AI Act im Gesundheitswesen – Besondere Anforderungen

Viele Kliniken in Deutschland setzen bereits KI-gestützte Systeme ein – von der Bildauswertung im Röntgen bis zur automatisierten Terminvergabe. Gleichzeitig ist kaum eine Branche vom AI Act stärker betroffen als das Gesundheitswesen. Denn wo Algorithmen über Diagnosen, Behandlungspfade oder Medikamentendosierungen mitentscheiden, steht buchstäblich Menschenleben auf dem Spiel. Der Gesetzgeber hat das erkannt – und entsprechend strenge Anforderungen formuliert.

Für Krankenhäuser, Arztpraxen, Medizintechnik-Unternehmen und HealthTech-Startups im DACH-Raum bedeutet das: Die Hochrisiko-Pflichten gelten zwar erst ab Dezember 2027 bzw. – für KI in Medizinprodukten – ab August 2028, aber Konformitätsbewertungen, Dokumentation und Qualitätsmanagement brauchen erfahrungsgemäß 12 bis 18 Monate und mehr. Wer jetzt nicht plant, riskiert nicht nur empfindliche Bußgelder, sondern auch den Verlust des Marktzugangs für KI-gestützte Produkte.

Warum das Gesundheitswesen besonders betroffen ist

Der AI Act stuft KI-Systeme nach ihrem Risikopotenzial ein. Und im Gesundheitswesen häufen sich die Faktoren, die zur höchsten Risikoklasse führen: Fehler können irreversibel sein, betroffene Personen befinden sich oft in verletzlichen Situationen, und die Entscheidungen betreffen die körperliche Unversehrtheit.

Das Gesetz unterscheidet dabei zwischen verschiedenen Kategorien von KI im Gesundheitswesen:

KI in Medizinprodukten – Systeme, die bereits unter die EU-Medizinprodukteverordnung (MDR, Verordnung (EU) 2017/745) oder die In-vitro-Diagnostika-Verordnung (IVDR, Verordnung (EU) 2017/746) fallen
Eigenständige KI-Systeme im Gesundheitskontext, die keine zertifizierten Medizinprodukte sind
Administrative KI – Terminplanungssoftware, Abrechnungssysteme, interne Prozessautomatisierung

Die Einordnung in eine dieser Kategorien bestimmt maßgeblich, welche Pflichten gelten. Für einen detaillierten Überblick über die Risikoklassen allgemein empfiehlt sich unser Artikel KI-Risikoklassen im Vergleich.

Hochrisiko-KI im Gesundheitswesen: Was zählt dazu?

Der AI Act klassifiziert KI-Systeme als Hochrisiko, wenn sie selbst ein Medizinprodukt oder In-vitro-Diagnostikum sind oder als Sicherheitsbauteil in einem solchen Produkt eingesetzt werden – und das Produkt einer Konformitätsbewertung durch eine Benannte Stelle unterliegt (Art. 6 Abs. 1, Anhang I Abschnitt A). Diese Pflichten gelten ab dem 2. August 2028. Das klingt technisch – hat aber weitreichende Konsequenzen.

Seit dem Digital Omnibus (VO (EU) 2026/1744, in Kraft seit 27. Juli 2026) ist der Begriff des Sicherheitsbauteils enger gefasst: Gemeint ist nur eine Komponente, deren Zweck es ist, Risiken für Gesundheit und Sicherheit abzuwenden oder zu mindern. KI, die ausschließlich der Nutzerunterstützung, Effizienz, Automatisierung oder dem Bedienkomfort dient, ist kein Sicherheitsbauteil – die bloße Integration in ein Medizinprodukt reicht nicht. Ist die KI-Software dagegen selbst das Medizinprodukt, kommt es auf diese Abgrenzung nicht an.

Daneben gibt es Hochrisiko-Fälle nach Anhang III, die ab dem 2. Dezember 2027 gelten – im Gesundheitskontext etwa die Triage von Notfallpatienten oder Systeme, mit denen Behörden über den Anspruch auf öffentliche Gesundheitsleistungen entscheiden.

