EU-KI-Verordnung für Arztpraxen: Stand und Prüfpunkte

Die KI-Verordnung der Europäischen Union, Verordnung (EU) 2024/1689, ist seit dem 1. August 2024 in Kraft und gilt gestaffelt. Seit dem 2. Februar 2025 gelten die Verbote bestimmter KI-Praktiken. Weitere Pflichten, etwa für Hochrisiko-Systeme, gelten zu späteren Stichtagen.

Dieser Beitrag hat den Stand vom 28. Oktober 2026 und ist keine Rechtsberatung. Welche Pflichten Ihre Praxis treffen, hängt vom konkreten Einsatz ab. Die Einordnung nehmen Sie als Praxis vor, gegebenenfalls mit Ihrem Datenschutzbeauftragten oder Ihrer Rechtsberatung. Weitere Rechtsfragen beim Einsatz von KI fasst die Übersicht KI in der Arztpraxis zusammen.

Pflichten nach dem Risiko eines Einsatzes

Die Verordnung ordnet ihre Pflichten danach, welches Risiko von einem KI-Einsatz ausgeht. Sie enthält Verbote bestimmter Praktiken und Anforderungen an Hochrisiko-KI-Systeme. Hinzu kommen Transparenzpflichten für bestimmte KI-Systeme und Regeln für KI-Modelle mit allgemeinem Verwendungszweck.

Ob eine Software unter eine dieser Gruppen fällt, ergibt sich aus der Verordnung und dem konkreten Einsatz. Maßgeblich sind die Funktionen der Software und ihre Zweckbestimmung.

Anbieter und Betreiber

Die Verordnung unterscheidet Rollen. Anbieter entwickeln ein KI-System oder lassen es entwickeln und bringen es unter eigenem Namen in Verkehr oder nehmen es in Betrieb. Betreiber verwenden ein KI-System in eigener Verantwortung.

Eine Praxis, die KI-Software im Praxisbetrieb einsetzt, kann Betreiber im Sinne der Verordnung sein. Die Pflichten von Anbietern und Betreibern unterscheiden sich. Für Ihre Einordnung brauchen Sie deshalb Angaben des Anbieters zu seinem System. Die Bewertung Ihres eigenen Einsatzes bleibt bei Ihnen.

Stichtage im Blick behalten

Die Verordnung gilt nicht auf einen Schlag. Einzelne Teile gelten seit dem 2. Februar 2025, weitere zu späteren Stichtagen. Den verbindlichen Text veröffentlicht die EU im Amtsblatt; er ist bei EUR-Lex abrufbar.

Prüfen Sie vor einer Anschaffung und bei Änderungen an Ihren Abläufen den aktuellen Stand. Notieren Sie in Ihren Unterlagen, auf welchen Stand sich Ihre Einordnung bezieht. So sehen Sie später, welche Bewertung Sie wann getroffen haben.

Bestandsaufnahme in der Praxis

Der erste praktische Schritt ist eine Liste. Erfassen Sie jede Software in Ihrer Praxis, die KI nutzt. Dazu können ein Telefonassistent, ein Diktatsystem, ein sortierender Posteingang oder eine Online-Terminbuchung gehören. Auch Funktionen in Ihrem Praxisverwaltungssystem und Chat-Assistenten im Browser zählen dazu.

Halten Sie für jedes Werkzeug fest, wofür Ihr Team es verwendet. Notieren Sie, welche Daten es verarbeitet und wer das Ergebnis prüft. Ergänzen Sie, welche Unterlagen der Anbieter geliefert hat und wo diese abgelegt sind.

Auch Werkzeuge, die einzelne Mitarbeitende auf eigene Initiative im Browser nutzen, gehören auf die Liste. Ein Übersetzungsdienst oder ein Textassistent kann Patientendaten verarbeiten, ohne dass die Praxisleitung davon weiß. Fragen Sie deshalb im Team nach, bevor Sie die Liste abschließen.

