Welche zusätzlichen Datenschutzpflichten entstehen durch den AI Act neben der DSGVO?

Der AI Act ergänzt die DSGVO um eigenständige Pflichten, die speziell auf KI-Systeme zugeschnitten sind. Während die DSGVO den Schutz personenbezogener Daten regelt, steuert der AI Act die Zulässigkeit und den Betrieb von KI-Anwendungen nach Risikoklasse. Für Krankenhäuser bedeutet das: Beide Regelwerke gelten parallel, und Compliance erfordert den Blick auf beide Ebenen. Dieser Artikel beantwortet die wichtigsten Fragen, die Medizincontroller und Klinikverantwortliche jetzt stellen müssen.

Wie verhält sich der AI Act zur DSGVO, Ergänzung oder Überschneidung?

AI Act und DSGVO sind zwei eigenständige Regelwerke mit unterschiedlichem Regelungsgegenstand. Die DSGVO schützt personenbezogene Daten und regelt, wie diese erhoben, verarbeitet und gespeichert werden dürfen. Der AI Act bewertet KI-Systeme nach ihrem Risikopotenzial und legt fest, welche Anforderungen an Entwicklung, Betrieb und Überwachung dieser Systeme zu stellen sind. Beide Regelwerke überschneiden sich dort, wo KI-Systeme personenbezogene Daten verarbeiten, was im Krankenhauskontext fast immer der Fall ist.

Konkret bedeutet das: Ein Krankenhaus, das eine KI-gestützte Anwendung einsetzt, muss sowohl die datenschutzrechtliche Zulässigkeit nach DSGVO prüfen als auch die Risikokategorie nach AI Act bestimmen. Weder das eine noch das andere reicht allein. Patientendaten dürfen nicht ungeschützt an externe Modelle übermittelt werden, da sowohl die DSGVO als auch die ärztliche Schweigepflicht dem enge Grenzen setzen. Der AI Act fügt dazu Anforderungen wie Transparenz, Protokollierung und menschliche Aufsicht hinzu, die über den reinen Datenschutz hinausgehen.

Welche KI-Systeme im Krankenhaus gelten als Hochrisiko-KI nach dem AI Act?

Hochrisiko-KI nach dem AI Act sind Systeme, die entweder als Medizinprodukt eingestuft sind (Anhang I der KI-VO) oder in einem der in Anhang III genannten Hochrisikobereiche eingesetzt werden. Im Krankenhausumfeld betrifft das insbesondere KI in der Radiologie, Triage-Systeme in der Notaufnahme, KI-gestützte Sepsisfrühwarnung sowie KI in der Pathologie und Endoskopie.

Wichtig ist hier eine präzise Unterscheidung, die in der Praxis häufig verwischt wird:

Kodier- und Abrechnungs-KI, die auf Basis bereits dokumentierter Diagnosen und Prozeduren ICD- oder OPS-Kodes vorschlägt, weist ein geringes regulatorisches Risikoprofil auf und fällt in der Regel in die Kategorie begrenztes Risiko.
Klinische Entscheidungsunterstützung, die eigenständig Diagnosen generiert, Therapieempfehlungen ausspricht oder medizinische Bilddaten auswertet, etwa KI-Radiologie, CTG-Analyse oder Ambient-Speech-Auswertung, gilt als Hochrisiko-KI und unterliegt deutlich strengeren Anforderungen.

Beide Kategorien müssen geprüft werden: einmal über den Weg als Medizinprodukt (Anhang I, Pflichten ab August 2028) und einmal über das Einsatzgebiet (Anhang III, Pflichten ab Dezember 2027).

Mehr Infos

Spezielle Fragen zur Kodierung und im MD-Management ohne aufwendige Recherche beantworten?
Unser online Praxis-Handbuch!

Welche konkreten Pflichten entstehen durch den AI Act zusätzlich zur DSGVO?

Der AI Act schafft ein eigenständiges Pflichtenprogramm, das über die DSGVO hinausgeht und sich nach der Risikokategorie des eingesetzten KI-Systems staffelt. Für Krankenhäuser als Betreiber von KI-Systemen entstehen je nach Risikostufe folgende zusätzliche Pflichten:

Begrenztes Risiko

Transparenzhinweis gegenüber Patienten oder Personal, dass sie mit einem KI-System interagieren
Interne Dokumentation des Einsatzzwecks
Kennzeichnung KI-generierter Inhalte als solche

Hochrisiko

Grundrechte-Folgenabschätzung (FRIA) nach Art. 27 KI-VO
Überwachungsplan für den laufenden Betrieb
Dokumentation von Zweckänderungen
Meldepflicht bei Vorfällen
Schulung aller Anwender, mit Nachweis

Hinzu kommt die Schulungspflicht nach Art. 4 KI-VO, die seit Februar 2025 gilt und alle Krankenhäuser betrifft, die KI einsetzen, unabhängig von der Risikokategorie. Diese Pflicht ist bereits sanktionsbewehrt und muss dokumentiert werden.

Was müssen Krankenhäuser beim Einsatz von KI in der Abrechnung und im Medizincontrolling beachten?

KI-Systeme, die im Medizincontrolling und in der Abrechnung eingesetzt werden, fallen in der Regel in die Kategorie begrenztes Risiko, sofern sie ausschließlich auf Basis bereits dokumentierter klinischer Informationen Kodiervorschläge generieren. Das bedeutet: keine vollständige Hochrisiko-Compliance, aber auch keine Pflichtlosigkeit.

