Wie hängen DSGVO und der EU-AI-Act bei KI-Systemen im Krankenhaus zusammen?

DSGVO und EU AI Act ergänzen sich bei KI-Systemen im Krankenhaus, überschneiden sich aber nicht vollständig. Die DSGVO regelt den Schutz personenbezogener Daten, der EU AI Act bewertet KI-Anwendungen nach ihrem Risikoniveau und legt fest, welche Pflichten Anbieter und Betreiber erfüllen müssen. Beide Regelwerke gelten gleichzeitig und unabhängig voneinander. Die folgenden Fragen klären, was das konkret für Krankenhäuser bedeutet.

Welche Anforderungen stellt der EU AI Act an KI-Systeme im Krankenhaus?

Der EU AI Act bewertet KI-Anwendungen nach vier Risikoklassen und knüpft daran unterschiedlich strenge Pflichten. Für Krankenhäuser als Betreiber bedeutet das: Je höher das Risiko einer KI-Anwendung, desto umfangreicher sind Dokumentation, Schulung und Überwachung. Verbotene Anwendungen wie das Social Scoring von Patienten dürfen überhaupt nicht eingesetzt werden.

Die vier Risikoklassen sind im Krankenhausalltag gut erkennbar:

• Minimales Risiko: Spamfilter, Autokorrektur, KI-gestützte Berichterstattung. Keine spezifischen Pflichten, außer der Schulungsdokumentation nach Art. 4 KI-VO.
• Begrenztes Risiko: KI-Kodierunterstützung, Klinik-Chatbots. Transparenzpflichten gegenüber Patienten und Personal reichen aus.
• Hochrisiko: KI-Radiologie, Triage-KI, KI-generierte Arztbriefe, Recruiting-KI. Volle Compliance-Pflichten, darunter technische Dokumentation, Risikomanagementsystem, menschliche Aufsicht und Grundrechte-Folgenabschätzung (FRIA, Art. 27).
• Unannehmbares Risiko: Verboten. Kein Einsatz, keine Ausnahme.

Wichtig für die Einordnung: Eine KI-Anwendung wird auf zwei Wegen zur Hochrisiko-KI. Entweder als Medizinprodukt nach Anhang I oder über ihr Einsatzgebiet nach Anhang III. Beide Wege müssen geprüft werden. Die Schulungspflicht nach Art. 4 KI-VO gilt für alle Betreiber bereits seit Februar 2025 und ist ab August 2026 sanktionsbewehrt.

Wo überschneiden sich DSGVO und EU AI Act bei medizinischen KI-Anwendungen?

DSGVO und EU AI Act überschneiden sich dort, wo KI-Systeme personenbezogene Daten verarbeiten. Gesundheitsdaten sind nach Art. 9 DSGVO besonders schutzbedürftig und gleichzeitig der Hauptrohstoff vieler medizinischer KI-Anwendungen. Wer also eine KI im Krankenhaus betreibt, muss beide Regelwerke parallel einhalten.

Konkrete Überschneidungspunkte sind:

• Datenschutz-Folgenabschätzung (DSFA) und FRIA: Die DSGVO verlangt bei risikoreichen Verarbeitungen eine DSFA, der EU AI Act fordert bei Hochrisiko-KI eine Grundrechte-Folgenabschätzung. Beide Prüfungen betreffen ähnliche Fragen und können koordiniert durchgeführt werden.
• Transparenzpflichten: Patienten müssen nach DSGVO über die Verarbeitung ihrer Daten informiert werden. Der EU AI Act ergänzt das um die Pflicht, KI-generierte Inhalte als solche zu kennzeichnen.
• Protokollierung und Aufbewahrung: Der EU AI Act schreibt für Hochrisiko-KI automatische Protokollierung und eine Aufbewahrungsfrist von zehn Jahren vor (Art. 18). Das ergänzt die DSGVO-Vorgaben zur Nachvollziehbarkeit von Datenverarbeitungen.

Wo unterscheiden sich DSGVO und EU AI Act in ihren Schutzzielen?

Die DSGVO schützt das Recht auf informationelle Selbstbestimmung, der EU AI Act schützt vor den Risiken automatisierter Systeme unabhängig davon, ob personenbezogene Daten verarbeitet werden. Ein KI-System kann also vollständig DSGVO-konform sein und trotzdem gegen den EU AI Act verstoßen, und umgekehrt.

Zwei Beispiele verdeutlichen den Unterschied:

• Eine KI zur Kodierunterstützung, die bereits dokumentierte Diagnosen und Prozeduren verarbeitet, um ICD- oder OPS-Kodes vorzuschlagen, ist datenschutzrechtlich relevant, fällt aber nicht unter die Hochrisiko-Kategorie des EU AI Acts. Die DSGVO greift, der AI Act stellt nur Transparenzpflichten.
• Eine KI zur Bildanalyse in der Radiologie, die eigenständig Befunde generiert, ist Hochrisiko nach EU AI Act und unterliegt strengen Compliance-Pflichten. Gleichzeitig muss die DSGVO wegen der Verarbeitung von Gesundheitsdaten eingehalten werden. Beide Regelwerke greifen, aber aus unterschiedlichen Gründen.

