Was ist die zentrale Anforderung der KI-Verordnung?

Die zentrale Anforderung der KI-Verordnung (EU AI Act) ist die risikobasierte Compliance: Jedes Krankenhaus, das KI-Systeme einsetzt, muss seine Anwendungen nach Risikoklasse einstufen, dokumentieren und entsprechende Pflichten erfüllen. Je höher das Risiko der KI-Anwendung, desto umfangreicher die Anforderungen. Die folgenden Fragen klären, was das konkret für KI-Tools im Krankenhaus bedeutet.

Welche Einrichtungen fallen unter die KI-Verordnung?

Die KI-Verordnung gilt für alle Einrichtungen, die KI-Systeme in der EU einsetzen oder bereitstellen. Für Krankenhäuser bedeutet das: Wer KI nutzt, ist als Betreiber im Sinne der Verordnung einzustufen und hat entsprechende Pflichten. Ausgenommen von strengen Anforderungen sind lediglich KI-Anwendungen mit minimalem Risiko, wie Spamfilter oder Autokorrektur.

Entscheidend ist dabei die Rollenunterscheidung. Ein Krankenhaus, das eine fertige KI-Anwendung eines Herstellers nutzt, ist kein Anbieter, sondern Betreiber. Anbieter ist der Entwickler der KI, der für technische Sicherheit und Konformität verantwortlich ist. Anwender sind die einzelnen Mitarbeitenden, die die KI im Arbeitsalltag direkt bedienen.

Ein konkretes Beispiel aus der Praxis: Ein Krankenhaus ohne eigene Radiologie, das über eine Kooperation einen teleradiologischen Dienst nutzt, der wiederum KI-gestützte Befundung einsetzt, ist trotzdem Betreiber im Sinne der KI-Verordnung. Die Verantwortung entfällt nicht dadurch, dass die KI beim Dienstleister läuft. Wer KI-Tools im Krankenhaus einsetzt, muss die rechtlichen Vorgaben kennen und umsetzen, unabhängig davon, wer die Technik betreibt.

Was sind Hochrisiko-KI-Systeme im Gesundheitswesen?

Hochrisiko-KI-Systeme im Gesundheitswesen sind Anwendungen, die eigenständig klinische Diagnosen stellen, Therapieempfehlungen generieren oder direkt in medizinische Entscheidungen eingreifen. Dazu zählen unter anderem KI-gestützte Bildanalyse in der Radiologie, Triage-Systeme in der Notaufnahme, CTG-Analyse in der Geburtshilfe sowie KI-basierte Behandlungsempfehlungen in der Onkologie.

Wichtig ist hier eine präzise Unterscheidung, die in der Praxis oft verwischt wird. Kodier- und Abrechnungssoftware, die auf Basis bereits dokumentierter Diagnosen und Prozeduren ICD- oder OPS-Kodes vorschlägt, fällt nicht unter die Hochrisiko-Kategorie. Sie weist ein begrenztes regulatorisches Risikoprofil auf. Demgegenüber gilt Software, die eigenständig klinische Diagnosen aus Bilddaten oder Ambient-Speech-Aufnahmen generiert, als Hochrisiko-KI und unterliegt deutlich strengeren Anforderungen.

Eine KI-Anwendung wird über zwei Wege zur Hochrisiko-KI: als Medizinprodukt nach Anhang I oder über ihr Einsatzgebiet nach Anhang III. Beide Wege müssen geprüft werden. Wer KI-generierte Arztbriefe einsetzt oder Klinik-Chatbots betreibt, sollte die Einstufung sorgfältig prüfen, da diese Anwendungen je nach Ausgestaltung ebenfalls in die Hochrisiko-Kategorie fallen können.

Mehr Infos

Spezielle Fragen zur Kodierung und im MD-Management ohne aufwendige Recherche beantworten?
Unser online Praxis-Handbuch!

