Wie unterscheidet sich der AI Act von der MDR bei medizinischer KI?

Der EU AI Act und die Medizinprodukteverordnung (MDR) sind zwei unterschiedliche Regelwerke, die sich bei KI im Krankenhaus überschneiden, aber nicht dasselbe regeln. Der AI Act bewertet KI-Systeme nach ihrem Risikopotenzial und legt fest, welche Compliance-Pflichten daraus entstehen. Die MDR regelt, ob ein KI-System als Medizinprodukt zugelassen werden muss. Welches Regelwerk für eine konkrete KI-Anwendung gilt und was das für Krankenhäuser bedeutet, beantwortet dieser Artikel Schritt für Schritt.

Welche Anforderungen stellt der AI Act an KI-Systeme im Gesundheitswesen?

Der EU AI Act (Verordnung 2024/1689) bewertet alle KI-Systeme nach vier Risikoklassen und knüpft daran konkrete Pflichten. Im Gesundheitswesen fallen viele Anwendungen in die Kategorie Hochrisiko, was umfangreiche Dokumentations-, Schulungs- und Aufsichtspflichten auslöst. Anwendungen mit minimalem Risiko, etwa Spamfilter oder Rechtschreibkorrektur, sind von den strengen Anforderungen weitgehend ausgenommen.

Die vier Risikoklassen im Überblick:

• Unannehmbar: Verboten, zum Beispiel Social Scoring von Patienten oder Mitarbeitern
• Hochrisiko: Volle Compliance-Pflichten, zum Beispiel KI-Radiologie, Triage-KI, KI-gestützte Arztbriefe
• Begrenztes Risiko: Transparenzpflichten, zum Beispiel Klinik-Chatbots, KI-Kodierunterstützung
• Minimal: Keine spezifischen Pflichten, zum Beispiel Autokorrektur, Spamfilter

Eine KI-Anwendung erreicht die Hochrisiko-Einstufung auf zwei Wegen: entweder, weil sie als Medizinprodukt nach Anhang I eingestuft wird (Geltung ab August 2028), oder weil ihr Einsatzgebiet unter Anhang III fällt, etwa Notaufnahme-Triage oder Leitstellen-KI (Geltung ab Dezember 2027, nach Verschiebung durch den Digital Omnibus). Beide Wege müssen geprüft werden.

Für Hochrisiko-KI gelten unter anderem: technische Dokumentation nach Art. 11, ein laufendes Risikomanagementsystem nach Art. 9, automatische Protokollierung nach Art. 12, menschliche Aufsicht nach Art. 14 sowie eine Konformitätsbewertung nach Art. 43. Betreiber, also typischerweise Krankenhäuser, müssen zusätzlich eine Grundrechte-Folgenabschätzung (FRIA nach Art. 27) durchführen und Vorfälle melden. Bereits seit Februar 2025 gilt zudem die Schulungspflicht nach Art. 4, die jedes Krankenhaus betrifft, das KI nutzt.

Was regelt die MDR für KI-gestützte Medizinprodukte?

Die EU-Medizinprodukteverordnung (MDR 2017/745) regelt die Zulassung, Klassifizierung und Marktüberwachung von Medizinprodukten, einschließlich Software. Eine KI-Anwendung fällt unter die MDR, wenn sie eigenständig klinische Entscheidungen unterstützt, also zum Beispiel Diagnosen oder Therapieempfehlungen generiert. Solche Software gilt als Software as a Medical Device (SaMD) und muss eine CE-Kennzeichnung nach MDR erhalten.

Konkret bedeutet das: KI-Systeme, die Bilddaten analysieren und Befunde vorschlagen (etwa in der Radiologie oder Pathologie), oder KI, die Risikoscores für Sepsis oder Delir berechnet, sind in der Regel Medizinprodukte nach MDR. Sie durchlaufen ein Konformitätsbewertungsverfahren, das je nach Risikoklasse eine benannte Stelle einbezieht. Die MDR stellt dabei hohe Anforderungen an klinische Bewertung, Post-Market-Surveillance und technische Dokumentation.

