EU AI Act × GxP: Was das KI-Gesetz für regulierte Pharma-Qualität bedeutet

Was der EU AI Act ist — und was er nicht ist

Der EU AI Act (Verordnung (EU) 2024/1689) ist die erste umfassende, horizontale KI-Regulierung der EU. Horizontal heißt: Er gilt branchenübergreifend für KI-Systeme — nicht speziell für Pharma, sondern für KI als Technologie. Er ist 2024 in Kraft getreten und gilt gestaffelt.

Digital-Omnibus-Stand: 19. Juli 2026. Das Europäische Parlament nahm seine Position in erster Lesung am 16. Juni an; der Rat billigte diese Position am 29. Juni, und der Rechtsakt wurde am 8. Juli unterzeichnet. Der angenommene Text sieht die Anwendung der Vorschriften für Hochrisiko-KI-Systeme ab dem 2. Dezember 2027 für eigenständige Hochrisiko-KI-Systeme und ab dem 2. August 2028 für in Produkte eingebettete Hochrisiko-KI-Systeme vor. Am 19. Juli führte EUR-Lex das Verfahren noch als laufend; die Veröffentlichung im Amtsblatt der EU stand noch aus. Der Rechtsakt soll am dritten Tag nach dieser Veröffentlichung in Kraft treten. Diese Fristen nehmen keine Einstufung eines konkreten GxP-Einsatzes vor.

Der Act arbeitet mit einem Risiko-Ansatz und unterscheidet grob vier Stufen — von verbotenen Praktiken über streng regulierte Anwendungen und Transparenz-Pflichten bis zu weitgehend unregulierten Anwendungen. Er adressiert unterschiedliche Rollen, insbesondere Anbieter (wer ein KI-System entwickelt/in Verkehr bringt) und Betreiber (wer es einsetzt).

Wichtig zuerst, um Missverständnisse zu vermeiden: Der AI Act ist kein GxP-Regelwerk und ersetzt weder GMP, noch EU-Annex 11, noch 21 CFR Part 11. Er steht neben Ihren bestehenden Qualitäts- und Validierungspflichten. Für regulierte Teams entsteht damit keine Ablösung, sondern eine zweite Perspektive auf dieselben KI-Werkzeuge.

Warum das KI-Gesetz GxP-Teams überhaupt betrifft

KI hält in regulierter Arbeit Einzug — von der Dokumentenerstellung über Review-Unterstützung bis zu Datenanalysen. Sobald ein KI-System eingesetzt wird, kann es grundsätzlich in den Anwendungsbereich des AI Act fallen — zusätzlich zu den GxP-Anforderungen, die für die regulierte Tätigkeit ohnehin gelten.

Das Ergebnis ist eine doppelte Brille auf dasselbe Werkzeug: Die GxP-Welt fragt „Ist die Arbeit valide, nachvollziehbar und freigegeben?“. Der AI Act fragt „Ist das KI-System angemessen beherrscht, transparent und beaufsichtigt?“. Beide Fragen zielen auf Kontrolle und Nachweisbarkeit — nur aus unterschiedlichem Blickwinkel.

Für die Praxis heißt das: Wer KI in GxP einsetzt, sollte die AI-Act-Perspektive nicht als fremdes Thema abtun, sondern als zweite Governance-Ebene mitdenken — früh, nicht erst, wenn ein Auditor oder eine Aufsicht danach fragt.

