~ 15 Min. · vertraulich · interner Gebrauch

Bewerten Sie Ihre Konformität mit dem europäischen AI Act

Diese kostenlose, speziell für Pharmaunternehmen konzipierte Diagnose bewertet Ihren Vorbereitungsgrad auf die europäische Verordnung über künstliche Intelligenz. In 15 Minuten erhalten Sie einen Reifegrad-Score, Ihre wichtigsten Non-Compliance-Risiken und prioritäre Empfehlungen.

Kritische Frist: Am 2. August 2026 erhalten die Überwachungsbehörden der Mitgliedstaaten ihre Durchsetzungsbefugnisse für Artikel 4 (AI Literacy), mit Sanktionen von bis zu 7,5 Mio. € oder 1 % des weltweiten Umsatzes. Die GPAI-Pflichten sind bereits sanktionierbar.

0 / 22 beantwortete Fragen0 %

Identifikation

Einige Kontextinformationen (fließen nicht in den Score ein)

Welche Rolle haben Sie in der Organisation?

Größe der Organisation

Hauptaktivitäten mit KI (Mehrfachauswahl möglich)

Diese Information hilft, Ihre Exposition gegenüber der Verordnung einzuordnen

F&E: Drug Discovery, molekulares DesignKlinische Studien: Rekrutierung, Monitoring, AnalyseProduktion / ManufacturingPharmakovigilanz und Safety Signal DetectionMedical Affairs und MarketingMedizinprodukte oder IVD mit integrierter KI

Ihre Rolle im Sinne der KI-Verordnung (AI Act; mehrere möglich)

Modellanbieter: Sie entwickeln oder trainieren ein KI-Modell mit allgemeinem Verwendungszweck (GPAI). Systemanbieter: Sie bringen ein KI-System in Verkehr (z. B. ein MDR/IVDR-Produkt mit eingebetteter KI unter Ihrer Marke). Betreiber: Sie verwenden unter Ihrer Verantwortung ein von einem Dritten bereitgestelltes KI-System.

ModellanbieterSystemanbieterBetreiber

KI-Governance

Steuerung, Verantwortlichkeiten und interne Richtlinie

KI-Governance bezeichnet die Organisation, die Sie zur Steuerung Ihrer KI-Nutzung einrichten: Rollen und Verantwortlichkeiten, interne Richtlinien, Freigabegremien und Risikoüberwachung. Sie ist die Grundlage, um Kontrolle nachzuweisen und die Pflichten der KI-Verordnung dauerhaft zu erfüllen.

Gibt es in Ihrer Organisation eine identifizierte verantwortliche Person für die KI-Compliance?

Mehrere Antworten möglich

Keine identifizierte verantwortliche PersonThema informell dem DPO oder der Compliance-Funktion zugeordnetVerantwortliche Person benannt, jedoch ohne formales Mandat oder dedizierte RessourcenAI Officer oder Äquivalent mit formalem MandatDedizierte Funktion mit Team, Budget und Berichterstattung an die Geschäftsleitung

Verfügen Sie über ein KI-Governance-Komitee oder -Gremium?

Kein KI-KomiteePunktuelle Diskussionen im Compliance- oder Digital-KomiteeKI-Komitee vorhanden, trifft sich jedoch unregelmäßigInterdisziplinäres KI-Komitee mit regelmäßigem Rhythmus und ProtokollenKI-Komitee mit formalem Mandat, Kennzahlen und direkter Anbindung an den Vorstand

Existiert eine interne KI-Richtlinie (Acceptable Use, ethische Grundsätze)?

Keine formalisierte RichtlinieInterner Vermerk oder informelle LeitlinienRichtlinie verfasst, aber wenig verbreitetFormalisierte, verbreitete Richtlinie, am AI Act ausgerichtetVerbindliche Richtlinie, kontrolliert und jährlich überprüft

Ist die Konformität mit dem AI Act (KI-Verordnung) für 2026 mit einem identifizierten Budget hinterlegt?

Kein identifiziertes BudgetBudget in DiskussionTeilbudget aus bestehenden RessourcenDediziertes und genehmigtes Budget für das GeschäftsjahrMehrjährig budgetierter und nachverfolgter Plan

Inventar und Klassifizierung von KI-Systemen

Kartierung Ihrer tatsächlichen regulatorischen Exposition

Das Inventar bedeutet, alle Ihre KI-Systeme zu erfassen und nach dem Risikoniveau der KI-Verordnung einzustufen (inakzeptabel, hoch, begrenzt, minimal). Es ist der verpflichtende Ausgangspunkt jeder Compliance: Steuern lässt sich nur, was erfasst wurde.

Verfügen Sie über ein Inventar der verwendeten oder entwickelten KI-Systeme?

Kein InventarTeilinventar nach Silos (IT, F&E usw.)Zentralisiertes, aber unvollständiges InventarVollständiges, regelmäßig aktualisiertes InventarDynamisches Inventar mit obligatorischem Onboarding-Workflow

Haben Sie Ihre Systeme gemäß den Risikoklassen des AI Act (unzulässig, hoch, begrenzt, minimal) und Ihrer Rolle (Anbieter, Betreiber) klassifiziert?

