Tablet mit Checkliste auf Krankenhausschreibtisch neben Patientenakten und Stethoskop in klinischer Umgebung.

Wie führe ich ein KI-Audit im Krankenhaus durch?

|von

Seit Februar 2025 gilt die Schulungspflicht nach Art. 4 der EU-KI-Verordnung. Ab August 2026 wird sie sanktionsbewehrt. Wer im Krankenhaus KI-Systeme betreibt, steht damit vor einer konkreten Compliance-Aufgabe. Ein strukturiertes KI-Audit schafft die Grundlage, um Pflichten zu erfüllen, Risiken zu bewerten und den Überblick zu behalten, welche Systeme überhaupt im Einsatz sind.

Gesetzliche Anforderungen und Rahmenbedingungen für KI im Krankenhaus

Der EU AI Act ist seit 2024 in Kraft, und einzelne Bereiche sind bereits scharf gestellt. Die Verordnung unterscheidet vier Risikostufen: verbotene Praktiken, Hochrisiko-KI, KI mit begrenztem Risiko und KI mit minimalem Risiko. Entscheidend ist die korrekte Einordnung: KI-Radiologie, Triage-Systeme oder KI-gestützte klinische Entscheidungsunterstützung (etwa Systeme, die aus Bilddaten, Ambient Speech oder Patientendaten eigenständig Diagnose- oder Therapieempfehlungen generieren) fallen als Hochrisiko-Anwendungen unter volle Compliance-Pflichten. KI-Kodierunterstützung hingegen – also Software, die ICD- oder OPS-Kodes für bereits dokumentierte Diagnosen und Prozeduren vorschlägt – stellt kein Hochrisiko-KI-System im Sinne des EU AI Acts dar und fällt typischerweise unter begrenztes Risiko mit Transparenzpflichten. Beide Wege zur Hochrisiko-Einstufung müssen geprüft werden: über das Einsatzgebiet (Anhang III, ab Dezember 2027) und über die Klassifikation als Medizinprodukt (Anhang I, ab August 2028). Einen fundierten Einstieg in die rechtlichen und praktischen Grundlagen bietet das Webinar KI im Krankenhaus, das speziell für Krankenhäuser und Medizincontrolling-Abteilungen konzipiert wurde.

Ergänzend dazu wird das nationale KI-Marktüberwachungs- und Innovationsförderungsgesetz (KI-MIG) voraussichtlich im Sommer 2026 in Kraft treten. Es benennt die Bundesnetzagentur und das BfArM als zentrale Marktüberwachungsbehörden und richtet eine Beschwerdestelle ein, bei der auch Patienten und Krankenhausmitarbeiter anonym Verstöße melden können.

Bestandsaufnahme: Welche KI-Systeme sind im Einsatz?

Bevor ein Audit stattfinden kann, braucht das Krankenhaus eine vollständige Übersicht aller eingesetzten KI-Systeme. Viele Anwendungen laufen im Hintergrund, wurden über Dritte eingeführt oder sind in bestehende IT-Systeme integriert, ohne dass die KI-Komponente explizit benannt wurde. Für jede identifizierte Anwendung sollte ein internes Register gepflegt werden mit mindestens: Anbieter und Versionsstand, Risikokategorie, CE-Kennzeichnung, interner Verantwortlichkeit sowie der Erfüllung der Transparenzpflicht.

Mehr Infos
Spezielle Fragen zur Kodierung und im MD-Management ohne aufwendige Recherche beantworten?
Unser online Praxis-Handbuch!

Kernbereiche eines KI-Audits im Krankenhaus

Ein KI-Audit im Gesundheitswesen deckt drei Kernbereiche ab: Compliance, Risikobewertung und Schulungsstand.

Bei der Compliance-Prüfung geht es darum, ob die eingesetzten Systeme den Anforderungen der KI-Verordnung entsprechen. Bei Hochrisiko-Anwendungen bedeutet das: Ist ein Risikomanagementsystem vorhanden? Werden automatische Logs geführt? Ist eine menschliche Aufsicht sichergestellt?