Welche Pflichten entstehen für Krankenhäuser als KI-Betreiber?

Als KI-Betreiber muss ein Krankenhaus sicherstellen, dass alle Mitarbeitenden, die KI nutzen, ausreichend geschult sind, dass der Einsatz dokumentiert wird und dass die KI regelmäßig geprüft wird. Diese Grundpflichten gelten unabhängig von der Risikoklasse der Anwendung.

Konkret umfassen die Betreiberpflichten mindestens drei Handlungsfelder:

KI-Inventar anlegen: Alle eingesetzten KI-Tools erfassen, inklusive Anbieter, Versionsstand, Risikokategorie, CE-Kennzeichnung und interner Verantwortlichkeit.
Schulungsprogramm aufsetzen: Die KI-Kompetenzpflicht nach Art. 4 KI-VO gilt seit Februar 2025. Mitarbeitende müssen rollen- und anwendungsbezogen geschult werden, also unterschiedlich für Radiologie, Triage, Kodier-IT oder Verwaltung.
KI-Beauftragten benennen: Gesetzlich nicht vorgeschrieben, aber praktisch unverzichtbar. Diese Person verantwortet das KI-Inventar, organisiert Schulungen, führt die Dokumentation und hält den Behördenkontakt.

Bei Hochrisiko-KI kommen weitere Pflichten hinzu: Grundrechte-Folgenabschätzung (FRIA nach Art. 27), ein Überwachungsplan im Betrieb, Dokumentation von Zweckänderungen und Meldung von Vorfällen. Für KI-Compliance im Krankenhaus ist es daher entscheidend, die Risikoklasse jeder Anwendung korrekt zu bestimmen, bevor Pflichten abgeleitet werden.

Wie unterscheiden sich die Risikoklassen der KI-Verordnung?

Die KI-Verordnung kennt vier Risikoklassen: unannehmbar, Hochrisiko, begrenztes Risiko und minimales Risiko. Die Klasse bestimmt, welche Pflichten gelten, von vollständigem Verbot bis zu keinen spezifischen Anforderungen.

Unannehmbar (verboten): KI-Systeme, die Grundrechte verletzen, etwa Social Scoring von Patienten oder Mitarbeitenden oder Prognosen zur Arbeitsleistung. Einsatz und Vertrieb sind untersagt.
Hochrisiko (volle Compliance-Pflichten): KI in der Radiologie, Triage-Systeme, KI-Recruiting, KI-generierte Arztbriefe. Umfangreiche Dokumentations-, Überwachungs- und Konformitätspflichten nach Art. 9 bis 27.
Begrenztes Risiko (Transparenzpflichten): KI-Kodierunterstützung, Klinik-Chatbots, ChatGPT in der Verwaltung. Nutzer und Patienten müssen darüber informiert werden, dass sie mit KI interagieren. KI-generierte Inhalte müssen als solche gekennzeichnet sein.
Minimales Risiko (keine spezifischen Pflichten): Spamfilter, Autokorrektur, KI-gestützte Berichterstattung. Lediglich die allgemeine Kompetenzpflicht nach Art. 4 bleibt bestehen.

Die Einstufung ist keine Einmalaufgabe. Wenn sich der Einsatzzweck einer KI-Anwendung ändert, kann sich auch die Risikoklasse ändern. Zweckänderungen müssen daher dokumentiert und neu bewertet werden.

Bis wann müssen Krankenhäuser die KI-Verordnung umsetzen?

Die KI-Verordnung ist seit 2024 in Kraft, aber die Fristen für einzelne Pflichten sind gestaffelt. Die Schulungspflicht nach Art. 4 gilt seit Februar 2025. Die vollständigen Hochrisiko-Pflichten für KI-Medizinprodukte nach Anhang I greifen ab August 2028, für Hochrisiko-KI nach Anhang III ab Dezember 2027.

