Eigene KI-Apps und die Medizinprodukte-Falle (Art. 5 Abs. 5 MDR)

Wann wird eine selbst gebaute App zum Medizinprodukt?

Wenn sie eine medizinische Zweckbestimmung hat. Nach Art. 2 Nr. 1 MDR ist auch Software ein Medizinprodukt, wenn sie unter anderem der Diagnose, Verhütung, Überwachung, Vorhersage, Prognose oder Behandlung von Krankheiten dient. Die Leitlinie MDCG 2019-11 präzisiert: Software muss dafür Daten über Speichern, Archivieren, Kommunizieren und einfache Suche hinaus verarbeiten, und das zum Nutzen einzelner Patientinnen und Patienten. Ob ein Fehler gefährlich wäre, spielt für die Einordnung keine Rolle; entscheidend ist der Zweck.

Auf einer KI-Plattform entsteht eine App aus einer Anweisung, Dokumenten und Verbindungen zu Systemen. Die Zweckbestimmung steckt also vor allem in der Anweisung und darin, wofür das Haus die App freigibt:

App	Zweck	Einordnung (Regelfall)
Entlassbrief aus Stichpunkten entwerfen	Text formulieren, Ärztin prüft	kein Medizinprodukt
Leitlinie durchsuchen und mit Quelle zitieren	allgemeine Information, nicht patientenbezogen	kein Medizinprodukt
Befunde einer Patientin zusammenfassen	Dokumentation, keine Bewertung	in der Regel kein Medizinprodukt
Aus Befunden Differenzialdiagnosen vorschlagen	Entscheidungsunterstützung für eine Patientin	Medizinprodukt, nach Regel 11 mindestens Klasse IIa
Dosis an Nierenwerte anpassen	Therapieentscheidung für einen Patienten	Medizinprodukt

Die Grenze verläuft nicht zwischen Plattform und App, sondern zwischen Apps. Ein Haus kann auf derselben Plattform beides haben.

Wer ist dann der Hersteller?

Das Haus, das die App mit medizinischer Zweckbestimmung baut und einsetzt. Der Anbieter der Plattform wird dadurch nicht zum Hersteller, so wie ein Server kein Medizinprodukt wird, weil darauf eine Diagnosesoftware läuft. Für das Haus heißt das: Es muss entweder den vollen Weg eines Herstellers gehen, mit Konformitätsbewertung und CE-Kennzeichnung (CE-Kennzeichnung bei KI-Diagnoseunterstützung), oder die Ausnahme für Gesundheitseinrichtungen nutzen.

Was verlangt Art. 5 Abs. 5 MDR?

Für Produkte, die ausschließlich in einer Gesundheitseinrichtung in der EU hergestellt und dort verwendet werden, gelten nur die grundlegenden Sicherheits- und Leistungsanforderungen nach Anhang I, nicht der Rest der MDR. Dafür müssen alle Bedingungen erfüllt sein:

• Keine Abgabe: nicht an eine andere rechtlich eigenständige Einrichtung (Buchstabe a).
• Qualitätsmanagement: Herstellung und Verwendung in einem geeigneten System (b).
• Begründung: Dokumentiert, warum kein gleichartiges Produkt am Markt den Bedarf der Patientengruppe auf dem nötigen Leistungsniveau deckt (c).
• Auskunft: Informationen für die Behörde auf Anfrage (d).
• Öffentliche Erklärung: Name und Anschrift des Hauses, Angaben zum Produkt und Erklärung zu Anhang I; nicht erfüllte Anforderungen mit Begründung (e). MDCG 2023-1 enthält dafür eine Vorlage.
• Unterlagen: Auslegung, Herstellung und Leistungsdaten einschließlich Zweckbestimmung (f), Herstellung nach diesen Unterlagen (g).
• Erfahrungen auswerten: klinische Erfahrungen prüfen und Korrekturen vornehmen (h).

Die Ausnahme gilt nicht für Herstellung im industriellen Maßstab. Die Mitgliedstaaten dürfen die Eigenherstellung einschränken und überwachen.

Wo endet die Ausnahme?

