Warum wurde jetzt zusätzliche Leitlinie benötigt?
KI-basierte Medizinprodukte unterscheiden sich von konventionellen, „Nicht-KI“-Produkten auf eine Weise, die bestehende Risikomanagementansätze nicht immer vollständig erfasst haben. Gestützt auf einen früheren AAMI-BSI-Bericht identifiziert das Dokument drei Merkmale, die MLMDs von traditionellen Produkten unterscheiden: die Fähigkeit, große Datenmengen zu verarbeiten und die Ergebnisse innerhalb der Zweckbestimmung des Produkts zu verbessern; den Grad der Autonomie, der die Erzeugung von Behandlungsoptionen und die Auswahl der besten Option bei reduzierter menschlicher Beteiligung umfassen kann; sowie die Erklärbarkeit – die inhärente Undurchsichtigkeit komplexer Algorithmen, die es selbst für gut ausgebildete Kliniker und anderes medizinisches Fachpersonal schwierig macht nachzuvollziehen, wie eine bestimmte Schlussfolgerung zustande kam.
Geltungsbereich, und was das Dokument nicht abdeckt
ISO/TS 24971-2:2026 ist zur gemeinsamen Anwendung mit ISO 14971 und dem technischen Bericht ISO/TR 24971 vorgesehen. Wichtig: Die Leitlinie gilt nicht für MLMDs, die große Sprachmodelle (Large Language Models, LLM) oder generative KI einsetzen – eine klare Abgrenzung des Anwendungsbereichs, die Hersteller bei der Planung ihrer Compliance-Dokumentation berücksichtigen sollten. Stattdessen konzentriert sich das Dokument auf Risiken im Zusammenhang mit:
- der Verwaltung von Trainings- und Testdaten,
- der Merkmalsextraktion (Feature Extraction),
- unerwünschter Verzerrung (Bias) im Algorithmus,
- der Informationssicherheit,
- dem Prozess des Trainierens des ML-Modells über einen ML-Algorithmus,
- der Bewertung und Prüfung des trainierten Modells.
Wie unterscheidet sich „Risiko“ nach ISO 14971 von Definitionen in allgemeinen KI-Dokumenten?
Diese Unterscheidung wird leicht übersehen, wenn Teams Terminologie direkt aus allgemeinen KI-Normen übernehmen. ISO/IEC 22989 und ISO/IEC 23894 definieren Risiko als die Auswirkung von Unsicherheit auf Ziele – eine Definition, die für das organisatorische oder unternehmerische Risikomanagement nützlich und mit ISO 31000 konsistent ist. Der Gesundheitssektor verwendet jedoch eine andere Definition: Nach ISO 14971:2019 ist Risiko die Kombination aus der Eintrittswahrscheinlichkeit eines Schadens und dessen Schweregrad. Die neue technische Spezifikation stellt klar, dass bei der Bewertung von MLMDs diese zweite Definition gilt – unabhängig von der in breiter gefassten KI-Normen verwendeten Terminologie.
Modelllebenszyklus und „kontinuierliches Lernen“
Das Dokument weist darauf hin, dass Modelle nach einer gewissen Nutzungsdauer möglicherweise neu trainiert werden müssen und dass manche Modelle kontinuierlich aus Patientendaten lernen und ihre Parameter entsprechend anpassen. ISO/TS 24971-2:2026 verwendet durchgehend den Begriff „continuous(ly) learning“ („kontinuierlich lernend“) anstelle von „adaptive“ („adaptiv“), der in anderen Dokumenten vorkommt – es kann sich lohnen, interne Verfahren an diese Terminologie anzugleichen, um Unstimmigkeiten bei Audits zu vermeiden.
Verweise auf andere Dokumente
Die Spezifikation verweist auf die IMDRF-Dokumente N67 und N88 sowie auf Leitlinien der FDA, von Health Canada und der MHRA zu MLMDs, und für Themen der Cybersicherheit und Systemsicherheit auf IEC 80001-1 und IEC/TR 80002-1. Auch der AAMI-Bericht TIR34971 lieferte wertvolle Beiträge während der Erarbeitung. Das Dokument wurde vom Technischen Komitee ISO/TC 210 in Zusammenarbeit mit IEC/TC 62 (Unterkomitee SC 62A) und CEN/CLC/JTC 3 erarbeitet, wodurch die Abstimmung mit dem europäischen Regulierungsansatz für Medizinprodukte sichergestellt ist.
Fazit
Für Hersteller, die diagnostische Lösungen, klinische Entscheidungsunterstützungssoftware oder andere auf maschinellem Lernen basierende Funktionalitäten entwickeln, ist die Veröffentlichung von ISO/TS 24971-2:2026 ein Signal, die eigenen Risikomanagementprozesse für KI zu überprüfen, die Dokumentation des Software-Lebenszyklus sowie die Datenvalidierungsstrategien zu aktualisieren und die Pläne zur Überwachung nach dem Inverkehrbringen entsprechend anzupassen. Es lohnt sich außerdem, die Konsistenz dieser Prozesse mit den Anforderungen des AI Act, der MDR und der IVDR zu prüfen – insbesondere da der ausdrückliche Ausschluss von LLMs und generativer KI aus dem Anwendungsbereich des Dokuments bedeutet, dass Hersteller in dieser Kategorie weiterhin auf allgemeinere Leitlinien angewiesen sind.
Link zum Dokument:
ISO/TS 24971-2:2026 – ISO