KI Transparenzpflichten Gesundheitswesen: Was ab August gilt

Die Europäische Kommission hat am 20. Juli 2026 Leitlinien zu den Transparenzpflichten des EU AI Act veröffentlicht – zwei Wochen vor dem Stichtag 2. August 2026, an dem diese Anforderungen rechtsverbindlich gelten. Für Krankenhäuser und Kliniken im DACH-Raum entsteht damit unmittelbarer Handlungsdruck: Wer KI-Systeme in der Patientenversorgung, Diagnostik oder Verwaltung einsetzt, muss die neuen Pflichten kennen und dokumentieren. Dieser Artikel erklärt, was konkret gefordert wird, wie sich die Rechtslage in Deutschland, Österreich und der Schweiz unterscheidet – und welche praktischen Schritte ISBs und IT-Leitungen jetzt einleiten sollten.

EU AI Act: Transparenzpflichten seit August 2026 verbindlich

Der EU AI Act (Verordnung (EU) 2024/1689) tritt stufenweise in Kraft. Nach dem Verbot bestimmter KI-Praktiken, das seit Februar 2025 gilt, und den Anforderungen an Hochrisiko-KI-Systeme, die schrittweise folgen, greifen die Transparenzpflichten nach Art. 50 EU AI Act seit dem 2. August 2026 verbindlich.

Die Leitlinien des European AI Office – veröffentlicht unter digital-strategy.ec.europa.eu – sind keine neuen Rechtsnormen, sondern Auslegungshilfen der Kommission. Sie richten sich an Anbieter (Provider) und Betreiber (Deployer) von KI-Systemen und präzisieren, wie die Vorgaben in der Praxis umzusetzen sind.

Was Art. 50 EU AI Act konkret verlangt

Die Transparenzpflichten betreffen zwei Hauptkategorien:

1. KI-Systeme mit direktem Nutzerkontakt (Chatbots, virtuelle Assistenten) Systeme, die mit natürlichen Personen interagieren, müssen diese klar und verständlich darüber informieren, dass sie mit einem KI-System und nicht mit einem Menschen kommunizieren – es sei denn, dies ist für den Kontext offensichtlich. Im Gesundheitswesen relevant: KI-gestützte Patientenanfragen, Triage-Chatbots, automatisierte Terminvereinbarungssysteme.

2. Deep-Fake- und synthetische Inhalte Synthetisch erzeugte oder manipulierte Audio-, Bild- oder Videoinhalte müssen als KI-generiert gekennzeichnet werden. Für Krankenhäuser spielt das etwa bei KI-generierten radiologischen Befundzusammenfassungen oder automatisierten Arztbriefen eine Rolle.

3. Emotionserkennungs- und Biometriesysteme Werden solche Systeme eingesetzt, sind die betroffenen Personen zu informieren. Für das Gesundheitswesen besonders sensibel: Systeme zur Schmerzeinschätzung, Vitalparameter-Überwachung mit KI-Auswertung oder biometrische Zugangssysteme.

Die Leitlinien präzisieren unter anderem, wie Informationen bereitgestellt werden müssen (zeitnah, verständlich, barrierefrei), wer bei Deployer-Ketten die Pflicht trägt und wie mit Ausnahmen umzugehen ist.

Rechtslage im DACH-Raum: Drei Länder, drei Ausgangspositionen

Der EU AI Act gilt als EU-Verordnung in Deutschland und Österreich direkt – ohne gesonderten nationalen Umsetzungsakt. Dennoch unterscheiden sich die Ausgangssituationen erheblich.

Deutschland

In Deutschland existiert bislang kein eigenständiges KI-Ausführungsgesetz. Die Durchsetzung des EU AI Act liegt bei den zuständigen Marktüberwachungsbehörden; die genaue Behördenzuständigkeit Stand Behördenstruktur DE Juli 2026 – ggf. BNetzA oder BSI als benannte Behörde ist noch nicht abschließend geregelt. Für Krankenhäuser kommt hinzu: KI-Systeme in der Medizin können gleichzeitig als Medizinprodukt nach MDR (EU) 2017/745 eingestuft sein – dann gelten zusätzlich die Anforderungen der MDR parallel zu denen des AI Act. Das BSIG (in der Fassung des NIS2UmsuCG, das seit Oktober 2024 gilt) schreibt für KRITIS-Betreiber im Gesundheitswesen zudem vor, den Einsatz von KI-Systemen im Rahmen des ISMS zu berücksichtigen.

Krankenhäuser, die unter den Anwendungsbereich des § 391 SGB V fallen – also nach dem Krankenhaustransparenzgesetz als KRITIS eingestufte Einrichtungen – sollten die KI-Transparenzpflichten in ihre bestehenden ISMS-Prozesse integrieren.

