Welche Gesetze gelten für den Einsatz von KI?

Für den KI-Einsatz in Deutschland gelten vor allem zwei Rechtsrahmen: der EU AI Act (Verordnung (EU) 2024/1689), der seit August 2024 schrittweise in Kraft tritt, und die DSGVO. Beide Regelwerke greifen ineinander und betreffen Krankenhäuser, Kliniken und Beratungsunternehmen je nach Art des eingesetzten KI-Systems unterschiedlich stark. Wer im Medizincontrolling oder in der Fallkodierung KI-Tools einsetzt, muss verstehen, welche Risikoklasse das jeweilige System hat und welche konkreten Pflichten daraus folgen.

Was regelt der EU AI Act und für wen gilt er?

Der EU AI Act regelt, unter welchen Bedingungen KI-Systeme in der Europäischen Union entwickelt, vertrieben und betrieben werden dürfen. Er gilt für alle Anbieter, die KI-Systeme in der EU auf den Markt bringen, sowie für alle Betreiber, die solche Systeme in der EU einsetzen. Krankenhäuser, die KI-Anwendungen nutzen, sind damit als Betreiber direkt betroffen.

Das Gesetz unterscheidet vier Risikoklassen: verbotene KI, Hochrisiko-KI, KI mit begrenztem Risiko und KI mit minimalem Risiko. Die Einstufung entscheidet darüber, welche Dokumentations-, Transparenz- und Aufsichtspflichten gelten. KI-Systeme mit minimalem Risiko, etwa Spamfilter oder einfache Rechtschreibkorrektur, sind von den strengen Anforderungen weitgehend ausgenommen. Den Geltungsbereich auf alle denkbaren Softwareprodukte auszuweiten, wäre falsch.

Wichtig für Krankenhäuser: Der EU AI Act verpflichtet Betreiber gemäß Art. 4 dazu, sicherzustellen, dass Mitarbeiterinnen und Mitarbeiter, die KI-Systeme einsetzen oder beaufsichtigen, über ausreichende KI-Kompetenz verfügen. Diese Schulungspflicht gilt unabhängig von der Risikoklasse des Systems und tritt für Betreiber ab August 2026 vollständig in Kraft.

Welche KI-Anwendungen gelten als Hochrisiko-Systeme?

Als Hochrisiko-KI gelten laut EU AI Act Systeme, die in sicherheitskritischen Bereichen eingesetzt werden und erhebliche Auswirkungen auf Gesundheit, Sicherheit oder Grundrechte haben können. Im Krankenhausumfeld betrifft das vor allem KI-Systeme, die eigenständig klinische Diagnosen stellen, Therapieempfehlungen generieren oder medizinische Bilddaten auswerten, zum Beispiel in der Dermatoskopie, Endoskopie oder Fundoskopie.

Hier ist eine klare Unterscheidung entscheidend, die in der Praxis häufig verwischt wird:

KI zur klinischen Entscheidungsunterstützung (z.B. Diagnosevorschläge aus Ambient-Speech-Aufnahmen, Bilderkennung von Polypen, Sepsisvorhersage auf der Intensivstation) gilt als Hochrisiko-System und unterliegt dem vollen Compliance-Regime des EU AI Acts.
KI zur Kodierung und Abrechnung, die auf Basis bereits dokumentierter Diagnosen und Prozeduren ICD- oder OPS-Kodes vorschlägt, weist ein deutlich geringeres regulatorisches Risikoprofil auf und fällt in der Regel nicht in die Hochrisiko-Kategorie.

Diese beiden Kategorien gleichzusetzen, ist nicht zulässig. Ein KI-Tool, das dem Kodierer auf Basis eines fertigen Arztbriefs einen DRG-Kode vorschlägt, ist regulatorisch anders einzustufen als ein System, das aus einem Anamnesegespräch eigenständig Diagnosen ableitet.

Mehr Infos

Spezielle Fragen zur Kodierung und im MD-Management ohne aufwendige Recherche beantworten?
Unser online Praxis-Handbuch!

Wie hängen DSGVO und KI-Regulierung zusammen?

DSGVO und EU AI Act ergänzen einander, regeln aber unterschiedliche Aspekte. Die DSGVO schützt personenbezogene Daten und regelt deren Verarbeitung. Der EU AI Act regelt das Risiko automatisierter Entscheidungssysteme. Im Krankenhausbereich gelten beide gleichzeitig, weil KI-Systeme fast immer Patientendaten verarbeiten.

Besonders relevant ist das Zusammenspiel bei automatisierten Einzelentscheidungen. Art. 22 DSGVO schränkt Entscheidungen ein, die ausschließlich auf automatisierter Verarbeitung beruhen und rechtliche oder ähnlich erhebliche Wirkung für Betroffene haben. Im Kodierkontext bedeutet das: Solange ein Kodierer die KI-Empfehlung prüft und verantwortet, bleibt die DSGVO-Konformität gewahrt. Wird ein Kode ohne menschliche Prüfung übernommen, entsteht ein Rechtsrisiko.

Hinzu kommt, dass Gesundheitsdaten nach Art. 9 DSGVO besonders schutzwürdig sind. Jede KI-Anwendung, die solche Daten verarbeitet, benötigt eine explizite Rechtsgrundlage. Für Krankenhäuser ist das in der Regel die Behandlung oder eine gesetzliche Verpflichtung, aber die Rechtsgrundlage muss dokumentiert sein.

Welche Pflichten gelten für Anbieter und Betreiber von KI-Systemen?

Der EU AI Act unterscheidet scharf zwischen Anbietern, die KI-Systeme entwickeln und auf den Markt bringen, und Betreibern, die diese Systeme in ihrem Betrieb einsetzen. Für Hochrisiko-Systeme gelten für beide Seiten umfangreiche Pflichten, für Systeme mit begrenztem Risiko abgestufte Anforderungen.