Typische Hochrisiko-Systeme in der Praxis

Anwendung	Einordnung	Begründung
KI-gestützte Radiologiediagnostik	Hochrisiko (Anhang I)	In der Regel selbst Medizinprodukt mit Benannter Stelle
Automatisierte Auswertung von EKG/EEG	Hochrisiko (Anhang I)	Diagnostische Software, in der Regel Medizinprodukt ab Klasse IIa
KI zur Früherkennung von Sepsis	Hochrisiko (Anhang I)	Wenn als Medizinprodukt ab Klasse IIa einzustufen
KI-Dosierungsempfehlungen	Hochrisiko (Anhang I)	Wenn als Medizinprodukt ab Klasse IIa einzustufen
KI-Triage in der Notaufnahme	Hochrisiko (Anhang III)	Ausdrücklich in Anhang III Nr. 5 genannt
Automatische Terminvergabe	Niedrig/Minimal	Kein Einfluss auf klinische Entscheidungen
KI für Abrechnungsprüfung	Minimal	Administrativ, nicht patientenrelevant
Chatbot für allgemeine Gesundheitsinfos*	Zu prüfen	Abhängig von Risikoprofil

*Hinweis: Allgemeine Gesundheits-Chatbots fallen nicht automatisch unter Hochrisiko, können aber bei spezifischer Diagnose- oder Behandlungsempfehlung in diese Kategorie rutschen.

Der Sonderfall: MDR und AI Act im Doppelpack

Hier liegt die größte Komplexität für die Branche. Wer ein KI-gestütztes Medizinprodukt entwickelt oder betreibt, muss grundsätzlich beide Regelwerke parallel einhalten. Der AI Act schafft dabei keine vollständige Parallelstruktur – er baut auf der MDR-Konformitätsbewertung auf. Die AI-Act-Pflichten für solche Produkte gelten ab dem 2. August 2028.

Konkret: Wenn ein KI-System als Medizinprodukt (oder Teil davon) mit Beteiligung einer Benannten Stelle nach MDR oder IVDR bewertet wird, werden die AI-Act-Anforderungen in diese Konformitätsbewertung integriert – es gibt kein separates Verfahren. Das gilt auch, wenn ein System zugleich unter Anhang I und Anhang III fällt: Dann folgt der Anbieter dem Verfahren der einschlägigen Harmonisierungsvorschrift, hier also der MDR bzw. IVDR. Das reduziert den Aufwand – aber eliminiert ihn nicht. Die spezifischen AI-Act-Anforderungen bleiben zusätzlich bestehen.

Die konkreten Pflichten für Hochrisiko-KI im Gesundheitswesen

1. Risikomanagementsystem

Hochrisiko-KI-Systeme müssen über den gesamten Lebenszyklus ein dokumentiertes Risikomanagementsystem verfügen. Für Medizintechnikunternehmen, die bereits ISO 14971 (Risikomanagement für Medizinprodukte) anwenden, ist das eine gute Ausgangsbasis – aber nicht ausreichend. Der AI Act fordert zusätzlich:

Identifikation und Analyse von Risiken, die spezifisch durch die KI-Komponente entstehen (z. B. Halluzinationen, Bias in Trainingsdaten, Verteilungsverschiebungen im Datensatz)
Regelmäßige Überprüfung nach dem Inverkehrbringen
Dokumentation von Maßnahmen zur Risikominimierung

2. Daten-Governance und Trainingsqualität

Das Gesundheitswesen produziert sensible Daten – und KI-Systeme sind nur so gut wie die Daten, mit denen sie trainiert wurden. Der AI Act verpflichtet Entwickler von Hochrisiko-KI zur Dokumentation der Datenqualitätskriterien:

Herkunft und Repräsentativität der Trainingsdaten
Maßnahmen gegen demographischen Bias (Geschlecht, Alter, Herkunft – im medizinischen Kontext besonders kritisch)
Umgang mit fehlenden oder fehlerhaften Datenpunkten

Praxisbeispiel: Ein KI-System zur Melanom-Erkennung, das primär auf Bilddaten hellhäutiger Patientinnen und Patienten trainiert wurde, kann bei dunklerer Haut systematisch versagen. Ohne dokumentierte Gegenstrategie ist das ein AI-Act-Compliance-Problem – und ein medizinisches.

3. Technische Dokumentation

Hochrisiko-Systeme benötigen eine umfassende technische Dokumentation, die auf Anfrage der zuständigen Behörden vorgelegt werden kann. Im Gesundheitskontext umfasst das:

Beschreibung des Systems und seiner Zweckbestimmung
Informationen über Trainingsdaten und -methodik
Metriken zur Systemleistung (Sensitivität, Spezifität, Grenzwerte)
Bekannte Einschränkungen und Kontraindikationen

4. Transparenz und menschliche Aufsicht

Dieser Punkt ist im Gesundheitswesen besonders heikel. Der AI Act fordert, dass Hochrisiko-KI-Systeme so gestaltet sind, dass natürliche Personen die Ausgaben effektiv überwachen können.

