Was passiert, wenn ein Krankenhaus den EU AI Act nicht einhält?

Seit Februar 2025 gilt die Schulungspflicht nach Art. 4 der EU-KI-Verordnung, und ab August 2026 wird sie sanktionsbewehrt durchgesetzt. Für Krankenhäuser, die KI-Systeme im klinischen oder administrativen Betrieb einsetzen, ist der EU AI Act damit keine abstrakte Regulierungstheorie mehr, sondern ein konkretes Haftungsrisiko. Wer als Betreiber gilt, welche Systeme unter die Hochrisiko-Kategorie fallen und welche Versäumnisse im Klinikalltag besonders häufig auftreten, entscheidet darüber, ob ein Haus compliant aufgestellt ist oder nicht.

Dabei ist die Abgrenzung entscheidend: Nicht jede KI-Anwendung im Krankenhaus unterliegt denselben Anforderungen. Ein Spamfilter in der Verwaltung ist regulatorisch kaum relevant. Eine KI-gestützte Radiologiebefundung oder ein Triage-System in der Notaufnahme hingegen fällt unter die strengsten Pflichten der Verordnung. Diese Unterscheidung präzise zu treffen, ist der erste Schritt zu einer rechtssicheren KI-Compliance im Gesundheitswesen.

Welche Sanktionen drohen bei Verstößen gegen den EU AI Act?

Die KI-Verordnung sieht abgestufte Bußgelder vor, die sich nach der Schwere des Verstoßes richten. Bei Verstößen gegen die Hochrisiko-Pflichten drohen Bußgelder bis zu 15 Millionen Euro oder drei Prozent des weltweiten Jahresumsatzes. Für Verstöße gegen das Verbot bestimmter KI-Praktiken, etwa Social Scoring von Patienten oder Mitarbeitern, liegen die Obergrenzen noch höher. Das nationale Durchführungsgesetz, das KI-Marktüberwachungs- und Innovationsförderungsgesetz (KI-MIG), bestätigt diese Bußgeldrahmen und benennt die Bundesnetzagentur sowie das BfArM als zentrale Marktüberwachungsbehörden.

Besonders relevant für Krankenhäuser: Die Schulungspflicht nach Art. 4 gilt bereits seit Februar 2025 und wird ab August 2026 sanktionsbewehrt. Das bedeutet, dass fehlende oder nicht dokumentierte Schulungen für KI-Anwender und Betreiber konkrete Bußgeldrisiken erzeugen. Zudem können Patienten und Krankenhausmitarbeiter Verstöße über eine zentrale Beschwerdestelle melden, auch anonym. Die Durchsetzung ist damit nicht allein behördlich, sondern auch von innen heraus möglich.

Hochrisiko-KI im Krankenhaus: Welche Systeme betroffen sind

Eine KI-Anwendung wird auf zwei Wegen zur Hochrisiko-KI: entweder als Medizinprodukt nach Anhang I (relevant ab August 2028) oder über ihr Einsatzgebiet nach Anhang III (relevant ab Dezember 2027). Beide Wege müssen geprüft werden. Für Krankenhäuser bedeutet das: Systeme, die klinische Entscheidungen unterstützen oder eigenständig diagnostische Aussagen treffen, fallen in der Regel unter die strengsten Anforderungen der KI-Regulierung im Gesundheitswesen.

Konkrete Beispiele für Hochrisiko-KI im klinischen Umfeld sind KI-gestützte Radiologiebefundung (CT, MRT, Mammographie), Triage-Systeme in der Notaufnahme, KI-basierte Behandlungsempfehlungen in der Onkologie, CTG-Analysen in der Geburtshilfe sowie KI-Systeme im Recruiting. Auch Ambient-Speech-Lösungen, die aus Anamnesegesprächen eigenständig klinische Befunde ableiten, sind als Hochrisiko-Systeme einzustufen.

Kodier-KI ist kein Hochrisikosystem

Wichtig ist die Abgrenzung zu KI-Tools im Medizincontrolling: Software, die auf Basis bereits dokumentierter Diagnosen und Prozeduren ICD- oder OPS-Kodes vorschlägt, fällt nicht unter die Hochrisiko-Kategorie. Diese KI-Kodierungsunterstützung arbeitet auf Grundlage abgeschlossener klinischer Dokumentation und trifft keine eigenständigen medizinischen Diagnosen. Sie ist regulatorisch der Kategorie „begrenztes Risiko“ zuzuordnen und unterliegt primär Transparenzpflichten. Eine Gleichsetzung mit klinischer Entscheidungs-KI wäre sachlich falsch und würde unnötige Compliance-Aufwände erzeugen.

Mehr Infos

Spezielle Fragen zur Kodierung und im MD-Management ohne aufwendige Recherche beantworten?
Unser online Praxis-Handbuch!

Haftungsrisiken für Krankenhäuser als KI-Betreiber

Krankenhäuser sind im Sinne des EU AI Acts in den meisten Fällen Betreiber, nicht Anbieter. Das bedeutet: Sie setzen eine KI-Anwendung in ihrem Betrieb ein und stellen sie ihren Mitarbeitenden zur Nutzung zur Verfügung. Die Haftungsfrage ist dabei komplex, weil mehrere Parteien beteiligt sein können.

