Wann muss ein Krankenhaus KI-Systeme beim EU AI Act registrieren?

Der EU AI Act ist seit August 2024 in Kraft und entfaltet seine Wirkung schrittweise. Für Krankenhäuser stellt sich damit eine sehr konkrete Frage: Welche der eingesetzten KI-Systeme lösen eine Registrierungspflicht aus, und wer im Haus muss dafür die Verantwortung übernehmen? Die Antwort hängt entscheidend von der Risikokategorie des jeweiligen Systems ab. Wer hier falsch einordnet, riskiert nicht nur Bußgelder bis zu 15 Millionen Euro, sondern auch Haftungsrisiken bei Patientenschäden.

Besonders im Bereich KI im Medizincontrolling und in der klinischen Entscheidungsunterstützung sind die Grenzen zwischen regulatorisch unkritischen und hochriskanten Anwendungen fließend. Dieser Artikel gibt einen präzisen Überblick, wo die Trennlinien verlaufen und welche konkreten Schritte Kliniken jetzt unternehmen müssen.

Welche KI-Systeme im Krankenhaus als Hochrisiko gelten

Nicht jede KI im Krankenhaus unterliegt den strengen Anforderungen des EU AI Acts. Entscheidend ist, ob ein System über Anhang I (Medizinprodukte) oder Anhang III (Einsatzgebiet) als Hochrisiko-System eingestuft wird. Beide Wege müssen geprüft werden.

Als Hochrisiko gelten im Krankenhauskontext unter anderem: KI-gestützte Radiologiebefundung (CT, MRT, Mammographie), Triage-Systeme in der Notaufnahme, KI-Anwendungen in der Onkologie mit Behandlungsempfehlungen, CTG-Analyse in der Geburtshilfe sowie Intensivmedizin-Systeme zur Sepsisvorhersage oder Delirrisikobewertung. Auch KI-gestütztes Recruiting in der Personalabteilung fällt in diese Kategorie.

Wichtig ist dabei eine Unterscheidung, die in der Praxis häufig verwischt wird: Kodier- und Abrechnungssoftware, die auf Basis bereits dokumentierter Diagnosen und Prozeduren ICD- oder OPS-Kodes vorschlägt, ist regulatorisch anders zu bewerten als Software, die eigenständig klinische Diagnosen generiert. Ein KI-Tool zur Kodierunterstützung, das vorhandene Dokumentation auswertet und Abrechnungskodes vorschlägt, fällt in der Regel unter die Kategorie begrenztes Risiko, nicht unter Hochrisiko. Ambient-Speech-Systeme hingegen, die Anamnesegespräche transkribieren, auswerten und klinisch zusammenfassen, können sehr wohl als Hochrisiko einzustufen sein. Diese Gleichsetzung zu vermeiden ist keine Kleinigkeit: Sie entscheidet darüber, ob volle Compliance-Pflichten greifen oder lediglich Transparenzhinweise ausreichen.

Registrierungspflicht: Wer im Krankenhaus handeln muss

Die Registrierungspflicht nach Art. 49 KI-VO trifft primär den Anbieter eines Hochrisiko-Systems, also den Hersteller oder Entwickler. Das Krankenhaus als Betreiber trägt jedoch eigene Pflichten, die sich von den Anbieterpflichten ableiten und in bestimmten Konstellationen nahezu identisch sind.

Betreiber eines Hochrisiko-Systems müssen unter anderem eine Grundrechte-Folgenabschätzung (FRIA nach Art. 27) durchführen, einen Überwachungsplan im Betrieb vorhalten, Zweckänderungen dokumentieren und Vorfälle melden. Wer als Betreiber ein Hochrisiko-System einsetzt, ohne diese Pflichten zu erfüllen, handelt rechtswidrig, auch wenn der Anbieter seine eigene Registrierung korrekt vorgenommen hat.

Für alle Betreiber gilt zudem seit Februar 2025 die Schulungspflicht nach Art. 4 KI-VO. Sie ist sanktionsbewehrt ab August 2026 und betrifft alle Mitarbeitenden, die mit KI-Systemen arbeiten. Rollen- und anwendungsbezogen zu denken ist dabei entscheidend: Die Schulungsanforderungen für eine Radiologin, die ein KI-Befundungssystem nutzt, unterscheiden sich grundlegend von denen einer Verwaltungskraft, die ChatGPT für Routinetexte einsetzt.

Schritte zur rechtssicheren Registrierung im EU-Portal

Hochrisiko-KI-Systeme müssen vor Inbetriebnahme in der EU-Datenbank registriert werden. Für Betreiber bedeutet das: zunächst prüfen, ob der Anbieter die Registrierung bereits vorgenommen hat, dann die eigene Betreiberregistrierung ergänzen.

Praktisch empfiehlt sich folgende Vorgehensweise:

1. KI-Inventar erstellen: Alle eingesetzten KI-Systeme erfassen, jeweils mit Anbieter, Versionsstand, Risikokategorie, CE-Kennzeichnung, interner Verantwortlichkeit und Einsatzzweck.
2. Risikokategorie prüfen: Für jedes System beide Anhänge der KI-VO prüfen. Medizinprodukte-KI wird ab August 2028 vollständig erfasst, einsatzgebietsbezogene Hochrisiko-KI bereits ab Dezember 2027.
3. Anbieter-Dokumentation anfordern: Technische Dokumentation nach Art. 11 und Anhang IV, Konformitätserklärung nach Art. 47 und Protokollierungsnachweise nach Art. 12 beim Hersteller einfordern.
4. Eigene Betreiberdokumentation aufbauen: FRIA durchführen, Überwachungsplan dokumentieren, Schulungsnachweise sichern.

