Welche Pflichten hat ein Krankenhaus beim Einsatz von KI im Medizincontrolling?

Krankenhäuser, die KI im Medizincontrolling einsetzen, unterliegen einem mehrstufigen Pflichtenprogramm aus EU-Recht, nationalem Datenschutzrecht und internem Qualitätsmanagement. Entscheidend ist dabei die genaue Art des KI-Tools: Kodier- und Abrechnungssoftware, die auf Basis dokumentierter Diagnosen ICD- oder OPS-Kodes vorschlägt, wird regulatorisch anders behandelt als Software, die eigenständig klinische Diagnosen generiert. Die folgenden Abschnitte klären die wichtigsten Rechtsfragen konkret und praxisnah.

Welche rechtlichen Rahmenbedingungen gelten für KI im Krankenhaus?

Für KI im Krankenhaus gilt seit dem 2. August 2024 der EU AI Act (Verordnung (EU) 2024/1689), der je nach Risikoeinstufung des Systems unterschiedlich strenge Anforderungen stellt. Kodier- und Abrechnungssoftware, die ausschließlich auf Basis bereits dokumentierter Diagnosen und Prozeduren Abrechnungskodes vorschlägt, fällt in der Regel nicht unter die High-Risk-Kategorie. Software, die eigenständig klinische Diagnosen oder Therapieempfehlungen erzeugt, gilt hingegen als Hochrisiko-KI-System nach Anhang III des AI Acts und unterliegt deutlich strengeren Zulassungs- und Dokumentationspflichten.

Parallel dazu greift das Medizinprodukterecht: KI-Systeme, die eine medizinische Zweckbestimmung haben und eigenständige klinische Entscheidungen unterstützen, können als Medizinprodukt der Klasse IIa oder höher einzustufen sein und benötigen eine CE-Kennzeichnung nach der MDR (EU 2017/745). Für die typische Kodierunterstützung im Medizincontrolling ist diese Hürde in der Regel nicht relevant, aber Krankenhäuser sollten die Zweckbestimmung des eingesetzten Tools schriftlich prüfen und dokumentieren.

Ergänzend gelten das SGB V, das Krankenhausfinanzierungsgesetz sowie die Prüfverfahrensvereinbarung (PrüfvV), die keine KI-spezifischen Regelungen enthalten, aber die Anforderungen an korrekte Kodierung und Nachvollziehbarkeit von Abrechnungsentscheidungen definieren. Wer KI-gestützte Kodiervorschläge ohne menschliche Kontrolle übernimmt und diese Entscheidungen im MDK-Prüfverfahren nicht begründen kann, riskiert Beanstandungen.

Welche Datenschutzpflichten entstehen beim KI-gestützten Kodieren?

Beim KI-gestützten Kodieren verarbeitet das System Patientendaten, die als besondere Kategorie personenbezogener Daten nach Art. 9 DSGVO eingestuft sind. Das Krankenhaus ist datenschutzrechtlich Verantwortlicher und muss sicherstellen, dass eine Rechtsgrundlage für die Verarbeitung besteht, typischerweise Art. 9 Abs. 2 lit. h DSGVO in Verbindung mit § 22 BDSG für Zwecke der Gesundheitsversorgung.

Konkret bedeutet das für die Praxis:

Ein Verarbeitungsverzeichnis nach Art. 30 DSGVO muss den KI-Einsatz als eigenen Verarbeitungsvorgang ausweisen.
Wird ein externer KI-Anbieter eingesetzt, ist ein Auftragsverarbeitungsvertrag (AVV) nach Art. 28 DSGVO zwingend abzuschließen.
Verarbeitet das KI-System Daten auf Servern außerhalb der EU oder des EWR, gelten zusätzliche Anforderungen an Drittlandtransfers (Art. 44 ff. DSGVO).
Vor dem Produktiveinsatz ist in der Regel eine Datenschutz-Folgenabschätzung (DSFA) nach Art. 35 DSGVO erforderlich, da die systematische Verarbeitung sensibler Gesundheitsdaten durch automatisierte Systeme ein hohes Risiko darstellt.

Krankenhäuser, die KI-Tools über Cloud-Dienste nutzen, müssen außerdem prüfen, ob der Anbieter Daten für eigene Trainingszwecke nutzt. Das ist datenschutzrechtlich nur mit ausdrücklicher Einwilligung der Betroffenen oder einer anderen Rechtsgrundlage zulässig und in der Praxis kaum realisierbar.

Mehr Infos

Spezielle Fragen zur Kodierung und im MD-Management ohne aufwendige Recherche beantworten?
Unser online Praxis-Handbuch!

