Diagnose-, Triage- und klinische Entscheidungsunterstützungs-KI gilt unter dem EU AI Act regelmässig als Hochrisiko und trifft auf die bestehenden Medizinprodukte-Pflichten aus MDR und IVDR. Wir lösen diese Doppelbelastung einmal sauber: Risikoklassierung, technische Dokumentation, menschliche Aufsicht und Daten-Governance, verzahnt mit nDSG und GDPR. Für MedTech-Hersteller ebenso wie für Spitäler, die KI einkaufen und einsetzen.
Für MedTech-Hersteller, Diagnostik-KI, klinische KI-Verantwortliche und KI-einkaufende Spitäler
Sobald eine KI-Funktion über Diagnose, Triage oder klinische Entscheidungen mitbestimmt, kann sie unter dem EU AI Act als Hochrisiko-System gelten, mit weitreichenden Pflichten entlang des gesamten Lebenszyklus.
Der EU AI Act ordnet KI in Risikoklassen ein. Software, die als Medizinprodukt oder In-vitro-Diagnostikum gilt oder Sicherheitsbauteil eines solchen ist, fällt typischerweise in die Hochrisiko-Kategorie. Das betrifft bildgebende Diagnostik, Befundungs- und Priorisierungssysteme, Triage-Algorithmen in der Notaufnahme sowie klinische Entscheidungsunterstützung (CDSS).
Hochrisiko bedeutet konkret: ein dokumentiertes Risikomanagement, Anforderungen an Daten- und Daten-Governance-Qualität, technische Dokumentation, Protokollierung, Transparenz gegenüber Anwendern, wirksame menschliche Aufsicht sowie Robustheit, Genauigkeit und Cybersicherheit. Diese Pflichten sind nicht einmalig, sondern müssen über Updates und Modellwechsel hinweg aufrechterhalten und nachgewiesen werden.
Wir ordnen Ihr System rechtlich ein, klären, ob und in welcher Klasse es als Hochrisiko gilt, und übersetzen die abstrakten Pflichten in eine konkrete, prüffähige Massnahmenliste. Diese Standortbestimmung ist der erste Schritt, bevor Sie unnötig viel oder das Falsche dokumentieren.
Medizinische KI muss zwei Regelwerke gleichzeitig erfüllen. Wir führen sie als ein verzahntes Compliance-Programm, statt zweimal dieselben Nachweise in zwei Sprachwelten zu erstellen.
Die Cybersicherheits- und Risikomanagement-Anforderungen von MDR und IVDR sind bereits in Kraft. Medizinische Software muss sie heute erfüllen. Der EU AI Act legt für Hochrisiko-KI eine zusätzliche Ebene darüber. Beide Regelwerke verlangen Risikomanagement, technische Dokumentation und ein Qualitätsmanagement, aber mit unterschiedlichem Fokus und Vokabular.
Wir bilden die Anforderungen einmal aufeinander ab: ein Risikomanagement, das beide Regelwerke bedient, eine technische Dokumentation mit den geforderten AI-Act-Bestandteilen, ein Konzept für menschliche Aufsicht, das in den klinischen Workflow passt, und eine Daten-Governance, die Trainings-, Validierungs- und Testdaten nachvollziehbar macht.
Dieselbe Arbeit verzahnen wir nach unten mit dem Datenschutz: Wo Gesundheitsdaten verarbeitet werden, koppeln wir die KI-Governance an nDSG und GDPR und führen, wo erforderlich, die Datenschutz-Folgenabschätzung (DSFA/DPIA) so, dass KI-Risikobewertung und Datenschutz-Bewertung nicht auseinanderlaufen.
Orientierung, kein Rechtsrat. Mehrere Termine sind politisch noch in Bewegung. Wir prüfen Daten und Geltungsbereich fallbezogen.
