Warum ist KI-Compliance im Krankenhaus 2026 besonders wichtig?

Ab August 2026 greift die Sanktionsbewehrung der Schulungspflicht nach Art. 4 der EU-KI-Verordnung. Für Krankenhäuser bedeutet das: Wer KI-Systeme einsetzt und seine Mitarbeitenden nicht nachweislich geschult hat, riskiert Bußgelder von bis zu 15 Millionen Euro. Der EU AI Act ist keine abstrakte Zukunftsnorm mehr, sondern eine konkrete Compliance-Pflicht mit laufenden Fristen. Gerade im Gesundheitswesen, wo KI-Anwendungen von der Kodierunterstützung bis zur radiologischen Bildanalyse reichen, ist der regulatorische Handlungsbedarf erheblich.

Entscheidend ist dabei eine klare Unterscheidung: Nicht jede KI im Krankenhaus unterliegt denselben Anforderungen. Die Verordnung stuft Anwendungen nach Risikokategorien ein, und diese Einstufung bestimmt, welche Pflichten konkret gelten. Ein Spamfilter oder eine Autokorrektur fällt in die Kategorie minimales Risiko und bleibt weitgehend unreguliert. Eine KI, die klinische Diagnosen oder Therapieempfehlungen generiert, ist dagegen Hochrisiko-KI mit voller Compliance-Last.

EU AI Act 2026: Neue Pflichten für Krankenhäuser

Der EU AI Act ist seit 2024 in Kraft und schaltet seine Pflichten gestaffelt scharf. Für Krankenhäuser als Betreiber von KI-Systemen ist 2026 das entscheidende Jahr: Die Schulungspflicht nach Art. 4 gilt bereits seit Februar 2025, die Sanktionsbewehrung tritt im August 2026 in Kraft. Parallel dazu soll das nationale Durchführungsgesetz, das KI-Marktüberwachungs- und Innovationsförderungsgesetz (KI-MIG), voraussichtlich im Sommer 2026 in Kraft treten und die Bundesnetzagentur sowie das BfArM als zentrale Marktüberwachungsbehörden etablieren. Auch Patienten und Mitarbeitende können dort Verstöße anonym melden.

Krankenhäuser sind in der Regel Betreiber, nicht Anbieter von KI-Systemen. Das bedeutet: Sie entwickeln die Technologie nicht, stellen sie aber ihren Mitarbeitenden zur Verfügung und tragen die Verantwortung für deren regelkonformen Einsatz. Betreiberpflichten umfassen unter anderem die Schulung aller Anwender, die Überwachung und Dokumentation der KI-Nutzung sowie die regelmäßige Prüfung der eingesetzten Systeme. Wer diese Pflichten nicht erfüllt, steht bei einer Beschwerde oder einem Audit ohne Schutz da.

Risikobereiche: Wo KI in der Klinik reguliert wird

Die Risikoeinstufung einer KI-Anwendung hängt nicht allein von der Technologie ab, sondern vom konkreten Einsatzgebiet. Der EU AI Act unterscheidet vier Stufen: verbotene KI, Hochrisiko-KI, KI mit begrenztem Risiko und KI mit minimalem Risiko. Für Krankenhäuser sind vor allem die mittleren beiden Kategorien praxisrelevant.

Hochrisiko-KI im klinischen Bereich

Als Hochrisiko-KI gelten Systeme, die entweder als Medizinprodukt (Anhang I, ab August 2028) oder über ihr Einsatzgebiet (Anhang III, ab Dezember 2027) eingestuft werden. Konkrete Beispiele aus dem Krankenhausalltag: KI-gestützte Radiologie und Bildanalyse, Triage-KI in der Notaufnahme, KI-basierte Behandlungsempfehlungen in der Onkologie, CTG-Analyse in der Geburtshilfe sowie KI-generierte Arztbriefe. Für diese Systeme gelten volle Compliance-Pflichten, darunter ein laufendes Risikomanagementsystem, eine Grundrechte-Folgenabschätzung (FRIA nach Art. 27), ein Überwachungsplan und die Pflicht zur Vorfallmeldung.

KI mit begrenztem Risiko: der Sonderfall Kodierung

Anders verhält es sich bei KI-Systemen zur Kodierunterstützung. Tools, die auf Basis bereits dokumentierter Diagnosen und Prozeduren ICD- oder OPS-Kodes vorschlagen, fallen in der Regel in die Kategorie begrenztes Risiko. Sie unterliegen Transparenzpflichten, nicht aber den vollen Hochrisiko-Anforderungen. Das ist ein wesentlicher Unterschied zu Systemen, die eigenständig klinische Diagnosen generieren. Wer KI im Krankenhaus einsetzen will, muss diese Grenze kennen und dokumentieren.

Mehr Infos

Spezielle Fragen zur Kodierung und im MD-Management ohne aufwendige Recherche beantworten?
Unser online Praxis-Handbuch!

