Krankenhäuser & Gesundheitsversorgung: AI Act, Data Act & DSGVO-Pflichten

Krankenhäuser & Gesundheitsversorgung sind meist BETREIBER hochrisiko-KI — sie verwenden KI-Systeme (Medizinprodukte) unter eigener Aufsicht. Beispiele: KI-gestützte Bildgebung (Tumor-Erkennung), Diagnostik-KI (Hautkrebs-Screening, EKG-Auswertung), Patientenüberwachung (Sturzerkennung, Vitalparameter-Alarme), Therapie-Unterstützung (Dosis-Berechnung), Triage-KI. Die KI ist hochriskant nach Anhang I AI Act + MDR (Medizinprodukte-VO); der Medizinprodukte-Hersteller erfüllt Art. 8–15-Pflichten, das Krankenhaus als Betreiber erfüllt Art. 26-Pflichten. Plus: Personalplanungs-KI (Anhang III Nr. 4 Beschäftigung), Verwaltungs-KI (oft begrenzt/minimal). Eine genaue Klassifizierung je Einsatz ist entscheidend; bei Hochrisiko (medizinischer Zweck) ist die MDR-Schnittstelle kritisch.

Praktisch: (1) Betreiber-Pflichten Art. 26 — menschliche Aufsicht (ärztliche Letztverantwortung Art. 14 — Ärztin/Arzt prüft, entscheidet, dokumentiert), Eingabe-Relevanz (Patientendaten-Plausibilität), Systemüberwachung (Performance-Tracking); (2) Aufklärung/Beschwerde-Rechte (Art. 86 Erläuterung individueller Outputs); (3) DSGVO — Gesundheitsdaten Art. 9 (besondere Kategorie — Verarbeitung nur unter engen Ausnahmen: ausdrückliche Einwilligung, Gesundheitsfürsorge, öffentliches Interesse), Rechtsgrundlage, DSFA bei hochriskanter Verarbeitung, Informations-/Auskunftspflichten; (4) Berufsrecht — ärztliche Schweigepflicht (§ 203 StGB), ärztliche Verantwortung (BOÄ/MBO), KI als Werkzeug ärztlicher Tätigkeit (unterstützt, entscheidet nicht); (5) SGB V/Versorgungsrecht (Erstattungsfähigkeit KI-gestützter Leistungen); (6) Patientenrecht (Aufklärung, Selbstbestimmung, Behandlungsfehler-Haftung). Aufsichtlich: Datenschutz-Aufsichten (DSK-Mitglieder — Datenschutz im Gesundheitswesen ist streng überwacht), Ärztekammern (Berufsrecht), Marktüberwachung (AI Act/MDR), Medizinischer Dienst (Qualitätssicherung). Eine sorgfältige Betreiber-Compliance schützt Patientinnen/Patienten (Sicherheit, Rechte), Ärztinnen/Ärzte (Verantwortung/Beihilfe) und das Krankenhaus (Haftung/Reputation).

Die Grenze der Krankenhaus-KI ist die ärztliche Letztverantwortung: die KI ist Werkzeug ärztlicher Tätigkeit, sie entscheidet nicht autonom. Ärztin/Arzt prüft die KI-Vorschläge kritisch, entscheidet eigenständig, dokumentiert die Entscheidung und begründet sie gegenüber Patientin/Patient. Vollautomatisierte Diagnosen/Therapieentscheidungen ohne menschliche Überprüfung sind unzulässig (Art. 14, § 630e BGB Aufklärung, ärztliches Berufsrecht). Ethik: bei Hochrisiko-Medizin-KI sind Ethikkommissionen (bei Forschung/Pilot), Klinische Ethikkomitees (im Klinikalltag) und Patienteneinbindung etablierte Instrumente. Vulnerable Gruppen (Kinder, Demenz-Patientinnen/Patienten, Notfallpatientinnen/-patienten) brauchen besonderen Schutz. Eine KI, die ärztliche Verantwortung aushöhlt oder Patientenautonomie untergräbt, ist rechtswidrig und ethisch inakzeptabel — Compliance und Ethik sind im Medizin-KI-Bereich untrennbar.