Eine Checkliste für Health-Unternehmen Fit für den AI Act?

KI revolutioniert die Gesundheitswirtschaft – doch der AI Act bringt neue Pflichten. Ab August 2027 gilt die KI-Verordnung vollständig. Was müssen Health-Unternehmen jetzt beachten? Ein Überblick mit Checkliste.

Künstliche Intelligenz (KI) ist längst fester Bestandteil der Gesundheitswirtschaft. Sie treibt die Entwicklung neuer Arzneimittel oder Medizinprodukte voran und revolutioniert nach und nach den Versorgungsalltag: Immer mehr Patienten strukturieren und analysieren Gesundheitsdaten mithilfe von Chatbots oder vereinbaren Termine mithilfe von intelligenten Telefonassistenten. Behandler nutzen KI, um schneller, präziser oder in Fremdsprachen Diagnosen zu stellen oder erste Routineaufgaben (wie z. B. die Dokumentation von Arzt-Patienten-Gesprächen) zu bewältigen. Gleichzeitig entwickeln eHealth-Unternehmen eigene Systeme oder integrieren KI-Komponenten in bestehende Produkte und Dienste.

Den damit verbundenen Chancen stehen jedoch steigende rechtliche Anforderungen gegenüber. Am 2. August 2025 sind weitere Teile der Verordnung zur Festlegung harmonisierter Vorschriften für künstliche Intelligenz (KI-VO, „AI Act“) in Kraft getreten; in zwei Jahren, im August 2027, wird die Verordnung dann vollständig anwendbar. Der Beitrag gibt E-Health-Unternehmen einen kompakten Überblick über die KI-VO – und bereitet sie mithilfe einer praxisorientierten Checkliste darauf vor.

Schritt 1: Inventur durchführen

Die KI-VO reguliert KI-Systeme. Daher ist in einem ersten Schritt zu ermitteln, welche Systeme innerhalb eines Unternehmens eingesetzt oder entwickelt werden und ob es sich dabei um KI-Systeme handelt. Dabei sind auch neuartige KI-Elemente in bewährten Produkten oder Diensten in den Blick zu nehmen (z. B. Microsoft Copilot).

In der Praxis läuft diese Inventarisierung auf eine Abgrenzung von KI-Systemen und herkömmlichen Programmierungsansätzen hinaus. Die sperrige Legaldefinition in Art. 3 Nr. 1 KI-VO hilft dabei allerdings nur bedingt. Daher empfiehlt sich eine Orientierung an Erwägungsgrund 12 KI-VO, konkret: die Beantwortung der Frage, ob ein System auf von natürlichen Personen definierten Regeln für das automatische Ausführen von Operationen beruht oder selbstständig Regeln – beispielsweise im Wege maschinellen Lernens – ableitet.

Der KI-Einsatz betrifft häufig das gesamte Unternehmen. Produktteams und HR-Abteilungen implementieren fremde und entwickeln eigene Systeme. Drittanbieter-Tools erhalten plötzlich KI-Komponenten. Diese „Einfallstore“ sind zu identifizieren. Gehen Sie auf die Fachabteilungen zu, sprechen Sie teamübergreifend mit den Verantwortlichen, verteilen Sie Fragebögen und Checklisten und veranstalten Sie Workshops, um unterschiedliche Stakeholder zusammenzubringen; kurzum – führen Sie eine KI-Inventur durch, um die Entwicklung und den Einsatz von KI-Systemen im Unternehmen möglichst frühzeitig und vollständig zu erfassen.

Schritt 2: Risiken bestimmen

Der KI-VO liegt ein risikobasierter Ansatz zugrunde. Die konkreten Pflichten hängen davon ab, welche Risiken ein System für die Rechte und Freiheiten natürlicher Personen birgt. Vor Einsatz und Entwicklung ist daher das Risikoniveau eines KI-Systems zu bestimmen.