Haftung, Dokumentation und interne Governance

Betreiber haften für den regelkonformen Einsatz der KI-Systeme in ihrem Haus. Das gilt unabhängig davon, ob die KI extern eingekauft oder intern entwickelt wurde. Die Dokumentationspflichten variieren je nach Risikostufe erheblich: Bei KI mit minimalem Risiko reicht es, die Schulungen der Mitarbeitenden zu dokumentieren. Bei Hochrisiko-KI kommen ein Überwachungsplan, Zweckänderungsdokumentation und Vorfallmeldungen hinzu, und Unterlagen sind zehn Jahre aufzubewahren.

Für die interne Governance empfiehlt sich die Benennung eines KI-Beauftragten. Diese Funktion ist gesetzlich nicht vorgeschrieben, aber praktisch kaum zu ersetzen. Der oder die KI-Beauftragte verantwortet das KI-Inventar, organisiert die Schulungen, führt die Dokumentation und hält den Kontakt zu Behörden. Die Rolle kann intern oder extern besetzt werden, in Vollzeit oder Teilzeit. Entscheidend ist, dass die Verantwortlichkeit klar geregelt ist, bevor ein Audit oder eine Beschwerde eintrifft.

Häufige Compliance-Lücken und wie sie entstehen

Die häufigste Lücke ist das fehlende KI-Inventar. Viele Krankenhäuser wissen nicht vollständig, welche KI-Systeme in welchen Abteilungen eingesetzt werden, wer die Anbieter sind und welche Risikoklasse die jeweilige Anwendung hat. Ohne dieses Inventar ist keine strukturierte Compliance möglich. Für jede Anwendung sollten mindestens Anbieter und Versionsstand, Risikokategorie, CE-Kennzeichnung, interne Verantwortlichkeit und Transparenzpflicht erfasst sein.

Eine weitere typische Lücke: Die Schulungspflicht nach Art. 4 wird unterschätzt oder pauschal behandelt. Rollen- und anwendungsbezogenes Denken ist hier entscheidend. Ein Radiologe, der eine KI-Befundungsunterstützung nutzt, benötigt eine andere Schulung als ein Verwaltungsmitarbeiter, der mit einem KI-gestützten Chatbot arbeitet. Wer alle Mitarbeitenden mit demselben Einheitsmodul abdeckt, erfüllt die Anforderung formal, aber nicht inhaltlich. Aufgabenbezogene E-Learning-Module mit Prüfung und Zertifikat sind hier die rechtssicherere Lösung.

Schließlich wird die Unterscheidung zwischen Anbieter, Betreiber und Anwender oft falsch gezogen. Ein Krankenhaus, das eine KI-gestützte Teleradiologie nutzt, ist Betreiber, kein Anwender. Der Radiologe, der die KI-Ergebnisse interpretiert, ist Anwender. Beide tragen unterschiedliche Pflichten, und diese Unterscheidung muss intern klar kommuniziert sein.

Schritte zur KI-Compliance im Medizincontrolling

Drei Maßnahmen sollten 2026 abgeschlossen sein, unabhängig davon, wann die Hochrisiko-Pflichten vollständig greifen. Erstens: ein vollständiges KI-Inventar mit Risikokategorie und Verantwortlichkeit für jede eingesetzte Anwendung. Zweitens: ein rollen- und anwendungsbezogenes Schulungsprogramm mit dokumentiertem Abschluss. Drittens: die Benennung eines KI-Beauftragten oder die klare Zuweisung dieser Aufgaben an eine bestehende Funktion.

Für das Medizincontrolling gilt zusätzlich: KI-gestützte Kodierunterstützung ist regulatorisch anders zu behandeln als klinische Entscheidungs-KI. Wer diese Grenze in der internen Dokumentation nicht sauber zieht, riskiert eine Fehlklassifikation mit erheblichen Folgen, etwa wenn ein MDK-Prüfer oder eine Behörde die Nutzung einer KI-Anwendung hinterfragt. Strukturiertes KI-Wissen für das Medizincontrolling ist hier keine Kür, sondern Grundlage für rechtssicheres Arbeiten.

So unterstützt Medcontroller bei der KI-Compliance

Medcontroller begleitet Krankenhäuser und Medizincontrolling-Teams konkret auf dem Weg zur KI-Compliance. Das Angebot umfasst vier Bausteine:

Zertifikatslehrgang KI-Beauftragter im Krankenhaus: Sechswöchige berufsbegleitende Ausbildung, die auf die komplexen Aufgaben der KI-Governance im Klinikbetrieb vorbereitet.
E-Learning-Module nach Art. 4: Aufgabenbezogene Online-Schulungen mit Prüfung und Zertifikat, dokumentationsfähig und skalierbar auch für große Belegschaften.
Präsenz- und Inhouse-Schulungen: Maßgeschneiderte Trainings für Führungsebene, Medizincontrolling oder spezifische Berufsgruppen, zugeschnitten auf das jeweilige Haus.
Beratung zur Risikoeinstufung und Dokumentation: Unterstützung beim Aufbau des KI-Inventars, bei der korrekten Klassifikation eingesetzter Systeme und bei der Vorbereitung auf Audits.

Wer jetzt handelt, schützt sein Haus vor Bußgeldern und schafft gleichzeitig die Grundlage für einen rechtssicheren KI-Einsatz. Sprechen Sie Medcontroller an oder nutzen Sie die KI-Beratung, um den nächsten Schritt zu planen.