AI Act im Gesundheitswesen: Was für Diagnostik, Kliniken und Patientenmanagement gilt.

KI im Gesundheitswesen ist kein einheitlicher Risikofall, sondern eine Funktionsfrage. Für Kliniken, MVZ und Diagnostik-Anbieter bedeutet das: Art. 4 der EU-VO 2024/1689 verlangt seit dem 2. Februar 2025 ausreichende KI-Kompetenz, während Hochrisiko-Pflichten je nach System entweder am 2. August 2026 oder am 2. August 2027 scharf werden. Entscheidend ist, ob die KI nur organisatorisch unterstützt oder ob sie Diagnose, Priorisierung, Behandlung oder Patientenzugang substanziell beeinflusst.

Welche KI im Gesundheitswesen besonders kritisch ist

Diagnostische KI ist besonders relevant, wenn sie als Medizinprodukt oder Sicherheitskomponente eingesetzt wird. Das betrifft typischerweise radiologische Bildanalyse, klinische Entscheidungsunterstützung und andere Systeme, die medizinische Aussagen mit unmittelbarer Wirkung auf Behandler oder Patienten liefern. In diesen Fällen läuft die Einordnung häufig über Hochrisiko-KI-Systeme nach Art. 6 Abs. 1 in Verbindung mit Anhang I der EU-VO 2024/1689 und dem Zusammenspiel mit der Medizinprodukteverordnung.

Notfall- und Triage-Systeme sind ebenfalls sensibel, aber aus einem anderen Grund. Wenn KI für Notrufannahme, Ersthelfer-Dispositionslogik oder priorisierte Notfallsteuerung eingesetzt wird, kann Anhang III Nr. 5 greifen. Für diese eigenständigen Hochrisiko-Fälle ist der Stichtag der 2. August 2026. Kliniken sollten deshalb nicht nur auf klassische Medizinprodukte schauen, sondern auch auf alle KI-Funktionen, die im Ernstfall Reihenfolgen, Prioritäten oder Zugänge zur Versorgung bestimmen.

Administrative Systeme sind dagegen nicht automatisch Hochrisiko. KI für Bettenplanung, OP-Slots, Kodierung, Dokumentationshilfe oder allgemeine Textunterstützung kann außerhalb des Hochrisiko-Regimes liegen, solange das System nicht faktisch über Versorgung, Rechte oder Sicherheit einzelner Personen mitentscheidet. Genau diese funktionale Trennung ist für den internen Systemkatalog wichtig.

Was Kliniken schon heute tun sollten

Art. 4 gilt bereits. Krankenhäuser, MVZ und diagnostische Einrichtungen sollten deshalb jetzt dokumentieren können, wer welche KI-Systeme nutzt, mit welchem Zweck und mit welchem Schulungsstand. Für den Gesundheitsbereich ist das wichtiger als in weniger sensiblen Branchen, weil medizinische Fehlanwendungen schneller zu Patientenrisiken, Haftungsfragen und Aufsichtsproblemen führen können. Ein sauberer Schulungsnachweis hilft hier mehr als bloße Awareness.

Die erste praktische Maßnahme ist ein Systeminventar nach Funktion. Erfassen Sie, welche KI-Systeme diagnostisch, priorisierend, dokumentierend oder administrativ arbeiten. Die zweite Maßnahme ist eine Rollenmatrix: Ärztliche Leitung, Pflege, Qualitätsmanagement, Datenschutz, Einkauf und IT brauchen nicht dieselbe Tiefe, aber jeweils ausreichende Kenntnisse für ihren tatsächlichen Einsatzkontext. Die dritte Maßnahme ist eine klare Menschliche Aufsicht, also echte Prüf- und Override-Rechte statt rein formaler Freigaben.

