Notified-Body-Audit-Vorbereitung mit KI

TL;DR

• Initial-Audits und Re-Zertifizierungen kosten deutsche MedTech-Hersteller regelmäßig 200–400 Personenstunden auf Senior-Quality-Level. Document-Intelligence und RAG beschleunigen die mechanischen Anteile — nicht das QM-Judgement.
• Größter Hebel: Evidence-Mapping (von 2 Wochen auf 2–3 Tage), Gap-Analyse QMS gegen MDR (Faktor 3–5) und CAPA-Triage. In Projekten: 50–70 % weniger Senior-QM-Stunden.
• Finale Klauselabdeckung, Argumentation im Audit und klinisches Urteil bleiben beim QMB/PRRC. MDR- und ISO-Referenzen müssen deterministisch verlinkt, nicht generiert sein.
• Einstieg nicht beim Initial-Audit, sondern beim nächsten Surveillance-Audit: kleinerer Scope, klare Messbarkeit.

Was Notified Bodies tatsächlich prüfen

Vier bis acht Wochen vor dem Audit-Termin verschwindet der Senior-Quality-Manager in einem Raum voller Dokumente, Spreadsheets und Verweis-Matrizen. TÜV Süd, TÜV Rheinland, BSI und DEKRA arbeiten nach derselben Grundlogik: geprüft werden vier Säulen — QMS nach ISO 13485, technische Doku nach MDR Anhang II/III, Risikomanagement nach ISO 14971, Software nach IEC 62304. Dazu die klinische Bewertung nach MDR Art. 61 und MEDDEV 2.7/1 Rev. 4.

Die eigentliche Vorbereitung besteht in drei Fragen pro MDR-Klausel: Welche internen Dokumente erfüllen sie? Wo ist die Evidenz versioniert abgelegt? Welche Lücken existieren — und mit welchem CAPA-Vorgang werden sie geschlossen?

Wo KI den größten Hebel hat

• Evidence-Mapping. Die Tabelle „MDR-Anforderung → erfüllendes Dokument → Speicherort" wird heute in Excel gepflegt. Ein RAG-System über SOPs, Risikoakten und V&V-Protokolle erzeugt sie aus dem Bestand. Aufwand sinkt typisch von 2 Wochen auf 2–3 Tage.
• Gap-Analyse QMS gegen MDR. Ein Sprachmodell mit eingebettetem MDR-Volltext beurteilt Klausel für Klausel, ob die interne Doku den Anforderungstext abdeckt. Beschleunigung: Faktor 3–5.
• CAPA-Tracking und 8D-Triage. Ein Klassifikations-Modell priorisiert den CAPA-Backlog nach Audit-Relevanz, gruppiert ähnliche Fälle und erzeugt 8D-Entwürfe. Der QM-Verantwortliche bestätigt oder überschreibt.
• Audit-Trail-Konsolidierung. Eine Pipeline aus DMS, PLM und eQMS liefert einen konsolidierten Report — spart pro Auditstrang einen halben Senior-Manager-Tag.
• Q&A-Vorbereitung mit RAG. Im Workshop entfällt das Aktenwälzen; der QMB übt das Argumentieren.

Praxis-Workflow

Sechs Schritte, typisch fünf bis sieben Wochen — davon 1–2 Wochen Setup, 3–5 Wochen produktive Vorbereitung.

1. Ingestion — SOPs, technische Doku, Risikoakten, klinische Bewertungen und CAPA-Register in den Vector-Store laden; Versionierung bleibt im Quell-System.
2. MDR-Skeleton — der vollständige MDR-Text als strukturierter Anforderungs-Katalog, jede Anforderung adressierbar.
3. Evidence-Mapping — das System schlägt für jede Anforderung passende Quell-Dokumente vor, der QMB validiert in Bulk. 70–80 % der Vorschläge sind sofort übernehmbar.
4. Gap-Liste + CAPA-Priorisierung — das System schlägt CAPA-Vorlagen vor.
5. Audit-Trail-Snapshot — eine Woche vor Audit ein konsolidierter Trail-Report.
6. Q&A-Sparring — der RAG-Assistent als Sparringspartner für klausel-genaue Fragen.

Was nicht funktioniert

Die finale Beurteilung der Klauselabdeckung gehört zum QMB oder PRRC — Sprachmodelle sind hier zu wohlwollend. Die Argumentation gegenüber dem Auditor bleibt menschlich: Die KI bereitet vor, sie spricht nicht. Die klinische Bewertung ist medizinisches Urteil. Und Halluzinationen bei Anforderungsnummern sind ein häufiger Fehler — MDR-Klauseln und ISO-Abschnitte müssen deterministisch verlinkt, nicht generiert sein.

Zahlen aus der Praxis

Bei einem Hersteller von Klasse-IIb-Geräten (180 Mitarbeitende, Re-Zertifizierung) sanken die Senior-QM-Stunden von 312 auf 108, ein Rückgang von 65 %. Das Audit lief mit drei Minor-Findings ab, alle nicht KI-bezogen. Bei einem Software-Medizinprodukt-Hersteller (IEC 62304 Klasse C) lag die Ersparnis bei 58 %, getrieben durch die Konsolidierung verteilter Verifikations-Protokolle.

Voraussetzungen, ohne die das Setup scheitert

Drei Bedingungen entscheiden, ob das System belastbar arbeitet:

• Versionierte Quell-Dokumente. Der Vector-Store referenziert, er ersetzt nicht. Liegt die Evidenz nur in losen PDF-Sammlungen ohne Versionsstand, produziert das Evidence-Mapping Verweise auf veraltete Stände — ein Audit-Risiko statt einer Entlastung.
• Eine benannte Reviewer-Rolle. QMB oder PRRC validieren jeden Mapping-Vorschlag. Ohne diese Freigabe-Disziplin entsteht eine Doku, die im Audit nicht verteidigbar ist.
• Deterministische Norm-Verlinkung. MDR-Klauseln und ISO-Abschnitte werden aus einem gepflegten Katalog verlinkt, nicht vom Modell generiert. Das ist die wichtigste einzelne Schutzmaßnahme gegen Halluzinationen bei Anforderungsnummern.

Wer diese drei Bedingungen vorab herstellt, verlagert den Aufwand vom Audit-Endspurt in eine planbare Vorlaufphase — und genau dort sitzt der eigentliche Hebel.

Empfehlung für den Einstieg

Nicht beim Initial-Audit anfangen. Der pragmatische Einstieg ist das nächste Surveillance-Audit: kleinerer Scope, weniger Risiko, klare Messbarkeit. 8–12 Wochen vor Termin das Setup starten, Evidence-Mapping als ersten Use Case, dann Gap-Analyse und CAPA-Triage. Nach zwei Zyklen entscheiden, ob das Setup auf Initial-Audit-Niveau ausgebaut wird.

Azena begleitet MedTech-Hersteller dabei, Document-Intelligence und RAG regulatorisch belastbar in Audit-Vorbereitung, technische Doku und QMS-Workflows zu integrieren.

Stand Mai 2026.