KI-Compliance KI-Verordnung Datenschutz Informationssicherheit

KI im Gesundheitswesen: KI-Verordnung für Betreiber

Ab dem 2. August 2026 gelten die vollständigen Betreiberpflichten nach Art. 26 KI-Verordnung für Kliniken und Praxen, die KI-Diagnostiksysteme einsetzen. Was als Hochrisiko gilt, was Betreiber konkret tun müssen und wo die Frist für Hersteller abweicht.

KI-Verordnung KI-Audits KI-Risikomanagement
02.08.2026
Vollständige Betreiberpflichten nach Art. 26 KI-Verordnung für Hochrisiko-KI
Anhang III
Nr. 5 lit. b KI-Verordnung: KI in Medizinprodukten als Hochrisiko-KI eingestuft
15 Mio. €
Maximales Bußgeld für Betreiber bei Verstoß gegen Hochrisiko-Pflichten
Hintergrund

Warum Kliniken und Praxen jetzt handeln müssen.

KI-Systeme in der medizinischen Diagnostik, der Befunderstellung und der klinischen Entscheidungsunterstützung sind nach Anhang III Nr. 5 lit. b KI-Verordnung als Hochrisiko-KI eingestuft, sofern sie in Medizinprodukten eingebettet sind oder eine sicherheitsrelevante Funktion erfüllen. Ab dem 2. August 2026 müssen Betreiber dieser Systeme die vollständigen Pflichten nach Art. 26 KI-Verordnung erfüllen.

Es gibt keine Bestandsschutzregelung. Auch Systeme, die bereits vor dem 2. August 2026 im Einsatz waren, unterliegen ab diesem Datum den Betreiberpflichten. Einzige Ausnahme: Hersteller von Hochrisiko-KI in Medizinprodukten (MDR/IVDR) haben durch das Digital Omnibus-Paket eine Verlängerung bis 2. August 2028 erhalten. Diese Ausnahme gilt ausdrücklich nur für Hersteller, nicht für Betreiber wie Kliniken oder Praxen.

Aktueller Stand

Die EU-Kommission hat im März 2026 Leitlinien zur Risikoklassifizierung von KI-Systemen im Medizinsektor veröffentlicht. Sie enthält einen Entscheidungsbaum: Ein KI-System gilt als Hochrisiko, wenn es als Sicherheitsbauteil eines Medizinprodukts eingesetzt wird oder selbst ein Medizinprodukt ist. Klinische Entscheidungsunterstützungssysteme ohne direkten Patientenbezug können unter bestimmten Bedingungen als Nicht-Hochrisiko eingestuft werden.

Auf dieser Seite

  • Was als Hochrisiko-KI im Gesundheitswesen gilt
  • Betreiberpflichten nach Art. 26 KI-Verordnung im Detail
  • Unterschied Hersteller vs. Betreiber: wer bis wann
  • Menschliche Aufsicht nach Art. 14 KI-Verordnung
  • Meldepflichten bei Vorfällen
  • Bußgeldrisiken und Haftung
Betreiberpflichten Art. 26 KI-Verordnung

Was Kliniken und Praxen konkret umsetzen müssen.

Klassifizierung und Bestandsaufnahme

Erster Schritt: alle eingesetzten KI-Systeme inventarisieren und prüfen, ob sie als Hochrisiko-KI nach Anhang III KI-Verordnung einzustufen sind. Die EU-Kommissions-Leitlinien vom März 2026 helfen bei der Einordnung.

  • Vollständiges KI-Inventar aller eingesetzten Systeme erstellen
  • Prüfung anhand Anhang III KI-Verordnung und EU-Leitlinien März 2026
  • Dokumentation des Klassifizierungsergebnisses
  • Rücksprache mit Herstellern zur CE-Kennzeichnung und MDR-Einstufung

Bedienung und Schulung

Art. 26 Abs. 1 KI-Verordnung verpflichtet Betreiber, sicherzustellen, dass Hochrisiko-KI-Systeme nur von geeigneten Personen bedient werden. Das umfasst Qualifikation, Einweisung und laufende Kompetenzprüfung.

  • Qualifikationsanforderungen für KI-Bediener festlegen
  • Einweisungsnachweis vor erstem produktivem Einsatz
  • Regelmäßige Schulungen bei System-Updates
  • Dokumentation der Schulungsmaßnahmen

Menschliche Aufsicht nach Art. 14

Hochrisiko-KI-Systeme müssen unter angemessener menschlicher Aufsicht betrieben werden. Ärzte dürfen KI-Empfehlungen nicht unkritisch übernehmen. Die Aufsichtspflicht muss organisatorisch verankert sein.