Auch Herstellerunterlagen sollten früh geprüft werden. Für klinisch relevante Systeme sind Zweckbestimmung, Nutzungsgrenzen, Warnhinweise, Validierungslogik und Monitoring-Pfade entscheidend. Wo die Unterlagen unklar bleiben, steigt das Risiko, dass ein Krankenhaus ein System falsch klassifiziert oder später ohne belastbaren Betriebspfad nutzt. Genau an dieser Stelle sind Konformitätsbewertung und klare Betreiberpflichten wichtig, selbst wenn die primären Anbieterpflichten beim Hersteller liegen.

Wo Transparenz und begrenztes Risiko im Vordergrund stehen

Patientenchatbots, Terminassistenten und Symptom-Checker sind nicht automatisch Hochrisiko, aber nie regulatorisch neutral. Sobald Patienten mit einer KI interagieren, greift mindestens die Transparenzlogik aus Art. 50. Nutzer müssen erkennen können, dass keine natürliche Person antwortet. Wenn ein System darüber hinaus Symptome bewertet, Diagnosen nahelegt oder Prioritäten für Behandlung oder Zugänge bildet, sollte die Einordnung neu geprüft werden.

Für Dokumentations- und Verwaltungs-KI bleibt die Kernfrage dieselbe: Unterstützt das System nur Abläufe oder trifft es faktisch patientenrelevante Entscheidungen mit? Reine Formulierungshilfe, Zusammenfassungen oder Kodier-Vorschläge sind meist anders zu behandeln als Systeme, die Behandler aktiv in Diagnose oder Triage steuern. Diese Differenzierung sollten Kliniken intern sauber festhalten, damit Beschaffung, Datenschutz, IT und Fachbereich dieselbe Risikologik verwenden.

Was bis August 2026 und August 2027 vorbereitet sein sollte

Bis zum 2. August 2026 sollten Gesundheitsorganisationen alle Systeme markieren, die als eigenständige Hochrisiko-KI nach Anhang III in Betracht kommen. Dazu zählen vor allem Funktionen in Notfall-, Priorisierungs- oder Zugangslogiken. Bis dahin sollten außerdem Zuständigkeiten, Aufsicht, Incident-Handling, interne Freigaben und Schulungsmaßnahmen belastbar dokumentiert sein.

Bis zum 2. August 2027 rücken die verbleibenden produktregulierten Systeme nach Art. 6 Abs. 1 und Anhang I stärker in den Mittelpunkt. Für Diagnostik und klinische Entscheidungsunterstützung ist deshalb schon jetzt sinnvoll, gemeinsam mit Herstellern und internen Fachbereichen zu prüfen, welche Nachweise, Gebrauchsanweisungen, Monitoring-Prozesse und Eskalationswege tatsächlich vorliegen. Wer erst kurz vor dem Stichtag anfängt, verliert im Gesundheitswesen wertvolle Zeit zwischen Medizinproduktlogik, Beschaffung und klinischem Betrieb.

Warum sich der Kurs für Gesundheitswesen-Teams lohnt

Das Gesundheitswesen braucht keine abstrakte KI-Debatte, sondern belastbare Rollen- und Systementscheidungen. Ein Kurs ist dann sinnvoll, wenn er Ärztinnen und Ärzte, Pflege, Qualitätsmanagement, Datenschutz und IT auf dieselbe Rechts- und Risikologik bringt, ohne falsche Sicherheit zu verkaufen. Genau dafür verknüpft der Kurs Art. 4, Hochrisiko-Systeme, Dokumentation und praktische Verantwortlichkeiten mit einem nutzbaren Schulungsnachweis und einem klaren Zertifikat.

Wenn Sie vor dem Rollout einer neuen Diagnostik-, Triage- oder Patientenkommunikationslösung stehen, sollten Sie anschließend die allgemeine FAQ und die einschlägigen Glossarbegriffe zu Transparenzpflichten und Anbieter vs. Betreiber hinzuziehen. So bleibt die Einordnung nicht bei Einzelmeinungen stehen, sondern wird intern nachvollziehbar und auditierbar.