| Pflicht / Regulierung | Was sie verlangt | Zeitpunkt | Status |
|---|---|---|---|
| Verbotene KI-Praktiken | Verbot bestimmter KI-Anwendungen; KI-Kompetenz im Unternehmen aufbauen | seit 2025 | in Kraft |
| Hochrisiko-KI (Medizinprodukte) | Risikomanagement, technische Dokumentation, menschliche Aufsicht, Daten-Governance, Robustheit | ab 2026/2027, Fristen in Revision (Digital Omnibus) | im Einzelfall prüfen |
| MDR / IVDR Cybersicherheit | Sicherheits- und Risikomanagement-Pflichten für Medizinprodukte und IVD | bereits in Kraft | heute zu erfüllen |
| Betreiberpflichten (Deployer) | Einsatz gemäss Anleitung, menschliche Aufsicht sicherstellen, Protokolle führen, Personal schulen | mit Hochrisiko-Pflichten | Daten prüfen |
| EU Cyber Resilience Act | Sicherheits- und Schwachstellen-Pflichten für vernetzte Produkte mit digitalen Elementen | gestaffelt 2026/2027 | Daten prüfen |
| nDSG / GDPR (DSFA) | Datenschutz-Folgenabschätzung für Gesundheitsdaten, gekoppelt an die KI-Risikobewertung | laufend bei wesentlichen Änderungen | in Kraft |
AI Governance Check
ab CHF 3'900
Der Einstieg: rechtliche Risikoklassierung und Gap-Analyse Ihrer medizinischen KI gegen AI Act, MDR/IVDR und Datenschutz, mit board-tauglichem Bericht.
AI Officer
ab CHF 500/Monat
Laufende KI-Governance als Mandat: Ihre AI-Act-Pflichten bleiben über Updates, neue Modelle und neue Use-Cases hinweg aktuell und nachweisbar.
AI Security
ab CHF 8'000
Technische Prüfung der Software-Ebene: Sicherheit Ihrer LLM-, RAG- und Agenten-Komponenten, robuste, prüffähige Nachweise für die Cybersicherheits-Pflichten.
AI-Act-Konformität ist primär eine Rechts- und Governance-Aufgabe, die in technische Massnahmen mündet. Rein technische Anbieter beginnen am falschen Ende.
Ob Ihr System Hochrisiko ist und welche Pflichten greifen, entscheidet sich an rechtlichen Kriterien. Diese Einordnung führen wir als promovierte Juristinnen und Juristen mit CIPP/E, gestützt auf ein eigenes Technik-Team, das die Umsetzbarkeit prüft.
Wir schreiben technische Dokumentation, die AI Act und MDR/IVDR zugleich bedient, statt zwei getrennte Aktenwelten. Das spart Aufwand und verhindert widersprüchliche Aussagen gegenüber Benannten Stellen und Behörden.
Mit drei dedizierten KI-Services, AI Governance Check, AI Officer und AI Security, decken wir den Bogen von der rechtlichen Einordnung über das laufende Mandat bis zur technischen Prüfung der Software-Ebene ab.
Weil medizinische KI besonders schützenswerte Daten verarbeitet, koppeln wir die KI-Governance an nDSG und GDPR und führen die DSFA dort, wo sie erforderlich ist, aus einer Hand, ohne Schnittstellenverlust.
Wir beraten in Deutsch, Französisch und Englisch, relevant für die Romandie, EU-Mutterhäuser und internationale Zulassungsstellen. Da wir kein eigenes SOC verkaufen, bleiben unsere Empfehlungen unabhängig.
Wir kennen beide Rollen: den Hersteller, der ein Hochrisiko-System in Verkehr bringt, und das Spital, das KI einkauft und betreibt. So beraten wir beide Seiten passgenau und vermitteln zwischen ihren Pflichten.
Der EU AI Act unterscheidet klar zwischen denen, die ein KI-System in Verkehr bringen, und denen, die es einsetzen. Beide tragen Pflichten, aber unterschiedliche.
Hersteller (Anbieter) von Hochrisiko-KI tragen die Hauptlast: Risikomanagement, technische Dokumentation, Qualitätsmanagement, Konformitätsbewertung, Registrierung und Überwachung nach dem Inverkehrbringen. Für MedTech-Hersteller läuft das parallel zur MDR/IVDR-Konformität. Genau diese Verzahnung lösen wir.
Betreiber (Deployer), etwa ein Spital, das eine Diagnostik-KI, einen Triage-Dienst, einen klinischen Chatbot oder ein Ambient-Scribe-System einkauft, haben eigene, oft unterschätzte Pflichten: Einsatz gemäss Anleitung des Herstellers, Sicherstellung wirksamer menschlicher Aufsicht, Führen der erforderlichen Protokolle, Schulung des Personals sowie Information betroffener Personen, wo gefordert.
Wer KI einkauft, übernimmt nicht automatisch die Konformität des Herstellers und kann durch unsachgemässen Einsatz selbst zum Anbieter werden, mit allen damit verbundenen Pflichten. Wir klären Ihre Rolle, prüfen die Zusicherungen des Herstellers im Beschaffungsvertrag und richten Ihre internen Prozesse so aus, dass Sie als Betreiber sauber dastehen.