  • Keine automatische Umsetzung von KI-Entscheidungen ohne Arztbeteiligung
  • Aufsichtsprozess schriftlich dokumentieren
  • Möglichkeit, KI-System im Zweifel zu übersteuern oder abzuschalten
  • Bewusstsein für Automatisierungsbias schulen

Vorfallmeldung und Protokollierung

Bei schwerwiegenden Vorfällen durch Hochrisiko-KI (Gefährdung von Patienten) besteht eine Meldepflicht gegenüber dem Hersteller und der zuständigen Marktüberwachungsbehörde. Betreiber müssen außerdem Protokolldaten aufbewahren.

  • Vorfallmeldeprozess für KI-bezogene Ereignisse einrichten
  • Schwerwiegende Vorfälle an Hersteller und Behörde melden
  • Protokolldaten gemäß Art. 12 KI-Verordnung aufbewahren
  • Meldeprozess mit bestehendem Medizinprodukte-Vorfallmanagement verknüpfen
Fristen im Überblick

Wer muss bis wann was umgesetzt haben.

02.08.2026

Betreiber: vollständige Pflichten

Kliniken, Praxen und MVZ müssen alle Betreiberpflichten nach Art. 26 KI-Verordnung für Hochrisiko-KI erfüllen. Keine Übergangsfrist, kein Bestandsschutz für laufende Systeme.

02.08.2028

Hersteller Medizinprodukte

Hersteller von Hochrisiko-KI in MDR/IVDR-Medizinprodukten haben durch das Digital Omnibus-Paket eine Verlängerung erhalten. Diese Ausnahme gilt ausdrücklich nicht für Betreiber.

Jetzt

KI-Inventar erstellen

Inventarisierung aller eingesetzten KI-Systeme, Klassifizierung anhand EU-Leitlinien und Identifikation der Hochrisiko-Systeme mit dem größten Compliance-Handlungsbedarf.

Laufend

Überwachung und Update

Betreiberpflichten gelten dauerhaft. Bei System-Updates, neuen KI-Einsatzfeldern oder geänderten EU-Leitlinien muss die Compliance-Bewertung aktualisiert werden.

FAQ

Häufige Fragen zu KI-Compliance im Gesundheitswesen.

Verwandte Themen

Ja, in der Regel. KI-Systeme in Medizinprodukten oder als sicherheitsrelevante Komponenten gelten nach Anhang III Nr. 5 lit. b KI-Verordnung als Hochrisiko-KI. Das betrifft KI-Diagnostiksysteme, KI-gestützte Befunderstellung und klinische Entscheidungsunterstützungssysteme, sofern sie eine Sicherheitsfunktion erfüllen oder als Medizinprodukt (MDR/IVDR) eingestuft sind. Die EU-Leitlinien März 2026 helfen bei der Einordnung.

Betreiber von Hochrisiko-KI müssen: (1) sicherstellen, dass das System nur von geeigneten Personen bedient wird; (2) das System gemäß Herstellerdokumentation einsetzen; (3) menschliche Aufsicht nach Art. 14 KI-Verordnung gewährleisten; (4) auffällige Leistungsveränderungen dem Hersteller und Behörden melden; (5) Protokollierung und Dokumentation sicherstellen.

Ja. Es gibt keine Bestandsschutzregelung für Betreiber. Auch Systeme, die vor dem 2. August 2026 beschafft wurden, müssen ab diesem Datum die Betreiberpflichten erfüllen. Die Verlängerung bis 2028 gilt nur für Hersteller von Hochrisiko-KI in MDR/IVDR-Medizinprodukten, nicht für Betreiber.

Hersteller sind verpflichtet, Hochrisiko-KI in der EU-Datenbank zu registrieren. Betreiber müssen intern dokumentieren, welche Hochrisiko-KI sie einsetzen und wie sie die Pflichten nach Art. 26 KI-Verordnung erfüllen. Eine behördliche Meldepflicht für Betreiber besteht nur bei schwerwiegenden Vorfällen.

Bußgelder nach Art. 99 KI-Verordnung: bis zu 15 Millionen Euro oder 3 Prozent des weltweiten Jahresumsatzes für Verstöße gegen Betreiberpflichten. Zusätzlich drohen zivilrechtliche Haftungsansprüche nach der Produkthaftungsrichtlinie und berufsrechtliche Konsequenzen für Ärzte, die KI-Systeme entgegen den Vorgaben einsetzen.

KI-Compliance im Gesundheitswesen strukturiert aufbauen.

Bestandsaufnahme, Klassifizierung und Betreiberpflichten vor der Deadline umgesetzt.

Zur KI-Compliance-Beratung