Wer diesen Prozess strukturiert angeht, schafft gleichzeitig die Grundlage für spätere Audits und behält den Überblick, wenn neue Systeme eingeführt oder bestehende Systeme zweckgeändert werden.

Typische Fallstricke und Haftungsrisiken für Kliniken

Ein verbreitetes Problem ist die Verantwortungsdiffusion: Wer haftet, wenn ein KI-System einen Fehler macht? Der behandelnde Arzt? Das Krankenhaus als Betreiber? Der Hersteller? Der EU AI Act regelt diese Frage nicht abschließend, schafft aber klare Pflichten auf jeder Ebene. Wer als Betreiber keine Dokumentation vorhält, steht bei einem Schadensfall schlechter da.

Ein weiterer Fallstrick ist die Zweckänderung ohne Dokumentation. Wird ein KI-System, das ursprünglich für administrative Aufgaben eingesetzt wurde, plötzlich für klinische Entscheidungen genutzt, kann sich die Risikokategorie ändern, ohne dass dies bemerkt wird. Das ist kein theoretisches Szenario: ChatGPT, das auf der Station für Arztbriefe eingesetzt wird, ist regulatorisch anders zu bewerten als dasselbe Tool in der Verwaltung.

Datenschutz und ärztliche Schweigepflicht stellen ein eigenständiges Risiko dar. Patientendaten dürfen nicht ungeschützt an externe KI-Modelle übermittelt werden. Wer cloudbasierte Systeme ohne geprüfte Datenschutzverträge einsetzt, riskiert DSGVO-Verstöße unabhängig vom AI Act.

Handlungsempfehlungen für Medizincontrolling und Krankenhausleitung

Drei Maßnahmen sollten Krankenhäuser unabhängig vom Inkrafttreten der Hochrisiko-Pflichten noch 2026 abschließen: ein vollständiges KI-Inventar anlegen, ein Schulungsprogramm nach Art. 4 KI-VO aufsetzen und eine interne Zuständigkeit für KI-Compliance benennen.

Die Benennung eines KI-Beauftragten ist gesetzlich nicht vorgeschrieben, in der Praxis aber kaum zu umgehen. Diese Funktion kann intern oder extern besetzt werden, in Teilzeit oder als volle Stelle. Aufgaben sind das Pflegen des KI-Inventars, das Organisieren von Schulungen, das Führen der Hochrisiko-Dokumentation und der Behördenkontakt bei Audits.

Für das Medizincontrolling gilt dabei eine spezifische Einschätzung: KI im Medizincontrolling bewegt sich regulatorisch überwiegend im Bereich begrenztes Risiko, sofern die Systeme auf bereits dokumentierten Daten aufbauen und keine eigenständigen klinischen Diagnosen erzeugen. Das bedeutet geringere Compliance-Last, aber nicht null Pflichten: Transparenzhinweise gegenüber dem Personal, interne Dokumentation des Einsatzzwecks und die Schulungspflicht nach Art. 4 gelten auch hier.

Wie Medcontroller bei der KI-Compliance im Krankenhaus unterstützt

Medcontroller begleitet Krankenhäuser und Medizincontrolling-Teams dabei, KI-Systeme regulatorisch korrekt einzuordnen und die notwendigen Compliance-Strukturen aufzubauen. Das Angebot umfasst konkret:

• Online-Seminar „KI im Krankenhaus“: 4,5 Stunden Live-Online mit Zertifikat, Frühbucherrabatt bei Anmeldung vor dem 15. Juli 2026. Jetzt Platz sichern
• E-Learning-Module: Skalierbare Online-Schulungen zur KI-Kompetenzpflicht nach Art. 4, aufgabenbezogen, dokumentationsfähig, mit Prüfung und Zertifikat, auch für große Belegschaften geeignet. E-Learning entdecken
• Externer KI-Beauftragter: Medcontroller übernimmt die Funktion des KI-Beauftragten als externe Dienstleistung, mit fest umrissenem Leistungspaket zu einem Pauschalpreis. Mehr zur KI-Beratung erfahren
• Inhouse-Schulungen: Maßgeschneiderte Trainings für Führungsebene, Medizincontrolling oder spezifische Berufsgruppen, inhaltlich auf das jeweilige Haus abgestimmt.

Wer jetzt handelt, schafft die Grundlage für rechtssicheren KI-Einsatz und vermeidet kostspielige Nacharbeit. Nehmen Sie Kontakt auf und klären Sie in einem ersten Gespräch, welche Ihrer KI-Systeme welche Pflichten auslösen.

Ähnliche Artikel

• Welche Anforderungen gibt es an KI im Gesundheitswesen?
• Wie wird KI im Krankenhaus genutzt?
• Was ist ein KI-Beauftragter und ab wann braucht ein Krankenhaus einen?
• Lohnt sich KI im Medizincontrolling? Kosten und Nutzen im Überblick
• Wie verändert der EU AI Act den Einsatz von Algorithmen in der Diagnostik?

Dieser Inhalt wurde mithilfe von KI erstellt und kann Fehler enthalten.