AI Act: Europas Wegweiser für verantwortungsvolle KI

AI Act und Gesundheitswirtschaft – zwischen Innovation, Patientensicherheit

Mit dem Artificial Intelligence Act (AI Act) schafft die Europäische Union erstmals einen einheitlichen Rechtsrahmen für den Einsatz Künstlicher Intelligenz. Die Verordnung soll Innovation fördern und zugleich sicherstellen, dass KI-Systeme sicher, transparent und vertrauenswürdig entwickelt und eingesetzt werden.
Für die Gesundheitswirtschaft ergeben sich daraus besondere Herausforderungen. Künstliche Intelligenz kommt heute bereits in Diagnostik, Therapie, Pflege, Forschung, Verwaltung und der Entwicklung von Medizinprodukten zum Einsatz. Gleichzeitig unterliegt kaum eine Branche vergleichbar hohen regulatorischen Anforderungen. Neben dem AI Act müssen Unternehmen unter anderem die Medizinprodukteverordnung (MDR), die In-vitro-Diagnostika-Verordnung (IVDR), die Datenschutz-Grundverordnung (DSGVO) sowie weitere europäische und nationale Vorgaben berücksichtigen. Entscheidend wird daher sein, Innovation, Patientensicherheit und Compliance sinnvoll miteinander zu verbinden.

AI Act: Einheitliche Regeln für Künstliche Intelligenz in Europa

Mit dem Artificial Intelligence Act (AI Act) verfügt die Europäische Union erstmals über einen einheitlichen Rechtsrahmen für den Einsatz Künstlicher Intelligenz. Die Verordnung gilt unmittelbar in allen Mitgliedstaaten und richtet sich an Anbieter, Betreiber, Importeure, Händler und weitere Akteure entlang der gesamten KI-Wertschöpfungskette. Erfasst werden sowohl Unternehmen mit Sitz in der Europäischen Union als auch Anbieter aus Drittstaaten, sofern ihre KI-Systeme innerhalb der EU in Verkehr gebracht oder genutzt werden.
Mit dem AI Act verfolgt die Europäische Union einen risikobasierten Regulierungsansatz. Je größer die möglichen Auswirkungen eines KI-Systems auf Gesundheit, Sicherheit oder Grundrechte sind, desto umfangreicher fallen die gesetzlichen Anforderungen aus. Damit soll ein ausgewogenes Verhältnis zwischen Innovationsförderung und wirksamem Schutz von Bürgerinnen und Bürgern geschaffen werden.
Der AI Act ersetzt bestehende Rechtsvorschriften nicht, sondern ergänzt sie. Für Unternehmen bedeutet dies, ihre bestehenden Compliance-Strukturen um neue Anforderungen an Transparenz, Dokumentation, Risikomanagement und menschliche Aufsicht zu erweitern. Gleichzeitig schafft die Verordnung europaweit einheitliche Rahmenbedingungen und soll dadurch Rechtssicherheit für Unternehmen sowie Vertrauen in KI-Anwendungen stärken.
Gerade für die Gesundheitswirtschaft besitzt diese Entwicklung eine besondere Bedeutung. Kaum ein anderer Wirtschaftsbereich nutzt Künstliche Intelligenz bereits heute in vergleichbarer Breite und gleichzeitig unter ähnlich strengen regulatorischen Rahmenbedingungen.

Aktueller Stand: Was gilt bereits – was kommt noch?

