein Teilnahmezertifikat. Was ein solches Programm pro Mitarbeiter kostet, hängt stark von Modulzahl und Betriebsgröße ab, weshalb ich lieber auf einen eigenen Kostenvergleich verweise, als hier eine Pauschalzahl zu nennen, die für Ihren Betrieb ohnehin nicht zutrifft. Mit Blick auf den Zeitplan bleibt wenig Spielraum, denn die ersten Verbotsfristen der KI-Verordnung greifen bereits im Februar 2026. Einen vollständigen Fristenplan halte ich in einem separaten Beitrag aktuell. Für die Medizintechnik konkret empfehle ich den KI-Führerschein für Fach- und Führungskräfte, den ich bei mehreren MedTech-Mandanten als Basis eingesetzt und anschließend um unternehmensspezifische Module zur MDR-Schnittstelle ergänzt habe.
Der Nachweis ist mehr als ein Zertifikat
Ein strukturierter Nachweis (ob Sie ihn KI-Führerschein oder AI Literacy Certificate nennen) ist für die Geschäftsführung mehr als eine Pflichtübung. Er belegt bei einer Inspektion durch das Regierungspräsidium oder eine Benannte Stelle, dass das Unternehmen seiner Sorgfaltspflicht nach Art. 4 KI-VO nachgekommen ist. Die Kriterienliste für die Medizintechnik lässt sich auf einen einzigen Test verdichten: Wenn ein Anbieter die MDR nicht erwähnt, die Rollen im Unternehmen nicht unterscheidet und keine Antwort auf die Haftungsfrage hat, ist er für Ihre Branche nicht geeignet, egal wie professionell die Marketingseite wirkt. Denken Sie daran, dass ich bei tiefgreifenden Haftungsfragen ausdrücklich auch eine spezialisierte Kanzlei hinzuzuziehen empfehle. Compliance ist Teamarbeit zwischen Technik, Recht und Management, und wer früh genug gezielt statt pauschal schult, spart sich später den Streit über ein wertloses Zertifikat.