Mit wenigen Fragen erhalten Sie eine erste Einordnung, ob Ihr KI-System unter die Hochrisiko-Pflichten fallen könnte.
Unser Werkzeug: LexCommand
LexCommand ist unsere hauseigene, zitatgestützte Rechts-KI für das Recht der Schweiz, Deutschlands, Österreichs und der EU. Entwickelt und souverän in der Schweiz betrieben von der Priverion GmbH, dem Unternehmen hinter SIDD. Datensouveränität und Belegbarkeit predigen wir nicht nur, wir haben sie in unser Werkzeug eingebaut, ergänzend zur Priverion-Plattform.
Die KI läuft selbst gehostet auf Schweizer Infrastruktur, ohne externe Cloud-LLMs. Als unabhängiges Schweizer Unternehmen ohne ausländische Muttergesellschaft verarbeiten wir Ihre Unterlagen in einer Umgebung, die wir kontrollieren.
Jede rechtliche Aussage ist auf eine abrufbare Primärquelle rückführbar, oder sie erscheint nicht. So werden unsere Empfehlungen auditierbar und nachvollziehbar, statt nur plausibel zu klingen.
LexCommand übernimmt das Suchen, Abgleichen und Belegen. Das verkürzt Durchlaufzeiten und gibt unseren Senior-Beratenden Zeit für Urteil und Mandantengespräch, bei gleichbleibender Sorgfalt.
Datenschutz, Informationssicherheit und KI-Sicherheit betrachten wir auf einer geteilten Quellenbasis mit Framework-Crosswalk. So sehen Sie überschneidende Pflichten in einem konsolidierten Bild statt in drei isolierten Analysen.
Konkret für Ihre verzahnte technische Dokumentation: LexCommand stellt die Pflichten aus EU AI Act, MDR/IVDR und nDSG/GDPR per Crosswalk nebeneinander, sodass Überschneidungen sichtbar werden und jeder Satz im Risikomanagement und in der DSFA auf eine belegte Primärquelle verweist.
Zeitlich deterministisch (Stand heute oder zu jedem Stichtag), mit Jurisdiktions-Isolation (CH/DE/AT/EU) und einem Zitat-Verifizierer am Ende jeder Antwort.
Häufig ja, aber nicht immer. Software, die als Medizinprodukt oder IVD gilt oder Sicherheitsbauteil eines solchen ist, fällt typischerweise in die Hochrisiko-Kategorie. Die genaue Einordnung hängt von Zweckbestimmung und Funktion ab, wir prüfen das im AI Governance Check und im kostenlosen Triage-Tool.
Ja. Als Betreiber haben Sie eigene Pflichten: Einsatz gemäss Herstelleranleitung, wirksame menschliche Aufsicht, Protokollführung, Personalschulung und gegebenenfalls Information betroffener Personen. Wir richten Ihre internen Prozesse darauf aus und prüfen die Zusicherungen des Herstellers im Beschaffungsvertrag.
Nein. Beide Regelwerke verlangen Risikomanagement, technische Dokumentation und Qualitätsmanagement mit grosser Überschneidung. Wir bilden die Anforderungen einmal aufeinander ab und führen eine verzahnte Dokumentation, statt zwei getrennte Aktenwelten.
Nicht alle. Mehrere Termine für Hochrisiko-KI liegen ab 2026/2027 und sind politisch noch in Revision (Digital Omnibus). Wir prüfen den für Ihr System massgeblichen Zeitpunkt im Einzelfall und behandeln die Tabelle als Orientierung, nicht als garantierte Daten.
Nein. Unser AI Security prüft die Software-Ebene, LLM-, RAG- und Agenten-Komponenten. Hands-on-Tests an Geräte-Firmware leiten wir an einen spezialisierten Testpartner weiter. Unsere Stärke ist die rechtlich geführte Governance und die Software-seitige Prüfung.
Ja. Wo medizinische KI besonders schützenswerte Daten verarbeitet, übernehmen wir die Rolle des externen Datenschutzberaters nach nDSG oder des Datenschutzbeauftragten nach GDPR und koppeln diese an die KI-Governance. So laufen KI- und Datenschutz-Bewertung nicht auseinander.
Starten Sie mit dem AI Governance Check: rechtliche Risikoklassierung und Gap-Analyse gegen AI Act, MDR/IVDR und Datenschutz, mit board-tauglichem Bericht. Oder testen Sie vorab kostenlos mit unserem AI-Act-Triage-Tool.