Wie bereitet sich ein Krankenhaus auf die Anforderungen des EU AI Act vor?

Der EU AI Act ist seit 2024 in Kraft, und für Krankenhäuser in Deutschland wird er zunehmend konkret. Wer KI-gestützte Systeme in der Radiologie, der Triage, der Kodierung oder der Verwaltung einsetzt, unterliegt bereits heute bestimmten Pflichten. Wer diese ignoriert, riskiert ab August 2026 sanktionsbewehrte Konsequenzen. Dieser Artikel zeigt, was Kliniken jetzt wissen und tun müssen.

Welche Krankenhäuser sind vom EU AI Act betroffen?

Grundsätzlich gilt: Jedes Krankenhaus, das KI-Systeme einsetzt oder seinen Mitarbeitenden zur Verfügung stellt, ist als Betreiber im Sinne der KI-Verordnung einzustufen. Das gilt unabhängig von der Hausgröße und unabhängig davon, ob die KI selbst entwickelt oder zugekauft wurde.

Diese Rollentrennung ist entscheidend, weil Anbieter, Betreiber und Anwender jeweils unterschiedliche Pflichten tragen. KI-Systeme mit minimalem Risiko wie Spamfilter, Autokorrektur oder einfache Berichtstools sind von den strengen Compliance-Pflichten weitgehend ausgenommen. Entscheidend ist die Risikoklasse der jeweiligen Anwendung.

Risikoklassen des EU AI Act und ihre Bedeutung für Kliniken

Die KI-Verordnung teilt Anwendungen in vier Risikostufen ein, die jeweils unterschiedliche Compliance-Anforderungen auslösen.

Unannehmbar: Verboten. Dazu zählen etwa Social-Scoring-Systeme für Patienten oder Prognosen zur Arbeitsleistung von Mitarbeitenden.
Hochrisiko: Volle Compliance-Pflichten. Hierunter fallen KI-Systeme in der Radiologie, Triage-KI in der Notaufnahme, KI-gestütztes Recruiting sowie möglicherweise Klinik-Chatbots und KI-generierte Arztbriefe. Kodier- und Abrechnungsunterstützung – also Software, die ICD/OPS-Kodes für bereits dokumentierte Diagnosen und Prozeduren vorschlägt – fällt hingegen nicht in diese Kategorie.
Begrenztes Risiko: Transparenzpflichten. Dazu gehören KI-gestützte Kodier- und Abrechnungsunterstützung, ChatGPT-Anwendungen und bestimmte Chatbot-Lösungen.
Minimal: Keine spezifischen Pflichten. Spamfilter, Autokorrektur, einfache KI-Berichterstattung.

Eine KI-Anwendung kann auf zwei Wegen als Hochrisiko eingestuft werden: entweder als Medizinprodukt nach Anhang I oder über ihr Einsatzgebiet nach Anhang III. Beide Wege müssen für jede eingesetzte Anwendung geprüft werden. Dabei ist zu beachten, dass Kodier- und Abrechnungssoftware und klinische Entscheidungsunterstützung zwei grundlegend verschiedene Kategorien darstellen: Während Software, die eigenständig Diagnosen oder Therapieempfehlungen generiert (z. B. auf Basis von Bildanalyse oder Ambient Speech), als Hochrisiko-KI einzustufen ist, gilt dies für reine Kodier- und Abrechnungsunterstützung nicht.

Mehr Infos

Spezielle Fragen zur Kodierung und im MD-Management ohne aufwendige Recherche beantworten?
Unser online Praxis-Handbuch!

Konkrete Pflichten für Krankenhäuser als Betreiber

Als Betreiber tragen Krankenhäuser die Verantwortung dafür, dass alle Anwender geschult sind, die Nutzung überwacht und dokumentiert wird und die KI regelmäßig geprüft wird.

Für jede eingesetzte KI-Anwendung ist zu dokumentieren: Anbieter und Versionsstand, Risikokategorie, ob eine CE-Kennzeichnung vorliegt, interne Verantwortlichkeit, ob die Transparenzpflicht erfüllt ist, und der Umfang der tatsächlichen Nutzung.

Die KI-Kompetenzpflicht nach Art. 4 gilt seit Februar 2025 und ist ab August 2026 sanktionsbewehrt. Die Schulungen müssen rollen- und anwendungsbezogen gestaltet sein – differenziert nach Bildanalyse in der Radiologie, KI-gestützter Triage, ChatGPT-Nutzung sowie KI-Unterstützung in der Kodierung. Einen strukturierten Einstieg bietet das Webinar KI im Krankenhaus, das speziell auf die Anforderungen des EU AI Act für Kliniken ausgerichtet ist.

