EU AI Act für Krankenhäuser: Leitfaden für Häuser mit und ohne KRITIS-Status

Krankenhäuser gehören zu den Einrichtungen, die vom EU AI Act besonders betroffen sind, große Häuser zusätzlich als Betreiber kritischer Infrastrukturen (KRITIS). Sie setzen nicht nur einzelne KI-Systeme ein, sondern betreiben oft eine heterogene Landschaft aus dutzenden Systemen verschiedener Hersteller: von der radiologischen Bildanalyse über die Laborautomation bis zur prädiktiven Patientensteuerung. Der EU AI Act bringt für diese Multi-System-Landschaft umfangreiche neue Pflichten mit sich.

Dieser Artikel analysiert die spezifischen Herausforderungen für Krankenhäuser und bietet eine praktische Compliance-Roadmap. Er ergänzt den allgemeinen Überblick zum EU AI Act im Gesundheitswesen um die Perspektive des Krankenhauses, mit und ohne KRITIS-Status.

Was im Krankenhaus anders ist

Vier Punkte unterscheiden das Krankenhaus von der Praxis. Die Verfügbarkeitsanforderungen betreffen Häuser ab einer bestimmten Größe (derzeit ab 30.000 vollstationären Fällen pro Jahr), die als KRITIS-Betreiber gelten, die übrigen Punkte jedes Haus.

• Betreiberpflichten: Krankenhäuser sind in den meisten Fällen "Betreiber" (Deployer) von KI-Systemen, nicht Anbieter (Provider). Der EU AI Act weist Betreibern von Hochrisiko-KI-Systemen eigene Pflichten nach Art. 26 zu, ab dem 2. August 2028 für KI in Medizinprodukten und ab dem 2. Dezember 2027 für Systeme nach Anhang III. Nur für Anhang-III-Systeme kann die Grundrechte-Folgenabschätzung nach Art. 27 hinzukommen.
• Verfügbarkeitsanforderungen: Als KRITIS-Betreiber müssen Krankenhäuser die Verfügbarkeit ihrer Systeme sicherstellen. Ein KI-Systemausfall in der Notaufnahme hat andere Konsequenzen als in einem Büroumfeld. Fallback-Prozesse für jeden KI-gestützten klinischen Workflow sind zwingend erforderlich.
• Mehrdimensionale Regulierung: Neben dem EU AI Act gelten gleichzeitig KRITIS-Anforderungen nach BSI-Gesetz, NIS2-Umsetzungsgesetz, Krankenhausstrukturgesetz und landesspezifische Regelungen. Die Compliance-Anforderungen multiplizieren sich.
• Ressourcenbegrenzung: Im Gegensatz zu Technologieunternehmen verfügen Krankenhäuser typischerweise nicht über spezialisierte KI-Compliance-Teams. Die Umsetzung muss mit den vorhandenen Strukturen, IT-Abteilung, Medizintechnik und Qualitätsmanagement, leistbar sein.

Grundrechte-Folgenabschätzung nach Art. 27

Art. 27 EU AI Act verpflichtet bestimmte Betreiber von Hochrisiko-KI-Systemen zu einer Grundrechte-Folgenabschätzung (Fundamental Rights Impact Assessment, FRIA). Die Norm gilt enger, als sie oft zitiert wird. Sie knüpft nur an Hochrisiko-Systeme nach Art. 6 Abs. 2 und Anhang III an. KI in Medizinprodukten, die über Art. 6 Abs. 1 und Anhang I hochriskant ist, also Diagnose-KI, Bildanalyse und Therapieempfehlung, löst sie nicht aus. Im Krankenhaus betrifft Art. 27 damit vor allem die Triage in der Notaufnahme (Anhang III Nr. 5 lit. d), dazu etwa Systeme zur Emotionserkennung und KI in Personalentscheidungen.

Adressaten sind Einrichtungen des öffentlichen Rechts und private Einrichtungen, die öffentliche Dienste erbringen. Ein Haus in öffentlich-rechtlicher Trägerschaft, etwa ein Eigenbetrieb oder ein Universitätsklinikum, fällt darunter. Für private Träger und die gGmbH spricht Erwägungsgrund 96, der die Gesundheitsversorgung ausdrücklich nennt; das ist eine vertretbare Auslegung und keine abschließende Klärung. Die Pflicht gilt wie Art. 26 für Anhang-III-Systeme ab dem 2. Dezember 2027.