Der AI Act ist am 1. August 2024 in Kraft getreten. Seine Regelungen gelten jedoch nicht vollständig ab einem festen Stichtag, sondern werden schrittweise eingeführt. Unternehmen sollten deshalb genau unterscheiden, welche Anforderungen bereits heute verbindlich sind und welche erst in den kommenden Jahren wirksam werden.
Bereits seit Februar 2025 gelten die Verbote bestimmter unzulässiger KI-Praktiken. Gleichzeitig müssen Unternehmen sicherstellen, dass Beschäftigte, die KI-Systeme entwickeln, beschaffen oder anwenden, über angemessene Kenntnisse und Kompetenzen verfügen. Diese Verpflichtung zur sogenannten AI Literacy ist unabhängig von der Unternehmensgröße und betrifft grundsätzlich alle Organisationen, die KI beruflich einsetzen.
Seit August 2025 gelten zudem die ersten Anforderungen für General-Purpose-AI-Modelle (GPAI), also leistungsfähige Basismodelle, auf denen zahlreiche generative KI-Anwendungen aufbauen. Dazu gehören insbesondere Transparenz-, Dokumentations- und Informationspflichten für deren Anbieter.
Ein wichtiger Schritt folgt ab August 2026. Dann greifen weitere Transparenzpflichten für bestimmte KI-Systeme, beispielsweise wenn Nutzer mit einem KI-System interagieren oder KI-generierte Inhalte erstellt werden. Gleichzeitig beginnt die nationale Marktüberwachung des AI Acts schrittweise ihre Arbeit aufzunehmen.
Für viele Unternehmen besonders relevant sind die Regelungen zu Hochrisiko-KI. Diese gelten nach der derzeitigen Rechtslage nicht bereits 2026, sondern wurden durch das im Juli 2026 in Kraft getretene sogenannte AI Omnibus zeitlich gestreckt. Die umfangreichen Anforderungen für Hochrisiko-KI-Systeme nach Anhang III gelten künftig grundsätzlich ab dem 2. Dezember 2027. Für KI-Systeme, die Bestandteil regulierter Produkte – beispielsweise bestimmter Medizinprodukte – sind, gelten die entsprechenden Anforderungen grundsätzlich ab dem 2. August 2028.
Die verlängerten Übergangsfristen verschaffen Unternehmen zwar zusätzliche Zeit für die Umsetzung, sollten jedoch keinesfalls als Anlass verstanden werden, notwendige Vorbereitungen aufzuschieben. Der Aufbau einer funktionierenden KI-Governance, die Anpassung bestehender Qualitätsmanagementsysteme, die Schulung von Mitarbeitenden sowie die Überprüfung bestehender KI-Anwendungen benötigen erhebliche Vorlaufzeiten. Unternehmen, die diese Zeit strategisch nutzen, können regulatorische Risiken reduzieren und ihre Wettbewerbsfähigkeit langfristig stärken.

Warum die Gesundheitswirtschaft besonders betroffen ist

Der AI Act richtet sich an sämtliche Branchen und Wirtschaftszweige. Dennoch werden die Auswirkungen in der Gesundheitswirtschaft besonders deutlich spürbar sein. Dafür gibt es mehrere Gründe.
Zum einen zählt das Gesundheitswesen bereits heute zu den innovationsstärksten Einsatzfeldern Künstlicher Intelligenz. KI unterstützt Radiologinnen und Radiologen bei der Bildauswertung, hilft Pathologien bei der Analyse großer Datenmengen, verbessert die Früherkennung von Erkrankungen, unterstützt die Entwicklung neuer Arzneimittel und entlastet medizinisches Personal bei Dokumentation und Verwaltung. Auch in Pflegeeinrichtungen, Laboren, Krankenkassen und Forschungseinrichtungen nimmt der Einsatz intelligenter Systeme kontinuierlich zu.
Zum anderen betreffen viele dieser Anwendungen unmittelbar die Gesundheit von Menschen. Fehlerhafte Entscheidungen können erhebliche Auswirkungen auf Patientensicherheit und Behandlungsqualität haben. Hinzu kommt, dass Gesundheitsdaten zu den sensibelsten personenbezogenen Daten überhaupt gehören und deshalb einem besonders hohen Schutz unterliegen.
Bereits heute müssen Unternehmen der Gesundheitswirtschaft umfangreiche regulatorische Anforderungen erfüllen. Der AI Act erweitert dieses bestehende Regelungsumfeld um zusätzliche Vorgaben für Entwicklung, Beschaffung und Nutzung von KI-Systemen. Für Unternehmen bedeutet dies einerseits einen höheren organisatorischen Aufwand, andererseits eröffnet die Verordnung die Chance, Vertrauen in sichere und nachvollziehbare KI-Anwendungen zu stärken und sich mit qualitativ hochwertigen Lösungen im europäischen Markt zu positionieren.