Die gute Nachricht: Die Governance-Prinzipien überschneiden sich stark

Die beruhigende Erkenntnis für Qualitäts- und Validierungsteams: Die Grundprinzipien beider Regelwerke laufen weitgehend parallel. Wer GxP-Governance ernst nimmt, hat einen großen Teil der AI-Act-Haltung bereits eingebaut. Die wiederkehrenden Themen:

• Menschliche Aufsicht. Der AI Act betont menschliche Kontrolle über KI-Ergebnisse; GxP-Arbeit verlangt fachliche Prüfung und je nach Prozess eine formale Freigabe. Dieselbe Idee: Die KI schlägt vor, der Mensch entscheidet.
• Transparenz & Nachvollziehbarkeit. Beide wollen wissen, wie ein Ergebnis zustande kam — Quellen, Grundlagen, Nachvollziehbarkeit statt Blackbox.
• Daten-Governance. Qualität, Herkunft und Eignung der verwendeten Daten sind in beiden Welten ein Thema.
• Protokollierung & Aufzeichnungen. Der AI Act denkt in Logs und Nachweisbarkeit; GxP in Audit-Trail und Records. Strukturell dasselbe Bedürfnis.
• Risikomanagement & Verantwortlichkeit. Beide verlangen eine bewusste Risikobetrachtung und klare Zuständigkeit dafür, wer was verantwortet.

Mit anderen Worten: Eine belastbare GxP-Arbeitsweise — Quellen zuerst, KI als Vorschlag, menschliche Prüfung, verbundener Audit-Trail — zahlt unmittelbar auch auf die Governance-Erwartungen des AI Act ein. Das ist kein Zufall, sondern dieselbe Kontroll-Logik in zwei Regelwerken.

Wer GxP-Governance ernst nimmt, hat einen großen Teil der AI-Act-Haltung schon eingebaut.

Wo die Frameworks sich unterscheiden — und warum Sie nicht selbst final einstufen sollten

So groß die Überschneidung im Prinzip ist — die Regelwerke sind nicht deckungsgleich:

• Eigener Geltungsbereich und eigene Definitionen. Der AI Act hat eigene Begriffe (z. B. „KI-System“, Anbieter vs. Betreiber) und einen eigenen Anwendungsbereich, der sich nicht 1:1 aus der GxP-Welt ableiten lässt.
• Eigene Risikosystematik. Die Risikostufen des AI Act folgen einer anderen Logik als die GxP-Risikobewertung (Patientensicherheit/Produktqualität). Eine GxP-Einstufung ist keine AI-Act-Einstufung.
• Rollenabhängige Pflichten. Ob Sie als Anbieter oder als Betreiber gelten, ändert die Pflichten erheblich — und hängt davon ab, wie Sie ein KI-System konkret einsetzen oder bereitstellen.
• Gestaffelte, noch reifende Anwendung. Teile des Acts gelten erst über die Zeit; begleitende Leitlinien und harmonisierte Normen entwickeln sich weiter.

Genau deshalb ist die Einstufung eines konkreten Systems eine Rechtsfrage, keine Marketing- oder Bauchgefühl-Entscheidung. Seriös ist, die Schnittstelle zu verstehen, die Vorbereitung zu treffen, die ohnehin sinnvoll ist — und die Klassifizierung mit qualifiziertem Rechtsrat zu klären.

Was Sie jetzt praktisch tun können — ohne auf finale Rechtsklärung zu warten

Die gute Botschaft: Die wirksamste Vorbereitung ist klassifizierungs-unabhängig. Sie ist gute GxP-Praxis und zugleich AI-Act-anschlussfähig — Sie können sie beginnen, bevor die rechtliche Einordnung steht:

• KI-Inventar führen. Wo wird heute überhaupt KI in regulierter Arbeit eingesetzt — und mit welchem Zweck? Ohne Überblick keine Steuerung.
• Menschliche Prüfung absichern. Bei jedem GxP-relevanten KI-Ergebnis bleibt die fachliche Prüfung Pflicht; eine namentliche Freigabe folgt dort, wo der Prozess sie vorsieht. KI bereitet vor, KI gibt nicht frei.
• Quellenbindung und Audit-Trail mitführen. Jede relevante Aussage bleibt mit Quelle und Version verbunden; wer was auf welcher Grundlage entschieden hat, bleibt nachvollziehbar.
• Daten-Governance dokumentieren. Welche Daten darf die KI nutzen, woher stammen sie, was ist ausgeschlossen?
• Verantwortlichkeiten benennen. Wer verantwortet Einsatz, Überwachung und Stopp eines KI-Werkzeugs?