Konkret gelten folgende Anforderungen:

Transparenz: Mitarbeitende müssen wissen, dass sie mit einer KI interagieren und wie deren Ergebnisse zu interpretieren sind.
Schulungspflicht nach Art. 4 KI-VO: Kodierfachkräfte und Controller, die KI-gestützte Kodiertools nutzen, müssen nachweislich geschult sein, rollenbezogen und anwendungsbezogen.
Interne Dokumentation: Einsatzzweck, Anbieter, Versionsstand und Verantwortlichkeit sollten im KI-Inventar des Hauses erfasst sein.
Datenschutz: Patientenbezogene Daten dürfen nicht unkontrolliert an externe Modelle übermittelt werden, DSGVO und Schweigepflicht setzen hier klare Grenzen.

Anders verhält es sich, wenn KI im Medizincontrolling nicht nur Kodes vorschlägt, sondern eigenständig klinische Schlussfolgerungen zieht, etwa durch Auswertung von Arztbriefen per Sprachmodell oder Ambient-Speech-Transkription. In diesem Fall ist die Risikoeinstufung neu zu prüfen.

Wann treten die Pflichten aus dem AI Act für Krankenhäuser in Kraft?

Der AI Act folgt einem gestaffelten Zeitplan. Nicht alle Pflichten gelten gleichzeitig, aber einige sind bereits in Kraft. Der Überblick für Krankenhäuser:

Februar 2025 (bereits scharf): Verbot unannehmbarer KI-Systeme (Art. 5) und Schulungspflicht nach Art. 4 für alle KI-nutzenden Einrichtungen
August 2026: Hauptstichtag, Transparenzpflichten, Aufsichtspflichten und Sanktionen treten in Kraft; das nationale KI-Marktüberwachungsgesetz (KI-MiG) wird wirksam; Bußgelder bis 35 Mio. Euro möglich; Bundesnetzagentur und BfArM übernehmen Aufsicht
Dezember 2027 (verschoben durch Digital Omnibus): Hochrisiko-Pflichten für Anhang III, betrifft u. a. Triage-KI in Notaufnahmen und Krankenkassen-KI für Leistungsentscheidungen
August 2028 (verschoben durch Digital Omnibus): Hochrisiko-Pflichten für Anhang I, betrifft KI in Medizinprodukten, KI-Radiologie, IVD und Sepsisfrühwarnung

Der Zeitplan zeigt: Wer noch nicht gehandelt hat, hat die Schulungspflicht bereits versäumt. August 2026 ist der nächste kritische Stichtag.

Wie sollten Krankenhäuser jetzt mit der Vorbereitung auf den AI Act beginnen?

Der sinnvollste Einstieg ist ein vollständiges KI-Inventar, eine strukturierte Erfassung aller KI-Anwendungen, die im Haus im Einsatz sind. Dazu gehören nicht nur klinische Systeme, sondern auch ChatGPT in der Verwaltung, KI-gestützte Terminvergabe oder automatisierte Dokumentenverarbeitung.

Drei Maßnahmen, die 2026 abgeschlossen sein sollten:

KI-Inventar erstellen: Pro Anwendung dokumentieren: Anbieter, Versionsstand, Risikokategorie, CE-Kennzeichnung, interne Verantwortlichkeit, Transparenzpflicht erfüllt?
Schulungsprogramm aufsetzen: Die Schulungspflicht nach Art. 4 KI-VO gilt seit Februar 2025 und muss dokumentiert werden. Schulungen müssen rollen- und anwendungsbezogen sein, Kodier-IT, Radiologie, Station und Verwaltung haben unterschiedliche Anforderungen.
KI-Beauftragten benennen: Nicht gesetzlich vorgeschrieben, aber praktisch unverzichtbar. Die Funktion kann intern oder extern besetzt werden und verantwortet Inventar, Schulungen, Dokumentation und Behördenkontakt.

Diese drei Schritte sind unabhängig vom Inkrafttreten der Hochrisiko-Pflichten und greifen sofort. Wer jetzt beginnt, ist für August 2026 vorbereitet und vermeidet Bußgelder, die bis zu 35 Mio. Euro betragen können.

Wie Medcontroller bei der KI-Compliance im Krankenhaus unterstützt

Medcontroller begleitet Krankenhäuser und Kliniken beim strukturierten Aufbau ihrer KI-Compliance, praxisnah, auf das Medizincontrolling zugeschnitten und ohne juristischen Overhead. Das Angebot umfasst konkret:

E-Learning-Module nach Art. 4 KI-VO: Skalierbare Online-Schulungen zur KI-Kompetenzpflicht, aufgabenbezogen, dokumentationsfähig, mit Prüfung und Zertifikat, auch für große Belegschaften geeignet
Externer KI-Beauftragter: Medcontroller übernimmt die Funktion des KI-Beauftragten als externe Dienstleistung zu einem festen Pauschalpreis, inklusive KI-Inventar, Schulungsorganisation, Dokumentation und Behördenkontakt
Präsenz- und Inhouse-Schulungen: Maßgeschneiderte Trainings für Führungsebene, Medizincontrolling und spezifische Berufsgruppen, zugeschnitten auf die jeweiligen KI-Anwendungen im Haus
Zertifikatslehrgang KI-Beauftragter im Krankenhaus: Sechswöchiger berufsbegleitender Lehrgang in Vorbereitung, für Fachkräfte, die die Funktion intern übernehmen wollen

Wer konkret wissen will, welche Pflichten für das eigene Haus bereits gelten und wie ein realistischer Fahrplan zur Compliance aussieht, findet bei Medcontroller den richtigen Einstieg. Das nächste Live-Online-Seminar KI im Krankenhaus, Ihr Fahrplan zur Compliance bietet 4,5 Stunden strukturiertes Wissen mit Zertifikat. Jetzt informieren und Frühbucherrabatt sichern.