Medizinisches Tablet mit klinischem Dashboard neben Regulierungsakten und Stethoskop auf einem Krankenhausschreibtisch.

Wann gilt eine KI im Krankenhaus als konform mit dem EU AI Act?

|von

Seit August 2024 ist der EU AI Act in Kraft. Für Krankenhäuser bedeutet das: Wer KI-Systeme einsetzt oder plant, sie einzusetzen, muss jetzt konkret prüfen, welche regulatorischen Anforderungen gelten. Die Antwort hängt dabei weniger von der Technologie selbst ab als von der Frage, wofür sie eingesetzt wird. Gerade im Bereich KI im Medizincontrolling, bei der Kodierungsunterstützung oder in der Diagnostik sind die Pflichten erheblich und die Fristen real.

Risikoklassen des EU AI Act und ihre Relevanz für Kliniken

Der EU AI Act teilt KI-Systeme in vier Risikoklassen ein: unannehmbares Risiko, Hochrisiko, begrenztes Risiko und minimales Risiko. Konkret für den Krankenhausbetrieb bedeutet das: KI-gestützte Radiologie, Triage-Systeme in der Notaufnahme sowie KI-Systeme, die aus Patientendaten, Sprache oder Bildern eigenständig Diagnosen oder Therapieempfehlungen generieren (z. B. KI-basierte Arztbriefschreibung mit klinischer Entscheidungsunterstützung), werden als Hochrisiko eingestuft. Recruiting-Software fällt ebenfalls in diese Kategorie. KI-gestützte Kodier- und Abrechnungsunterstützung, die lediglich ICD- oder OPS-Kodes für bereits dokumentierte Diagnosen und Prozeduren vorschlägt, stellt hingegen kein Hochrisiko-KI-System im Sinne des EU AI Acts dar und fällt je nach Ausgestaltung unter begrenztes Risiko mit Transparenzpflichten. Klinik-Chatbots sind ebenfalls je nach Ausgestaltung dem begrenzten Risiko zuzuordnen. Verboten sind Systeme, die Patienten oder Mitarbeiter sozial bewerten oder die Arbeitsleistung vorhersagen.

Eine KI-Anwendung wird über zwei unterschiedliche Wege als Hochrisiko eingestuft: als Medizinprodukt nach Anhang I (Frist: August 2028) oder über ihr konkretes Einsatzgebiet nach Anhang III (Frist: Dezember 2027). Beide Wege müssen geprüft werden, unabhängig voneinander.

Anforderungen an Hochrisiko-KI im Gesundheitswesen

Hochrisiko-KI im Krankenhaus unterliegt einem umfangreichen Pflichtenkatalog, der sowohl Anbieter als auch Betreiber betrifft. Für Hochrisiko-Systeme schreibt der EU AI Act unter anderem vor:

  • Risikomanagementsystem (Art. 9), das laufend gepflegt wird
  • Automatische Protokollierung und Logs (Art. 12)
  • Menschliche Aufsicht über KI-Entscheidungen (Art. 14)
  • Technische Dokumentation nach Anhang IV (Art. 11)
  • Konformitätsbewertung und EU-Konformitätserklärung (Art. 43, Art. 47)
  • Registrierung in der EU-Datenbank (Art. 49)
  • Aufbewahrung der Unterlagen für zehn Jahre (Art. 18)

Als Betreiber kommen zusätzlich die Grundrechte-Folgenabschätzung (FRIA nach Art. 27), ein Überwachungsplan, die Dokumentation von Zweckänderungen sowie die Meldepflicht bei Vorfällen hinzu. Für KI-Einsatz im Medizincontrolling gilt: Eine KI-Kodierunterstützung, die ICD- oder OPS-Kodes für bereits dokumentierte Diagnosen und Prozeduren vorschlägt, ist regulatorisch von klinischer Entscheidungsunterstützung zu unterscheiden und fällt in der Regel nicht unter Hochrisiko. Wird eine solche Anwendung jedoch zweckgeändert und generiert sie eigenständig klinische Empfehlungen, kann sie dadurch in die Hochrisiko-Kategorie wechseln.

Mehr Infos
Spezielle Fragen zur Kodierung und im MD-Management ohne aufwendige Recherche beantworten?
Unser online Praxis-Handbuch!