Diese Liste dient gleichzeitig der Datenschutz-Dokumentation. Die KI-Verordnung gilt neben der DSGVO. Für die Verarbeitung von Gesundheitsdaten in der Gesundheitsversorgung kommt Art. 9 Abs. 2 lit. h in Verbindung mit Abs. 3 DSGVO und § 22 Abs. 1 Nr. 1 lit. b BDSG in Betracht. Die Rechtsgrundlage bestimmt Ihre Praxis als Verantwortliche. Für das Verzeichnis von Verarbeitungstätigkeiten nach Art. 30 DSGVO liefert Klarvus eine vorausgefüllte Vorlage.

Auch die ärztliche Schweigepflicht nach § 203 StGB gilt beim Einsatz von KI weiter. Sie betrifft die Offenbarung von Geheimnissen an Dienstleister, etwa an den Anbieter eines KI-Systems. Die Prüfung nach der DSGVO und nach § 203 StGB ersetzt die Einordnung nach der KI-Verordnung nicht, und umgekehrt.

Zuständigkeiten festlegen

Bestimmen Sie eine Person, die die Liste führt. Sie nimmt neue Werkzeuge auf, bevor das Team sie nutzt, und ist Ansprechpartner für die Anbieter.

Prüfen Sie auch bestehende Software erneut, wenn ein Update neue KI-Funktionen bringt. Eine Funktion, die bisher nur sortiert hat, kann nach einem Update Texte an Patienten formulieren. Vereinbaren Sie mit Ihren Anbietern, dass sie Sie über solche Änderungen informieren.

Fragen an Ihren KI-Anbieter

Welche Zweckbestimmung hat die Software?

Die Zweckbestimmung legt der Anbieter fest. Sie beschreibt, wofür die Software gedacht ist, etwa für Organisation und Dokumentation oder für diagnostische Aussagen. Lassen Sie sich die Zweckbestimmung schriftlich geben. Sie spielt für die Einordnung eine Rolle.

Welche Schritte laufen ohne Freigabe?

Fragen Sie, welche Arbeitsschritte die Software vollständig ausführt und wo sie einen Vorschlag zur Prüfung erzeugt. Lassen Sie sich beides an einem erfundenen Beispiel zeigen. Notieren Sie, wer in Ihrem Team welche Vorschläge freigibt.

Wie sind KI-Ergebnisse erkennbar?

Ihr Team sollte im Arbeitsablauf sehen, welcher Text von einer KI stammt. Fragen Sie, wie die Software KI-Vorschläge kennzeichnet. Fragen Sie auch, wie sie Text kennzeichnet, der an Patienten geht.

Was wird protokolliert?

Ein Protokoll zeigt im Nachhinein, wer wann was freigegeben hat. Fragen Sie, welche Ereignisse die Software aufzeichnet und wie lange. Klären Sie, wer in Ihrer Praxis das Protokoll einsehen kann.

Welche Unterlagen liefert der Anbieter?

Fordern Sie die Angaben an, die Sie für Ihre Einordnung benötigen. Dazu gehören eine Beschreibung der Funktionen und der Datenwege. Klären Sie, wie der Anbieter Sie über Änderungen informiert.

Einordnung von Klarvus

Klarvus führt rein administrative Arbeitsschritte vollständig aus, etwa das Einsortieren eingehender Post oder den Versand einer Terminerinnerung. Sobald medizinischer Inhalt entsteht, erzeugt Klarvus einen Vorschlag, den ein Mensch bestätigt, bearbeitet oder verwirft. Das betrifft Antworten an Patienten, Inhalte für die Akte und Hinweise zur Abrechnung.

KI-Vorschläge sind im Arbeitsablauf gekennzeichnet. Wer wann was freigegeben hat, ist protokolliert. Klarvus hat keine diagnostische oder therapeutische Zweckbestimmung. Es bewertet keine Befunde und schlägt keine Diagnosen vor.

Die Angaben für Ihre Einordnung liefert Klarvus. Die rechtliche Einordnung Ihres Einsatzes nehmen Sie als Praxis vor. Die Umsetzung im Produkt beschreibt die Seite Sicherheit. Wie der Ablauf im Alltag aussieht, zeigen die Beiträge zum Posteingang und zu Diktat und Reinschrift.

Zur Schweigepflicht beim Einsatz von KI-Dienstleistern enthält der Beitrag Schweigepflicht und KI in der Arztpraxis konkrete Prüffragen.