Digitaler Omnibus verschiebt KI-Fristen, hebt Hochrisiko-Pflichten für Kliniken aber nicht auf

Wer KI im Krankenhaus sicher einsetzen will, kommt ohne ein integriertes Managementsystem nicht aus. Ingo Unger, Experte für Informationssicherheits-Managementsysteme bei der DQS, zeigt, warum klassische IT-Sicherheitsmaßnahmen allein nicht ausreichen und welche regulatorischen Anforderungen Kliniken heute verbindlich erfüllen müssen.

Die regulatorische Ausgangslage ist komplex, denn DSGVO, Data Act, NIS-2-Richtlinie mit ihrer deutschen Umsetzung im BSIG, AI Act sowie MDR und IVDR gelten parallel. Laut einer aktuellen Umfrage des Deutschen Krankenhausinstituts (DKI) unter 177 Krankenhäusern mit mehr als 100 Betten setzen 79 Prozent den BSI IT-Grundschutz um, 89 Prozent orientieren sich am B3S Krankenhaus und 64 Prozent arbeiten mit ISO/IEC 27001.

Der Digitale Omnibus für KI ist seit dem 27. Juli 2026 in Kraft. Er verschiebt die Pflichten für Hochrisiko-KI-Systeme. Für eigenständige Systeme auf den 2. Dezember 2027 und für KI in regulierten Produkten wie Medizinprodukten auf den 2. August 2028. Kliniken gewinnen damit Zeit, aber keine Ausnahme von den Pflichten.

KI-Anwendungen reichen von KIS-Funktionen über Chatbots bis zur radiologischen Bildanalyse. Hochrisiko-KI-Systeme, darunter ausdrücklich die KI-gestützte Notfalltriage, unterliegen besonderen Auflagen. Auch Updates können eine Neubewertung auslösen, wenn sie wesentliche Änderungen einführen.

Als organisatorischen Rahmen empfiehlt Unger die Kombination aus ISO/IEC 27001 für Informationssicherheit und ISO/IEC 42001 für KI-Governance. Ein solches System regelt Verantwortlichkeiten, Risikoklassen, Prozesse und Nachweise verbindlich. Voraussetzung ist die Rückendeckung der Geschäftsführung und die Verankerung der Abläufe im Arbeitsalltag.