Welche Dokumentationspflichten entstehen durch den AI Act für KI-Tools im Krankenhaus?

Der EU AI Act verpflichtet Krankenhäuser, den Einsatz von KI-Systemen systematisch zu dokumentieren, zu überwachen und nachzuweisen. Wie umfangreich diese Pflichten ausfallen, hängt entscheidend davon ab, welche Art von KI-Tool eingesetzt wird und welche Risikokategorie das System nach der EU-Verordnung trägt. Dieser Artikel beantwortet die wichtigsten Fragen zur AI-Act-Compliance für Kliniken.

Welche KI-Tools im Krankenhaus fallen unter den AI Act?

Der EU AI Act gilt für alle KI-Systeme, die in der EU eingesetzt werden, stuft diese aber nach Risikoklassen ein. Für Krankenhäuser ist die entscheidende Grenze die zwischen Hochrisiko-KI und Systemen mit minimalem Risiko. Nicht jedes digitale Tool, das im Klinikalltag eingesetzt wird, löst die strengen Compliance-Pflichten aus.

Konkret gilt: KI-Systeme, die klinische Diagnosen stellen, Therapieempfehlungen generieren oder medizinische Bilddaten eigenständig auswerten, fallen unter Anhang III der Verordnung und damit in die Hochrisiko-Kategorie. Das betrifft beispielsweise KI-gestützte Radiologiesoftware, Ambient-Speech-Systeme, die aus Arzt-Patienten-Gesprächen automatisch Diagnosen ableiten, oder Algorithmen zur Therapieplanung.

Davon klar zu trennen sind Kodier- und Abrechnungssysteme, die auf Basis bereits dokumentierter Diagnosen und Prozeduren ICD- oder OPS-Kodes vorschlagen. Diese Tools greifen nicht in klinische Entscheidungen ein, sondern unterstützen administrative Prozesse auf Grundlage vorhandener Dokumentation. Ihr regulatorisches Risikoprofil ist deutlich geringer. KI im Krankenhaus umfasst also ein breites Spektrum, das regulatorisch sehr unterschiedlich behandelt wird.

Welche konkreten Dokumentationspflichten gelten für Hochrisiko-KI?

Hochrisiko-KI-Systeme im Krankenhaus unterliegen nach Art. 11 EU AI Act einer umfassenden technischen Dokumentationspflicht. Diese muss vor dem Inverkehrbringen oder der Inbetriebnahme des Systems erstellt werden und laufend aktuell gehalten werden.

Die technische Dokumentation muss mindestens folgende Inhalte abdecken:

Allgemeine Beschreibung des KI-Systems und seines Verwendungszwecks
Beschreibung der verwendeten Daten, Trainingsverfahren und Algorithmen
Nachweis der Risikobewertung und der eingesetzten Risikominimierungsmaßnahmen
Informationen zur Genauigkeit, Robustheit und Cybersicherheit des Systems
Beschreibung der Überwachungs- und Protokollierungsfunktionen

Zusätzlich schreibt Art. 12 EU AI Act vor, dass Hochrisiko-KI-Systeme automatisch Protokolle erstellen, die den Betrieb des Systems rückverfolgbar machen. Diese Logs müssen Ereignisse aufzeichnen, die für die Überwachung der Systemleistung und die Erkennung von Risiken relevant sind. Für Krankenhäuser bedeutet das: Wer ein Hochrisiko-KI-System betreibt, muss nachweisen können, wann das System welche Ergebnisse auf Basis welcher Eingabedaten erzeugt hat.

Mehr Infos

Spezielle Fragen zur Kodierung und im MD-Management ohne aufwendige Recherche beantworten?
Unser online Praxis-Handbuch!

Was müssen Krankenhäuser als Betreiber von KI-Systemen nachweisen?

Krankenhäuser, die als Betreiber (im Sinne des AI Acts: „Deployer“) Hochrisiko-KI-Systeme einsetzen, tragen nach Art. 26 EU AI Act eigene Pflichten, die unabhängig von den Herstellerpflichten bestehen. Der Betreiber ist kein passiver Anwender, sondern aktiv verantwortlich.

Folgende Nachweispflichten treffen das Krankenhaus direkt:

Zweckkonformität: Das KI-System darf nur für den vom Hersteller vorgesehenen Zweck eingesetzt werden. Jede Abweichung begründet eigene Haftungsrisiken.
Menschliche Aufsicht: Der Betreiber muss sicherstellen, dass qualifiziertes Personal die Ausgaben des Systems überwacht und nicht blind übernimmt. Diese Aufsichtspflicht muss organisatorisch verankert und dokumentiert sein.
Mitarbeiterschulung: Art. 4 EU AI Act verpflichtet Betreiber, dafür zu sorgen, dass das Personal, das mit dem KI-System arbeitet, über ausreichende KI-Kompetenz verfügt. Diese Schulungen müssen nachweisbar durchgeführt worden sein.
Datenschutz-Folgenabschätzung: Soweit personenbezogene Patientendaten verarbeitet werden, ist eine DSGVO-konforme Datenschutz-Folgenabschätzung erforderlich, die mit der AI-Act-Dokumentation abzustimmen ist.