Für Hochrisiko-Systeme müssen Betreiber unter anderem:

eine Grundrechte-Folgenabschätzung (FRIA) nach Art. 27 durchführen
einen Überwachungsplan im laufenden Betrieb vorhalten
Zweckänderungen dokumentieren
Vorfälle melden

Für KI-Systeme mit begrenztem Risiko reicht ein Transparenzhinweis gegenüber Patienten oder Personal aus, ergänzt durch eine interne Dokumentation des Einsatzzwecks. Ein einfaches internes Register der eingesetzten KI-Tools ist hier die Mindestanforderung.

Anbieter von Hochrisiko-Systemen tragen die schwerste Last: technische Dokumentation nach Art. 11, ein laufendes Risikomanagementsystem nach Art. 9, Daten-Governance nach Art. 10, automatische Protokollierung nach Art. 12 sowie eine EU-Konformitätserklärung nach Art. 47 und Registrierung in der EU-Datenbank nach Art. 49. Unterlagen sind zehn Jahre aufzubewahren (Art. 18).

Welche branchenspezifischen Regeln gelten für KI im Gesundheitswesen?

Neben dem EU AI Act gelten im Gesundheitswesen weitere sektorspezifische Regelwerke, die den KI-Einsatz einschränken oder zusätzliche Anforderungen stellen. Medizinprodukte, die KI-Funktionen enthalten und zur Diagnose oder Therapie eingesetzt werden, fallen zusätzlich unter die EU-Medizinprodukteverordnung (MDR) und müssen ein CE-Kennzeichen tragen.

Software, die als Medizinprodukt der Klasse IIa oder höher eingestuft ist, unterliegt sowohl MDR als auch EU AI Act. Das bedeutet in der Praxis eine doppelte Compliance-Last: Konformitätsbewertung nach MDR und Hochrisiko-Dokumentation nach EU AI Act. Krankenhäuser, die solche Systeme betreiben, können sich nicht allein auf die Herstellerdokumentation verlassen, sondern müssen eigene Betreiberpflichten erfüllen.

Für den KI-Einsatz im Medizincontrolling und bei den gesetzlichen Anforderungen an die Fallkodierung ist die Abgrenzung besonders wichtig: Ein KI-Tool, das Kodierfachkräften auf Basis abgeschlossener Dokumentation Kodevorschläge unterbreitet, ist kein Medizinprodukt und kein Hochrisiko-System. Es unterliegt dennoch den allgemeinen Betreiberpflichten des EU AI Acts, insbesondere der Schulungspflicht nach Art. 4 und der Transparenzpflicht. Ein Seminar zu KI im Krankenhaus kann helfen, diese Abgrenzungen praxisnah zu verstehen.

Was droht bei Verstößen gegen KI-Gesetze?

Der EU AI Act sieht gestaffelte Bußgelder vor, die sich nach der Schwere des Verstoßes und der Art des Systems richten. Der Einsatz verbotener KI-Systeme kann mit bis zu 35 Millionen Euro oder sieben Prozent des weltweiten Jahresumsatzes geahndet werden. Verstöße gegen Hochrisiko-Anforderungen können Bußgelder von bis zu 15 Millionen Euro oder drei Prozent des Umsatzes nach sich ziehen.

Für Krankenhäuser kommt ein weiterer Aspekt hinzu: Fehlerhafte oder unkontrollierte KI-Kodierempfehlungen können zu Falschabrechnungen führen, die im MDK-Prüfverfahren oder bei Kassennachfragen auffallen. Wer nachweislich ohne ausreichende menschliche Aufsicht kodiert hat, riskiert nicht nur Rückforderungen, sondern auch den Vorwurf der vorsätzlichen Falschabrechnung. Die Kombination aus KI-Regulierung und Abrechnungsrecht macht eine sorgfältige Dokumentation des Einsatzes zwingend notwendig.

Für Betreiber, die noch kein internes KI-Register führen und keine Schulungsnachweise nach Art. 4 vorhalten, besteht Handlungsbedarf. Die Übergangsfrist läuft, und Aufsichtsbehörden werden zunehmend aktiv.

Wie Medcontroller bei KI-Compliance im Krankenhaus unterstützt

Medcontroller begleitet Krankenhäuser und Medizincontrolling-Abteilungen dabei, den KI-Einsatz rechtssicher zu gestalten. Das Angebot umfasst konkrete, praxisnahe Unterstützung:

Funktion des externen KI-Beauftragten: Medcontroller übernimmt die Aufgaben des KI-Beauftragten als externe Dienstleistung, mit einem fest umrissenen Leistungspaket zu einem Pauschalpreis.
Risikoeinstufung eingesetzter KI-Tools: Gemeinsam wird geprüft, welche Systeme im Haus als Hochrisiko oder mit begrenztem Risiko einzustufen sind und welche Dokumentationspflichten daraus folgen.
Schulung und Kompetenzaufbau: Das Online-Seminar KI im Krankenhaus vermittelt in 4,5 Stunden live den vollständigen Fahrplan zur Compliance, mit Zertifikat und Frühbucherrabatt bei Anmeldung vor dem 15.07.2026.
Interne Registerführung: Medcontroller unterstützt beim Aufbau eines KI-Registers, das sowohl die Anforderungen des EU AI Acts als auch die spezifischen Dokumentationspflichten im Krankenhausumfeld erfüllt.

Wer den nächsten Schritt gehen möchte, kann sich direkt für das Online-Seminar KI im Krankenhaus anmelden oder Medcontroller für eine individuelle Beratung kontaktieren.