AI Act im Gesundheitswesen – Besondere Anforderungen

82 Prozent der Kliniken in Deutschland setzen bereits KI-gestützte Systeme ein – von der Bildauswertung im Röntgen bis zur automatisierten Terminvergabe. Gleichzeitig ist kaum eine Branche vom AI Act stärker betroffen als das Gesundheitswesen. Denn wo Algorithmen über Diagnosen, Behandlungspfade oder Medikamentendosierungen mitentscheiden, steht buchstäblich Menschenleben auf dem Spiel. Der Gesetzgeber hat das erkannt – und entsprechend strenge Anforderungen formuliert.

Für Krankenhäuser, Arztpraxen, Medizintechnik-Unternehmen und HealthTech-Startups im DACH-Raum bedeutet das: Die nächsten Monate sind entscheidend. Wer jetzt nicht handelt, riskiert nicht nur empfindliche Bußgelder, sondern auch den Verlust des Marktzugangs für KI-gestützte Produkte.

Warum das Gesundheitswesen besonders betroffen ist

Der AI Act stuft KI-Systeme nach ihrem Risikopotenzial ein. Und im Gesundheitswesen häufen sich die Faktoren, die zur höchsten Risikoklasse führen: Fehler können irreversibel sein, betroffene Personen befinden sich oft in verletzlichen Situationen, und die Entscheidungen betreffen die körperliche Unversehrtheit.

Das Gesetz unterscheidet dabei zwischen verschiedenen Kategorien von KI im Gesundheitswesen:

KI in Medizinprodukten – Systeme, die bereits unter die EU-Medizinprodukteverordnung (MDR, Verordnung (EU) 2017/745) oder die In-vitro-Diagnostika-Verordnung (IVDR, Verordnung (EU) 2017/746) fallen
Eigenständige KI-Systeme im Gesundheitskontext, die keine zertifizierten Medizinprodukte sind
Administrative KI – Terminplanungssoftware, Abrechnungssysteme, interne Prozessautomatisierung

Die Einordnung in eine dieser Kategorien bestimmt maßgeblich, welche Pflichten gelten. Für einen detaillierten Überblick über die Risikoklassen allgemein empfiehlt sich unser Artikel KI-Risikoklassen im Vergleich.

Hochrisiko-KI im Gesundheitswesen: Was zählt dazu?

Der AI Act klassifiziert KI-Systeme als Hochrisiko, wenn sie als Sicherheitskomponente in einem Medizinprodukt oder In-vitro-Diagnostikum eingesetzt werden, das einer Konformitätsbewertung durch Dritte unterliegt. Das klingt technisch – hat aber weitreichende Konsequenzen.

Typische Hochrisiko-Systeme in der Praxis

Anwendung	Einordnung	Begründung
KI-gestützte Radiologiediagnostik	Hochrisiko	Sicherheitskomponente eines Medizinprodukts
Automatisierte Auswertung von EKG/EEG	Hochrisiko	Direkte klinische Entscheidungsunterstützung
KI zur Früherkennung von Sepsis	Hochrisiko	Patientensicherheit kritisch abhängig
KI-Dosierungsempfehlungen	Hochrisiko	Direkte Auswirkung auf Behandlung
Automatische Terminvergabe	Niedrig/Minimal	Kein Einfluss auf klinische Entscheidungen
KI für Abrechnungsprüfung	Minimal	Administrativ, nicht patientenrelevant
Chatbot für allgemeine Gesundheitsinfos*	Zu prüfen	Abhängig von Risikoprofil

*Hinweis: Allgemeine Gesundheits-Chatbots fallen nicht automatisch unter Hochrisiko, können aber bei spezifischer Diagnose- oder Behandlungsempfehlung in diese Kategorie rutschen.

Der Sonderfall: MDR und AI Act im Doppelpack

Hier liegt die größte Komplexität für die Branche. Wer ein KI-gestütztes Medizinprodukt entwickelt oder betreibt, muss grundsätzlich beide Regelwerke parallel einhalten. Der AI Act schafft dabei keine vollständige Parallelstruktur – er baut auf der MDR-Konformitätsbewertung auf.

Konkret: Wenn ein KI-System bereits als Teil eines Medizinprodukts der Klasse IIb oder III nach MDR zertifiziert ist, kann die technische Dokumentation und Konformitätsbewertung nach AI Act in diesen Prozess integriert werden. Das reduziert den Aufwand – aber eliminiert ihn nicht. Die spezifischen AI-Act-Anforderungen bleiben zusätzlich bestehen.