Verantwortung zwischen Hersteller, Betreiber und Krankenhaus

Der EU AI Act unterscheidet scharf zwischen Anbieter (dem Hersteller des KI-Systems) und Betreiber (dem Krankenhaus, das das System nutzt). Der Anbieter ist für technische Dokumentation, Konformitätsbewertung und CE-Kennzeichnung zuständig. Das Krankenhaus als Betreiber muss sicherstellen, dass die KI gemäß Gebrauchsanleitung eingesetzt wird und die Ergebnisse korrekt interpretiert und verständlich kommuniziert werden. Bereits seit Februar 2025 gilt verbindlich: Betreiber müssen die KI-Kompetenz ihrer Mitarbeitenden schulen und diese Schulung dokumentieren (Art. 4). Wer sich gezielt auf diese Anforderungen vorbereiten möchte, findet im Online-Seminar KI im Krankenhaus einen strukturierten Einstieg.

Typische Compliance-Lücken bei KI-Einführung im Krankenhaus

  • Kein internes Register eingesetzter KI-Tools: Viele Häuser wissen nicht vollständig, welche KI-Systeme überhaupt im Einsatz sind. Ohne dieses Inventar ist eine Risikoklassifizierung unmöglich.
  • Fehlende Schulungsdokumentation: Die Pflicht aus Art. 4 gilt seit Februar 2025. Wer keine Nachweise über KI-Kompetenzschulungen hat, ist bereits jetzt nicht compliant.
  • Unklare Zweckdefinition: Wird eine KI-Anwendung für andere Zwecke genutzt als ursprünglich vorgesehen, ändert sich die Risikoklasse.
  • Transparenzpflichten gegenüber Patienten nicht umgesetzt: Für Systeme mit begrenztem Risiko reicht ein Transparenzhinweis, aber dieser muss aktiv erfolgen und nachweisbar sein.
  • Keine Vorfallmeldeprozesse: Hochrisiko-Betreiber müssen Vorfälle melden. In den meisten Häusern existiert dafür noch kein definierter Prozess.

Nächste Schritte für ein konformes KI-Management

Der Einstieg in ein strukturiertes KI-Management beginnt mit drei konkreten Schritten: Inventarisierung aller eingesetzten KI-Tools, Risikoklassifizierung nach den Kriterien des EU AI Act und Dokumentation der Mitarbeiterschulungen nach Art. 4. Dabei ist es wichtig, Kodier- und Abrechnungsunterstützung klar von klinischer Entscheidungsunterstützung abzugrenzen, da beide Kategorien unterschiedliche regulatorische Anforderungen nach sich ziehen. Für Hochrisiko-Systeme sollte parallel ein Überwachungsplan entwickelt und die Frage der Grundrechte-Folgenabschätzung (FRIA) geklärt werden. Außerdem sollten Verträge mit KI-Anbietern auf Konformitätsnachweise geprüft werden: Anbieter von Hochrisiko-Systemen sind verpflichtet, Konformitätserklärungen bereitzustellen. Zur Vertiefung dieser Themen empfiehlt sich eine Anmeldung zum Webinar KI im Krankenhaus, das praxisnahe Orientierung für Kliniken bietet.

So unterstützt Medcontroller beim AI Act Krankenhaus-Compliance

Medcontroller begleitet Krankenhäuser dabei, den EU AI Act strukturiert und ohne unnötigen Aufwand umzusetzen. Das Angebot umfasst:

  • KI-Beauftragter als externe Dienstleistung: Medcontroller übernimmt die Funktion des KI-Beauftragten in einem fest umrissenen Leistungspaket zu einem Pauschalpreis, ohne interne Personalressourcen zu binden.
  • Inventarisierung und Risikoklassifizierung: Systematische Erfassung aller eingesetzten KI-Tools und Einordnung nach den Risikoklassen des EU AI Act, einschließlich der korrekten Abgrenzung zwischen Kodier- und Abrechnungsunterstützung und klinischer Entscheidungsunterstützung.
  • Dokumentation und Schulungsnachweis: Unterstützung bei der Umsetzung der Kompetenzpflicht nach Art. 4 und Aufbau einer revisionssicheren Dokumentationsstruktur.
  • Webinar „KI im Krankenhaus: Ihr Fahrplan zur Compliance“: 4,5 Stunden Live-Online mit Zertifikat, mit Frühbucherrabatt bei Anmeldung vor dem 15. Juli 2026.

Wer den nächsten Schritt gehen möchte, findet beim Leistungsangebot von Medcontroller alle relevanten Informationen oder nimmt direkt Kontakt auf: salome@medcontroller.de oder 0151 73011580. Für individuelle Fragen zur regulatorischen Einordnung steht zudem die KI-Beratung von Medcontroller zur Verfügung.

Ähnliche Artikel