Schritte zur strukturierten Vorbereitung

KI-Inventar erstellen: Alle KI-Anwendungen erfassen, Risikokategorie bestimmen, CE-Kennzeichnung prüfen, interne Verantwortlichkeit festlegen.
Schulungsprogramm aufsetzen: Rollen- und anwendungsbezogen, dokumentationsfähig, mit Nachweis.
KI-Beauftragten benennen: Gesetzlich nicht vorgeschrieben, aber praktisch unverzichtbar. Aufgaben umfassen das Pflegen des KI-Inventars, das Organisieren von Schulungen, die Dokumentationsverantwortung und die Vorbereitung auf Behördenaudits.

Schnittstellen zum Medizincontrolling

KI-gestützte Kodierunterstützung – also Software, die ICD/OPS-Kodes für bereits dokumentierte Diagnosen und Prozeduren vorschlägt – fällt nach aktueller Einschätzung in die Kategorie begrenztes Risiko und löst Transparenzpflichten aus, nicht jedoch die vollen Hochrisiko-Compliance-Pflichten. Sie ist damit regulatorisch klar von klinischer Entscheidungsunterstützung zu unterscheiden, die eigenständig Diagnosen oder Therapieempfehlungen generiert und als Hochrisiko-KI einzustufen ist. Wer KI-gestützte Kodierung einsetzt, muss sicherstellen, dass die Ergebnisse nachvollziehbar, korrekt dokumentiert und im Streitfall verteidigbar sind. Die Verantwortung für die Richtigkeit der Abrechnung verbleibt beim Krankenhaus als Betreiber. Wer hier KI einsetzt, ohne die Anwender zu schulen und die Nutzung zu dokumentieren, schafft nicht nur ein regulatorisches Risiko, sondern auch ein Erlösrisiko bei der Rechnungsprüfung. Praxisorientiertes Wissen zu diesem Thema vermittelt das Online-Seminar KI im Krankenhaus, das gezielt auf die Schnittstelle zwischen KI-Compliance und Medizincontrolling eingeht.

Zeitplan und nächste Schritte

Februar 2025: KI-Kompetenzpflicht nach Art. 4 KI-VO gilt.
August 2026: Schulungspflicht wird sanktionsbewehrt. Bußgelder bis zu 15 Mio. Euro sind möglich.
Sommer 2026: KI-MIG tritt voraussichtlich in Kraft, BNetzA und BfArM werden aktive Aufsichtsbehörden.
Dezember 2027: Hochrisiko-Pflichten für Anwendungen nach Anhang III greifen.
August 2028: Hochrisiko-Pflichten für Medizinprodukte nach Anhang I greifen.

Der Zeitplan zeigt: Die Grundstruktur muss jetzt stehen. Wer damit bis zu den Hochrisiko-Fristen wartet, wird den Aufwand unterschätzt haben und unter Zeitdruck geraten.

Wie Medcontroller Kliniken bei der KI-Compliance unterstützt

Medcontroller begleitet Krankenhäuser konkret auf dem Weg zur regelkonformen KI-Nutzung. Das Angebot umfasst vier Bausteine:

Zertifikatslehrgang KI-Beauftragter im Krankenhaus: Sechswöchige berufsbegleitende Ausbildung, die auf die komplexen Verwaltungsaufgaben rund um KI-Compliance vorbereitet.
E-Learning-Module: Skalierbare Online-Schulungen zur KI-Kompetenzpflicht nach Art. 4, dokumentationsfähig, mit Prüfung und Zertifikat. Interessierte können sich direkt über das E-Learning-Anmeldeformular registrieren.
Präsenz- und Inhouse-Schulungen: Maßgeschneiderte Trainings für Führungsebene, Medizincontrolling und spezifische Berufsgruppen.
Externer KI-Beauftragter: Medcontroller übernimmt die Funktion des KI-Beauftragten als externe Dienstleistung zum Pauschalpreis. Weitere Informationen dazu bietet die KI-Beratung von Medcontroller.

Mehr zu den Leistungen von Medcontroller oder direkt Kontakt aufnehmen unter salome@medcontroller.de oder 0151 73011580.