Diese Punkte schwächen nichts an Ihrer GxP-Compliance — sie verstärken sie und schaffen zugleich die Substanz, auf die eine spätere AI-Act-Bewertung aufsetzen kann. Genau diese Arbeitsweise bildet traqx ab: KI entwirft, Ihr Team prüft und entscheidet, Quellen/Versionen/Audit-Trail bleiben verbunden — Ground. Generate. Verify. Human Review. Das ist eine Kontroll-Architektur, kein Compliance-Versprechen.

Die ehrlichen Grenzen

Zum Schluss die nötige Nüchternheit:

• Dies ist keine Rechtsberatung. Die Einordnung ersetzt keine Bewertung Ihres konkreten Geltungsbereichs durch qualifizierten Rechtsrat.
• Keine Risikoeinstufung. Dieser Beitrag stuft weder traqx noch Ihre Anwendungen in eine AI-Act-Risikoklasse ein — das ist bewusst der rechtlichen Bewertung vorbehalten.
• Der Rahmen reift weiter. Anwendung, Leitlinien und harmonisierte Normen entwickeln sich; Aussagen von heute sind eine Momentaufnahme.
• GxP bleibt in Kraft. Der AI Act ergänzt, ersetzt aber nicht GMP, Annex 11 oder Part 11. Beide Ebenen gelten nebeneinander.

Häufige Fragen

Ersetzt der EU AI Act GxP-Vorgaben wie GMP, Annex 11 oder 21 CFR Part 11?

Nein. GMP, Annex 11 und 21 CFR Part 11 bleiben vollständig in Kraft. Der EU AI Act (Verordnung (EU) 2024/1689) ist ein horizontales KI-Gesetz und legt, soweit er auf den konkreten KI-Einsatz anwendbar ist, eine zweite Ebene über Ihre bestehenden Qualitäts- und Validierungspflichten. Er tritt neben die GxP-Vorgaben, ersetzt sie aber nicht.

Betrifft der EU AI Act KI-Software in der Pharma-Qualität?

Ja, er kann greifen, sobald ein KI-System in regulierter Arbeit eingesetzt wird — etwa bei der Dokumentenerstellung oder der Review-Unterstützung. Der AI Act gilt horizontal und branchenübergreifend für KI als Technologie, also zusätzlich zu den GxP-Anforderungen, die für die regulierte Tätigkeit ohnehin gelten. Ob eine konkrete Anwendung unter bestimmte Pflichten fällt, hängt vom Einzelfall ab.

Ist ein KI-System in der GxP-Arbeit ein Hochrisiko-System nach dem EU AI Act?

Das ist eine Rechtsfrage und hängt von Ihrem konkreten Einzelfall ab. Der AI Act nutzt eine eigene Risikosystematik mit grob vier Stufen, die einer anderen Logik folgt als die GxP-Risikobewertung; eine GxP-Einstufung überträgt sich nicht auf den AI Act. Auch Ihre Rolle als Anbieter oder Betreiber beeinflusst die Pflichten. Dieser Beitrag nimmt keine Einstufung vor; ziehen Sie dafür qualifizierten Rechtsrat hinzu.

Was können GxP-Teams jetzt für den EU AI Act vorbereiten?

Die wirksamste Vorbereitung ist klassifizierungs-unabhängig und zugleich gute GxP-Praxis, sodass Sie vor der finalen Rechtsklärung beginnen können. Führen Sie ein KI-Inventar, sichern Sie die namentliche menschliche Freigabe für jedes GxP-relevante KI-Ergebnis, führen Sie Quellenbindung und Audit-Trail mit, dokumentieren Sie Ihre Daten-Governance und benennen Sie klare Verantwortlichkeiten. Diese Punkte stärken Ihre GxP-Compliance und schaffen die Substanz, auf die eine spätere AI-Act-Bewertung aufsetzen kann.