Für 2026 bedeutet das konkret: Die drei grundlegenden Maßnahmen sollten abgeschlossen sein, nämlich das KI-Inventar, das Schulungsprogramm und die Benennung eines KI-Beauftragten. Diese Schritte sind unabhängig von den noch ausstehenden Hochrisiko-Fristen und können bei einer Überprüfung bereits jetzt eingefordert werden.

Ergänzend tritt voraussichtlich im Sommer 2026 das nationale KI-Marktüberwachungs- und Innovationsförderungsgesetz (KI-MIG) in Kraft. Es bestätigt die Bußgeldregelungen der KI-VO und benennt die Bundesnetzagentur sowie das BfArM als zentrale Marktüberwachungsbehörden. Auch Patienten und Krankenhausmitarbeitende können dort Verstöße melden, auch anonym. Wer jetzt handelt, hat einen klaren Vorsprung gegenüber Häusern, die auf die Hochrisiko-Fristen warten. Ein Online-Seminar zur KI-Compliance kann helfen, den eigenen Stand zu bewerten.

Was droht bei Verstößen gegen die KI-Verordnung?

Bei Verstößen gegen die KI-Verordnung drohen Bußgelder von bis zu 15 Millionen Euro oder 3 Prozent des weltweiten Jahresumsatzes, je nachdem, welcher Betrag höher ist. Bei verbotenen KI-Systemen sind es bis zu 35 Millionen Euro oder 7 Prozent des Umsatzes.

Die Sanktionierung der Schulungspflicht nach Art. 4 greift ab August 2026. Ab diesem Zeitpunkt ist fehlende KI-Kompetenz der Mitarbeitenden bußgeldbewehrt. Das betrifft auch Krankenhäuser, die die Schulungspflicht seit Februar 2025 ignoriert haben. Meldungen können über die zentrale Beschwerdestelle der Bundesnetzagentur eingehen, auch anonym von Mitarbeitenden des eigenen Hauses.

Neben den direkten Bußgeldern entstehen Risiken durch ungeklärte Haftungsfragen. Wenn eine KI-Anwendung einen Fehler produziert und keine klare interne Verantwortlichkeit dokumentiert ist, wird die Haftungsfrage zum Problem für das Krankenhaus. Eine lückenlose Dokumentation ist daher nicht nur Compliance-Pflicht, sondern auch Selbstschutz.

Wie Medcontroller Ihr Haus bei der KI-Compliance unterstützt

Medcontroller begleitet Krankenhäuser beim strukturierten Aufbau einer KI-Compliance, die den rechtlichen Vorgaben des EU AI Acts entspricht und in der Praxis funktioniert. Das Angebot umfasst konkrete Bausteine für jede Einrichtungsgröße:

E-Learning-Module zur KI-Kompetenzpflicht: Skalierbare Online-Schulungen nach Art. 4 KI-VO, aufgabenbezogen, dokumentationsfähig, mit Prüfung und Zertifikat. Geeignet auch für große Belegschaften. Direkt buchbar über das E-Learning-Angebot von Medcontroller.
Präsenz- und Inhouse-Schulungen: Maßgeschneiderte Trainings für Führungsebene, Medizincontrolling oder spezifische Berufsgruppen, zugeschnitten auf die KI-Anwendungen im jeweiligen Haus.
Externer KI-Beauftragter: Medcontroller übernimmt die Funktion des KI-Beauftragten als externe Dienstleistung, mit klar umrissenem Leistungspaket und Pauschalpreis.
Zertifikatslehrgang KI-Beauftragter im Krankenhaus: Sechswöchiger berufsbegleitender Lehrgang in Vorbereitung, der auf die komplexen Aufgaben der KI-Verwaltung vorbereitet.

Wer jetzt den nächsten Schritt machen will, kann sich direkt für das Live-Online-Seminar anmelden und einen strukturierten Fahrplan zur KI-Compliance für das eigene Haus entwickeln.