Die konkreten Pflichten für Hochrisiko-KI im Gesundheitswesen

1. Risikomanagementsystem

Hochrisiko-KI-Systeme müssen über den gesamten Lebenszyklus ein dokumentiertes Risikomanagementsystem verfügen. Für Medizintechnikunternehmen, die bereits ISO 14971 (Risikomanagement für Medizinprodukte) anwenden, ist das eine gute Ausgangsbasis – aber nicht ausreichend. Der AI Act fordert zusätzlich:

Identifikation und Analyse von Risiken, die spezifisch durch die KI-Komponente entstehen (z. B. Halluzinationen, Bias in Trainingsdaten, Verteilungsverschiebungen im Datensatz)
Regelmäßige Überprüfung nach dem Inverkehrbringen
Dokumentation von Maßnahmen zur Risikominimierung

2. Daten-Governance und Trainingsqualität

Das Gesundheitswesen produziert sensible Daten – und KI-Systeme sind nur so gut wie die Daten, mit denen sie trainiert wurden. Der AI Act verpflichtet Entwickler von Hochrisiko-KI zur Dokumentation der Datenqualitätskriterien:

Herkunft und Repräsentativität der Trainingsdaten
Maßnahmen gegen demographischen Bias (Geschlecht, Alter, Herkunft – im medizinischen Kontext besonders kritisch)
Umgang mit fehlenden oder fehlerhaften Datenpunkten

Praxisbeispiel: Ein KI-System zur Melanom-Erkennung, das primär auf Bilddaten hellhäutiger Patientinnen und Patienten trainiert wurde, kann bei dunklerer Haut systematisch versagen. Ohne dokumentierte Gegenstrategie ist das ein AI-Act-Compliance-Problem – und ein medizinisches.

3. Technische Dokumentation

Hochrisiko-Systeme benötigen eine umfassende technische Dokumentation, die auf Anfrage der zuständigen Behörden vorgelegt werden kann. Im Gesundheitskontext umfasst das:

Beschreibung des Systems und seiner Zweckbestimmung
Informationen über Trainingsdaten und -methodik
Metriken zur Systemleistung (Sensitivität, Spezifität, Grenzwerte)
Bekannte Einschränkungen und Kontraindikationen

4. Transparenz und menschliche Aufsicht

Dieser Punkt ist im Gesundheitswesen besonders heikel. Der AI Act fordert, dass Hochrisiko-KI-Systeme so gestaltet sind, dass natürliche Personen die Ausgaben effektiv überwachen können.

Das bedeutet in der Praxis:

KI-Ausgaben müssen als solche erkennbar sein (keine Black-Box-Entscheidungen ohne Erklärbarkeit)
Es muss eine Möglichkeit geben, die KI-Empfehlung zu überschreiben oder zu ignorieren
Das medizinische Personal muss ausreichend geschult sein – hier greift auch die KI-Kompetenz nach AI Act

Für viele Kliniken bedeutet das eine Überarbeitung bestehender Workflows: Wenn das Radiologie-System eine Diagnose vorschlägt, reicht es nicht, dass eine Ärztin oder ein Arzt formal „bestätigt“ – sie oder er muss die Ausgabe tatsächlich kritisch bewerten können.

5. Konformitätsbewertung und CE-Kennzeichnung

Hochrisiko-KI-Systeme im Gesundheitswesen, die als Medizinprodukt eingestuft sind, benötigen eine CE-Kennzeichnung – wobei der Konformitätsbewertungsprozess unter MDR und AI Act koordiniert durchgeführt werden kann. Eigenständige Hochrisiko-KI-Systeme (also keine Medizinprodukte) müssen ebenfalls eine Konformitätsbewertung durchlaufen, bevor sie in Verkehr gebracht werden.

Besonderheiten für verschiedene Akteure

Krankenhäuser und Kliniken als Betreiber

Wer KI-Systeme einsetzt (ohne selbst Entwickler zu sein), gilt als Betreiber im Sinne des AI Act. Das entbindet nicht von allen Pflichten. Betreiber müssen:

Sicherstellen, dass das System gemäß Bedienungsanleitung eingesetzt wird
Mitarbeitende schulen (Literacy-Empfehlung nach Art. 4 (seit Digital Omnibus keine Pflicht mehr))
Schwerwiegende Vorfälle an die nationale Behörde melden
Eine eigene Risikobewertung durchführen, wenn das System von der vorgesehenen Zweckbestimmung abweicht

Wichtig: Wer ein Hochrisiko-KI-System für eine andere Zweckbestimmung einsetzt als vom Hersteller vorgesehen, gilt selbst als Anbieter – mit allen entsprechenden Pflichten. Eine Klinik, die ein KI-Tool zur Bildgebung auch für Screening-Zwecke außerhalb der ursprünglichen Indikation nutzt, übernimmt damit Anbieter-Verantwortung.