Was die FRIA umfassen muss

• Beschreibung der Prozesse: In welchen klinischen Prozessen wird das KI-System eingesetzt? Welche Entscheidungen werden durch das System beeinflusst?
• Betroffene Personengruppen: Welche Patientengruppen sind betroffen? Besondere Aufmerksamkeit gilt vulnerablen Gruppen (Kinder, ältere Menschen, Menschen mit Behinderungen, Schwangere).
• Betroffene Grundrechte: Welche Grundrechte sind potenziell betroffen? Im Krankenhaus typisch: Recht auf Gesundheit, Recht auf Nichtdiskriminierung, Menschenwürde, Datenschutz, Recht auf eine gute Verwaltung.
• Risikominderungsmaßnahmen: Welche Maßnahmen werden ergriffen, um identifizierte Risiken zu minimieren? Human Oversight, Monitoring, Beschwerdemechanismen.
• Überwachungsplan: Wie wird die Einhaltung der Grundrechte laufend überprüft?

Die FRIA ist vor der Inbetriebnahme des KI-Systems durchzuführen und bei Änderungen zu aktualisieren. Ihr Ergebnis teilt das Haus der Marktüberwachungsbehörde mit (Art. 27 Abs. 3).

Praktischer Ansatz für Krankenhäuser

Angesichts der Vielzahl eingesetzter KI-Systeme empfiehlt sich ein risikoorientierter Ansatz. Zuerst wird je System geklärt, ob es über Anhang III hochriskant ist, nur dann stellt sich die Frage der FRIA. Seit dem Digital Omnibus darf die FRIA auf die einschlägigen Abschnitte der Datenschutz-Folgenabschätzung verweisen (Art. 27 Abs. 4), und bei ähnlichen Fällen darf sich das Haus auf frühere Abschätzungen stützen.

KI-Kompetenz nach Art. 4 in einem Haus mit hunderten Mitarbeitenden

Art. 4 EU AI Act verpflichtet Anbieter und Betreiber, Maßnahmen zu ergreifen, die die Entwicklung der KI-Kompetenz ("AI Literacy") ihres Personals unterstützen, ausdrücklich ohne Garantie für ein bestimmtes Niveau. Für ein Krankenhaus mit hunderten oder tausenden Mitarbeitern, die mit KI-Systemen interagieren, ist das eine erhebliche organisatorische Herausforderung.

Zielgruppenspezifische Schulungskonzepte

Ein einheitliches Schulungsprogramm für alle Mitarbeiter ist weder praktikabel noch sinnvoll. Stattdessen sollten Krankenhäuser ein abgestuftes Konzept entwickeln:

• Basismodul (alle Mitarbeiter): Grundverständnis von KI, Erkennen von KI-generierten Ergebnissen, Grenzen der KI, Meldewege bei Auffälligkeiten. Umfang: ca. 2-4 Stunden, als E-Learning skalierbar.
• Anwendermodul (klinisches Personal): Systemspezifische Schulung für jedes eingesetzte KI-System. Interpretation von KI-Ergebnissen, Umgang mit Unsicherheiten, Dokumentationspflichten, Override-Szenarien. Umfang: je 4-8 Stunden pro System.
• Führungsmodul (Chefärzte, Abteilungsleiter): Fachliche Aufsichtspflichten, Risikobewertung, Eskalationsprozesse, regulatorische Grundlagen. Umfang: 1-2 Tage.
• Expertenmodul (IT, Medizintechnik, QM): Technische Überwachung, Incident Response, Compliance-Monitoring, Zusammenarbeit mit Herstellern. Umfang: 2-3 Tage plus regelmäßige Updates.