Risikobasierter Ansatz: Nicht jede KI ist Hochrisiko-KI

Ein zentrales Merkmal des AI Acts ist sein risikobasierter Ansatz. Anders als häufig angenommen behandelt die Verordnung nicht sämtliche KI-Systeme gleich, sondern unterscheidet zwischen unterschiedlichen Risikoklassen. Je höher das potenzielle Risiko für Gesundheit, Sicherheit oder Grundrechte ist, desto umfangreicher fallen die gesetzlichen Anforderungen aus.
Viele alltägliche Anwendungen bleiben weiterhin weitgehend unreguliert. Hierzu zählen beispielsweise intelligente Rechtschreibkorrekturen, Übersetzungsprogramme oder organisatorische Assistenzfunktionen. Für bestimmte Anwendungen gelten Transparenzpflichten, etwa wenn Nutzer mit einem Chatbot kommunizieren oder KI-generierte Inhalte erstellt werden.
Besonders strenge Anforderungen gelten dagegen für Hochrisiko-KI-Systeme. Dazu zählen insbesondere Anwendungen, die sicherheitsrelevante Funktionen übernehmen oder in sensiblen Bereichen eingesetzt werden. Im Gesundheitswesen betrifft dies häufig KI-Systeme, die diagnostische oder therapeutische Entscheidungen unterstützen oder Bestandteil regulierter Medizinprodukte sind.
Gleichzeitig ist eine differenzierte Betrachtung wichtig. Nicht jede Software mit KI-Funktion und nicht jede Anwendung im Gesundheitswesen wird automatisch als Hochrisiko-KI eingestuft. Maßgeblich sind stets die konkrete Zweckbestimmung, der tatsächliche Einsatzbereich sowie die regulatorische Einordnung des jeweiligen Systems. So unterscheiden sich die Anforderungen an eine KI zur Terminplanung erheblich von denen einer Software zur Analyse radiologischer Bilddaten oder einer KI-gestützten Entscheidungsunterstützung in der Intensivmedizin.
Für Unternehmen bedeutet dies, dass zunächst eine sorgfältige Bewertung der eingesetzten KI-Anwendungen erforderlich ist. Erst auf dieser Grundlage lassen sich die jeweils geltenden regulatorischen Anforderungen zuverlässig bestimmen.

Zusammenspiel von AI Act, MDR, IVDR und DSGVO

Die eigentliche Herausforderung für Unternehmen der Gesundheitswirtschaft liegt häufig nicht im AI Act allein, sondern im Zusammenspiel verschiedener europäischer Rechtsvorschriften. Der AI Act ersetzt weder die Medizinprodukteverordnung (MDR), die In-vitro-Diagnostika-Verordnung (IVDR) noch die Datenschutz-Grundverordnung (DSGVO). Vielmehr ergänzt er diese Regelwerke um spezifische Anforderungen an Entwicklung, Bereitstellung und Nutzung Künstlicher Intelligenz.
Für Hersteller KI-gestützter Medizinprodukte bedeutet dies, dass sie künftig mehrere regulatorische Ebenen gleichzeitig berücksichtigen müssen. Während MDR und IVDR die Sicherheit, Leistungsfähigkeit und klinische Bewertung eines Medizinprodukts regeln, stellt der AI Act zusätzliche Anforderungen an Datenqualität, algorithmische Nachvollziehbarkeit, Risikomanagement, menschliche Aufsicht und die laufende Marktüberwachung. Parallel dazu bleiben die Vorgaben der DSGVO für die Verarbeitung personenbezogener Gesundheitsdaten uneingeschränkt anwendbar. Ergänzend gewinnen Anforderungen an Informationssicherheit, Cyberresilienz und Qualitätsmanagement weiter an Bedeutung.
Statt einzelne Rechtsgebiete isoliert zu betrachten, empfiehlt sich deshalb ein integrierter Compliance-Ansatz. Qualitätsmanagement, Datenschutz, Informationssicherheit, klinische Bewertung, Risikomanagement und KI-Governance sollten möglichst miteinander verzahnt werden. Unternehmen, die bestehende Prozesse frühzeitig anpassen und Synergien zwischen den verschiedenen Regelwerken nutzen, können Doppelstrukturen vermeiden und den Umsetzungsaufwand erheblich reduzieren.

