Drei Standorte, drei Standards, ein Träger

Wenn ich mit der Leitung eines MVZ-Verbunds spreche, fällt fast immer ein Satz wie dieser. „An drei von fünf Standorten läuft die KI längst. Wer dort geschult ist und wer die Aufsicht führt, kann ich Ihnen nicht aus dem Kopf sagen.“

Das hat selten mit Schlamperei zu tun und viel mit Tempo. Der Befundungsassistent, der Arztbrief-Generator, der Kodiervorschlag kamen ohne große Ankündigung als buchbare Zusatzmodule, und jeder Standort hat in seinem eigenen Takt auf „aktivieren“ geklickt. Niemand hat dafür einen Antrag gestellt, und trotzdem ist mit jedem dieser Klicks eine Betreiberstellung entstanden. In einer Einzelpraxis wäre das eine überschaubare Frage. Im Verbund wird daraus etwas anderes, und genau diese Verschiebung ist das Thema dieses Beitrags.

In der Einzelpraxis ist Compliance lokal, im Verbund wird sie zur Organisationsfrage

Eine einzelne Praxis trifft eine Entscheidung, betreibt ein Werkzeug und trägt einen überschaubaren Pflichtenkatalog. Der Arzt sieht, was läuft, weil er selbst auf den Knopf gedrückt hat.

Im Verbund vervielfacht sich diese eine Entscheidung über mehrere Standorte, die organisatorisch verbunden, im Alltag aber eigenständig sind. Standort A nutzt seit Monaten eine radiologische Befundungs-KI, Standort B nur ein Diktiersystem zur Dokumentation, Standort C hat dasselbe Angebot bewusst abgelehnt. Drei Standorte, drei Realitäten, ein Träger. Die Pflichten bleiben damit nicht dort liegen, wo geklickt wurde, sie wandern nach oben.

Wo die Haftung zusammenläuft

Im MVZ verschiebt sich der Verantwortliche weg vom einzelnen Arzt hin zur Geschäftsführung und zum Träger. Die operative Nutzung delegieren Sie an Ihre Standorte und Ihre Ärzte, die organisatorische Verantwortung dafür, dass über alle Standorte hinweg überhaupt ein Standard existiert, bleibt bei Ihnen. Wo der Träger eine GmbH ist, bündelt § 43 GmbHG diese Verantwortung beim Geschäftsführer, der die Sorgfalt eines ordentlichen Geschäftsmanns schuldet und dazu auch die Pflicht, den Betrieb so zu organisieren, dass Rechtspflichten eingehalten werden.

Ein Versäumnis bei der KI ist damit kein Praxisthema mehr, sondern ein Thema der Geschäftsführung, und bei investorengetragenen Ketten zusätzlich ein finanzielles und reputatives Risiko für den Träger. Wenn ein Standort ein KI-System einsetzt und die übrigen weder geschult noch dokumentiert sind, erklären am Ende nicht die einzelnen Standorte den Unterschied, sondern Sie. Wie diese Zurechnung im ambulanten Verbund im Einzelnen verläuft, steht im Beitrag zu den Betreiberpflichten des MVZ nach dem EU AI Act.

Der Flickenteppich ist das eigentliche Risiko

Der teuerste Zustand im Verbund ist der ungleiche. Eine KI, die radiologische Befunde erstellt oder bewertet und als Medizinprodukt unter Beteiligung einer Benannten Stelle zugelassen ist, gilt als Hochrisiko-System und trägt damit den vollen Betreiberpflichtenkatalog, allen voran die dokumentierte menschliche Aufsicht nach Art. 26 Abs. 2 AI Act. Ein reines Dokumentationswerkzeug am nächsten Standort bleibt unterhalb der Hochrisikoschwelle und verlangt trotzdem dieselben Bemühungen um die KI-Kompetenz des Teams. Ein dritter Standort hat gar nichts aktiviert und meint, das Thema gehe ihn nichts an.

Drei Standorte, drei Einstufungen, drei Dokumentationsstände. Wer das prüft, sei es eine Aufsichtsbehörde, ein Patientenanwalt oder die Due Diligence eines Investors, schaut nicht auf den besten Standort, sondern auf die Lücke zwischen ihnen. Genau die Uneinheitlichkeit bestraft ein Audit, lange bevor es um die Frage geht, ob ein einzelnes Schulungszertifikat vorliegt.

Eine Pflicht gilt bereits, die anderen kommen

Beim Timing lohnt sich Gelassenheit, aber nicht überall dieselbe.

Die scharfen Betreiberpflichten für Hochrisiko-Systeme greifen am 2. Dezember 2027 für eigenständige Systeme und am 2. August 2028 für KI, die in ein Medizinprodukt eingebaut ist. Diese Termine stehen inzwischen fest, sie sind keine Erwartung mehr. Für die KI-Kompetenz Ihres Personals verlangt Art. 4 AI Act schon heute Maßnahmen, die deren Entwicklung unterstützen, ausdrücklich ohne Garantie für ein bestimmtes Niveau. Im Verbund zählt deshalb weniger das einzelne Zertifikat als die Frage, ob sich über alle Standorte hinweg zeigen lässt, wie strukturiert Sie sich gekümmert haben.