Österreich

Österreich hat mit dem NISG 2024 die NIS2-Richtlinie national umgesetzt. Der EU AI Act gilt auch hier direkt; eine eigenständige nationale KI-Aufsichtsbehörde ist in Österreich ebenfalls im Aufbau Stand Behördenstruktur AT Juli 2026. Für den Gesundheitsbereich relevant: Das österreichische Krankenanstaltenrecht (KAKuG und Landesgesetze) enthält Anforderungen an Patienteninformation und Aufklärung, die mit den Transparenzpflichten des AI Act zusammenspielen. KI-gestützte Diagnosesysteme, die Ärztinnen und Ärzten Empfehlungen liefern, berühren sowohl AI-Act-Anforderungen als auch ärztliches Standesrecht.

Schweiz

Die Schweiz ist nicht EU-Mitglied und unterliegt dem EU AI Act grundsätzlich nicht direkt. Allerdings greift der Marktgeltungsbereich: Schweizer Unternehmen, die KI-Systeme in der EU anbieten oder betreiben, fallen unter den AI Act – was für grenzüberschreitend tätige Klinikgruppen relevant ist. Die Schweiz verfolgt mit dem nDSG (Datenschutzgesetz, seit September 2023) einen eigenen Kurs beim Datenschutz. Ein eigenständiges KI-Gesetz existiert in der Schweiz derzeit nicht; der Bundesrat beobachtet die EU-Entwicklungen. Für Schweizer Spitäler gilt: KI-Systeme, die als Medizinprodukte eingestuft werden, unterliegen der MepV (Medizinprodukteverordnung). Eine freiwillige Orientierung an den AI-Act-Transparenzstandards ist aus Governance-Sicht empfehlenswert, rechtlich aber nicht erzwungen.

Welche KI-Systeme im Krankenhaus sind betroffen?

Die Frage der Betroffenheit ist nicht trivial. Nicht jedes "intelligente" System fällt unter den AI Act – maßgeblich ist die Definition in Art. 3 Nr. 1 AI Act, die auf maschinenbasiertem Lernen oder logik- und wissensbasierten Ansätzen beruht und auf Outputs wie Vorhersagen, Empfehlungen oder Entscheidungen abzielt.

Typische Systeme in Krankenhäusern, die unter die Transparenzpflichten fallen können:

System Relevanz Art. 50 Zusätzliche Einordnung
Triage-Chatbot (Patientenanfragen) Ja – Interaktionspflicht Ggf. Hochrisiko (Annex III)
KI-Befundassistent Radiologie Ja – synthetische Inhalte Ggf. Medizinprodukt MDR/MepV
Automatisierter Arztbrief (LLM) Ja – synthetische Inhalte Datenschutz DSGVO/nDSG
Emotionserkennung Pflegebereich Ja – Informationspflicht Hochrisiko, biometrische Daten
KI-gestützte Medikationsberatung Ja – Empfehlungssystem Hochrisiko
Biometrische Zutrittskontrolle Ja – Informationspflicht Biometrische Daten DSGVO

Wichtig: Hochrisiko-KI-Systeme nach Anhang III des AI Act – worunter viele medizinische KI-Anwendungen fallen – unterliegen weitergehenden Pflichten (Konformitätsbewertung, technische Dokumentation, Registrierung in der EU-Datenbank), die über Art. 50 hinausgehen und teilweise ab anderen Fristen gelten.

Praktische Umsetzung: Was ISBs und IT-Leitungen jetzt tun müssen

Schritt 1: KI-Inventar erstellen

Der erste Schritt ist eine vollständige Bestandsaufnahme aller eingesetzten KI-Systeme. Viele Krankenhäuser haben keinen zentralen Überblick – KI-Funktionen sind oft in Medizingeräten, KIS-Systemen oder Cloud-Diensten "unsichtbar" integriert. Das KI-Inventar sollte mindestens enthalten:

  • Systembezeichnung und Anbieter
  • Einsatzbereich (Klinik, Abteilung)
  • Funktionsbeschreibung und Output-Typ
  • Einstufung nach AI Act (kein Risiko / begrenztes Risiko / Hochrisiko / verboten)
  • Rolle der eigenen Einrichtung: Anbieter, Betreiber oder beides?
  • Status der Transparenzpflicht nach Art. 50

Schritt 2: Rolle klären – Anbieter oder Betreiber?

