Fünf Compliance-Lücken die Krankenhäuser beim KI-Einsatz jetzt schließen müssen

Seit August 2024 ist der EU AI Act in Kraft und stellt Krankenhäuser vor konkrete regulatorische Pflichten. Entscheidend für die Einordnung eines KI-Systems ist nicht die Technologie, sondern der Einsatzzweck.

Der Act unterscheidet vier Risikoklassen. Als Hochrisiko gelten im Klinikbetrieb unter anderem KI-gestützte Radiologie, Triage-Systeme und Anwendungen, die eigenständig Diagnosen oder Therapieempfehlungen generieren. Recruiting-Software fällt ebenfalls darunter. KI-Kodierunterstützung, die lediglich ICD- oder OPS-Kodes für bereits dokumentierte Diagnosen vorschlägt, gilt hingegen in der Regel als begrenztes Risiko. Verboten sind Systeme zur sozialen Bewertung von Patienten oder Mitarbeitenden.

Hochrisiko-Systeme unterliegen einem umfangreichen Pflichtenkatalog: Risikomanagementsystem, automatische Protokollierung, menschliche Aufsicht, technische Dokumentation, Konformitätsbewertung und Registrierung in der EU-Datenbank. Betreiber müssen zusätzlich eine Grundrechte-Folgenabschätzung durchführen und Vorfälle melden. Die Fristen laufen bis Dezember 2027 (Anhang III) bzw. August 2028 (Anhang I).

Seit Februar 2025 gilt verbindlich, dass Betreiber die KI-Kompetenz ihrer Mitarbeitenden schulen und dokumentieren müssen (Art. 4). Typische Compliance-Lücken sind fehlende KI-Inventare, unklare Zweckdefinitionen und fehlende Vorfallmeldeprozesse.

Die Autoren nennen drei erste Schritte: Inventarisierung aller KI-Tools, Risikoklassifizierung und Dokumentation der Schulungsnachweise.