Künstliche Intelligenz im Krankenhaus: Was EU AI Act und ISO 42001 für Kliniken bedeuten

Künstliche Intelligenz ist im Krankenhaus kein Zukunftsthema mehr, sondern gelebte Realität. Radiologische Befundung, klinische Entscheidungsunterstützung, Ressourcenplanung, prädiktive Analytik in der Intensivmedizin: Die Einsatzfelder wachsen rasant. Laut einer aktuellen Erhebung setzen bereits 18 % der deutschen Kliniken KI-Systeme im Regelbetrieb ein. Tendenz: Verdopplung seit 2022.

Gleichzeitig verändert sich der regulatorische Rahmen grundlegend. Mit dem EU AI Act (Verordnung (EU) 2024/1689) und der internationalen Norm DIN EN ISO 42001 stehen erstmals verbindliche Governance-Anforderungen für den Einsatz von KI-Systemen in der stationären Versorgung bereit. Für Klinikleitungen, IT-Verantwortliche und Qualitätsmanager bedeutet das: Wer KI einsetzt, muss Governance mitdenken. Und zwar jetzt.

Dieser Artikel gibt einen umfassenden Überblick über beide Rahmenwerke, ihr Zusammenspiel und die konkreten Handlungsfelder, die sich für Krankenhäuser daraus ergeben.

Der EU AI Act ist die weltweit erste umfassende Regulierung für künstliche Intelligenz. Er trat im August 2024 in Kraft und entfaltet seine volle Wirkung in mehreren gestaffelten Übergangsfristen.

Risikobasierter Ansatz

Der AI Act klassifiziert KI-Systeme nach ihrem Risikopotenzial. Für das Gesundheitswesen ist besonders relevant: KI-Systeme, die in der medizinischen Diagnostik, Therapieplanung oder Patientenüberwachung eingesetzt werden, fallen in die Kategorie „Hochrisiko-KI" (Anhang III). Das bedeutet: Sie unterliegen den strengsten Pflichten der Verordnung.

Pflichten für Betreiber von Hochrisiko-KI

Kliniken, die solche Systeme einsetzen, sind als „Betreiber" (Deployer) einzustufen und müssen unter anderem folgende Anforderungen erfüllen:

• Einrichtung eines dokumentierten Risikomanagementsystems
• Sicherstellung menschlicher Aufsicht über KI-gestützte Entscheidungen
• Transparenz gegenüber Patient:innen über den KI-Einsatz
• Lückenlose Protokollierung und Nachvollziehbarkeit
• Regelmäßige Überprüfung und Aktualisierung der Risikobewertung

Fristen und Sanktionen

Die vollständigen Pflichten für Hochrisiko-KI wurden per EU-Digital-Omnibus auf Dezember 2027 verschoben (maßgeblich ist die Amtsblatt-Veröffentlichung). Die Bußgelder bleiben erheblich: Bis zu 35 Millionen Euro oder 7 % des weltweiten Jahresumsatzes, je nachdem, welcher Betrag höher ist. Für Kliniken, die bereits KI-Systeme im Einsatz haben, bedeutet das: Die verbleibende Übergangszeit sollte konsequent für den Aufbau einer Governance-Struktur genutzt werden.

Während der EU AI Act den rechtlichen Rahmen definiert, liefert die DIN EN ISO 42001 den operativen Umsetzungsrahmen. Die im Dezember 2023 veröffentlichte Norm ist der erste internationale Standard für ein KI-Managementsystem (AIMS, Artificial Intelligence Management System).

Was die Norm fordert

ISO 42001 folgt der bewährten High-Level-Struktur (HLS) anderer ISO-Managementsystemnormen (wie ISO 27001 für Informationssicherheit oder ISO 9001 für Qualitätsmanagement). Sie definiert Anforderungen in folgenden Bereichen:

• Kontext der Organisation und interessierte Parteien
• Führung und Verpflichtung des Top-Managements
• Planung: Risiken, Chancen und KI-spezifische Ziele
• Unterstützung: Ressourcen, Kompetenz und Bewusstsein
• Betrieb: Steuerung der KI-Systementwicklung und -nutzung
• Bewertung der Leistung: Monitoring, Messung und interne Audits
• Verbesserung: Korrekturmaßnahmen und kontinuierliche Optimierung

Warum ISO 42001 für Kliniken relevant ist

Für Krankenhäuser bietet die Norm mehrere entscheidende Vorteile:

Die Stärke beider Rahmenwerke entfaltet sich erst im Zusammenspiel. Der EU AI Act formuliert das „Was", also welche Pflichten gelten. Die ISO 42001 liefert das „Wie", also einen erprobten Weg zur Umsetzung.