Die Unterscheidung ist zentral für die Pflichtenzuweisung. Anbieter (Provider) entwickeln oder lassen KI-Systeme entwickeln und bringen sie in Verkehr. Betreiber (Deployer) setzen KI-Systeme im eigenen Kontext ein. Krankenhäuser sind typischerweise Betreiber – es sei denn, sie entwickeln eigene KI-Lösungen (z. B. in universitären Einrichtungen oder Forschungskooperationen).

Als Betreiber tragen Krankenhäuser eigene Pflichten nach Art. 50: Sie müssen sicherstellen, dass die Informationspflichten gegenüber den Betroffenen (Patienten, Personal) tatsächlich umgesetzt werden – auch wenn der Anbieter technische Mittel bereitstellt. Verträge mit KI-Anbietern sollten entsprechende Zusicherungen und Verantwortlichkeiten explizit regeln.

Schritt 3: Informationspflichten operationalisieren

Für jeden betroffenen Anwendungsfall ist zu definieren:

  • Wer wird informiert (Patient, Pflegepersonal, administratives Personal)?
  • Wann erfolgt die Information (vor Interaktion, bei Erstkontakt, permanent sichtbar)?
  • Wie wird informiert (Pop-up, Aushang, Aufnahmedokumentation, Einwilligungsformular)?
  • In welcher Sprache – besonders relevant für mehrsprachige Patientenpopulationen?

Die Leitlinien der Kommission betonen, dass die Information klar, verständlich und rechtzeitig erfolgen muss. Ein klein gedruckter Hinweis in den AGB genügt nicht.

Schritt 4: Dokumentation im ISMS verankern

KI Transparenzpflichten sind kein einmaliges Projekt, sondern dauerhafter Compliance-Bedarf. Sie sollten in das bestehende ISMS integriert werden:

  • Risikobeurteilung: KI-Systeme als Risikoträger aufnehmen (ISO 27001, BSI Grundschutz)
  • Lieferantenmanagement: Anforderungen an KI-Anbieter in Verträge und Lieferantenbewertungen aufnehmen
  • Awareness: Mitarbeitende schulen, die KI-Systeme im Patientenkontakt bedienen
  • Audit: KI-Compliance in interne Audits und ggf. externe Zertifizierungsaudits einbeziehen
  • Change Management: Neue KI-Systeme vor Inbetriebnahme auf AI-Act-Konformität prüfen

Für eine strukturierte Bewertung Ihres aktuellen Standes empfiehlt sich ein ISMS-Assessment: ismshield.bpcgmbh.com/assessment/

Schritt 5: DSGVO und AI Act zusammendenken

Die KI Transparenzpflichten des AI Act überschneiden sich mit Informationspflichten der DSGVO (bzw. des nDSG in der Schweiz) – insbesondere bei der Verarbeitung von Gesundheitsdaten (Art. 9 DSGVO). Ein abgestimmtes Vorgehen mit dem Datenschutzbeauftragten ist zwingend. Doppelte Informationspflichten können konsolidiert werden, müssen aber beide Anforderungen erfüllen.

Häufige Stolperfallen für Krankenhäuser

1. "Das macht der Anbieter" Betreiber können sich nicht vollständig auf Anbieter verlassen. Die Pflicht, Patienten zu informieren, liegt im Betrieb – der Anbieter kann die Mittel bereitstellen, die Umsetzung verantworten Sie.

2. Versteckte KI in Medizingeräten Viele Medizingeräte enthalten KI-Funktionen, ohne dass dies im Beschaffungsprozess explizit kommuniziert wurde. Eine geräteübergreifende Überprüfung ist notwendig.

3. Fehlende vertragliche Grundlagen Bestehende Verträge mit KI-Anbietern enthalten häufig keine AI-Act-spezifischen Klauseln. Bei Vertragsverlängerungen und Neuabschlüssen ist dies nachzujustieren.

4. Einmalige statt laufende Compliance KI-Systeme werden aktualisiert, neue Features kommen hinzu. Was heute als "kein Risiko" eingestuft ist, kann morgen unter Art. 50 fallen. Laufendes Monitoring ist erforderlich.

5. Schweizer Einrichtungen mit EU-Marktbezug Schweizer Kliniken, die Dienste für EU-Patienten erbringen oder KI-Systeme auf dem EU-Markt einsetzen, unterschätzen häufig ihre AI-Act-Exposition.

Hinweis: Dieser Artikel dient der allgemeinen Information und ersetzt keine Rechtsberatung. Für die rechtliche Bewertung Ihrer konkreten KI-Systeme und Pflichten wenden Sie sich an einen auf IT- und Medizinrecht spezialisierten Anwalt.

Kostenlose NIS2-Bestandsaufnahme starten →
Weitere Artikel im Wissensbereich Aktuelle Sicherheitswarnungen für das Gesundheitswesen