Wer ist im Krankenhaus für die KI-Compliance nach dem EU AI Act verantwortlich?
Der EU AI Act gilt seit 2024, und einige seiner Anforderungen sind bereits scharf geschaltet. Für Krankenhäuser stellt sich damit eine konkrete Frage: Wer im Haus trägt eigentlich die Verantwortung für die KI-Compliance? Die Antwort hängt davon ab, welche Rolle eine Einrichtung im Sinne der Verordnung einnimmt, und diese Rolle ist im Klinikalltag häufig die des Betreibers.
Krankenhäuser entwickeln KI-Systeme in der Regel nicht selbst. Sie kaufen, lizenzieren oder nutzen sie, stellen sie ihren Mitarbeitenden zur Verfügung und treffen auf dieser Grundlage medizinische oder administrative Entscheidungen. Damit sind sie Betreiber im Sinne der KI-Verordnung, mit einem klar definierten Pflichtenkatalog, der sich je nach Risikostufe der eingesetzten Anwendung erheblich unterscheidet.
Krankenhäuser als Betreiber von Hochrisiko-KI-Systemen
Viele KI-Anwendungen im medizinischen Umfeld fallen in die Kategorie Hochrisiko. Das betrifft insbesondere KI-gestützte Radiologie, Triage-Systeme in der Notaufnahme, Systeme zur Sepsisvorhersage oder Delirrisiko-Einschätzung auf der Intensivstation sowie KI-Anwendungen, die aus Ambient Speech, Bildanalyse oder Patientendaten eigenständig Diagnosen oder Therapieempfehlungen generieren. Für Betreiber von Hochrisiko-KI gelten umfangreiche Pflichten: eine Grundrechte-Folgenabschätzung (FRIA nach Art. 27), ein aktiver Überwachungsplan im Betrieb, die Dokumentation von Zweckänderungen sowie die Meldung von Vorfällen an die zuständige Behörde.
Nicht jede KI im Haus ist Hochrisiko. Spam-Filter, Autokorrektur oder einfache Berichtswerkzeuge fallen in die Kategorie minimales Risiko und sind von den strengen Pflichten weitgehend ausgenommen. KI-gestützte Kodier- und Abrechnungsunterstützung – also Software, die ICD- oder OPS-Kodes für bereits dokumentierte Diagnosen und Prozeduren vorschlägt – wird als begrenzt risikoreich eingestuft und unterliegt primär Transparenzpflichten gegenüber Nutzenden und Patienten, nicht jedoch den Hochrisiko-Anforderungen des EU AI Acts. Klinik-Chatbots fallen ebenfalls in diese Kategorie.
Verantwortlichkeiten auf Leitungs- und Fachabteilungsebene
KI-Compliance ist keine rein technische Aufgabe und lässt sich nicht vollständig an die IT-Abteilung delegieren. Die Geschäftsführung trägt die übergeordnete Verantwortung dafür, dass das Haus seiner Betreiberrolle nachkommt. Das bedeutet: Ressourcen bereitstellen, Strukturen schaffen und sicherstellen, dass die Schulungspflicht nach Art. 4 KI-VO erfüllt wird. Diese Pflicht gilt bereits seit Februar 2025 und ist ab August 2026 sanktionsbewehrt. Auf Fachabteilungsebene tragen Chefärzte, Leitende Ärzte und Abteilungsleiter Verantwortung dafür, dass KI-Systeme in ihrem Bereich bestimmungsgemäß eingesetzt werden und die Anwender die Ergebnisse der KI korrekt interpretieren und erklären können.
Unser online Praxis-Handbuch!
Dokumentations- und Überwachungspflichten im Klinikalltag
Ein strukturiertes KI-Inventar ist die Grundlage jeder KI-Compliance. Für jede eingesetzte Anwendung sollte das Haus mindestens festhalten: Anbieter und Versionsstand, Risikokategorie, ob eine CE-Kennzeichnung vorliegt, die interne Verantwortlichkeit, ob die Transparenzpflicht erfüllt ist und wie die Nutzung dokumentiert wird. Die Dokumentation der Schulungsmaßnahmen nach Art. 4 ist für alle Risikostufen verpflichtend und sollte revisionssicher geführt werden.
Erste Schritte zur KI-Governance im Krankenhaus
Drei Maßnahmen sollten 2026 abgeschlossen sein, unabhängig davon, wann die Hochrisiko-Pflichten vollständig in Kraft treten.
- KI-Inventar erstellen: Alle im Haus eingesetzten KI-Tools erfassen, Risikokategorie bestimmen und interne Verantwortlichkeiten zuweisen.
- Schulungsprogramm aufsetzen: Die Schulungspflicht nach Art. 4 KI-VO gilt bereits. Schulungen sollten rollen- und anwendungsbezogen gestaltet sein und dokumentationsfähig durchgeführt werden. Ein praktischer Einstieg gelingt zum Beispiel über ein Online-Seminar KI im Krankenhaus, das kompakt und zertifiziert die wesentlichen Compliance-Grundlagen vermittelt.
- KI-Beauftragten benennen: Diese Funktion ist gesetzlich nicht vorgeschrieben, in der Praxis aber kaum zu umgehen. Der oder die KI-Beauftragte verantwortet das KI-Inventar, organisiert Schulungen, führt die Dokumentation und hält Behördenkontakt.
Wie Medcontroller Ihr Haus bei der KI-Compliance unterstützt
Medcontroller begleitet Krankenhäuser beim Aufbau einer praxistauglichen KI-Governance. Das Leistungsangebot umfasst vier konkrete Bausteine:
- E-Learning-Module zur KI-Kompetenzpflicht nach Art. 4 KI-VO, aufgabenbezogen, dokumentationsfähig, mit Prüfung und Zertifikat, auch für große Belegschaften skalierbar. Interessierte können sich direkt über das E-Learning-Anmeldeformular registrieren.
- Präsenz- und Inhouse-Schulungen für Führungsebene, Medizincontrolling und spezifische Berufsgruppen, inhaltlich auf das jeweilige Haus zugeschnitten
- Externer KI-Beauftragter als fest umrissenes Dienstleistungspaket zu einem Pauschalpreis, für Häuser, die die Funktion nicht intern besetzen möchten oder können
- Zertifikatslehrgang KI-Beauftragter im Krankenhaus in Vorbereitung, sechs Wochen berufsbegleitend, für Fachkräfte, die diese Aufgabe dauerhaft übernehmen wollen
Der nächste konkrete Schritt ist das Online-Seminar KI im Krankenhaus: Ihr Fahrplan zur Compliance, 4,5 Stunden live mit Zertifikat. Melden Sie sich jetzt zum Webinar KI im Krankenhaus an und sichern Sie sich Ihren Platz. Alle Informationen zum Leistungsangebot von Medcontroller finden Sie direkt auf der Website. Weiterführende Orientierung bietet auch die KI-Beratung von Medcontroller, die Krankenhäuser individuell bei der Umsetzung der gesetzlichen Anforderungen unterstützt.