Ist Ihr Krankenhaus AI-Act-ready?
KI-Systeme laufen in vielen Häusern längst im Regelbetrieb: Befundungssoftware in der Radiologie, Spracherkennung im Arztbrief, Priorisierungslogik in der Notaufnahme. Der EU AI Act ordnet diese Systeme jetzt rechtlich ein, und die ersten Pflichten gelten bereits seit Februar 2025. Diese Seite ordnet die gängigen Klinik-Systeme rechtlich ein, listet die Fristen und gibt IT-Leitung und Qualitätsmanagement einen konkreten Startpunkt.
Warum der AI Act Krankenhäuser konkret betrifft
Entscheidend ist die Einstufung jedes einzelnen Systems. Vier typische Fälle aus dem Klinikalltag:
Radiologie- und Befundungs-KI
Software, die als Medizinprodukt der Klasse IIa oder höher zugelassen ist oder als Sicherheitsbauteil eines Medizinprodukts arbeitet, gilt in der Regel als Hochrisiko-System nach Art. 6 Abs. 1 AI Act. Das betrifft typischerweise CAD-Systeme, Bildanalyse im PACS und KI-gestützte Befundvorschläge.
Triage und Priorisierung
KI, die in der Notfallversorgung Patientinnen und Patienten priorisiert, steht ausdrücklich in Annex III des AI Act. Die Hochrisiko-Logik kann hier also auch dann greifen, wenn das System kein zugelassenes Medizinprodukt ist.
Dokumentations-KI
Spracherkennung, automatische Zusammenfassungen, LLM-gestützte Entlassbriefe: je nach Ausgestaltung meist kein Hochrisiko-System. Die Schulungspflicht nach Art. 4 gilt trotzdem, und die Einstufung sollte nachvollziehbar dokumentiert sein, gerade weil solche Werkzeuge oft ohne zentrale Freigabe in einzelnen Abteilungen auftauchen.
Verwaltungs-KI
Chatbots für die Terminvergabe, Abrechnungsunterstützung, Dienstplanung: überwiegend niedriges Risiko. Ins KI-Inventar gehören diese Systeme dennoch, schon damit spätere Bewertungen und Audits nachvollziehbar bleiben.
Die Fristen im Überblick
- Seit Feb. 2025Verbotene Praktiken sind untersagt. Gleichzeitig gilt die AI-Literacy-Pflicht nach Art. 4: Personal, das mit KI-Systemen arbeitet, muss ausreichend geschult sein.
- Seit Aug. 2025Die Pflichten für Anbieter von KI-Modellen mit allgemeinem Verwendungszweck (GPAI) gelten.
- Dez. 2027Pflichten für Hochrisiko-Systeme nach Annex III greifen, darunter KI zur Triage und Priorisierung in der Notfallversorgung. Diese Frist wurde per EU-Omnibus von 2026 auf Dezember 2027 verschoben.
- Aug. 2028Pflichten für Hochrisiko-Systeme über das Produktrecht nach Art. 6 Abs. 1 greifen, also insbesondere für KI in Medizinprodukten.
Die verschobenen Hochrisiko-Fristen verschaffen Luft für eine geordnete Umsetzung. Aufschieben lohnt sich trotzdem nicht: Inventar, Einstufung und Vertragsanpassungen brauchen in einem Klinikverbund Monate. Beschaffungszyklen im Krankenhaus laufen häufig über mehrere Jahre, und zwei Pflichten gelten schon heute.
Ihre Pflichten als Betreiber
Krankenhäuser sind in aller Regel Betreiber (deployer) im Sinne des AI Act: Sie setzen Systeme ein, die ein Hersteller in Verkehr gebracht hat. Für Hochrisiko-Systeme folgen daraus eigene Pflichten:
- Nutzung des Systems gemäß der Betriebsanleitung des Anbieters
- Menschliche Aufsicht durch Personal mit passender Schulung und Befugnis
- Kontrolle der Eingabedaten, soweit das Krankenhaus sie beeinflusst
- Aufbewahrung der automatisch erzeugten Logs des Systems
- Meldung schwerwiegender Vorfälle
- Abstimmung mit den DSGVO-Prozessen des Hauses, gegebenenfalls einschließlich einer Datenschutz-Folgenabschätzung
Wichtig für die Praxis: Wer ein KI-System wesentlich verändert oder unter eigenem Namen betreibt, kann nach der Logik des Art. 25 selbst in die Anbieterrolle rutschen. Das betrifft etwa Eigenentwicklungen der IT-Abteilung oder tief angepasste Zukaufsysteme und sollte vor jeder größeren Anpassung geprüft werden.
Was Sie jetzt tun sollten
- KI-Inventar erstellen. Alle Systeme mit KI-Anteil erfassen, von der Radiologie bis zur Dienstplanung. Auch Werkzeuge, die einzelne Abteilungen selbst eingeführt haben.
- Jedes System einstufen. Verbotene Praktik, Hochrisiko nach Art. 6 Abs. 1 oder Annex III, oder geringeres Risiko? Die Einstufung schriftlich begründen.