Neue Pflichten für Hersteller, Betreiber und Gesundheitseinrichtungen

Mit dem AI Act werden die Verantwortlichkeiten entlang der gesamten Wertschöpfungskette erstmals europaweit einheitlich geregelt. Betroffen sind nicht nur Entwickler und Hersteller von KI-Systemen, sondern auch Importeure, Händler sowie Unternehmen und Einrichtungen, die KI im beruflichen Alltag einsetzen.
Hersteller müssen – abhängig von der Risikoklasse – unter anderem ein systematisches Risikomanagement etablieren, die Qualität der verwendeten Daten sicherstellen, technische Dokumentationen erstellen und ihre Systeme so entwickeln, dass Entscheidungen nachvollziehbar bleiben. Für Hochrisiko-KI kommen darüber hinaus Anforderungen an Konformitätsbewertung, Marktüberwachung sowie die Meldung schwerwiegender Vorfälle hinzu. Ziel ist es, KI-Systeme während ihres gesamten Lebenszyklus sicher und vertrauenswürdig zu gestalten.
Auch Betreiber tragen Verantwortung. Krankenhäuser, Arztpraxen, Pflegeeinrichtungen, Labore und andere Gesundheitsunternehmen müssen sicherstellen, dass KI-Systeme entsprechend ihrer Zweckbestimmung eingesetzt werden und eine wirksame menschliche Kontrolle gewährleistet bleibt. Medizinische Entscheidungen dürfen nicht ungeprüft automatisiert übernommen werden. Die Verantwortung für Diagnose, Therapie und Behandlung verbleibt stets bei den handelnden Fachkräften.
Bereits heute gilt zudem die Verpflichtung zur Förderung der sogenannten AI Literacy. Unternehmen müssen sicherstellen, dass Beschäftigte, die mit KI-Systemen arbeiten, über angemessene Kenntnisse und Kompetenzen verfügen. Dabei geht es nicht allein um technisches Wissen, sondern auch um den sicheren, verantwortungsvollen und rechtskonformen Umgang mit KI-Anwendungen. Für viele Unternehmen entwickelt sich KI-Governance damit zu einem festen Bestandteil bestehender Managementsysteme – vergleichbar mit Datenschutz, Informationssicherheit oder Qualitätsmanagement.

Generative KI verändert den Gesundheitssektor

Kaum ein Bereich entwickelt sich derzeit dynamischer als die generative Künstliche Intelligenz. Sprachmodelle unterstützen bereits heute bei der Erstellung von Arztbriefen, der medizinischen Dokumentation, der Kodierung, der Patientenkommunikation oder der Recherche medizinischer Informationen. Gleichzeitig entstehen neue Anwendungen für klinische Entscheidungsunterstützung, Wissensmanagement und administrative Prozesse.
Gerade vor dem Hintergrund des Fachkräftemangels bietet generative KI erhebliche Potenziale. Routinetätigkeiten können automatisiert, Dokumentationsaufwände reduziert und medizinisches Personal spürbar entlastet werden. Dadurch bleibt mehr Zeit für die unmittelbare Patientenversorgung.
Demgegenüber stehen jedoch hohe Anforderungen an Datenschutz, Informationssicherheit und Qualität. Gesundheitsdaten gehören zu den sensibelsten personenbezogenen Daten überhaupt. Unternehmen müssen deshalb genau prüfen, welche KI-Anwendungen eingesetzt werden, wo Daten verarbeitet werden und ob die jeweiligen Anbieter die europäischen Datenschutz- und Sicherheitsanforderungen erfüllen. Ebenso wichtig bleibt die fachliche Kontrolle der Ergebnisse. Generative KI kann medizinische Fachkräfte unterstützen, ersetzt jedoch weder ihre Expertise noch ihre rechtliche Verantwortung.