Das bedeutet in der Praxis:

KI-Ausgaben müssen als solche erkennbar sein (keine Black-Box-Entscheidungen ohne Erklärbarkeit)
Es muss eine Möglichkeit geben, die KI-Empfehlung zu überschreiben oder zu ignorieren
Das medizinische Personal muss ausreichend geschult sein – hier greift auch die KI-Kompetenz nach AI Act

Für viele Kliniken bedeutet das eine Überarbeitung bestehender Workflows: Wenn das Radiologie-System eine Diagnose vorschlägt, reicht es nicht, dass eine Ärztin oder ein Arzt formal „bestätigt“ – sie oder er muss die Ausgabe tatsächlich kritisch bewerten können.

5. Konformitätsbewertung und CE-Kennzeichnung

Hochrisiko-KI-Systeme im Gesundheitswesen, die als Medizinprodukt eingestuft sind, benötigen eine CE-Kennzeichnung – wobei die AI-Act-Anforderungen im Konformitätsbewertungsverfahren nach MDR bzw. IVDR mitgeprüft werden. Eigenständige Hochrisiko-KI-Systeme (also keine Medizinprodukte) müssen ebenfalls eine Konformitätsbewertung durchlaufen, bevor sie in Verkehr gebracht werden.

Besonderheiten für verschiedene Akteure

Krankenhäuser und Kliniken als Betreiber

Wer KI-Systeme einsetzt (ohne selbst Entwickler zu sein), gilt als Betreiber im Sinne des AI Act. Das entbindet nicht von allen Pflichten. Betreiber müssen:

Sicherstellen, dass das System gemäß Bedienungsanleitung eingesetzt wird
Die menschliche Aufsicht Personen mit der nötigen Kompetenz, Schulung und Befugnis übertragen (Art. 26 Abs. 2) – unabhängig davon gilt die Pflicht nach Art. 4, die KI-Kompetenz der Mitarbeitenden durch geeignete Maßnahmen zu fördern
Den Betrieb überwachen, automatisch erzeugte Protokolle mindestens sechs Monate aufbewahren und schwerwiegende Vorfälle zuerst dem Anbieter, dann der Marktüberwachungsbehörde melden
Das System nicht außerhalb der vom Hersteller vorgesehenen Zweckbestimmung einsetzen

Wichtig: Wer ein Hochrisiko-KI-System für eine andere Zweckbestimmung einsetzt als vom Hersteller vorgesehen, gilt selbst als Anbieter – mit allen entsprechenden Pflichten. Eine Klinik, die ein KI-Tool zur Bildgebung auch für Screening-Zwecke außerhalb der ursprünglichen Indikation nutzt, übernimmt damit Anbieter-Verantwortung.

Medizintechnik-Startups und Entwickler

Für Anbieter von KI-gestützten Medizinprodukten ist der Aufwand am höchsten. Wer ein KI-System entwickelt und in Verkehr bringen möchte, muss:

Die Konformitätsbewertung (MDR + AI Act) abschließen, bevor das Produkt auf den Markt kommt
Die Registrierung in der Medizinprodukte-Datenbank EUDAMED nach MDR/IVDR vornehmen (die EU-Datenbank des AI Act nach Art. 71 betrifft Hochrisiko-Systeme nach Anhang III)
Ein Post-Market-Surveillance-System einrichten

Das ist keine triviale Aufgabe. Ein realistisches Beispiel aus der Praxis: Ein HealthTech-Startup, das eine KI-gestützte App zur Diagnoseunterstützung bei Hautkrankheiten entwickelt, muss je nach Risikoklasse (nach MDR) eine Benannte Stelle einschalten, umfangreiche klinische Bewertungen vorlegen und die AI-Act-Anforderungen parallel erfüllen. Zeitrahmen: typischerweise 18 bis 36 Monate für Klasse IIb-Produkte.