- Verantwortlichkeiten festlegen. Wer überwacht welches System, wer bewahrt Logs auf, wer meldet Vorfälle? Ohne benannte Zuständigkeit bleibt jede Pflicht Theorie.
- Beschaffungsverträge prüfen. Liefern Anbieter Betriebsanleitung, Konformitätsnachweise und Log-Zugriff? Neue Ausschreibungen sollten AI-Act-Anforderungen bereits enthalten.
- Personal schulen. Die AI-Literacy-Pflicht nach Art. 4 gilt seit Februar 2025 und betrifft alle, die mit KI-Systemen arbeiten, vom ärztlichen Dienst bis zur Verwaltung.
Kostenloser EU-AI-Act-Check
Beantworten Sie einige Fragen zu Ihren KI-Systemen und erhalten Sie eine erste Einordnung: Welche Kategorie greift voraussichtlich, welche Pflichten folgen daraus, welche Fristen sind relevant? Ohne Registrierung, Ergebnis sofort.
Jetzt kostenlos prüfenUmsetzung mit NeuralMedic
Wenn aus der Einordnung Arbeitspakete werden: Das Kernteam in Ingolstadt bringt DSGVO-, MDR- und ISO-27001-Erfahrung aus Gesundheitsprojekten mit und unterstützt beim KI-Inventar, bei der Einstufung und beim Aufbau der Betreiberprozesse. EU-Hosting ist Standard. Ein Readiness-Audit startet ab 15.000 EUR, ein Architektur-Tag ab 2.500 EUR. Sie erhalten eine Antwort innerhalb eines Werktags.
Healthcare-AI-Leistungen ansehenHäufige Fragen
Ist unser PACS-KI-Tool vom AI Act betroffen?
Sehr wahrscheinlich. KI-Bildanalyse im PACS ist meist als Medizinprodukt der Klasse IIa oder höher zugelassen oder arbeitet als Sicherheitsbauteil eines Medizinprodukts. Solche Systeme gelten in der Regel als Hochrisiko-Systeme nach Art. 6 Abs. 1 AI Act. Die Hochrisiko-Pflichten greifen nach aktueller Fristenlage ab August 2028, die Schulungspflicht nach Art. 4 gilt dagegen bereits seit Februar 2025.
Sind wir Anbieter oder Betreiber?
Krankenhäuser sind in den meisten Konstellationen Betreiber: Sie nutzen ein System, das ein Hersteller in Verkehr gebracht hat. Wer ein System jedoch wesentlich verändert oder unter eigenem Namen betreibt, kann nach der Logik des Art. 25 selbst zum Anbieter werden und trägt dann deutlich umfangreichere Pflichten. Eigenentwicklungen und stark angepasste Systeme sollten deshalb gesondert geprüft werden.
Was passiert bei Verstößen?
Der AI Act sieht abgestufte Bußgeldrahmen vor. Für verbotene Praktiken können bis zu 35 Millionen Euro oder 7 Prozent des weltweiten Jahresumsatzes verhängt werden, für andere Verstöße gelten niedrigere Stufen. Wie Aufsichtsbehörden diese Rahmen im Klinikkontext anwenden werden, ist noch offen. Eine dokumentierte Einstufung und ein gepflegtes KI-Inventar sind der beste Ausgangspunkt, um Verstöße von vornherein zu vermeiden.
Reicht unsere MDR-Konformität nicht aus?
Die MDR-Konformität eines Medizinprodukts deckt die Herstellerpflichten aus dem Produktrecht ab. Der AI Act ergänzt eigene Anforderungen, auf Betreiberseite etwa menschliche Aufsicht durch geschultes Personal, Kontrolle der Eingabedaten und Aufbewahrung der Logs. Beide Regelwerke greifen ineinander, ersetzen sich aber nicht. Ein CE-Kennzeichen allein beantwortet die AI-Act-Frage also noch nicht.
Was gilt für Bestandssysteme, die schon im Einsatz sind?
Bestandssysteme fallen nicht pauschal aus dem AI Act heraus. Für Hochrisiko-Systeme gelten Übergangsregelungen, und eine wesentliche Veränderung kann Pflichten auslösen, unter Umständen bis hin zur eigenen Anbieterrolle. Nehmen Sie Bestandssysteme deshalb vollständig ins KI-Inventar auf und dokumentieren Sie die Einstufung, auch wenn aktuell noch keine Hochrisiko-Pflicht greift.
Die Hochrisiko-Fristen liegen 2027 und 2028. Warum jetzt anfangen?
Zwei Pflichten gelten bereits seit Februar 2025: das Verbot bestimmter Praktiken und die Schulungspflicht nach Art. 4. Dazu kommt die Praxis: Ein vollständiges KI-Inventar über alle Abteilungen, die Einstufung jedes Systems und angepasste Beschaffungsverträge brauchen in einem Klinikverbund realistisch mehrere Monate. Wer zu den Stichtagen 2027 und 2028 fertig sein will, beginnt sinnvollerweise jetzt.
Hinweis: Diese Seite ordnet den EU AI Act aus Projektsicht ein und ersetzt keine Rechtsberatung. Die Einstufung einzelner Systeme hängt vom konkreten Einsatzzweck und der Produktzulassung ab.