Wer haftet, wenn KI eine Kodierung falsch berechnet?

Die Haftung für fehlerhafte Kodierungen liegt beim Krankenhaus, nicht beim KI-Anbieter. Ein KI-System, das einen falschen OPS- oder ICD-Kode vorschlägt, entlastet das Krankenhaus weder gegenüber der Krankenkasse noch gegenüber dem Medizinischen Dienst. Die Verantwortung für die korrekte Abrechnung verbleibt nach § 17c KHG beim Krankenhaus als Leistungserbringer.

Gegenüber dem KI-Anbieter können zivilrechtliche Ansprüche bestehen, wenn das Tool nachweislich fehlerhafte Ergebnisse liefert und dies auf einem Produktmangel beruht. In der Praxis ist dieser Nachweis schwer zu führen, weil Kodierfehler häufig auf unvollständiger Dokumentation beruhen, nicht auf einem Systemfehler. Entscheidend ist daher, dass das Krankenhaus KI-Vorschläge nicht automatisch übernimmt, sondern sie durch qualifizierte Kodierfachkräfte prüfen lässt.

Im MDK-Prüfverfahren spielt die Frage, ob ein Mensch oder eine KI die Kodierung vorgenommen hat, rechtlich keine Rolle. Maßgeblich ist allein, ob die Abrechnung der tatsächlichen Behandlung und der Dokumentation entspricht. Ein Krankenhaus, das im Erörterungsverfahren oder vor Gericht argumentiert, die KI habe einen Fehler gemacht, wird damit keinen Erfolg haben. Das unterstreicht die Bedeutung einer menschlichen Kontrollinstanz vor jeder Rechnungsstellung.

Welche Transparenz- und Erklärungspflichten hat das Krankenhaus?

Krankenhäuser sind gegenüber Patienten und Behörden verpflichtet, den Einsatz von KI-Systemen transparent zu machen, wenn diese Entscheidungen mit erheblicher Wirkung treffen. Bei reiner Kodierunterstützung im Hintergrund ist die Informationspflicht gegenüber dem Patienten begrenzt; bei KI-Systemen, die klinische Entscheidungen beeinflussen, greifen Art. 13 und 14 DSGVO sowie gegebenenfalls das Recht auf Erklärung nach Art. 22 DSGVO.

Der EU AI Act ergänzt diese Pflichten für Hochrisiko-Systeme: Anbieter und Betreiber müssen nach Art. 13 AI Act sicherstellen, dass das System so gestaltet ist, dass seine Ausgaben von Betreibern interpretiert und überprüft werden können. Das Krankenhaus als Betreiber muss nach Art. 26 AI Act die technische Dokumentation des Systems aufbewahren und nachweisen können, dass es das System bestimmungsgemäß einsetzt.

Für Kodier- und Abrechnungssoftware mit niedrigem Risikoprofil gelten diese strengen Transparenzpflichten des AI Acts nicht in vollem Umfang. Dennoch ist es empfehlenswert, intern zu dokumentieren, welche KI-Systeme in welchem Umfang eingesetzt werden und wie die menschliche Überprüfung organisiert ist. Diese Dokumentation kann im Streitfall mit dem Medizinischen Dienst oder vor Gericht relevant werden, wenn die Nachvollziehbarkeit einer Abrechnungsentscheidung infrage gestellt wird.

Welche organisatorischen Pflichten muss das Krankenhaus intern erfüllen?

Das Krankenhaus muss intern sicherstellen, dass KI-Systeme nur von ausreichend qualifiziertem Personal bedient werden und dass eine klare Verantwortungsstruktur für KI-gestützte Abrechnungsentscheidungen existiert. Art. 4 des EU AI Acts verpflichtet Betreiber von KI-Systemen ausdrücklich dazu, für ausreichende KI-Kompetenz bei den eingesetzten Mitarbeitern zu sorgen.

Zu den konkreten organisatorischen Maßnahmen gehören:

Schulungsprogramme: Kodierfachkräfte und Medizincontroller müssen verstehen, wie das eingesetzte KI-System arbeitet, wo seine Grenzen liegen und wie Vorschläge zu bewerten sind. Ein Webinar zu KI im Krankenhaus kann hier einen strukturierten Einstieg bieten.
Vier-Augen-Prinzip: KI-generierte Kodiervorschläge sollten vor Rechnungsstellung durch eine qualifizierte Fachkraft freigegeben werden, insbesondere bei komplexen Fällen mit hohem Erlöspotenzial oder bekannten Prüfrisiken.
Fehlererfassung und Qualitätskontrolle: Das Krankenhaus sollte systematisch erfassen, in welchen Fallgruppen das KI-System häufig korrigiert werden muss, um Muster zu erkennen und das System gegebenenfalls nachzujustieren oder den Anbieter zu informieren.
Notfallprozesse: Für den Fall eines Systemausfalls oder einer Fehlfunktion muss ein manueller Prozess definiert sein, der die Kodierung ohne KI-Unterstützung sicherstellt.