Die Bemühungspflicht nach Art. 4 ist keine einmalige Maßnahme: Art. 4 verlangt, dass Betreiber fortlaufend Maßnahmen zur Förderung der KI-Kompetenz ergreifen (seit dem Digital Omnibus als Bemühungspflicht ausgestaltet, nicht mehr als Erfolgspflicht). Das bedeutet regelmäßige, dokumentierte Auffrischungen, insbesondere bei neuen Systemen oder aktualisierten Modellen. Dafür braucht es ein strukturiertes KI-Governance-Framework.

Multi-System-Landschaft: Inventarisierung und Klassifizierung

Bevor ein Krankenhaus seine AI-Act-Compliance planen kann, muss es wissen, welche KI-Systeme es überhaupt einsetzt. In der Praxis zeigt sich, dass viele Häuser keinen vollständigen Überblick über ihre KI-Landschaft haben. KI-Funktionalitäten sind oft in größere Softwaresysteme eingebettet; das radiologische PACS, das Laborinformationssystem oder die elektronische Patientenakte können KI-Komponenten enthalten, ohne dass diese explizit als solche beschafft wurden.

Schritt 1: KI-Inventar erstellen

• Systematische Befragung aller Abteilungen und Fachbereiche
• Überprüfung aller Softwareverträge auf KI-Komponenten
• Einbeziehung von Forschungsprojekten und Pilotprogrammen
• Identifikation von "Shadow AI", also KI-Nutzung ohne zentrale IT-Kenntnis

Schritt 2: Risikoklassifizierung

Jedes identifizierte KI-System muss nach dem EU AI Act klassifiziert werden. Für Krankenhäuser sind typischerweise folgende Kategorien relevant:

• Hochrisiko über Anhang I: KI-Systeme, die selbst Medizinprodukt oder Sicherheitskomponente eines Medizinprodukts sind und einer Konformitätsbewertung durch eine Benannte Stelle unterliegen (Art. 6 Abs. 1). Das betrifft den Großteil der klinischen KI-Anwendungen, die Betreiberpflichten gelten ab dem 2. August 2028.
• Hochrisiko über Anhang III: vor allem die Triage in der Notaufnahme, dazu Emotionserkennung und KI in Personalentscheidungen. Die Pflichten gelten ab dem 2. Dezember 2027, hier kann Art. 27 hinzukommen. Weitere Details zur Hochrisiko-Klassifizierung.
• Begrenztes Risiko: KI-Systeme mit Transparenzpflichten, z.B. Chatbots für die Patientenkommunikation.
• Minimales Risiko: KI-Systeme ohne spezifische Anforderungen, z.B. Spam-Filter oder einfache Textvorschläge.

Schritt 3: Pflichten pro System dokumentieren

Für jedes System werden die anwendbaren Betreiberpflichten dokumentiert: Nutzung gemäß Gebrauchsanweisung, Human Oversight sicherstellen, Eingabedaten prüfen, Logs aufbewahren, Betroffene informieren, Grundrechte-Folgenabschätzung (bei Anhang-III-Systemen, wo Art. 27 greift), Meldepflichten bei Vorfällen. Diese Dokumentation bildet die Basis für das KI-Register, auf dem die übrige Governance aufsetzt.

Praktische Compliance-Roadmap für Krankenhäuser

Phase 1: Bestandsaufnahme und Organisation (Monat 1 bis 3)

• KI-Governance-Struktur etablieren: Verantwortlichkeiten definieren, Budget sichern
• KI-Inventar erstellen und Risikoklassifizierung durchführen
• Gap-Analyse: Welche Pflichten gelten bereits, was fehlt?
• Priorisierung: Hochrisiko-Systeme mit dem größten Handlungsbedarf zuerst

Phase 2: Dokumentation und Prozesse (Monat 3 bis 6)

• Grundrechte-Folgenabschätzungen für Anhang-III-Systeme durchführen, wo Art. 27 greift
• Betriebsanweisungen und Human-Oversight-Prozesse pro KI-System definieren
• Protokollierungs- und Aufbewahrungskonzepte implementieren
• Incident-Response-Prozesse für KI-Vorfälle definieren (in Abstimmung mit CIRS)
• Hersteller einbinden: Welche Informationen und Logs werden vom Hersteller bereitgestellt?