Dreh- und Angelpunkt einer solchen Risikobeurteilung sind vorrangig Art. 5 und 6 KI-VO. Sie verbieten Praktiken mit unzumutbarem Risiko und regeln die Einstufung von KI-Systemen als Hochrisiko-Systeme. Ein KI-System gilt insbesondere dann als Hochrisiko-KI, wenn es in Anhang III KI-VO genannt wird oder eine Konformitätsbewertung durch Dritte erfordert. Erfasst sind z. B. biometrische Kategorisierungssysteme oder Medizinprodukte ab Risikoklasse IIa. Zweckbestimmung und Außendarstellung – wie bei Medizinprodukten üblich – sind daher auch bei der Entwicklung oder dem KI-Einsatz von Anfang an mitzudenken und laufend zu reflektieren.

Nehmen Sie bei der Risikobewertung auch andere horizontale und sektorale Regelungen in den Blick: Soll das KI-System personenbezogene Daten verarbeiten? Dient es spezifischen medizinischen Zwecken? Ein Regulatory Mapping, also die systematische Identifikation und Zuordnung einschlägiger Vorschriften zu einem oder mehreren KI-Systemen, hilft, Wechselwirkungen zu erkennen und Synergien zu nutzen.

Schritt 3: Rollen klären

Die KI-VO ist vom Produktsicherheitsrecht inspiriert. Wie die Verordnung über die allgemeine Produktsicherheit richtet sie sich an alle Wirtschaftsakteure entlang der Wertschöpfungskette und sieht ein abgestuftes Pflichtenprogramm insbesondere für Anbieter und Betreiber von KI-Systemen vor. Anbieter ist – etwas vereinfacht – wer ein KI-System entwickelt oder entwickeln lässt und es unter eigenem Namen in Verkehr bringt oder in Betrieb nimmt, Betreiber, wer, ein KI-System in eigener Verantwortung verwendet.

Im dritten Schritt ist daher zu ermitteln, welche Rolle Ihr Unternehmen im Hinblick auf ein bestimmtes KI-System konkret einnimmt und welche Pflichten damit im Einzelfall einhergehen – etwa als Anbieter eines KI-Systems, das für die direkte Interaktion mit natürlichen Personen bestimmt ist (z. B. ein Chatbot), oder als Betreiber eines Hochrisiko-KI-Systems. Denken Sie auch an die allgemeine Pflicht, Personen, die KI-Systeme einsetzen, zu sensibilisieren, damit sie Chancen, Risiken und mögliche Schäden erkennen und abschätzen können (Art. 4 KI-VO). Die hohe Dynamik des Themas erfordert die schnelle Entwicklung von Schulungskonzepten.

Besondere Aufmerksamkeit erfordert außerdem die Anbieterfiktion in Art. 25 Abs. 1 KI-VO. Danach gelten Händler, Einführer, Betreiber oder sonstige Dritte als „Quasi-Anbieter“, wenn sie ein Hochrisiko-KI-System mit ihrem Namen oder ihrer Handelsmarke versehen oder eine wesentliche Veränderung vornehmen. Die Schwelle kann im Einzelfall bereits beim Fine-Tuning eines integrierten KI-Modells überschritten werden und kann so zur Haftungsfalle werden.

Fazit

Mittelfristig müssen die Pflichten aus der KI-VO operationalisiert, mit anderen Pflichten (z. B. aus der DSGVO oder der Medizinprodukt-Verordnung) abgestimmt, in klare Strukturen überführt und in gelebten Prozessen verstetigt werden. Spätestens jetzt sollten Sie mit dem Aufbau einer ganzheitlichen AI- und Data-Governance beginnen.

Der nachhaltige Aufbau von Kompetenzen, Strukturen und Prozessen benötigt Zeit. Als Sofortmaßnahme sollten Sie daher die Entwicklung von Schulungskonzepten und die Erarbeitung einer KI-Richtlinie priorisieren, die grundlegende Prinzipien definiert, vorläufige Zuständigkeiten festlegt und erste Vorgaben zu Prüfkriterien, Dokumentation und Input-Datenmanagement enthält. Diese Richtlinie kann zunächst auf bestehenden Compliance-Strukturen und -Prozessen aufbauen – etwa auf dem Verzeichnis der Verarbeitungstätigkeiten – sollte aber Schritt für Schritt in Richtung AI Governance weitergedacht werden. So machen Sie Ihr Unternehmen fit für den AI Act.

Definition

Was bedeutet der EU-AI-Act für das Gesundheitswesen?

(ID:50582993)