Krankenhäuser, die KI-Kodierung einsetzen und gleichzeitig mit steigenden MDK-Prüfquoten konfrontiert sind, sollten die Beanstandungsquote als interne Kennzahl führen. Das GKV-Beitragssatzstabilisierungsgesetz (GKV-BSSG) vom April 2026 erhöht die zulässigen Prüfquoten ab 2027 erheblich: Bei einem Anteil unbeanstandeter Rechnungen unter 60 Prozent steigt die Prüfquote auf 25 Prozent. Krankenhäuser mit KI-gestützter Kodierung müssen daher besonders darauf achten, dass die Systemeinführung die Beanstandungsquote nicht verschlechtert.

Wann sollte ein Krankenhaus externe Beratung beim KI-Einsatz hinzuziehen?

Externe Beratung ist spätestens dann erforderlich, wenn das Krankenhaus ein KI-System einführt, das über reine Kodiervorschläge hinausgeht und klinische Entscheidungen beeinflusst, wenn Unsicherheit über die Risikoeinstufung nach dem EU AI Act besteht oder wenn die interne Expertise für eine rechtssichere Implementierung fehlt. Für einfache Kodierunterstützungssysteme mit klar dokumentierter Zweckbestimmung ist der Beratungsbedarf geringer, aber nicht null.

Konkrete Anlässe für externe Unterstützung sind:

Vor der Vertragsunterzeichnung mit einem KI-Anbieter, um Haftungsklauseln, Datenschutzvereinbarungen und Servicelevel-Zusagen zu prüfen
Bei der Erstellung der Datenschutz-Folgenabschätzung, wenn intern keine DSGVO-Expertise vorhanden ist
Wenn die Beanstandungsquote nach KI-Einführung steigt und unklar ist, ob das System oder die Dokumentationspraxis die Ursache ist
Bei MDK-Prüfungen, bei denen die Kasse die Nachvollziehbarkeit einer KI-gestützten Kodierungsentscheidung infrage stellt
Vor der Einführung eines KI-Systems in der Notaufnahme oder auf der Intensivstation, wo die Kodierregeln besonders komplex sind, etwa bei der Beatmungskodierung nach DKR 1001

Auch ein Online-Seminar zu KI im Krankenhaus kann helfen, intern ein gemeinsames Verständnis der regulatorischen Anforderungen zu entwickeln, bevor externe Rechts- oder Fachberatung beauftragt wird.

Wie Medcontroller Krankenhäuser beim rechtssicheren KI-Einsatz im Medizincontrolling unterstützt

Medcontroller berät Krankenhäuser und Kliniken konkret dort, wo KI-gestützte Kodierung auf die Realität von MDK-Prüfungen, Erlösmanagement und Abrechnungsrecht trifft. Das Leistungsangebot umfasst:

Fachliche Bewertung von Kodiervorschlägen: Medcontroller prüft, ob KI-generierte Kodierungen der tatsächlichen Dokumentation und den aktuellen Kodierrichtlinien entsprechen, und identifiziert systematische Schwachstellen, bevor sie zur Beanstandung werden.
MDK-Management: Wenn eine KI-gestützte Abrechnung in die MDK-Prüfung gerät, übernimmt Medcontroller die Argumentation und bewertet die Erfolgsaussichten einer Klage auf Basis der aktuellen BSG-Rechtsprechung.
Weiterbildung für Kodierfachkräfte und Medizincontroller: Mit Webinaren, Online-Seminaren und Tagesworkshops baut Medcontroller die interne Kompetenz auf, die Art. 4 des EU AI Acts von KI-Betreibern verlangt.
Prozessberatung: Medcontroller zeigt auf, wie eine Qualitätskontrolle für KI-Kodiervorschläge organisiert werden kann und welche internen Kennzahlen dabei helfen, die Beanstandungsquote im Blick zu behalten.

Sprechen Sie Medcontroller direkt an, wenn Sie KI im Medizincontrolling einführen oder bereits einsetzen und sicherstellen wollen, dass Ihre Abrechnung MDK-fest bleibt. Nutzen Sie dafür gerne die KI-Beratung von Medcontroller, um Ihren konkreten Bedarf zu besprechen.