Der globale Regulierungsflickenteppich für KI in der Pharmabranche

# Der globale Regulierungsflickenteppich für KI in der Pharmabranche

Stellen Sie sich denselben Algorithmus vor, ein Modell, das markiert, welche onkologischen Patienten innerhalb von sechs Monaten wahrscheinlich ein Rezidiv erleiden, gleichzeitig eingesetzt in Frankfurt, in Boston und im Rahmen einer klinischen Studie, die beide Standorte umfasst. In der EU ist es mit hoher Wahrscheinlichkeit ein „Hochrisiko-KI-System" nach dem AI Act, was Konformitätsbewertungen auslöst, bevor es überhaupt eine Patientenakte berührt. In den USA kann die FDA es als Software as a Medical Device (SaMD) mit Premarket-Review behandeln oder als Clinical Decision SupportDecision SupportTechnologien und Prozesse, die Rohdaten über Reporting, Dashboards und Analysen in verwertbare Insights überführen, damit Teams auf Basis von Fakten statt Intuition entscheiden.Vollständige Definition ansehen → (CDS) von der Medizinprodukteregulierung ausnehmen, abhängig von subtilen Formulierungen dazu, ob eine Ärztin oder ein Arzt die Grundlage des Outputs unabhängig nachvollziehen kann. Parallel hat die EMA (European Medicines Agency) ein Reflection Paper zu KI im Lebenszyklus von Arzneimitteln veröffentlicht, das zusätzliche Erwartungen über den AI Act legt, sobald etwas die Arzneimittelentwicklung oder Pharmakovigilanz berührt.

Dasselbe Modell, drei verschiedene Regelwerke, drei verschiedene Compliance-Zeitpläne. Das ist die Realität, die jeder navigieren muss, der 2026 KI in der Pharmabranche einsetzt, und deshalb ist „ist das legal" selten eine Frage für nur eine Jurisdiktion.

Warum ein Modell drei Regime auslösen kann

KI-Systeme in der Pharmabranche sitzen selten in einem einzigen regulatorischen Silo. Ein Clinical-Decision-Support-(CDS-)Tool, das Dosisanpassungen empfiehlt, berührt:

• Medizinprodukterecht (qualifiziert es als SaMD, ein eigenständiges Softwareprodukt, das wie ein Medizinprodukt reguliert wird, weil es diagnostiziert, behandelt oder das klinische Management informiert)
• KI-spezifisches horizontales Recht (erfüllt es die Kriterien für „Hochrisiko" nach allgemeiner KI-Regulierung, unabhängig von der Branche)
• Sektorspezifische Guidance (hat die Arzneimittelbehörde eigene Erwartungen, weil das Tool Arzneimittelsicherheit, Studiendaten oder Herstellung berührt)

Die EU stapelt diese drei Ebenen. Die USA trennen sie überwiegend in Medizinprodukterecht (bestehende FDA-Zuständigkeit) und freiwillige oder entstehende KI-spezifische Frameworks. Dieser strukturelle Unterschied ist die Quelle der meisten grenzüberschreitenden Reibung.

Der EU AI Act: Klassifizierung nach Risikostufe

Der EU AI Act (2024 in Kraft getreten, mit Pflichten, die bis 2026-2027 gestaffelt greifen) klassifiziert KI-Systeme in Risikostufen: unannehmbar, hochriskant, begrenztes Risiko und minimales Risiko.

Die meiste klinische KI für Diagnose, Behandlungsempfehlungen oder Triage fällt in die Kategorie Hochrisiko, entweder weil sie Sicherheitsbauteil eines regulierten Medizinprodukts ist oder weil sie selbst die Hochrisiko-Kriterien erfüllt (Anhang III listet gesundheitsbezogene Anwendungen explizit auf).

Hochrisiko-Status bedeutet vor dem Einsatz:

• Eine Konformitätsbewertung (dokumentierter Nachweis, dass das System die EU-Anforderungen erfüllt)
• Ein Risikomanagementsystem, das über den gesamten Lebenszyklus des Modells gepflegt wird, nicht nur zum Launch
• Anforderungen an die Data GovernanceData GovernanceData Governance umfasst die Regeln, Rollen und Prozesse, die sicherstellen, dass Daten in einer Organisation korrekt, sicher, klar definiert und verantwortungsvoll genutzt werden.Vollständige Definition ansehen → (Trainingsdaten müssen relevant und repräsentativ sein und auf Bias geprüft werden)
• MaMaEinsatz von Software, um wiederkehrende Marketingaufgaben und Kampagnen zu automatisieren und Personalisierung in großem Maßstab über Kanäle wie E-Mail, Web und Social zu ermöglichen.Vollständige Definition ansehen →ßnahmen zur menschlichen Aufsicht, das heißt, eine Ärztin oder ein Arzt muss den Output substanziell übersteuern oder ignorieren kkDie durchschnittliche Zahl neuer Nutzer, die jeder bestehende Nutzer über Empfehlungen generiert. Über 1,0 verstärkt sich das Wachstum selbst und wird exponentiell.Vollständige Definition ansehen →önnen
• Technische Dokumentation und Logging, die einer Behörde erlauben, Entscheidungen nachträglich zu auditieren
• Post-Market-Monitoring mit verpflichtender Meldung schwerwiegender Fehlfunktionen