Wie unterscheiden sich die Pflichten bei selbst entwickelten versus zugekauften KI-Tools?

Bei zugekauften KI-Systemen liegt die Hauptverantwortung für die technische Dokumentation und die CE-Konformitätsbewertung beim Hersteller. Das Krankenhaus übernimmt als Betreiber die Pflichten nach Art. 26, nicht die Herstellerpflichten nach Art. 16 ff. EU AI Act. Dennoch darf sich das Krankenhaus nicht vollständig auf den Hersteller verlassen.

Konkret bedeutet das für zugekaufte Systeme: Das Krankenhaus muss die Konformitätserklärung des Herstellers prüfen, die Betriebsanleitung einhalten und Abweichungen vom vorgesehenen Verwendungszweck vermeiden. Werden Systemparameter angepasst oder das Tool in einem anderen klinischen Kontext eingesetzt als vom Hersteller vorgesehen, kann das Krankenhaus in die Herstellerrolle rutschen.

Bei selbst entwickelten KI-Systemen oder wesentlichen Eigenmodifikationen trägt das Krankenhaus die vollständige Herstellerverantwortung. Das umfasst die gesamte technische Dokumentation, die Konformitätsbewertung, die Registrierung in der EU-Datenbank und die laufende Marktüberwachung. Dieser Fall ist für die meisten Kliniken die Ausnahme, aber bei intern entwickelten Kodier- oder Analysetools relevant.

Bis wann müssen Krankenhäuser die AI-Act-Anforderungen erfüllen?

Der EU AI Act ist seit August 2024 in Kraft und wird stufenweise angewendet. Für Hochrisiko-KI-Systeme, die in den Anwendungsbereich des Anhangs III fallen, gelten die vollständigen Anforderungen ab August 2026. Krankenhäuser haben damit 2026 keinen weiteren Aufschub mehr.

Systeme, die bereits vor dem Inkrafttreten des AI Acts in Betrieb waren, profitieren unter Umständen von Übergangsregelungen. Diese greifen jedoch nur, wenn das System nicht wesentlich verändert wurde. Jede substanzielle Aktualisierung eines bestehenden KI-Systems kann die Übergangsfrist beenden und die sofortige Erfüllung aller Anforderungen auslösen.

Für Krankenhäuser, die KI im Medizincontrolling bereits einsetzen oder planen, ist 2026 das entscheidende Jahr, um Compliance-Strukturen zu etablieren, Mitarbeiterschulungen zu dokumentieren und die Zusammenarbeit mit KI-Anbietern vertraglich zu regeln.

Welche Sanktionen drohen bei Verstößen gegen die Dokumentationspflichten?

Der EU AI Act sieht gestaffelte Bußgelder vor, die sich nach der Art des Verstoßes richten. Bei Verstößen gegen die Pflichten für Hochrisiko-KI-Systeme drohen Bußgelder von bis zu 15 Millionen Euro oder 3 Prozent des weltweiten Jahresumsatzes, je nachdem, welcher Betrag höher ist.

Für Krankenhäuser besonders relevant: Auch Betreiberpflichten, etwa die Pflicht zur menschlichen Aufsicht oder zur Mitarbeiterschulung nach Art. 4, sind bußgeldbewehrt. Wer diese Anforderungen nicht dokumentiert nachweisen kann, riskiert Sanktionen auch dann, wenn das KI-System selbst technisch einwandfrei funktioniert. Die Aufsichtsbehörden können zudem den Betrieb eines nicht konformen Systems untersagen, was bei klinisch integrierten Systemen erhebliche operative Konsequenzen hätte.

Zusätzlich zur behördlichen Sanktion entstehen zivilrechtliche Haftungsrisiken: Wenn ein KI-System ohne ausreichende Dokumentation oder Aufsicht zu einem Patientenschaden beiträgt, kann die fehlende Compliance die Haftungsposition des Krankenhauses erheblich verschlechtern.

Wie Medcontroller Krankenhäuser bei der AI-Act-Compliance unterstützt

Medcontroller begleitet Krankenhäuser bei der rechtssicheren Einführung und dem Betrieb von KI-Systemen im Medizincontrolling und in der Abrechnung. Das Leistungsangebot umfasst konkret:

Übernahme der Funktion des KI-Beauftragten als externe Dienstleistung zu einem fest kalkulierten Pauschalpreis
Bewertung, ob ein eingesetztes oder geplantes KI-Tool als Hochrisiko-System einzustufen ist und welche Dokumentationspflichten konkret entstehen
Unterstützung bei der Erstellung und Pflege der technischen Dokumentation sowie der Betreibernachweise nach Art. 26 EU AI Act
Schulungsangebote zur KI-Kompetenz nach Art. 4 EU AI Act für Kodierfachkräfte und Medizincontroller

Das Online-Seminar „KI im Krankenhaus“ bietet einen strukturierten Einstieg in die Compliance-Anforderungen: 4,5 Stunden Live-Online mit Zertifikat, Frühbucherrabatt bei Anmeldung vor dem 15. Juli 2026. Sprechen Sie Medcontroller direkt an, um den nächsten Schritt zur AI-Act-konformen KI-Nutzung in Ihrer Einrichtung zu klären.