EU AI Act im Gesundheitswesen: Pflichten 2026-2028

Pexon Consulting | 11 Min. Lesezeit | 28.05.2026

TL;DR

Der EU AI Act bringt für Kliniken, Medizintechnik-Anbieter und digitale Gesundheitsdienste ein klares Risikomodell mit strengen Pflichten für Hochrisiko-KI. Pexon Consulting unterstützt als deutsches Team mit 80 Mitarbeitenden bei Governance, MDR-Integration und technischer Dokumentation. In Projekten reduzieren wir Audit-Aufwand häufig um 25-40% und verkürzen Freigaben um mehrere Wochen.

Warum der EU AI Act gerade jetzt im Gesundheitswesen Priorität hat

Seit 1. August 2024 ist die Verordnung (EU) 2024/1689 in Kraft, seit 2. Februar 2025 gelten bereits Verbote bestimmter Praktiken und die Pflicht zur KI-Kompetenz. Für viele IT-Leitungen im Gesundheitswesen ist das der Punkt, an dem aus „wir beobachten das“ ein echtes Umsetzungsprogramm werden muss.

Unsere klare Empfehlung: Warten Sie nicht auf die letzte Auslegungshilfe. Die großen Risiken entstehen nicht durch fehlende Paragrafenkenntnis, sondern durch fehlende Betriebsprozesse, unvollständige Datennachweise und ungeklärte Verantwortlichkeiten zwischen Hersteller, Klinikbetrieb und Datenschutz.

Die Europäische Kommission beschreibt KI im Gesundheitswesen explizit als Hochrisiko-Bereich mit Anforderungen an Risikomanagement, Datenqualität, menschliche Aufsicht und Transparenz. Parallel wurde 2026 der Digital-Omnibus (VO (EU) 2026/1744) verabschiedet, der die Hochrisiko-Fristen verschiebt: Anhang III auf 02.12.2027, Anhang I auf 02.08.2028. Für die Praxis heißt das: Zeitfenster ja, Entwarnung nein.

Welche KI-Systeme im Gesundheitswesen als Hochrisiko gelten

Die kurze Antwort: Sehr viele produktive KI-Anwendungen im klinischen Kontext landen im Hochrisiko-Regime. Das betrifft nicht nur „klassische Diagnostik-KI“, sondern auch Systeme, die Behandlungsentscheidungen indirekt beeinflussen.

Laut der gemeinsamen FAQ von Medical Device Coordination Group und AI Board gilt: KI, die als medizinisches Produkt oder Sicherheitskomponente unter MDR/IVDR mit Benannter Stelle läuft, ist unter dem EU AI Act hochriskant reguliert. Gleichzeitig bleibt die MDR/IVDR-Risikoklasse unverändert.

Wir raten davon ab, interne Fach-Tools pauschal als „geringes Risiko“ einzustufen, nur weil kein CE-Label sichtbar ist. In der Prüfung zählt der tatsächliche Einsatzzweck und die Einwirkung auf Gesundheit, Sicherheit oder Grundrechte.

MDR, IVDR und EU AI Act: So vermeiden Sie Doppelarbeit

Viele Teams bauen zwei parallele Compliance-Welten auf: eine für Medizinprodukterecht, eine für KI-Regulierung. Genau das ist teuer und in der Umsetzung langsam.

Die FAQ der EU-Gremien stellt klar, dass MDR/IVDR und EU AI Act gleichzeitig und komplementär gelten. Der effizienteste Weg ist daher ein integriertes Qualitäts- und Evidenzmodell:

1. Ein gemeinsames Risikoregister für klinische, technische und Grundrechtsrisiken.
2. Eine zusammengeführte technische Dokumentation statt separater Ordner je Regelwerk.
3. Einheitliche Change-Control für Modell-Updates, Datenquellen und Produktversionen.
4. Gemeinsame Audit-Trail-Standards für Qualitätsmanagement, IT-Sicherheit und Datenschutz.

Unsere klare Empfehlung: Erst den gemeinsamen Kontrollrahmen definieren, dann Tools auswählen. Wer mit Tooling startet, bevor Rollen und Nachweise stehen, produziert fast immer Rework.

Fristen, Bußgelder und was 2026 wirklich zählt

Was ist die operative Leitlinie für 2026? Nicht „alles sofort umsetzen“, sondern „die zeitkritischen Grundlagen belastbar machen“.

Aktuell gelten als robuste Planungsdaten:

Für Sanktionen nennt die Verordnung je nach Verstoßrahmen bis zu 35 Mio. EUR oder 7% des weltweiten Jahresumsatzes (verbotene Praktiken), bei Hochrisiko-Pflichten bis zu 15 Mio. EUR oder 3%. In der Praxis ist das zwar der Extremfall, aber schon deutlich kleinere Maßnahmen der Aufsicht können Projekte stoppen, Rollouts verzögern und Beschaffung blockieren.