Phase 3: Schulung und Kompetenzaufbau (Monat 6 bis 9)

• Schulungskonzept nach Art. 4 entwickeln und mit der Personalentwicklung abstimmen
• E-Learning-Module für das Basismodul entwickeln oder beschaffen
• Systemspezifische Schulungen für Anwender planen und durchführen
• Führungskräfte-Workshops zur KI-Governance
• Dokumentation der durchgeführten Schulungen (Nachweis der AI Literacy)

Phase 4: Laufender Betrieb und Verbesserung (fortlaufend)

• Regelmäßiges Monitoring der KI-Systeme gemäß Betriebsanweisungen
• Jährliche Überprüfung der Grundrechte-Folgenabschätzungen und der Haftungsrisiken
• Aktualisierung des KI-Inventars bei neuen Systemen oder Updates
• Erfahrungsaustausch mit anderen Krankenhäusern und Fachgesellschaften
• Vorbereitung auf Audits durch Marktüberwachungsbehörden

Fazit: Strukturiert statt überfordert

Der EU AI Act stellt Krankenhäuser vor erhebliche, aber lösbare Herausforderungen. Der Schlüssel liegt in einem strukturierten Vorgehen: zuerst verstehen, was man hat (Inventar), dann verstehen, was man muss (Klassifizierung und Pflichten), dann priorisiert umsetzen (Roadmap). Die größte Gefahr besteht nicht in der Komplexität der einzelnen Anforderungen, sondern darin, zu spät anzufangen.

Krankenhäuser, die jetzt eine solide KI-Governance-Struktur aufbauen, schaffen nicht nur Compliance, sondern auch die Grundlage für einen verantwortungsvollen und effektiven KI-Einsatz in der Patientenversorgung.

Häufig gestellte Fragen (FAQ)

Welche besonderen EU-AI-Act-Pflichten gelten für Krankenhäuser?

Neben den Betreiberpflichten nach Art. 26, die ab dem 2. August 2028 für KI in Medizinprodukten und ab dem 2. Dezember 2027 für Systeme nach Anhang III gelten, kann bei Anhang-III-Systemen wie der Triage in der Notaufnahme eine Grundrechte-Folgenabschätzung nach Art. 27 hinzukommen. Häuser mit KRITIS-Status sichern zusätzlich die Verfügbarkeit mit Fallback-Prozessen, und die übrige Regulierung (BSI-Gesetz, NIS2) läuft parallel.

Was ist die Grundrechte-Folgenabschätzung (FRIA) nach Art. 27 EU AI Act?

Die FRIA beschreibt, welche Prozesse und Patientengruppen betroffen sind, welche Grundrechte tangiert werden und welche Risikominderungsmaßnahmen ergriffen werden. Sie betrifft nur Hochrisiko-Systeme nach Anhang III, KI in Medizinprodukten löst sie nicht aus. Sie wird vor der Inbetriebnahme durchgeführt, bei Änderungen aktualisiert, und ihr Ergebnis geht an die Marktüberwachungsbehörde.

Wie setzt ein Krankenhaus Art. 4 EU AI Act um?

Empfohlen wird ein abgestuftes Schulungskonzept: Basismodul für alle Mitarbeiter (2–4 Stunden E-Learning), Anwendermodul für klinisches Personal (4–8 Stunden pro KI-System), Führungsmodul für Chefärzte (1–2 Tage) und Expertenmodul für IT/Medizintechnik (2–3 Tage).

Wie erstelle ich ein KI-Inventar für mein Krankenhaus?

Systematische Befragung aller Abteilungen, Überprüfung aller Softwareverträge auf KI-Komponenten, Einbeziehung von Forschungsprojekten und Identifikation von Shadow AI. Anschließend Risikoklassifizierung jedes Systems nach EU AI Act.

Welche Compliance-Roadmap empfiehlt sich für Krankenhäuser beim EU AI Act?

Eine Roadmap in vier Phasen. Phase 1 (Monat 1 bis 3) Bestandsaufnahme und KI-Governance-Struktur, Phase 2 (Monat 3 bis 6) Prozessdokumentation und, wo Art. 27 greift, die FRIA, Phase 3 (Monat 6 bis 9) Schulung und Kompetenzaufbau, Phase 4 (fortlaufend) Monitoring und jährliche Reviews.