Was ist der EU AI Act und was bedeutet er für Krankenhäuser?

Der EU AI Act ist die erste umfassende KI-Regulierung der EU und ist seit 2024 in Kraft. Für Krankenhäuser bedeutet er konkrete Pflichten: Je nach Risikoklasse des eingesetzten KI-Systems müssen Einrichtungen ihre Mitarbeiter schulen, KI-Anwendungen dokumentieren und bei Hochrisiko-Systemen umfangreiche Compliance-Anforderungen erfüllen. Der folgende Artikel beantwortet die wichtigsten Fragen, die Kliniken sich dazu stellen sollten.

Welche KI-Systeme in Krankenhäusern fallen unter den EU AI Act?

Der EU AI Act gilt grundsätzlich für alle KI-Systeme, aber die Pflichten richten sich nach der Risikoklasse. Für Krankenhäuser sind vor allem zwei Kategorien relevant: KI-Systeme mit begrenztem Risiko, die Transparenzpflichten auslösen, und Hochrisiko-KI-Systeme, die eine vollständige Compliance-Struktur erfordern. KI mit minimalem Risiko, etwa Spamfilter oder Rechtschreibkorrektur, ist von den strengen Anforderungen weitgehend ausgenommen.

Entscheidend für die Einstufung ist, was das System tatsächlich tut. Dabei ist eine klare Unterscheidung zwischen klinischer Entscheidungsunterstützung und Kodier- oder Abrechnungssoftware unbedingt erforderlich:

Hochrisiko-KI liegt vor, wenn ein System eigenständig klinische Diagnosen oder Therapieempfehlungen generiert. Dazu zählen Röntgen- und CT-Befundung, Polypen-Erkennung in der Endoskopie, Sepsisvorhersage auf der Intensivstation, CTG-Analyse in der Geburtshilfe oder Ambient-Speech-Systeme, die Anamnesegespräche auswerten und klinisch interpretieren.
Begrenztes Risiko gilt für Systeme, die auf Basis bereits dokumentierter Diagnosen und Prozeduren Abrechnungskodes vorschlagen, etwa ICD- oder OPS-Kodes. Diese Kodier- und Abrechnungssoftware fällt nicht unter die High-Risk-Kategorie, weil sie keine eigenständigen klinischen Entscheidungen trifft.

Ein Beispiel aus der Praxis: Ein Krankenhaus ohne eigene Radiologie, das über eine Spezialklinik einen teleradiologischen Dienst mit KI-Unterstützung bei der Befundung nutzt, gilt nach dem AI Act als Betreiber, nicht als Anbieter. Der Radiologe, der das System aktiv nutzt, ist der Anwender. Diese Rollenverteilung ist wichtig, weil Anbieter, Betreiber und Anwender unterschiedliche Pflichten tragen.

Welche Pflichten entstehen für Krankenhäuser als KI-Anwender?

Krankenhäuser agieren im Regelfall als Betreiber von KI-Systemen, nicht als deren Entwickler. Als Betreiber müssen sie sicherstellen, dass alle Anwender geschult sind, die Nutzung dokumentiert ist und bei Hochrisiko-Systemen zusätzliche Compliance-Pflichten erfüllt werden. Die Schulungspflicht nach Art. 4 KI-VO gilt seit Februar 2025 und ist ab August 2026 sanktionsbewehrt.

Für Hochrisiko-KI-Systeme kommen als Betreiber folgende Pflichten hinzu:

Grundrechte-Folgenabschätzung (FRIA) nach Art. 27
Überwachungsplan im Betrieb
Dokumentation von Zweckänderungen
Meldung von Vorfällen an die zuständige Behörde

Für alle KI-Systeme, unabhängig von der Risikoklasse, sollte ein internes Register geführt werden, das Anbieter, Versionsstand, Risikokategorie, CE-Kennzeichnung, interne Verantwortlichkeit und Einsatzzweck dokumentiert. Bei Systemen mit begrenztem Risiko, etwa einem Chatbot für Terminvereinbarungen in der Ambulanz, reicht ein Transparenzhinweis gegenüber Patienten und Personal sowie eine interne Dokumentation des Einsatzzwecks aus.

Mehr Infos

Spezielle Fragen zur Kodierung und im MD-Management ohne aufwendige Recherche beantworten?
Unser online Praxis-Handbuch!

Ab wann gilt der EU AI Act für Krankenhäuser?

Der EU AI Act ist seit August 2024 in Kraft, aber die Pflichten greifen gestaffelt. Die Schulungspflicht nach Art. 4 gilt seit Februar 2025. Die vollständigen Hochrisiko-Pflichten werden schrittweise scharf gestellt, wobei die Sanktionsbewehrung der Schulungspflicht ab August 2026 greift. Krankenhäuser, die noch keine Maßnahmen eingeleitet haben, geraten damit unter Zeitdruck.

Parallel dazu tritt das nationale Durchführungsgesetz, das KI-Marktüberwachungs- und Innovationsförderungsgesetz (KI-MIG), voraussichtlich im Sommer 2026 in Kraft. Es benennt die Bundesnetzagentur und das BfArM als zentrale Marktüberwachungsbehörden. Über eine zentrale Beschwerdestelle können auch Patienten und Krankenhausmitarbeiter Verstöße melden, auch anonym. Die Bußgelder der KI-Verordnung werden durch das KI-MIG bestätigt.

Was droht Krankenhäusern bei Verstößen gegen den AI Act?