Wichtig für Krankenhäuser als Betreiber: Die MDR-Pflichten liegen primär beim Hersteller. Das Krankenhaus muss jedoch sicherstellen, dass eingesetzte Medizinprodukte eine gültige CE-Kennzeichnung tragen und bestimmungsgemäß eingesetzt werden.

Wo überschneiden sich AI Act und MDR – und wo widersprechen sie sich?

AI Act und MDR überschneiden sich direkt bei KI-Systemen, die gleichzeitig Medizinprodukte sind. Eine KI in der Radiologie muss sowohl die MDR-Anforderungen erfüllen als auch die Hochrisiko-Anforderungen des AI Acts. Beide Regelwerke gelten parallel, ohne dass eines das andere ersetzt.

Die wesentlichen Unterschiede:

• Zweck: Die MDR regelt Marktzulassung und Produktsicherheit. Der AI Act regelt den Betrieb und die Nutzung von KI-Systemen nach dem Inverkehrbringen.
• Adressat: Die MDR richtet sich primär an Hersteller. Der AI Act richtet sich sowohl an Anbieter (Entwickler) als auch an Betreiber (Krankenhäuser).
• Zeitplan: Die MDR gilt bereits. Die Hochrisiko-Pflichten des AI Acts für Medizinprodukte (Anhang I) greifen ab August 2028.

Eine echte Kollision zwischen beiden Regelwerken entsteht in der Regel nicht, da sie unterschiedliche Aspekte desselben Systems adressieren. Allerdings bedeutet die Doppelregulierung erhöhten Dokumentations- und Prüfaufwand. Für das Krankenhaus als Betreiber ist entscheidend: CE-Kennzeichnung nach MDR prüfen und gleichzeitig die Betreiberpflichten nach AI Act erfüllen. Das sind zwei getrennte Checklisten.

Gilt der AI Act auch für KI in der Fallkodierung und Abrechnung?

Ja, der AI Act gilt auch für KI-Systeme in der Fallkodierung und Abrechnung, aber das regulatorische Risikoprofil ist deutlich geringer als bei klinischen KI-Anwendungen. Entscheidend ist die genaue Funktion des Tools: Ein System, das auf Basis bereits dokumentierter Diagnosen und Prozeduren ICD- oder OPS-Kodes vorschlägt, fällt in der Regel unter die Kategorie begrenztes Risiko, nicht unter Hochrisiko.

Diese Unterscheidung ist grundlegend und darf nicht verwischt werden:

• KI-Kodierunterstützung (schlägt Kodes auf Basis vorhandener Dokumentation vor): begrenztes Risiko, Transparenzpflichten ausreichend
• KI-Diagnostik oder Ambient-Speech-Analyse (generiert eigenständig klinische Schlussfolgerungen aus Sprachaufnahmen oder Bilddaten): Hochrisiko, volle Compliance-Pflichten

Für KI-gestützte Kodierung im Medizincontrolling bedeutet das konkret: Das Krankenhaus als Betreiber muss Mitarbeitende nach Art. 4 schulen und dokumentieren, einen Transparenzhinweis gegenüber Nutzern sicherstellen sowie ein internes Register der eingesetzten KI-Tools führen. Aufwendige Hochrisiko-Dokumentation wie FRIA oder laufende Protokollierung ist bei reiner Kodierunterstützung nicht erforderlich, solange das Tool keine klinischen Entscheidungen eigenständig trifft.

Wer KI zur automatisierten Abrechnungsprüfung oder MDK-Vorbereitung einsetzt, sollte außerdem bedenken: Fehler in der KI-gestützten Kodierung können bei MDK-Prüfungen direkt zu Erlösverlusten führen. Das regulatorische Risiko nach AI Act und das wirtschaftliche Risiko durch fehlerhafte Kodierung sind zwei separate, aber eng verbundene Themen.

Was müssen Krankenhäuser jetzt konkret tun, um compliant zu bleiben?