Praxisbeispiele aus der Gesundheitswirtschaft

Die Auswirkungen des AI Acts werden besonders deutlich, wenn typische Anwendungen aus der Praxis betrachtet werden.
KI in der Radiologie: Moderne Bildanalysesoftware unterstützt Radiologinnen und Radiologen bei der Erkennung von Tumoren oder Frakturen. Solche Anwendungen beeinflussen diagnostische Entscheidungen unmittelbar und werden regelmäßig unter die strengeren regulatorischen Anforderungen fallen. Hersteller müssen daher umfangreiche Nachweise zu Sicherheit, Datenqualität und Leistungsfähigkeit erbringen.
Automatische Arztbrieferstellung: Generative KI kann Gespräche strukturieren, medizinische Dokumentationen vorbereiten oder Entwürfe für Arztbriefe erstellen. Erfolgt die abschließende Prüfung und Freigabe durch Ärztinnen und Ärzte, lassen sich erhebliche Effizienzgewinne erzielen. Gleichzeitig müssen Datenschutz, Vertraulichkeit und die Qualität der erzeugten Inhalte jederzeit gewährleistet sein.
Patienten-Chatbots: Viele Krankenhäuser und Praxen setzen KI-gestützte Chatbots für Terminvereinbarungen oder allgemeine Patienteninformationen ein. Solche Systeme unterliegen in der Regel Transparenzpflichten. Nutzer müssen erkennen können, dass sie mit einer KI kommunizieren. Sobald jedoch individuelle medizinische Empfehlungen ausgesprochen werden, steigen die regulatorischen Anforderungen erheblich.
KI in der Personaleinsatzplanung: Intelligente Systeme unterstützen bei der Erstellung von Dienstplänen oder der Ressourcenplanung. Diese Anwendungen fallen häufig nicht unter die Hochrisiko-Regelungen des AI Acts. Dennoch bleiben arbeitsrechtliche, datenschutzrechtliche und gegebenenfalls mitbestimmungsrechtliche Anforderungen zu beachten.
Diese Beispiele verdeutlichen, dass nicht die eingesetzte Technologie allein entscheidend ist, sondern der konkrete Anwendungszweck und die möglichen Auswirkungen auf Patientensicherheit, Grundrechte und Gesundheitsschutz.

Chancen für Innovation und Wettbewerbsfähigkeit

Der AI Act wird häufig vor allem unter dem Blickwinkel zusätzlicher Regulierung diskutiert. Tatsächlich eröffnet er Unternehmen jedoch auch erhebliche Chancen. Einheitliche europäische Standards schaffen Rechtssicherheit und stärken das Vertrauen in KI-Anwendungen – ein entscheidender Faktor gerade im Gesundheitswesen.
Krankenhäuser, Medizintechnikhersteller, Digital-Health-Unternehmen und Softwareanbieter, die transparente und sichere KI-Systeme entwickeln oder einsetzen, können sich dadurch im Wettbewerb positiv positionieren. Nachvollziehbare, qualitativ hochwertige und rechtskonforme KI wird zunehmend zu einem Qualitätsmerkmal, das sowohl für Patientinnen und Patienten als auch für Ärztinnen und Ärzte, Investoren und internationale Geschäftspartner an Bedeutung gewinnt.
Darüber hinaus kann der AI Act Innovation fördern. Klare regulatorische Anforderungen erleichtern Investitionsentscheidungen, schaffen Planungssicherheit und unterstützen Unternehmen dabei, neue Technologien frühzeitig in marktfähige Produkte und Dienstleistungen zu überführen. Gerade für den europäischen Gesundheitsmarkt kann dies langfristig zu einem Wettbewerbsvorteil werden.