Diese Unterscheidung ist im Krankenhaus besonders relevant, weil sie bestimmt, welche Maßnahmen für welches Tool ergriffen werden müssen. Kodier- und Abrechnungssoftware, die auf Basis bereits vorhandener Dokumentation Kodes vorschlägt, ist regulatorisch anders zu behandeln als Software zur klinischen Entscheidungsunterstützung.

Wer ist im Krankenhaus für die Compliance mit beiden Regelwerken verantwortlich?

Im Krankenhaus tragen Geschäftsführung und Datenschutzbeauftragter gemeinsam die Verantwortung, wobei der EU AI Act zusätzlich die Rolle des Betreibers definiert. Das Krankenhaus ist in der Regel Betreiber, nicht Anbieter. Das bedeutet: Es entwickelt keine KI, muss aber sicherstellen, dass alle eingesetzten KI-Systeme regelkonform genutzt werden.

Anbieter, Betreiber und Anwender haben nach EU AI Act unterschiedliche Pflichten. Ein praktisches Beispiel: Ein Krankenhaus ohne eigene Radiologie, das die Ressourcen eines Nachbarkrankenhauses nutzt, welches wiederum einen teleradiologischen Dienst mit KI-Unterstützung einsetzt, ist dennoch Betreiber im Sinne des EU AI Acts. Der einzelne Radiologe ist Anwender. Anbieter ist das Unternehmen, das die KI entwickelt hat.

Für die DSGVO gilt: Der Datenschutzbeauftragte ist bereits etabliert. Für den EU AI Act empfiehlt sich zusätzlich ein KI-Beauftragter, der das KI-Inventar pflegt, Schulungen organisiert und bei Hochrisiko-KI die Dokumentation verantwortet. Diese Funktion ist gesetzlich nicht vorgeschrieben, aber praktisch unverzichtbar.

Welche praktischen Schritte sollten Krankenhäuser jetzt einleiten?

Krankenhäuser sollten 2026 drei Grundmaßnahmen abschließen, die unabhängig vom vollständigen Inkrafttreten der Hochrisiko-Pflichten gelten. Diese Schritte schaffen die Basis für regelkonforme KI-Nutzung und sind sofort umsetzbar.

1. KI-Inventar erstellen: Alle eingesetzten KI-Tools erfassen, Anbieter und Versionsstand dokumentieren, Risikokategorie bestimmen, CE-Kennzeichnung prüfen und interne Verantwortlichkeit festlegen.
2. Schulungsprogramm aufsetzen: Die Schulungspflicht nach Art. 4 KI-VO gilt seit Februar 2025. Rollen- und anwendungsbezogen denken: Bildanalyse in der Radiologie erfordert andere Schulungsinhalte als der Einsatz von Chatbots in der Verwaltung oder Kodier-IT im Medizincontrolling.
3. KI-Beauftragten benennen: Intern oder extern, Teilzeit oder volle Stelle. Diese Person verantwortet KI-Inventar, Schulungen, Dokumentation und Behördenkontakt.

Parallel dazu sollte geprüft werden, welche Tools als Hochrisiko-KI einzustufen sind und wann die entsprechenden Fristen greifen. KI-Anwendungen, die über Anhang III (Einsatzgebiet) zur Hochrisiko-KI werden, sind ab Dezember 2027 vollständig compliant zu betreiben. Für Medizinprodukte nach Anhang I gilt August 2028.

So unterstützt Medcontroller Ihr Krankenhaus bei KI-Compliance

Medcontroller begleitet Krankenhäuser auf dem Weg zur regelkonformen KI-Nutzung, mit konkreten Angeboten, die direkt auf die gesetzlichen Anforderungen aus EU AI Act und DSGVO einzahlen:

• E-Learning-Module zur KI-Kompetenzpflicht: Skalierbare Online-Schulungen nach Art. 4 KI-VO, aufgabenbezogen, dokumentationsfähig, mit Prüfung und Zertifikat. Geeignet auch für große Belegschaften. E-Learning-Angebote ansehen.
• KI-Beauftragter als externe Dienstleistung: Medcontroller übernimmt die Funktion des KI-Beauftragten in einem fest umrissenen Leistungspaket zum Pauschalpreis.
• Inhouse-Schulungen: Maßgeschneiderte Trainings für Führungsebene, Medizincontrolling oder spezifische Berufsgruppen, abgestimmt auf die KI-Tools Ihres Hauses.
• Zertifikatslehrgang KI-Beauftragter im Krankenhaus: Sechs Wochen berufsbegleitend, bereitet auf die komplexen Aufgaben der KI-Verwaltung vor.

Wer jetzt handelt, schafft Rechtssicherheit, bevor Sanktionen greifen. Informieren Sie sich über das gesamte KI-Beratungsangebot von Medcontroller oder melden Sie sich direkt für das nächste Online-Seminar an.

Ähnliche Artikel

• Braucht ein Krankenhaus für KI-Systeme eine eigene Datenschutz-Folgenabschätzung?
• Wie beeinflusst automatische Kodierung das Risiko bei MDK-Prüfungen?
• Welche regulatorischen Anforderungen gelten für KI im G-DRG-Abrechnungsprozess?
• Typische Fehler bei der KI-Einführung im Krankenhaus
• KI-Schulungspflicht im Krankenhaus: Was muss bis Juli 2026 umgesetzt sein?

Dieser Inhalt wurde mithilfe von KI erstellt und kann Fehler enthalten.