Krankenhäuser müssen 2026 drei Maßnahmen abgeschlossen haben, unabhängig davon, ob ihre KI-Anwendungen als Hochrisiko eingestuft werden oder nicht. Die Schulungspflicht nach Art. 4 AI Act ist seit Februar 2025 in Kraft und wird ab August 2026 mit Bußgeldern bis zu 35 Mio. Euro sanktioniert.

Die drei Pflichtmaßnahmen:

1. KI-Inventar erstellen: Alle KI-Anwendungen erfassen, von ChatGPT in der Verwaltung bis zur KI in der Pathologie. Pro Tool dokumentieren: Anbieter, Versionsstand, Risikokategorie, CE-Kennzeichnung, interne Verantwortlichkeit und Nutzungszweck.
2. Schulungsprogramm aufsetzen: Rollen- und anwendungsbezogen schulen. Wer KI in der Radiologie nutzt, braucht andere Inhalte als wer ChatGPT in der Verwaltung einsetzt. Schulungen müssen dokumentiert werden.
3. KI-Beauftragten benennen: Nicht gesetzlich vorgeschrieben, aber praktisch unverzichtbar. Diese Person verantwortet das KI-Inventar, organisiert Schulungen, führt die Dokumentation und hält den Behördenkontakt. Die Rolle ist intern oder extern besetzbar.

Für Hochrisiko-KI kommen ab den jeweiligen Stichtagen weitere Pflichten hinzu, insbesondere die Grundrechte-Folgenabschätzung (FRIA nach Art. 27), ein Überwachungsplan im Betrieb und die Meldung von Vorfällen. Ab August 2026 sind auch die Bundesnetzagentur und das BfArM als zentrale Marktüberwachungsbehörden aktiv. Beschwerden können dort auch anonym eingereicht werden, auch von Krankenhausmitarbeitern und Patienten.

Wer jetzt mit dem Online-Seminar KI im Krankenhaus startet, kann den Fahrplan zur Compliance strukturiert aufbauen, bevor die Sanktionen greifen.

Wie Medcontroller Krankenhäuser bei der KI-Compliance unterstützt

Medcontroller begleitet Krankenhäuser und Medizincontrolling-Teams dabei, die regulatorischen Anforderungen des EU AI Acts strukturiert und praxisnah umzusetzen, ohne den laufenden Betrieb zu belasten. Das Leistungsangebot umfasst:

• E-Learning-Module nach Art. 4 AI Act: Skalierbare Online-Schulungen zur KI-Kompetenz, aufgabenbezogen, dokumentationsfähig, mit Prüfung und Zertifikat, auch für große Belegschaften geeignet
• Webinare und Online-Seminare: Praxisorientierte Live-Formate, die konkrete Handlungsschritte für die KI-Compliance im Krankenhaus vermitteln
• Externer KI-Beauftragter: Medcontroller übernimmt die Funktion des KI-Beauftragten als externe Dienstleistung, mit fest umrissenem Leistungspaket zu einem Pauschalpreis
• Inhouse-Schulungen: Maßgeschneiderte Trainings für Führungsebene, Medizincontrolling oder spezifische Berufsgruppen, Inhalte werden auf das jeweilige Haus zugeschnitten

Krankenhäuser, die jetzt handeln, sichern sich nicht nur gegen Bußgelder ab, sondern schaffen auch eine belastbare Grundlage für den rechtssicheren KI-Einsatz in Kodierung, Abrechnung und klinischen Prozessen. Nehmen Sie Kontakt auf oder melden Sie sich direkt für das nächste Seminar an.

Ähnliche Artikel

• Kann KI die Erlösoptimierung im Krankenhaus regulatorisch sicher unterstützen?
• Welche Anforderungen gibt es an KI im Gesundheitswesen?
• Was ist der EU AI Act und was bedeutet er für Krankenhäuser?
• Was kostet Nicht-Compliance mit dem EU AI Act für Krankenhäuser?
• Welche KI-Anwendungen im Medizincontrolling sind ab 2026 zulassungspflichtig?

Dieser Inhalt wurde mithilfe von KI erstellt und kann Fehler enthalten.