Handlungsempfehlungen für Unternehmen

Unternehmen der Gesundheitswirtschaft sollten die verlängerten Übergangsfristen nutzen, um sich systematisch auf die neuen Anforderungen vorzubereiten. Empfehlenswert ist zunächst eine Bestandsaufnahme aller eingesetzten oder geplanten KI-Anwendungen. Anschließend sollte bewertet werden, welche regulatorischen Anforderungen für die jeweiligen Systeme gelten und welche bestehenden Prozesse bereits genutzt werden können.
Ebenso wichtig ist der Aufbau einer unternehmensweiten KI-Governance. Dazu gehören klare Verantwortlichkeiten, interne Richtlinien für den KI-Einsatz sowie die enge Verzahnung mit Datenschutz, Informationssicherheit, Qualitätsmanagement und Compliance. Unternehmen sollten außerdem frühzeitig Schulungs- und Qualifizierungskonzepte entwickeln, um die Anforderungen an die AI Literacy dauerhaft zu erfüllen.
Für Hersteller empfiehlt es sich, bestehende Entwicklungs- und Qualitätsmanagementprozesse frühzeitig an die Anforderungen des AI Acts anzupassen. Betreiber sollten den Einsatz ihrer KI-Systeme dokumentieren, Verantwortlichkeiten eindeutig festlegen und Verfahren etablieren, mit denen Ergebnisse regelmäßig überprüft und bewertet werden können.
Wer die kommenden Monate für diese Vorbereitungen nutzt, reduziert nicht nur regulatorische Risiken, sondern schafft zugleich die Grundlage für einen sicheren, wirtschaftlichen und innovationsorientierten Einsatz Künstlicher Intelligenz.

Fazit

Der AI Act markiert einen Meilenstein für den verantwortungsvollen Einsatz Künstlicher Intelligenz in Europa. Für die Gesundheitswirtschaft bedeutet er zusätzliche regulatorische Anforderungen, eröffnet zugleich aber erhebliche Chancen für Innovation, Qualität und Wettbewerbsfähigkeit.
Entscheidend wird sein, den AI Act nicht isoliert zu betrachten, sondern gemeinsam mit bestehenden Regelwerken wie MDR, IVDR, DSGVO sowie Anforderungen an Informationssicherheit und Qualitätsmanagement umzusetzen. Nur durch ein integriertes Vorgehen lassen sich regulatorische Anforderungen effizient erfüllen und gleichzeitig Innovationspotenziale ausschöpfen.
Die verlängerten Übergangsfristen verschaffen Unternehmen mehr Zeit, ändern jedoch nichts an der strategischen Bedeutung des AI Acts. Wer bereits heute geeignete Governance-Strukturen aufbaut, Mitarbeitende qualifiziert und regulatorische Anforderungen frühzeitig in bestehende Prozesse integriert, wird den künftigen Umsetzungsaufwand deutlich reduzieren und sich zugleich als vertrauenswürdiger Anbieter oder Anwender von Künstlicher Intelligenz positionieren.
Gerade in der Gesundheitswirtschaft entscheidet sich der Erfolg neuer Technologien nicht allein an ihrer Leistungsfähigkeit, sondern vor allem daran, ob sie sicher, transparent und verantwortungsvoll eingesetzt werden. Der AI Act schafft hierfür den regulatorischen Rahmen – die erfolgreiche Umsetzung liegt nun in den Händen der Unternehmen.