Keine Klassifizierung durchgeführtKlassifizierung für einige Anwendungsfälle eingeleitetTeilklassifizierung, Methodik zu formalisierenVollständige Klassifizierung mit dokumentierter MethodikKlassifizierung durch eine unabhängige Stelle überprüft und auditiert

Verwenden Sie KI in Medizinprodukten oder IVD (MDR/IVDR)?

Diese Systeme können gemäß dem AI Act als Hochrisiko eingestuft werden, wenn sie eine Sicherheitsfunktion erfüllen

Ja, ohne spezifische AI Act-AnalyseJa, Analyse im GangeJa, MDR/IVDR + AI Act Gap-Analyse durchgeführtJa, Konformitätsplan für August 2028 genehmigtJa, Konformität antizipiert und QMS-Prozesse integriertNein, keine Medizinprodukte mit KI (nicht anwendbar)

Verwenden Sie KI in der Pharmakovigilanz (Signaldetektion, Verarbeitung von ICSR)?

Mehrere Antworten möglich

Ja, ohne spezifischen Compliance-RahmenJa, im Pilotbetrieb ohne DokumentationJa, teilweise in das Pharmakovigilanz-QMS integriertJa, gemäß EMA Reflection Paper validiertJa, validiert, überwacht und regelmäßig auditiertNicht in der Pharmakovigilanz eingesetzt (nicht anwendbar)

Verwenden Sie generative KI-Tools (ChatGPT, Copilot, Claude usw.)?

Mehrere Antworten möglich

Ja, ohne Governance oder InventarJa, mit informellen EmpfehlungenJa, Nutzungsrichtlinie verbreitet, aber nicht durchgesetztJa, zugelassene Tools, verbindliche Richtlinie und Kontrollen vorhandenJa, sichere Enterprise-Umgebung, Audit-Trail und Schulungen

Haben Sie analysiert, ob Ihre Systeme unter die in Anhang III des AI Act aufgeführten Hochrisiko-Anwendungsfälle fallen, und insbesondere ob sie für biometrische, Rekrutierungs-, Schulungs-, Risikobewertungs- oder Krankenversicherungspreis-Anwendungsfälle eingesetzt werden?

Hochrisiko-Anwendungsfallanalyse nicht durchgeführtAnalyse für einige Anwendungsfälle eingeleitetTeilanalyse, Methodik zu formalisierenVollständige und dokumentierte Analyse für alle eingesetzten SystemeDokumentierte Analyse, durch eine unabhängige Stelle überprüft und auditiert

Haben Sie systematische Kontrollen der nach art. 5 verbotenen Praktiken eingeführt (Social Scoring, Manipulation, Emotionserkennung am Arbeitsplatz usw.)?

Keine KontrollenAllgemeine Sensibilisierung, ohne formalisierte KontrollenKontrollen werden definiertSystematische Kontrollen beim Onboarding jedes Systems dokumentiertSystematische Kontrollen, nachverfolgt und regelmäßig überprüft

AI Literacy (Artikel 4)

Schulung und Sensibilisierung der Mitarbeitenden

KI-Kompetenz (AI literacy) bezeichnet die Fähigkeiten, Kenntnisse und das Verständnis, die es Ihren Mitarbeitenden ermöglichen, KI-Systeme sachkundig einzusetzen und zu nutzen und dabei sowohl deren Chancen als auch Risiken zu erkennen. Seit dem 2. Februar 2025 verpflichtet Artikel 4 der KI-Verordnung jeden Anbieter und Betreiber, ein ausreichendes Maß an KI-Kompetenz seines Personals sicherzustellen, angemessen zu den eingesetzten Systemen, dem Nutzungskontext und den betroffenen Personen.

Haben Ihre KI-nutzenden Mitarbeitenden eine AI-Literacy-Schulung erhalten?

Mehrere Antworten möglich

Keine SchulungAllgemeine Kommunikation (Newsletter, Intranet)Generelles E-Learning für FreiwilligeObligatorische rollenspezifische SchulungStrukturiertes Programm mit Zertifizierung und jährlicher Auffrischung

Sind die Schulungsmodule proportional zum Risikoniveau der eingesetzten Systeme?

Keine Differenzierung oder keine SchulungDifferenzierung geplant, aber nicht umgesetztEinheitliche BasismoduleNach Funktion und Risikoniveau differenzierte ModuleAdaptive Lernpfade mit Kompetenzbeurteilung

Verfolgen Sie Indikatoren zur Abdeckung und Wirksamkeit der Schulungen?

Keine IndikatorenAbschlussquote ad-hoc nachverfolgtAbschlussquote systematisch nachverfolgtAbschluss + WissenstestsAbschlussnachverfolgung, Tests, Nutzungsumfragen und kontinuierliche Verbesserung

Daten und Qualität

Governance Ihrer für KI-Systeme vorgesehenen Daten

Datengovernance umfasst Qualität, Repräsentativität und Nachvollziehbarkeit der Datensätze, die zum Training, zur Validierung und zum Test Ihrer KI-Systeme dienen. Für Hochrisikosysteme verlangt Artikel 10 der KI-Verordnung relevante, repräsentative und auf Verzerrungen geprüfte Daten.

