KI-Governance für
das Krankenhaus

IT, Medizintechnik, Einkauf und Qualitätsmanagement führen eigene Verzeichnisse. KI kommt oft mit einem Update in ein System, das längst im Haus ist, im KIS, im PACS, in der Spracherkennung oder im Office-Paket, und steht dann in keiner dieser Listen.

Das Haus ist in aller Regel Betreiber. Was daraus folgt, entscheidet die Zweckbestimmung jedes Systems. KI in Medizinprodukten wird über Anhang I hochriskant, die Betreiberpflichten gelten ab dem 02.08.2028. Die Triage in der Notaufnahme fällt unter Anhang III, dort gelten sie ab dem 02.12.2027, und unter Umständen kommt die Grundrechte-Folgenabschätzung hinzu.

Wer die Nutzung privater KI verbietet, ohne ein freigegebenes Tool anzubieten, bekommt sie trotzdem, nur unsichtbar. Neben die Richtlinie gehört deshalb der Weg zu einem erlaubten Tool, mit Vertrag und Freigabeprozess.

Die Maßnahmen zur KI-Kompetenz gelten seit dem 02.02.2025 für alle, die mit KI arbeiten, und seit der Verordnung (EU) 2026/1744 ausdrücklich als Maßnahmenpflicht ohne geschuldetes Kompetenzniveau. In einem Haus mit mehreren Hundert Beschäftigten arbeiten Pflege, Radiologie und IT mit ganz verschiedenen Systemen.

Welche Systeme laufen, wer im Haus beteiligt ist und was schon vorliegt.

Mit IT, Medizintechnik, Qualitätsmanagement und Datenschutzbeauftragtem. Danach folgt das Festpreisangebot, in der Form, die Ihr Einkauf braucht.

Inventar, Rollen und Richtlinie mit den Verantwortlichen, das Schulungskonzept mit der Personalentwicklung.

Die Entscheidungsvorlage für die Geschäftsführung und alle Dokumente als bearbeitbare Dateien, die Ihnen gehören.

Nur für Hochrisiko-Systeme nach Anhang III, im Krankenhaus vor allem für die Triage in der Notaufnahme. Allein als Medizinprodukt nach Anhang I löst KI sie nicht aus. Adressaten sind Einrichtungen des öffentlichen Rechts und private Einrichtungen, die öffentliche Dienste erbringen. Ein Eigenbetrieb oder ein Universitätsklinikum fällt darunter, die gGmbH und private Träger kann sie nach Erwägungsgrund 96 ebenfalls treffen. Die Pflicht gilt ab dem 02.12.2027.

Vorgeschrieben ist er nicht. Sinnvoll ist eine Stelle, die das Inventar führt, neue Systeme freigibt und der Geschäftsführung berichtet, oft im Qualitätsmanagement oder in der Medizintechnik. Sie kann intern besetzt oder von einer externen Person übernommen werden. Die Verantwortung als Betreiber bleibt in beiden Fällen beim Träger.

Gestuft, mit einer Grundeinheit für alle, einer Vertiefung je System für die Anwender und eigenen Einheiten für Führungskräfte sowie IT und Medizintechnik. Art. 4 AI Act verlangt in der Fassung der Verordnung (EU) 2026/1744 Maßnahmen, die die Entwicklung der KI-Kompetenz unterstützen, ohne dass der Betreiber ein bestimmtes Niveau garantieren muss. Wer festhält, wer wann woran teilgenommen hat, kann die ergriffenen Maßnahmen belegen.

Ein Verbot allein hilft selten, solange es kein erlaubtes Tool gibt. Neben die Richtlinie gehört der Weg zu einem freigegebenen Tool mit Vertrag, Verpflichtung nach § 203 Abs. 4 StGB und bei Cloud-Diensten den Nachweisen nach § 393 SGB V.

DACH-weit, von Gütersloh aus. Gespräche laufen online. In Nordrhein-Westfalen und Niedersachsen komme ich auf Wunsch ins Haus, sonst nach Absprache.

Daniel Kleiboldt (Kleiboldt Legal Engineering; Jurist, LL.M., Software Engineer) hält die Fäden zwischen IT, Medizintechnik, Qualitätsmanagement, Datenschutz und Geschäftsführung zusammen und liefert die Dokumente, die das Haus sonst selbst schreiben müsste. Rechtliche und technische Einordnung liegen dabei bei einer Person. Rechtsfragen im Einzelfall übernimmt die eingebundene Fachanwältin für Datenschutz- und IT-Recht. Die Datenschutz-Folgenabschätzung bleibt beim Haus und seinem Datenschutzbeauftragten, die KI-spezifischen Bausteine liefert Daniel Kleiboldt zu.

Der Preis ist ein Festpreis, den das Haus nach dem Inventargespräch erhält. Er richtet sich nach dem Aufwand für das jeweilige Haus. Das Festpreisangebot folgt auf das Inventargespräch, in der Form, die der Einkauf braucht.