Wir sehen in Programmen mit früher Gap-Analyse regelmäßig 20-30% weniger Nacharbeiten vor Audits, weil kritische Dokumentationslücken nicht erst im Freigabeprozess entdeckt werden.

Umsetzungscheckliste für IT-Leitungen in Kliniken und HealthTech

Wenn Sie gerade evaluieren, wo Sie starten sollen: Beginnen Sie mit einer 6-Wochen-Basislinie. Das ist schneller und wirksamer als ein zwölfmonatiges Großprojekt ohne Priorisierung.

1. Systeminventur: Alle KI-Use-Cases mit Zweck, Datenquellen, Betreibern und Herstellern erfassen.
2. Rollenklärung: Pro System festlegen, wer Provider, wer Deployer und wer fachlich freigabeverantwortlich ist.
3. Risikoklassifizierung: Vorprüfung gegen EU AI Act + MDR/IVDR-Status dokumentieren.
4. Daten- und Modellkontrollen: Datenqualität, Drift-Risiken, menschliche Aufsicht, Logging-Anforderungen prüfen.
5. Dokumentationspaket: Technische Doku, Betriebsanweisungen, Incident-Prozess, Nachweis der KI-Kompetenz bündeln.
6. Audit-Simulation: Ein realistischer Trockenlauf mit Legal, IT, Datenschutz und Fachbereich.

Das funktioniert in der Praxis deutlich besser als „Compliance als Nebenaufgabe“. Ohne dedizierte Verantwortliche scheitern Programme meist nicht am Wissen, sondern an der Abstimmung.

Ein guter Einstieg ist ein strukturierter AI Readiness Assessment für regulierte Umgebungen, bevor Investitionen in neue Plattformen oder Modellanbieter gehen.

Häufig gestellte Fragen

Was kostet die Umsetzung des EU AI Act im Gesundheitswesen typischerweise?

Kommt darauf an, wie viele produktive KI-Systeme Sie bereits betreiben. Für mittelgroße Organisationen liegen initiale Programme oft im unteren bis mittleren sechsstelligen Bereich, wenn Governance, Dokumentation und Prozessanpassungen vollständig aufgebaut werden. Teurer wird es fast immer dann, wenn erst kurz vor Audit gestartet wird.

EU AI Act vs. MDR: Was ist der wichtigste Unterschied für IT-Leiter?

MDR/IVDR regeln primär das Medizinprodukt und dessen Sicherheit im Markt, der EU AI Act legt zusätzliche KI-spezifische Pflichten über den gesamten Lebenszyklus fest. Für Sie heißt das: Nicht entweder-oder, sondern ein integriertes Betriebsmodell. Genau dort entstehen die größten Effizienzgewinne.

Gilt der EU AI Act auch für intern entwickelte Klinik-KI ohne externen Vertrieb?

Teilweise ja, aber die konkrete Einordnung hängt vom Einsatzzweck und vom regulatorischen Pfad ab. Bestimmte Inhouse-Konstellationen unter MDR/IVDR können anders behandelt werden, trotzdem bleiben Anforderungen an Governance, Sicherheit und Nachvollziehbarkeit zentral. Eine Einzelfallprüfung ist hier Pflicht.

Welche Nachweise erwarten Aufsicht und Benannte Stelle zuerst?

In der Regel werden zuerst Zweck, Risikoeinstufung, Verantwortlichkeiten, Dokumentation der Daten- und Modellqualität sowie menschliche Aufsicht betrachtet. Fehlen diese Grundlagen, helfen spätere Detailverbesserungen nur begrenzt.

Wie lange dauert ein realistischer Start bis zur auditfähigen Basis?

Für eine erste belastbare Basis mit Inventur, Rollenmodell, Kontrollrahmen und priorisierten Maßnahmen planen viele Organisationen 6 bis 12 Wochen. Vollständige Reife über alle Systeme dauert länger, aber genau diese erste Phase entscheidet über Tempo und Kosten der nächsten 12 Monate.

Nächster Schritt

Unsere Empfehlung für 2026: Ein kompaktes Compliance-Programm mit klarer Priorisierung auf Hochrisiko-Use-Cases, statt ein breit gestreutes „Alles gleichzeitig“. So bekommen Sie regulatorische Sicherheit, ohne Innovationsprojekte unnötig auszubremsen.

Zusätzlich hilfreich für die Umsetzungsplanung:

• Praxisnahe Case Studies aus regulierten Projekten
• Private KI-Infrastruktur für sensible Daten

Verwandte Themen

Quellen

• EU AI Act Übersicht der Europäischen Kommission
• AI im Gesundheitswesen (EU-Kommission)
• MDCG 2025-6 FAQ zu MDR/IVDR und AI Act
• AI Act Implementation Timeline