Der Act gilt für jeden Anbieter, der das System auf dem EU-Markt in Verkehr bringt, unabhängig davon, wo das Unternehmen seinen Sitz hat. Ein US-amerikanischer CDS-Anbieter, der an deutsche Kliniken verkauft, fällt darunter.

Der sich entwickelnde Ansatz der FDA: GMLP und die SaMD-Brille

Die FDA (Food and Drug Administration) hat keinen einzelnen „AI Act". Stattdessen erweitert sie bestehende Medizinprodukte- und Arzneimittel-Frameworks, ergänzt durch entstehende Guidance speziell zu Machine Learning.

Zentrale Bausteine mit Stand 2026:

SaMD-Framework: Wenn die Funktion der Software darin besteht, zu diagnostizieren, zu behandeln oder das klinische Management zu steuern, und sie nicht bloß ein Hardware-Gerät unterstützt, kann sie als Software as a Medical Device reguliert werden, mit denselben Premarket-Pfaden (510(kkDie durchschnittliche Zahl neuer Nutzer, die jeder bestehende Nutzer über Empfehlungen generiert. Über 1,0 verstärkt sich das Wachstum selbst und wird exponentiell.Vollständige Definition ansehen →), De Novo, PMA) wie physische Produkte.

CDS-Ausnahme: Nach dem 21st Century Cures Act sind bestimmte Clinical-Decision-Support-Tools von der Medizinprodukteregulierung ausgenommen, konkret dort, wo die Software Informationen anzeigt, ohne dass sich die Entscheidung ausschließlich darauf stützt, und wo eine Fachperson die Grundlage der Empfehlung unabhängig nachvollziehen kann. Diese Ausnahme ist enger, als die meisten Anbieter annehmen; die FDA hat klargestellt, dass viele „Black Box"-Scoring-Tools nicht qualifizieren, weil die Ärztin oder der Arzt die zugrunde liegende Begründung nicht tatsächlich sehen oder verifizieren kann.

GMLP (Good Machine Learning Practice): eine Reihe von Leitprinzipien, gemeinsam mit Health Canada und der britischen MHRA entwickelt, die den gesamten ML-Lebenszyklus abdecken: repräsentative Trainingsdaten, rigoroses Testen, Berücksichtigung menschlicher Faktoren und Monitoring auf Performance-Drift in der Realität. GMLP ist selbst keine bindende Regulierung, prägt aber, was die FDA in Einreichungen zu sehen erwartet. Das zugrunde liegende Framework finden Sie im AI/ML-based SaMD Action Plan der FDA.

Predetermined Change Control Plans (PCCPs): ein neuerer Mechanismus, der Herstellern erlaubt, vorab zu spezifizieren, wie ein Modell sich selbst aktualisieren darf (Retraining, Rekalibrierung), ohne jedes Mal eine neue Einreichung auszulösen, eine direkte Reaktion darauf, dass ML-Modelle driften und sich in einer Weise verbessern, wie es statische Produkte nie taten.

Die Haltung der FDA ist stärker einzelfall- und präzedenzgetrieben als die kategorischen Risikostufen der EU. Diese Flexibilität kann schnellere Zulassung für gut dokumentierte Tools bedeuten, aber auch mehr Unklarheit für jeden, der vor dem Gespräch mit der Behörde eine Selbsteinschätzung versucht.

Das Reflection Paper der EMA: die dritte Ebene

Die EMA reguliert KI nicht allgemein. Ihr Reflection Paper zu KI im Lebenszyklus von Arzneimitteln liegt über dem AI Act und gilt spezifisch dort, wo KI Arzneimittelentwicklung, Herstellung oder Pharmakovigilanz (Sicherheitsüberwachung nach der Zulassung) berührt.

Zu den eigenständigen EMA-Erwartungen gehören:

• KI, die im Design klinischer Studien oder in der Patientenauswahl eingesetzt wird, muss so erklärbar sein, dass sie regulatorische Einreichungen stützt, eine strengere Hürde als allgemeine „menschliche Aufsicht"
• Modelle zur Signaldetektion in der Pharmakovigilanz müssen gegen bekannte Sicherheitssignale validiert werden, bevor Behörden ihren Outputs vertrauen
• Von Sponsoren wird erwartet, den KI-Einsatz in regulatorischen Dossiers zu dokumentieren, selbst wenn die KI nicht das Arzneimittel selbst ist, sondern nur ein Werkzeug zu seiner Entwicklung

Das bedeutet: Ein CDS-Modell, das die F&E-Einheit eines Pharmaunternehmens zur Auswahl von Studienkohorten baut, erfüllt eine Doppelrolle: Es kann als gesundheitsbezogenes KI-System nach dem AI Act hochriskant sein und wird separat von EMA-Gutachtern geprüft, die das von ihm mitgenerierte Studiendatenpaket bewerten.