Verfügen Sie über eine Daten-Governance, die festlegt, welche Daten Ihre Mitarbeitenden mithilfe der ihnen zur Verfügung gestellten KI-Systeme verarbeiten dürfen oder nicht?

Mehrere Antworten möglich

Keine spezifische GovernanceEinige informelle RegelnAllgemeiner Daten-Governance-Rahmen, nicht KI-spezifischKI-spezifische Governance mit Katalog und LineageEnd-to-end-zertifizierte und prüfbare Daten-Governance

Verfügen Sie über Rückverfolgbarkeitsmechanismen (Lineage) für Produktionsdaten, insbesondere für die Nutzung der KI-Systeme durch Ihre Mitarbeitenden?

Mehrere Antworten möglich

Keine spezifische RückverfolgbarkeitTeilweise Rückverfolgbarkeit, manuell dokumentiertTooling wird eingeführtGestützte Rückverfolgbarkeit für kritische SystemeVollständiges, automatisiertes und prüfbares Lineage

KI-Anbieter und GPAI

Due Diligence zu Modellen und Systemen Ihrer Anbieter

Dieser Abschnitt betrifft von Dritten bereitgestellte KI-Modelle und -Systeme, einschließlich KI-Modelle mit allgemeinem Verwendungszweck (GPAI). Die KI-Verordnung verteilt die Verantwortlichkeiten entlang der Wertschöpfungskette; Sie müssen daher Ihre Anbieter prüfen und Ihre Verträge absichern, um deren Konformitätsgarantien zu übernehmen.

Führen Sie eine AI-Act-Due-Diligence für Ihre KI-Anbieter und GPAI-Modelle durch?

Mehrere Antworten möglich

Keine spezifische Due DiligenceTeilweise Due Diligence, Standard-VertragsgestaltungKI-Anbieter-Fragebogen wird eingeführtSystematische Due Diligence mit dediziertem AI-Act-FragebogenKontinuierliche Bewertung, Anbieter-Audits, Management kritischer Abhängigkeiten

Enthalten Ihre Anbieterverträge spezifische AI-Act-Klauseln (Verantwortlichkeiten, Dokumentation, Audit)?

Mehrere Antworten möglich

Keine AI-Act-KlauselnNur Standard-DatenschutzklauselnAI-Act-Klauseln werden in neue Verträge eingefügtSystematische AI-Act-Klauseln in neuen Verträgen und VerlängerungenAlle Verträge remediert, AI-Act-Klauselvorlage eingeführt

Kennen Sie den GPAI Code of Practice und haben Sie ihn in Ihre Lieferantenauswahlkriterien integriert?

Mehrere Antworten möglich

Begrenzte KenntnisseAllgemeine KenntnisseIntegration im Einkauf im GangeExplizites Kriterium in Ausschreibungen (RFP)K.O.-Kriterium, Überprüfung der Code-Einhaltung und Transparenz

Bewerten Sie beim Erwerb oder der Modifikation eines KI-Systems das Risiko, selbst zum 'Anbieter' im Sinne von art. 25 zu werden (Anbringen eigener Marke, wesentliche Änderung, Zweckänderung)?

Mehrere Antworten möglich

Risiko nicht identifiziertRisiko bekannt, aber nicht bewertetFallweise Bewertung, nicht dokumentiertSystematische Bewertung bei jedem Projekt dokumentiertBewertung in den Beschaffungsprozess integriert, mit nachverfolgter rechtlicher Entscheidung

EMA-Konformität und Pharmaqualität

Abstimmung mit dem EMA Reflection Paper und den GxP-Anforderungen

Dieser Abschnitt verbindet die KI-Verordnung mit dem Gesundheitsrahmen: das EMA-Reflection-Paper zum Einsatz von KI über den Lebenszyklus des Arzneimittels sowie GxP-Anforderungen (Validierung, Qualität, Pharmakovigilanz). Ziel ist es, die KI-Konformität mit den pharmazeutischen Pflichten in Einklang zu halten.

Haben Sie das EMA Reflection Paper (September 2024) in Ihre KI-Praktiken integriert?

Dokument nicht gelesen / nicht verbreitetDokument intern geteiltFolgenabschätzung im GangeGrundsätze in die betreffenden SOPs integriertInternes Rahmenwerk ausgerichtet, aktualisiert und Teams geschult

Haben Sie Austausche mit der EMA, einer nationalen Behörde oder einer Zertifizierungsstelle zu Ihren in KI-Systeme integrierten MDR/IVDR-Produkten geführt?

Kein AustauschNur regulatorische BeobachtungTeilnahme an Konsultationen oder ArbeitsgruppenInformeller Austausch mit Behörden zu AnwendungsfällenEMA Scientific Advice oder formale Interaktion zum Conformity Assessment