Was sind die häufigsten Compliance-Fehler beim KI-Einsatz im Gesundheitswesen?

KI-Systeme sind längst kein Zukunftsthema mehr. Radiologische Bildanalyse, automatische Kodierunterstützung, Chatbots in der Ambulanz, Triage-Assistenz in der Notaufnahme: In deutschen Krankenhäusern laufen heute zahlreiche KI-Anwendungen, oft ohne dass den Einrichtungen bewusst ist, welche regulatorischen Pflichten damit verbunden sind. Der EU AI Act (Verordnung 2024/1689) ist seit August 2024 in Kraft, und mehrere Pflichtbereiche sind bereits scharf geschaltet. Wer jetzt noch keine Strukturen aufgebaut hat, riskiert Bußgelder, Aufsichtsverfahren und im schlimmsten Fall Patientenschäden.

Typische Risikobereiche beim KI-Einsatz im Klinikalltag

Der EU AI Act unterscheidet vier Risikostufen: verbotene Systeme, Hochrisiko-KI, KI mit begrenztem Risiko und KI mit minimalem Risiko. Für Krankenhäuser sind vor allem die Hochrisiko-Anwendungen relevant, also Systeme, die in medizinische Entscheidungen eingreifen oder personalbezogene Prozesse steuern. Konkrete Beispiele sind KI-gestützte Radiologie, Triage-Systeme in der Notaufnahme, Sepsisfrühwarnung auf der Intensivstation sowie KI-Anwendungen im Recruiting. Auch KI-gestützte klinische Entscheidungsunterstützung – etwa Systeme, die aus Patientendaten, Bildanalysen oder Ambient Speech eigenständig Diagnosen oder Therapieempfehlungen generieren – fällt in die Kategorie Hochrisiko. Reine Kodier- und Abrechnungsunterstützung hingegen, also Software, die ICD- oder OPS-Kodes für bereits dokumentierte Diagnosen und Prozeduren vorschlägt, gilt regulatorisch nicht als Hochrisiko-KI-System im Sinne des EU AI Acts. Diese Unterscheidung überrascht viele Medizincontroller. Um sich gezielt auf diese Anforderungen vorzubereiten, empfiehlt sich eine Teilnahme am Webinar KI im Krankenhaus.

Datenschutzverstöße als häufigste Fehlerquelle

Der Einsatz von KI-Tools, die Patientendaten verarbeiten, ohne eine datenschutzkonforme Grundlage zu schaffen, ist einer der am weitesten verbreiteten Fehler. Besonders problematisch: Mitarbeitende nutzen allgemeine Large-Language-Models wie ChatGPT für klinische Texte oder Kodieraufgaben, ohne zu prüfen, ob Patientendaten dabei an externe Server übertragen werden. Wenn eine KI-Anwendung ursprünglich für einen bestimmten Einsatzzweck eingeführt wurde und dann für andere Aufgaben genutzt wird, entsteht eine Zweckänderung, die dokumentiert und datenschutzrechtlich bewertet werden muss.

Mehr Infos

Spezielle Fragen zur Kodierung und im MD-Management ohne aufwendige Recherche beantworten?
Unser online Praxis-Handbuch!

Fehlende Validierung und unkontrollierte KI-Entscheidungen

Bei neuronalen Netzen ist nicht nachvollziehbar, warum das Modell zu einer bestimmten Antwort kommt. Wenn ein KI-System einen radiologischen Befund bewertet oder klinische Entscheidungsempfehlungen generiert, ohne dass die Grundlage der Entscheidung transparent ist, fehlt die Basis für eine sachgerechte menschliche Überprüfung. Eng damit verbunden ist der Automation Bias: Menschen vertrauen Maschinenempfehlungen tendenziell stärker als dem eigenen Urteil, selbst wenn die Maschine falsch liegt. Wer KI-Kodierunterstützung einsetzt, ohne klare Validierungsprozesse zu etablieren, riskiert fehlerhafte Abrechnungen und erhöhte Angriffsflächen bei MDK-Prüfungen – auch wenn Kodier- und Abrechnungssoftware regulatorisch nicht als Hochrisiko-KI eingestuft wird.