Die Leitlinie MDCG 2023-1 nennt Grenzen, die bei KI-Apps schnell erreicht sind:

• Klinikverbund: Gehören die Häuser zu verschiedenen Gesellschaften, ist jede eine eigene rechtliche Einheit. Eine App für alle Häuser fällt dann nicht unter die Ausnahme.
• Patienten-Apps: Anwendungen, die Patientinnen und Patienten außerhalb der Einrichtung nutzen, sind ausgeschlossen.
• Gleichartiges Produkt am Markt: Gibt es ein CE-gekennzeichnetes Produkt mit gleichem Leistungsniveau, entfällt die Begründung. Das Haus soll den Markt deshalb laufend beobachten.
• Nur wirtschaftliche Gründe: Eigenherstellung, die nur Geld sparen soll und keinen klinischen Grund hat, deckt die Ausnahme nicht.
• Zweck geändert: Gibt eine Einrichtung einem CE-gekennzeichneten Produkt einen neuen Zweck, gilt für diesen Zweck ebenfalls Art. 5 Abs. 5.

Was kommt mit KI-Verordnung und Produkthaftung hinzu?

• KI-Verordnung: Ein Medizinprodukt, das eine Prüfung durch eine Benannte Stelle braucht, ist als KI-System ein Hochrisiko-System (Art. 6 Abs. 1 mit Anhang I). Die Pflichten dafür gelten nach der Änderung durch die Verordnung (EU) 2026/1744 ab dem 2. August 2028. Art. 6 Abs. 1 knüpft daran an, dass das Produkt eine Konformitätsbewertung durch Dritte durchlaufen muss; bei der Eigenherstellung nach Art. 5 Abs. 5 MDR entfällt diese. Ob Eigenherstellungen damit aus der Hochrisiko-Einstufung fallen, ist nicht abschließend geklärt. Planen Sie die Anforderungen zu Daten, Protokollierung und menschlicher Aufsicht vorsorglich mit.
• Produkthaftung: Die neue Produkthaftungsrichtlinie (EU) 2024/2853 erfasst Software und gilt für Produkte, die nach dem 9. Dezember 2026 in Verkehr gebracht oder in Betrieb genommen werden. Als Hersteller gilt auch, wer ein Produkt für den Eigenbedarf entwickelt. Mehr dazu: Wer haftet bei fehlerhaften KI-Arztbriefen?

Wie behält ein Haus die Kontrolle über seine Apps?

• Zweck festlegen: Für jede App, die freigegeben wird, kurz festhalten, wofür sie gedacht ist und wofür nicht.
• Freigaben steuern: Apps mit Patientenbezug nur nach Prüfung durch Medizinproduktebeauftragte oder Qualitätsmanagement für Gruppen freigeben.
• Anweisungen prüfen: Formulierungen wie „schlage die Therapie vor“ oder „bewerte das Risiko“ sind ein Signal für eine medizinische Zweckbestimmung.
• Ergebnis als Entwurf: Die Fachperson prüft an der Quelle und entscheidet.

Wie geht das mit basebox?

basebox ist kein Medizinprodukt, sondern eine Plattform für allgemeine Aufgaben wie Briefentwürfe oder die Suche in Leitlinien. Apps bauen Sie aus einer Anweisung, Dokumenten und Verbindungen; wer eine App baut, gibt sie für Gruppen oder Personen frei, zum Nutzen oder zum Bearbeiten. Ihre Mitarbeitenden können nur nutzen, was Ihr Administrator freigeschaltet hat. Jede Antwort zeigt ihre Quellen mit der zitierten Textstelle, Modell und Version sind dokumentiert, und das Audit-Log hält fest, wer welche App genutzt hat.

Baut Ihr Haus mit basebox selbst eine Anwendung mit medizinischer Zweckbestimmung, ist Ihr Haus deren Hersteller. Für Ihre technische Dokumentation liefert basebox die Angaben eines Zulieferers: Modellregister mit Version und Lizenz, Software-Stückliste und ISO-27001-Zertifikat. Grundlagen zur Plattform: Ist eine KI-Plattform ein Medizinprodukt?

Keine Rechtsberatung: Ob eine App ein Medizinprodukt ist, entscheidet ihre Zweckbestimmung im Einzelfall. MDCG-Leitlinien sind nicht verbindlich. Die Fristen der KI-Verordnung wurden 2026 geändert und können sich erneut ändern; die deutsche Umsetzung der Produkthaftungsrichtlinie war am 11. Oktober 2026 noch nicht verkündet. Stand der Recherche: 11. Oktober 2026.