Ein Beispiel aus der Praxis: Ein Krankenhaus ohne eigene Radiologie nutzt die Kapazitäten einer Spezialklinik, die wiederum einen teleradiologischen Dienst einsetzt, der KI zur Befundunterstützung verwendet. In diesem Szenario ist das Krankenhaus ohne Radiologie trotzdem Betreiber, nicht bloß Anwender. Der Radiologe der Spezialklinik ist Anwender. Der teleradiologische Dienst ist ebenfalls Betreiber. Die Pflichten unterscheiden sich je nach Rolle erheblich. Als Betreiber muss das Krankenhaus sicherstellen, dass alle Anwender geschult sind, die Nutzung überwacht und dokumentiert wird und die KI regelmäßig geprüft wird. Wer diese Verantwortung nicht aktiv wahrnimmt, riskiert bei einem KI-Fehler eine Haftungsexposition, die sich nicht einfach auf den Hersteller abschieben lässt.

Compliance-Lücken erkennen: Typische Versäumnisse im Klinikalltag

Die häufigsten Compliance-Lücken entstehen nicht durch bösen Willen, sondern durch fehlende Strukturen. Drei Versäumnisse treten besonders regelmäßig auf:

Kein KI-Inventar: Viele Häuser wissen nicht vollständig, welche KI-Systeme sie überhaupt einsetzen. Ohne eine systematische Erfassung aller Anwendungen, inklusive Anbieter, Versionsstand, Risikokategorie und CE-Kennzeichnung, ist keine belastbare Compliance möglich.
Fehlende oder undokumentierte Schulungen: Die Pflicht nach Art. 4 KI-VO gilt seit Februar 2025. Schulungen müssen rollen- und anwendungsbezogen durchgeführt und dokumentiert werden. Eine allgemeine Einweisung reicht nicht aus. Wer für das Webinar KI im Krankenhaus noch keine Teilnehmer angemeldet hat, sollte das zeitnah nachholen.
Keine interne Verantwortlichkeit: Ohne eine benannte KI-verantwortliche Person, intern oder extern besetzt, fehlt die operative Steuerung. Das KI-Inventar wird nicht gepflegt, Schulungen werden nicht organisiert, Behördenkontakte nicht koordiniert.

Hinzu kommt ein strukturelles Risiko: Wer Kernprozesse vollständig an einen KI-Anbieter koppelt, ist dessen Preis-, Verfügbarkeits- und Politikentscheidungen ausgeliefert. Dieses Vendor-Lock-in-Risiko ist aus dem KIS-Bereich bekannt und wiederholt sich bei KI-Systemen in ähnlicher Form.

Schritte zur Einhaltung des EU AI Act im Krankenhaus

Die Grundstruktur für KI-Compliance im Krankenhaus lässt sich in drei priorisierten Schritten aufbauen, die unabhängig vom Inkrafttreten der Hochrisiko-Pflichten bis Ende 2026 abgeschlossen sein sollten:

KI-Inventar erstellen: Alle eingesetzten KI-Systeme erfassen, pro Anwendung dokumentieren: Anbieter und Versionsstand, Risikokategorie, CE-Kennzeichnung, interne Verantwortlichkeit und ob Transparenzpflichten erfüllt sind.
Schulungsprogramm aufsetzen: Die Schulungspflicht nach Art. 4 KI-VO gilt bereits. Schulungen müssen rollen- und anwendungsbezogen konzipiert werden: Bildanalyse in der Radiologie, Manchester-Triage mit KI, KI-Tools in der Verwaltung und im Medizincontrolling erfordern unterschiedliche Inhalte. Skalierbare E-Learning-Module für KI-Compliance bieten hier eine dokumentationsfähige Lösung auch für große Belegschaften.
KI-Beauftragten benennen: Nicht gesetzlich vorgeschrieben, aber praktisch unverzichtbar. Diese Person verantwortet das KI-Inventar, organisiert Schulungen, führt die Dokumentation bei Hochrisiko-Systemen und bereitet Audits vor. Die Stelle kann intern oder extern besetzt werden, in Teilzeit oder als volle Stelle.

Für Hochrisiko-Systeme gelten ab Dezember 2027 zusätzliche Anforderungen. Wer jetzt mit den drei Grundschritten beginnt, schafft die Basis, auf der die spezifischen Hochrisiko-Pflichten strukturiert aufgebaut werden können.

Wie Medcontroller Krankenhäuser bei der KI-Compliance unterstützt

Medcontroller begleitet Krankenhäuser und Kliniken beim Aufbau einer regelkonformen KI-Struktur, die zu den tatsächlichen Gegebenheiten im Haus passt. Das Angebot umfasst vier konkrete Bausteine:

Zertifikatslehrgang „KI-Beauftragter im Krankenhaus“: Sechswöchiger berufsbegleitender Lehrgang, der auf die komplexen Aufgaben der KI-Verwaltung vorbereitet und eine zukunftssichere Qualifikation vermittelt.
E-Learning-Module: Skalierbare Online-Schulungen für die KI-Kompetenzpflicht nach Art. 4, aufgabenbezogen, dokumentationsfähig, mit Prüfung und Zertifikat. Auch für große Belegschaften wirtschaftlich einsetzbar.
Präsenz- und Inhouse-Schulungen: Maßgeschneiderte Trainings für Führungsebene, Medizincontrolling oder spezifische Berufsgruppen, inhaltlich auf das jeweilige Haus zugeschnitten.
Beratung zur KI-Governance: Unterstützung beim Aufbau des KI-Inventars, bei der Risikoklassifizierung eingesetzter Systeme und bei der Benennung und Einarbeitung eines KI-Beauftragten.

Wer den nächsten Schritt in Richtung KI-Compliance gehen möchte, kann sich direkt für das Online-Seminar KI im Krankenhaus anmelden oder Medcontroller für eine individuelle Beratung kontaktieren.