Regulatorische Anforderungen, die häufig übersehen werden

Seit Februar 2025 gilt Artikel 4 der KI-Verordnung: Betreiber sind verpflichtet, sicherzustellen, dass ihre Mitarbeitenden über ausreichende KI-Kompetenz verfügen. Diese Schulungspflicht ist dokumentationspflichtig und ab August 2026 sanktionsbewehrt. Bußgelder von bis zu 35 Millionen Euro sind vorgesehen. Für Hochrisiko-KI – darunter klinische Entscheidungsunterstützungssysteme, die eigenständig Diagnosen oder Therapieempfehlungen generieren – kommen umfangreiche weitere Pflichten hinzu: Krankenhäuser müssen unter anderem eine Grundrechte-Folgenabschätzung durchführen, einen Überwachungsplan vorhalten, Zweckänderungen dokumentieren und Vorfälle melden. Der Betreiber haftet dabei eigenständig. Reine Kodier- und Abrechnungsunterstützung unterliegt diesen erweiterten Hochrisiko-Pflichten nicht. Wer seine Belegschaft strukturiert auf diese Anforderungen vorbereiten möchte, findet mit dem Online-Seminar KI im Krankenhaus ein praxisnahes Weiterbildungsformat.

Organisatorische Schwachstellen in Krankenhäusern

Das größte strukturelle Problem ist das Fehlen einer zentralen Verantwortlichkeit für KI. Ohne ein strukturiertes KI-Inventar ist regelkonforme Nutzung faktisch unmöglich. Das Inventar muss für jede Anwendung mindestens folgende Informationen enthalten: Anbieter und Versionsstand, Risikokategorie nach EU AI Act, CE-Kennzeichnung, interne Verantwortlichkeit, erfüllte Transparenzpflicht und tatsächliche Nutzung.

Compliance-sichere KI-Einführung: Worauf Krankenhäuser achten sollten

Eine rechtssichere KI-Einführung beginnt nicht mit der Technologie, sondern mit der Struktur. Drei Maßnahmen sollten 2026 in jedem Haus abgeschlossen sein:

KI-Inventar erstellen: Alle laufenden KI-Anwendungen erfassen, Risikokategorie bestimmen, Verantwortlichkeiten zuordnen.
Schulungsprogramm aufsetzen: Die Schulungspflicht nach Art. 4 KI-VO gilt bereits. Schulungen müssen rollen- und anwendungsbezogen gestaltet sein.
KI-Beauftragten benennen: Nicht gesetzlich vorgeschrieben, aber praktisch unverzichtbar. Aufgaben sind Inventarpflege, Schulungsorganisation, Dokumentationsverantwortung bei Hochrisiko-Systemen und Behördenkontakt bei Audits.

So unterstützt Medcontroller bei der KI-Compliance im Krankenhaus

Medcontroller begleitet Krankenhäuser beim Aufbau regelkonformer KI-Strukturen, von der ersten Bestandsaufnahme bis zur laufenden Dokumentation. Das Angebot umfasst:

KI-Inventarisierung: Systematische Erfassung aller eingesetzten KI-Anwendungen, Risikokategorisierung und Dokumentation der internen Verantwortlichkeiten
E-Learning-Module zur Schulungspflicht: Skalierbare Online-Schulungen nach Art. 4 KI-VO, aufgabenbezogen, dokumentationsfähig, mit Prüfung und Zertifikat
Zertifikatslehrgang KI-Beauftragter im Krankenhaus: Sechswöchige berufsbegleitende Ausbildung zur Übernahme der KI-Compliance-Funktion
Externer KI-Beauftragter: Medcontroller übernimmt die Funktion des KI-Beauftragten als externe Dienstleistung
Inhouse-Schulungen: Maßgeschneiderte Trainings für Führungsebene, Medizincontrolling oder spezifische Berufsgruppen

Mehr zum Leistungsangebot von Medcontroller oder direkt Kontakt aufnehmen unter salome@medcontroller.de. Für eine individuelle Einschätzung der eigenen KI-Situation steht zudem die KI-Beratung von Medcontroller zur Verfügung.