Dasselbe Modell durch drei Brillen gelesen

Nehmen wir noch einmal unser Rezidivprognose-Modell:

| Frage | EU AI Act | FDA | EMA |

|---|---|---|---|

| Was löst die Prüfung aus? | Gesundheitsbezogener Use Case, Hochrisiko-Klassifizierung | Funktion: diagnostizieren/behandeln vs. informieren | Einsatz innerhalb regulierter Aktivitäten im Arzneimittel-Lebenszyklus |

| Kernanforderung | Konformitätsbewertung, dokumentiertes Risikomanagement | Premarket-Pfad oder Prüfung der CDS-Ausnahme | Erklärbarkeit, die für die Prüfung der Einreichung ausreicht |

| Laufende Pflicht | Post-Market-Monitoring, Meldung von Vorfällen | PCCP-gesteuerte Updates, Tracking der Real-World-Performance | Validierung gegen Benchmarks für Sicherheitssignale |

| Wer setzt es durch | Nationale Marktüberwachungsbehörden | FDA | EMA plus nationale Arzneimittelbehörden |

Eine praktische Daumenregel für Deployments 2026: Wenn das Modell klinische Entscheidungen informiert und irgendwo in der EU betrieben wird, gehen Sie standardmäßig von Hochrisiko-Pflichten nach dem AI Act aus und prüfen dann auf Ausnahmen. Wird es in den USA für das direkte Patientenmanagement genutzt, prüfen Sie die CDS-Ausnahmekriterien wörtlich; die Formulierung der Oberfläche (zeigt sie die zugrunde liegenden Daten und lässt sie Ärzte übersteuern) bestimmt die regulatorische Schublade oft stärker als die Raffinesse des Modells. Berührt es irgendwo in Europa Arzneimittelentwicklung oder Sicherheitsdaten, kommen die Dokumentationserwartungen der EMA hinzu, unabhängig vom AI-Act-Status.

🎬 [VIDEO: „How the EU AI Act Classifies Medical AI" - youtube.com - nach aktuellen Erklärinhalten von Anwaltskanzleien oder Regulatory-Beratungen suchen, die die Hochrisiko-Kriterien in Anhang III für Gesundheits-KI durchgehen]

Eine minimale technische Checkliste vor dem Deployment

Pre-deployment governance checklist (illustrative, not exhaustive):
[ ] Document intended use and target population explicitly
[ ] Confirm jurisdiction(s) of deployment and map applicable regimes
[ ] Verify human-override capability is real, not cosmetic
[ ] Log training data provenance and known demographic gaps
[ ] Define drift-monitoring thresholds and retraining triggers
[ ] Pre-register update plan if using FDA PCCP pathway
[ ] Prepare explainability documentation for EMA-facing submissions

Key Takeaways

• Dasselbe KI-Modell kann drei überlappenden Regimen unterliegen: der Risikostufen-Klassifizierung des EU AI Act, dem Medizinprodukte- und GMLP-basierten Ansatz der FDA und dem lebenszyklusspezifischen Reflection Paper der EMA. Das Mapping der Jurisdiktionen muss also vor dem Deployment passieren, nicht danach.
• Die EU wendet kategorische Pflichten vorab für Hochrisiko-Gesundheits-KI an; die USA setzen stärker auf Einzelfallklassifizierung (SaMD vs. CDS-Ausnahme) plus sich entwickelnde Mechanismen wie PCCPs für Modell-Updates.
• Die Erwartungen der EMA kommen hinzu, sie ersetzen den AI Act nicht. Bei KI, die irgendwo in Europa in Arzneimittelentwicklung oder Pharmakovigilanz eingesetzt wird, sollten Sie von beidem ausgehen.
• Kleine Entscheidungen zur Oberfläche (sieht die Ärztin die zugrunde liegende Begründung, kann sie den Output übersteuern) kkDie durchschnittliche Zahl neuer Nutzer, die jeder bestehende Nutzer über Empfehlungen generiert. Über 1,0 verstärkt sich das Wachstum selbst und wird exponentiell.Vollständige Definition ansehen →önnen bestimmen, in welche US-Regulierungsschublade ein Tool fällt, oft stärker als die Modellkomplexität.
• Eine leichtgewichtige, jurisdiktionsbewusste Governance-Checkliste vor dem Launch zu bauen ist günstiger, als Compliance nachzurüsten, nachdem eine Behörde Fragen stellt.