Arztpraxen und niedergelassene Ärzte

Kleinere Praxen stehen vor einer anderen Herausforderung: Sie setzen KI-Systeme ein, die von Dritten entwickelt wurden, und fragen sich, was das für sie bedeutet. Die gute Nachricht: Als reine Betreiber haben Praxen deutlich weniger Pflichten als Anbieter. Die wichtigsten Punkte:

Vor der Nutzung: Prüfen, ob das System für den geplanten Einsatz zugelassen ist
Maßnahmen zur KI-Kompetenz der Mitarbeitenden ergreifen (Art. 4 gilt auch in kleinen Praxen!)
Bei Vorfällen melden – der AI Act kennt Meldepflichten für Betreiber bei schwerwiegenden Vorfällen
Dokumentation der genutzten KI-Systeme (ein KI-Inventar ist empfehlenswert – wie Sie eines erstellen, beschreibt unser Artikel KI-Inventar erstellen – Anleitung)

Zeitplan: Was bis wann gilt

Der AI Act Zeitplan ist komplex, aber für das Gesundheitswesen gelten einige konkrete Meilensteine:

Seit August 2024: AI Act in Kraft
Februar 2025: Verbote für inakzeptable Risiken gelten (relevant z. B. für biometrische Kategorisierung); zugleich gilt die Pflicht zur KI-Kompetenz nach Art. 4
August 2025: GPAI-Regeln und Governance-Vorschriften anwendbar
August 2026: Transparenzpflichten nach Art. 50 (z. B. Kennzeichnung von Chatbots) gelten; Verbote, Transparenz und KI-Kompetenz sind seitdem durchsetzbar
2. Dezember 2027: Hochrisiko-Pflichten für Systeme nach Anhang III gelten, z. B. für KI-Triage in der Notaufnahme (verschoben durch den Digital Omnibus, VO (EU) 2026/1744)
2. August 2028: Hochrisiko-Pflichten für KI in Medizinprodukten und In-vitro-Diagnostika (Anhang I Abschnitt A) gelten – dies ist der kritische Termin für die Medizintechnik (ebenfalls verschoben durch den Digital Omnibus)

Der Zeitdruck ist real. Wer mit der Konformitätsbewertung für ein Hochrisiko-Medizinprodukt erst Anfang 2028 beginnt, wird den Termin kaum halten.

Praktische Checkliste für den Einstieg

Egal ob Klinik, Praxis oder HealthTech-Unternehmen – diese ersten Schritte sollten Priorität haben:

KI-Inventar erstellen: Alle eingesetzten oder geplanten KI-Systeme erfassen
Risikoklassen bestimmen: Ist das System ein Medizinprodukt nach MDR/IVDR? Ist es Hochrisiko nach AI Act?
Rolle klären: Sind Sie Anbieter, Betreiber oder beides?
Lückenanalyse: Welche Anforderungen des AI Act sind bereits durch MDR-Compliance erfüllt, welche nicht?
Schulungsplan: Wer nutzt KI-Systeme? Mit welchen Maßnahmen fördern Sie die KI-Kompetenz nach Art. 4?
Vorfallsmanagement: Existiert ein Prozess für die Meldung von KI-bezogenen Vorfällen?

Für eine vollständige Übersicht der KMU-Pflichten empfiehlt sich unsere AI Act Pflichten KMU Checkliste.

Der Einstieg in diese Checkliste ist immer derselbe: erst wissen, welche Systeme im Haus laufen und wie sie einzustufen sind. Der KI-Kompass führt durch genau diesen Teil, von der Erfassung bis zur Risikoklasse.

Fazit: Gesundheitswesen braucht KI-Compliance-Strategie, keine Einzelmaßnahmen

Das Gesundheitswesen ist nicht irgendeine Branche im AI-Act-Kontext – es ist eine der sensibelsten. Die Überlagerung von MDR/IVDR und AI Act schafft eine Komplexität, die mit Einzelmaßnahmen nicht zu bewältigen ist. Notwendig ist eine systematische Herangehensweise: Inventarisierung, Risikoklassifizierung, Lückenanalyse, Dokumentation und Schulung.

Die gute Nachricht: Wer bereits MDR-konform arbeitet, hat keine leere Startbahn. Viele Anforderungen überschneiden sich. Aber der AI Act fügt eigene Dimensionen hinzu – insbesondere rund um Trainingsdaten, Bias, Erklärbarkeit und menschliche Aufsicht –, die im Medizinprodukterecht bisher nicht adressiert waren.

Entscheidend ist, jetzt zu beginnen. Dezember 2027 und August 2028 klingen weit weg, aber die Vorbereitung braucht Zeit.