Eine Pflicht ist dagegen seit dem 2. August dieses Jahres in der Durchsetzung, und sie trifft ausgerechnet die Systeme, die in Verbünden am weitesten verbreitet sind. Wer mit einer Maschine spricht, muss das erkennen können, und zwar am Punkt der Interaktion. Adressiert ist nach Art. 50 Abs. 1 AI Act der Anbieter, konfiguriert wird es bei Ihnen, denn die Bandansage Ihrer Telefonanlage und den Begrüßungstext Ihres Chatbots stellt niemand in Brüssel ein. Wenn an fünf Standorten fünf verschieden formulierte Ansagen laufen und an zweien gar keine, ist das der einzige Teil dieses Themas, der heute schon prüfbar ist.

Ein zweiter Teil derselben Vorschrift trifft Sie unmittelbar. Wer KI-erzeugte Bilder veröffentlicht, die reale Personen, Räume oder Situationen glaubhaft nachbilden, muss das offenlegen, und Adressat ist hier nach Art. 50 Abs. 4 AI Act der Betreiber und nicht der Anbieter. Das freundliche Team im hellen Behandlungszimmer, das so nie zusammenstand, fällt darunter.

Ausgerechnet hier steht ein Verbund besser da als die Einzelpraxis, weil Ihr Marketing ohnehin zentral läuft. Eine Entscheidung, ein Standard, fünf Websites.

Der Standort, an dem die Software nicht mehr fragt

Zuletzt ging es hier um Assistenten, die eine Aufgabe nicht vorbereiten, sondern erledigen, also Termine eigenständig verschieben und absagen. Für einen Verbund verschärft das die Lage an einer bestimmten Stelle.

Ein vorschlagendes System hinterlässt an jedem Standort einen Menschen, der übernommen oder verworfen hat. Ein handelndes System hinterlässt ein Protokoll. Wenn die Zentrale nicht weiß, an welchen Standorten solche Systeme laufen, entstehen dort täglich Vorgänge mit Zeitstempel, für die der Träger einsteht und von denen er nichts weiß. Die Standortübersicht, die weiter unten steht, ist deshalb keine Fleißarbeit, sondern die Voraussetzung dafür, dass diese Protokolle im Ernstfall für Sie sprechen statt gegen Sie.

Was im Verbund anders organisiert sein muss

Im Kern braucht ein Verbund drei Dinge, die eine Einzelpraxis nicht in dieser Form benötigt.

1. 01Eine zentrale Übersicht darüber, welcher Standort welche KI in welcher Einstufung einsetzt, weil man nur regeln kann, was man kennt.
2. 02Einen einheitlichen Standard für Schulung und Aufsicht, damit die Antwort auf die Frage nach der KI-Kompetenz nicht an jedem Standort anders ausfällt.
3. 03Eine gemeinsame Linie beim Datenschutz, weil die Verarbeitung von Gesundheitsdaten regelmäßig eine Folgenabschätzung verlangt, die sich über gleichartige Standorte als Vorlage führen lässt, statt fünfmal neu erfunden zu werden.

Die natürliche Eigentümerin dieser Aufgabe ist selten der einzelne Arzt, sondern die Rolle, die im Haus ohnehin für Qualität, Datenschutz und Compliance steht und solche Standards über Standorte hinweg denken kann. Wo es diese Rolle gibt, hat der Verbund seinen besten Ansatzpunkt schon im Haus. Wie die Datenschutz-Folgenabschätzung dabei als Vorlage geführt wird, statt an jedem Standort neu zu entstehen, ist der Teil, der am schnellsten Aufwand spart.

Was Sie jetzt tun sollten

Der erste Schritt ist unspektakulär und der wirksamste. Schreiben Sie einmal sauber auf, welcher Standort welche KI nutzt, wie sie eingestuft ist, wer dort geschult ist und wer die Aufsicht führt. Diese eine Tabelle beantwortet den Satz vom Anfang und macht aus einem Gefühl einen Stand.

Daraus folgt der zweite Schritt, ein einheitlicher Standard statt eines Flickenteppichs. Ein gemeinsamer Schulungs- und Aufsichtsrahmen, eine Datenschutz-Folgenabschätzung als standortübergreifende Vorlage, ein zentraler Nachweis, den die Geschäftsführung jederzeit vorzeigen kann. Benennen Sie dabei ausdrücklich, wer im Haus diese Übersicht führt.

Ich habe beides für Träger und Verbünde ausführlich aufgeschrieben, mit einem Systemregister als Standortübersicht, einem Entscheidungsbaum für die Beschaffung, einer Übersicht über die Beweislage und einer Aufwandsrechnung in Personentagen, die Sie auf Ihre Zahl von Standorten und Systemen umlegen können. Die Langfassung liegt als Leitfaden für Träger und Verbünde zum Download bereit.

Gemessen werden Sie an einem Standort, den Sie nicht ausgesucht haben

Ein Verbund wird nicht an seinem besten Standort gemessen. Er wird an dem gemessen, der in keiner Übersicht steht, und welcher das ist, entscheidet sich nicht in der Geschäftsführung, sondern an dem Tag, an dem irgendwo jemand ein Modul bucht und ein Häkchen setzt.

Dass dieses Häkchen gesetzt wird, können Sie nicht verhindern, und Sie sollten es auch nicht wollen, weil Ihre Standorte diese Werkzeuge brauchen. Sie können nur vorher festgelegt haben, was danach gilt.