Bei der Risikobewertung bestimmt die Risikoeinstufung den Aufwand der Dokumentation und die Intensität der Überwachung. Dabei ist zu beachten, dass klinische Entscheidungsunterstützungssysteme – etwa solche, die eigenständig Diagnosen oder Therapieempfehlungen auf Basis von Patientendaten generieren – als Hochrisiko einzustufen sind, während reine Kodier- und Abrechnungsunterstützung, die lediglich ICD- oder OPS-Kodes für bereits dokumentierte Sachverhalte vorschlägt, regulatorisch einer niedrigeren Risikokategorie zuzuordnen ist. Auch die Frage der Haftung ist hier zu klären: Wer haftet bei einem KI-Fehler, der Arzt, das Krankenhaus oder der Hersteller?

Art. 4 der KI-Verordnung verpflichtet Betreiber, ihre Mitarbeitenden im Umgang mit KI rollen- und anwendungsbezogen zu schulen. Die Schulungen müssen dokumentiert sein, da diese Pflicht bereits seit Februar 2025 gilt und ab August 2026 sanktionsbewehrt ist. Für eine flexible und nachweisfähige Umsetzung dieser Schulungspflicht eignen sich beispielsweise die E-Learning-Module zur KI-Kompetenz, die aufgabenbezogen und dokumentationsfähig absolviert werden können.

Häufige Fehler und Stolpersteine beim KI-Audit

Der häufigste Fehler ist die Unterschätzung des Umfangs. Weitere typische Stolpersteine:

  • Rollen verwechseln: Das Krankenhaus als Betreiber hat andere Pflichten als der Anbieter der KI.
  • Datenschutz vernachlässigen: Patientendaten dürfen nicht ungeschützt an externe Modelle übermittelt werden.
  • Schulungen pauschal ansetzen: Eine einheitliche KI-Schulung für alle Berufsgruppen erfüllt die Anforderungen nach Art. 4 nicht.

KI-Audit als Teil eines kontinuierlichen Qualitätsmanagements

Ein einmaliges Audit reicht nicht. Die KI-Verordnung verlangt von Betreibern einen laufenden Überwachungsplan, regelmäßige Prüfungen und die Dokumentation von Zweckänderungen. Sinnvoll ist es, das KI-Audit in bestehende Qualitätsmanagement-Strukturen zu integrieren: als fester Bestandteil der internen Revision, verknüpft mit dem Datenschutzmanagement und eingebettet in das Risikomanagement des Hauses. Wer sein Team gezielt auf diese Anforderungen vorbereiten möchte, findet im Online-Seminar KI im Krankenhaus einen praxisnahen Einstieg mit konkreten Handlungsempfehlungen.

Wie Medcontroller Sie beim KI-Audit unterstützt

Medcontroller begleitet Krankenhäuser und Medizincontrolling-Abteilungen bei der praktischen Umsetzung der KI-Compliance, von der ersten Bestandsaufnahme bis zur dauerhaften Dokumentation. Das Leistungsangebot umfasst konkret:

  • E-Learning-Module zur KI-Kompetenzpflicht nach Art. 4: Aufgabenbezogen, dokumentationsfähig, mit Prüfung und Zertifikat.
  • Inhouse- und Präsenzschulungen: Maßgeschneidert für Führungsebene, Medizincontrolling oder spezifische Berufsgruppen.
  • Zertifikatslehrgang KI-Beauftragter im Krankenhaus: Berufsbegleitend, in Vorbereitung.
  • Beratung zu Dokumentationspflichten und Risikoeinstufung: Besonders für Hochrisiko-Anwendungen und die Abgrenzung zwischen Anbieter- und Betreiberpflichten. Weiterführende Informationen dazu bietet auch die KI-Beratung von Medcontroller.

Wer jetzt handelt, vermeidet Bußgelder ab August 2026 und schafft eine belastbare Grundlage für die kommenden Hochrisiko-Pflichten. Nehmen Sie Kontakt mit Medcontroller auf und klären Sie gemeinsam, wo Ihr Haus heute steht.

Ähnliche Artikel