Medizintechnik-Startups und Entwickler

Für Anbieter von KI-gestützten Medizinprodukten ist der Aufwand am höchsten. Wer ein KI-System entwickelt und in Verkehr bringen möchte, muss:

Die Konformitätsbewertung (MDR + AI Act) abschließen, bevor das Produkt auf den Markt kommt
Registrierung in der EU-Datenbank EUDAMED vornehmen
Ein Post-Market-Surveillance-System einrichten

Das ist keine triviale Aufgabe. Ein realistisches Beispiel aus der Praxis: Ein HealthTech-Startup, das eine KI-gestützte App zur Diagnoseunterstützung bei Hautkrankheiten entwickelt, muss je nach Risikoklasse (nach MDR) eine Benannte Stelle einschalten, umfangreiche klinische Bewertungen vorlegen und die AI-Act-Anforderungen parallel erfüllen. Zeitrahmen: typischerweise 18 bis 36 Monate für Klasse IIb-Produkte.

Arztpraxen und niedergelassene Ärzte

Kleinere Praxen stehen vor einer anderen Herausforderung: Sie setzen KI-Systeme ein, die von Dritten entwickelt wurden, und fragen sich, was das für sie bedeutet. Die gute Nachricht: Als reine Betreiber haben Praxen deutlich weniger Pflichten als Anbieter. Die wichtigsten Punkte:

Vor der Nutzung: Prüfen, ob das System für den geplanten Einsatz zugelassen ist
Mitarbeitende schulen (auch in kleinen Praxen!)
Bei Vorfällen melden – der AI Act kennt Meldepflichten für Betreiber bei schwerwiegenden Vorfällen
Dokumentation der genutzten KI-Systeme (ein KI-Inventar ist empfehlenswert – wie Sie eines erstellen, beschreibt unser Artikel KI-Inventar erstellen – Anleitung)

Zeitplan: Was bis wann gilt

Der AI Act Zeitplan ist komplex, aber für das Gesundheitswesen gelten einige konkrete Meilensteine:

Seit August 2024: AI Act in Kraft
Februar 2025: Verbote für inakzeptable Risiken gelten (relevant z. B. für biometrische Kategorisierung)
August 2025: GPAI-Regeln und Governance-Vorschriften anwendbar
Dezember 2027: Die meisten Hochrisiko-Pflichten werden durchgesetzt (verschoben durch Digital Omnibus) – dies ist der kritische Termin für das Gesundheitswesen
August 2028: Ausnahmen für bestimmte Medizinprodukte enden (verschoben durch Digital Omnibus)

Der Zeitdruck ist real. Wer mit der Konformitätsbewertung für ein Hochrisiko-Medizinprodukt erst Mitte 2027 beginnt, wird den Termin nicht halten.

Praktische Checkliste für den Einstieg

Egal ob Klinik, Praxis oder HealthTech-Unternehmen – diese ersten Schritte sollten Priorität haben:

KI-Inventar erstellen: Alle eingesetzten oder geplanten KI-Systeme erfassen
Risikoklassen bestimmen: Ist das System ein Medizinprodukt nach MDR/IVDR? Ist es Hochrisiko nach AI Act?
Rolle klären: Sind Sie Anbieter, Betreiber oder beides?
Lückenanalyse: Welche Anforderungen des AI Act sind bereits durch MDR-Compliance erfüllt, welche nicht?
Schulungsplan: Wer nutzt KI-Systeme? Wie wird die Literacy-Empfehlung nach Art. 4 erfüllt?
Vorfallsmanagement: Existiert ein Prozess für die Meldung von KI-bezogenen Vorfällen?

Für eine vollständige Übersicht der KMU-Pflichten empfiehlt sich unsere AI Act Pflichten KMU Checkliste.

Der Einstieg in diese Checkliste ist immer derselbe: erst wissen, welche Systeme im Haus laufen und wie sie einzustufen sind. Der KI-Kompass führt durch genau diesen Teil, von der Erfassung bis zur Risikoklasse.

Fazit: Gesundheitswesen braucht KI-Compliance-Strategie, keine Einzelmaßnahmen

Das Gesundheitswesen ist nicht irgendeine Branche im AI-Act-Kontext – es ist eine der sensibelsten. Die Überlagerung von MDR/IVDR und AI Act schafft eine Komplexität, die mit Einzelmaßnahmen nicht zu bewältigen ist. Notwendig ist eine systematische Herangehensweise: Inventarisierung, Risikoklassifizierung, Lückenanalyse, Dokumentation und Schulung.

Die gute Nachricht: Wer bereits MDR-konform arbeitet, hat keine leere Startbahn. Viele Anforderungen überschneiden sich. Aber der AI Act fügt eigene Dimensionen hinzu – insbesondere rund um Trainingsdaten, Bias, Erklärbarkeit und menschliche Aufsicht –, die im Medizinprodukterecht bisher nicht adressiert waren.

Entscheidend ist, jetzt zu beginnen. Der Dezember 2027 klingt weit weg, aber die Vorbereitung braucht Zeit.