Konkret bedeutet das:

• Die Risikobewertung nach ISO 42001 kann die Anforderungen des AI Act an das Risikomanagementsystem direkt bedienen.
• Das Dokumentationsframework der Norm erfüllt die Transparenz- und Nachweispflichten der Verordnung.
• Die internen Audits nach ISO 42001 bereiten auf behördliche Prüfungen vor und schaffen Routine.
• Die kontinuierliche Verbesserung im AIMS stellt sicher, dass die Governance mit der technologischen Entwicklung Schritt hält.

Für Kliniken ergibt sich daraus eine klare Empfehlung: Wer den EU AI Act ernst nimmt, sollte ISO 42001 nicht als zusätzliche Bürde betrachten, sondern als den effizientesten Weg, die regulatorischen Anforderungen systematisch und nachhaltig zu erfüllen.

Aus der Kombination beider Rahmenwerke ergeben sich fünf zentrale Handlungsfelder, die Kliniken jetzt angehen sollten:

1. KI-Inventar erstellen

Der erste Schritt ist Transparenz: Welche KI-Systeme sind im Haus im Einsatz? In welchen Abteilungen? Zu welchem Zweck? Ein zentrales KI-Register schafft die Grundlage für jede weitere Governance-Maßnahme. Ohne vollständige Übersicht kann keine Risikobewertung stattfinden.

2. Risikobewertung durchführen

Jedes erfasste KI-System muss hinsichtlich seines Risikopotenzials bewertet werden. Welche Systeme fallen unter die Hochrisiko-Kategorie des AI Act? Welche Risiken bestehen für Patient:innensicherheit, Datenschutz und klinische Entscheidungsqualität? Die Bewertung muss dokumentiert und regelmäßig aktualisiert werden.

3. Governance-Struktur aufbauen

KI-Governance darf nicht „nebenbei" laufen. Kliniken benötigen klare Rollen und Verantwortlichkeiten: Wer ist für das KI-Register zuständig? Wer führt Risikobewertungen durch? Wer entscheidet über den Einsatz neuer KI-Systeme? Ein interdisziplinäres KI-Governance-Board, idealerweise besetzt mit Vertreter:innen aus IT, Medizin, Qualitätsmanagement und Recht, ist hier der Goldstandard.

4. Dokumentation und Nachweisfähigkeit sicherstellen

Sowohl der EU AI Act als auch die ISO 42001 verlangen lückenlose Dokumentation. Dazu gehören: technische Systemdokumentation, Risikobewertungen, Schulungsnachweise, Entscheidungsprotokolle und Audit-Berichte. Der Aufbau eines durchgängigen Dokumentationssystems ist keine optionale Fleißarbeit, sondern regulatorische Pflicht.

5. Schulungen und Awareness etablieren

KI-Governance funktioniert nur, wenn alle Beteiligten ihre Rolle verstehen. Ärzt:innen müssen wissen, wie sie KI-gestützte Empfehlungen kritisch bewerten. IT-Teams müssen die technischen Anforderungen kennen. Das Management muss die strategische Bedeutung verinnerlichen. Ein strukturiertes Schulungsprogramm ist daher essenziell.

Viele Klinikleitungen betrachten KI-Governance zunächst als regulatorische Last. Das ist verständlich, greift aber zu kurz. Kliniken, die Governance proaktiv gestalten, gewinnen auf mehreren Ebenen:

Vertrauen: Patient:innen, Zuweiser und Kostenträger erwarten zunehmend Transparenz über den KI-Einsatz. Eine zertifizierte Governance-Struktur schafft Vertrauen, das sich in Zuweisungsvolumen und Reputation auszahlt.

Effizienz: Ein systematisches AIMS reduziert den Aufwand für Einzelfallprüfungen und Ad-hoc-Dokumentation. Einmal aufgebaute Prozesse skalieren über alle KI-Systeme hinweg.

Innovationsfähigkeit: Wer klare Governance-Prozesse hat, kann neue KI-Systeme schneller und sicherer einführen. Governance wird nicht zum Bremsklotz, sondern zum Beschleuniger.

Audit-Readiness: Wenn die Aufsichtsbehörde klingelt, ist eine zertifizierte Klinik vorbereitet. Statt hektischer Nacharbeit steht eine belastbare Dokumentation bereit.

Die regulatorische Landschaft für KI im Gesundheitswesen verdichtet sich. Der EU AI Act setzt den rechtlichen Rahmen, die ISO 42001 liefert den operativen Fahrplan. Für Krankenhäuser ist die Botschaft klar: KI-Governance ist keine optionale Kür, sie wird zur Pflicht.

Die gute Nachricht: Die Übergangsfristen bieten noch ein Zeitfenster, um Strukturen aufzubauen, Prozesse zu etablieren und Teams zu qualifizieren. Wer dieses Fenster nutzt, ist nicht nur compliant, sondern strategisch im Vorteil.

Governance beginnt nicht beim Audit. Sie beginnt bei der Entscheidung, Verantwortung zu übernehmen. Für die Technologie, die man einsetzt, und für die Menschen, die ihr vertrauen.