Der EU AI Act sieht Bußgelder von bis zu 15 Millionen Euro oder bis zu drei Prozent des weltweiten Jahresumsatzes vor, je nachdem, welcher Betrag höher ist. Für den Einsatz verbotener KI-Systeme sind noch höhere Strafen möglich. Hinzu kommen Reputationsrisiken und haftungsrechtliche Konsequenzen, insbesondere wenn ein KI-Fehler zu einem Patientenschaden geführt hat.

Eine besonders kritische Frage ist die Verantwortungsdiffusion: Wer haftet bei einem Fehler des KI-Systems? Der behandelnde Arzt, das Krankenhaus als Betreiber oder der Hersteller als Anbieter? Der AI Act schafft hier keine abschließende Antwort, aber er legt fest, dass Betreiber aktive Überwachungspflichten haben. Ein Krankenhaus, das ein Hochrisiko-System ohne Schulungen und Dokumentation betreibt, kann sich im Schadensfall kaum auf das Versagen des Herstellers berufen.

Wie unterscheidet sich der AI Act von der MDR und DSGVO im Klinikkontext?

Der EU AI Act, die Medizinprodukteverordnung (MDR) und die DSGVO sind drei voneinander unabhängige Regelwerke, die sich im Klinikkontext überschneiden. Die MDR regelt die Zulassung von Medizinprodukten einschließlich medizinischer Software. Die DSGVO schützt personenbezogene Daten. Der AI Act bewertet KI-Systeme nach ihrem Risiko und legt Betreiberpflichten fest, unabhängig davon, ob das System bereits eine CE-Kennzeichnung als Medizinprodukt trägt.

Für Krankenhäuser bedeutet das: Ein KI-System, das als Medizinprodukt nach MDR zugelassen ist, muss dennoch die Anforderungen des AI Act erfüllen, wenn es als Hochrisiko-KI eingestuft wird. Die DSGVO setzt zusätzlich enge Grenzen beim Umgang mit Patientendaten. Patientendaten dürfen nicht ungeschützt an externe KI-Modelle übermittelt werden, was den Einsatz von Cloud-basierten KI-Diensten ohne entsprechende Datenschutzverträge ausschließt. Ärztliche Schweigepflicht und DSGVO wirken hier zusammen.

Welche ersten Schritte sollten Krankenhäuser jetzt einleiten?

Drei Maßnahmen sind unabhängig vom weiteren Inkrafttreten der Hochrisiko-Pflichten sofort umsetzbar und sollten bis Ende 2026 abgeschlossen sein: ein KI-Inventar anlegen, ein Schulungsprogramm aufsetzen und einen KI-Beauftragten benennen.

KI-Inventar anlegen: Alle eingesetzten KI-Tools erfassen und pro Anwendung dokumentieren: Anbieter, Versionsstand, Risikokategorie, CE-Kennzeichnung, interne Verantwortlichkeit und Einsatzzweck.
Schulungsprogramm aufsetzen: Die Schulungspflicht nach Art. 4 KI-VO ist seit Februar 2025 aktiv. Schulungen müssen rollen- und anwendungsbezogen gestaltet sein. Ein Radiologe, der ein Bildanalyse-System nutzt, benötigt eine andere Schulung als ein Verwaltungsmitarbeiter, der ChatGPT für Textentwürfe einsetzt.
KI-Beauftragten benennen: Die Funktion ist gesetzlich nicht vorgeschrieben, aber praktisch unverzichtbar. Der oder die KI-Beauftragte verantwortet das Inventar, organisiert Schulungen, führt die Dokumentation und hält den Behördenkontakt. Die Stelle kann intern oder extern besetzt werden.

Wer im Medizincontrolling KI-gestützte Kodiertools einsetzt, sollte zudem prüfen, ob das jeweilige System lediglich Kodevorschläge auf Basis bereits dokumentierter Diagnosen macht oder ob es darüber hinaus klinische Interpretationen liefert. Diese Unterscheidung bestimmt die Risikoklasse und damit den gesamten Compliance-Aufwand. Mehr dazu bietet das Webinar KI im Krankenhaus von Medcontroller.

Wie Medcontroller Ihr Haus bei der KI-Compliance unterstützt

Medcontroller begleitet Krankenhäuser und Kliniken beim Aufbau einer regelkonformen KI-Struktur, die den Anforderungen des EU AI Act entspricht. Das Angebot umfasst konkrete Bausteine für jede Einrichtungsgröße:

KI-Beauftragter als externer Dienst: Medcontroller übernimmt die Funktion des KI-Beauftragten als fest umrissenes Leistungspaket zum Pauschalpreis, inklusive Inventarpflege, Dokumentation und Behördenkontakt.
E-Learning-Module nach Art. 4 KI-VO: Skalierbare Online-Schulungen, aufgabenbezogen, dokumentationsfähig, mit Prüfung und Zertifikat. Geeignet auch für große Belegschaften.
Präsenz- und Inhouse-Schulungen: Maßgeschneiderte Trainings für Führungsebene, Medizincontrolling oder spezifische Berufsgruppen, zugeschnitten auf Ihre eingesetzten Systeme.
Zertifikatslehrgang KI-Beauftragter im Krankenhaus: Sechswöchiges berufsbegleitendes Programm für alle, die die Funktion intern aufbauen wollen.

Melden Sie sich jetzt für das Online-Seminar KI im Krankenhaus an und erhalten Sie Ihren Fahrplan zur Compliance in 4,5 Stunden Live-Online mit Zertifikat. Frühbucherrabatt bei Anmeldung vor dem 15. Juli 2026.