KI-Compliance im Gesundheitswesen

Überblick

KI-Systeme im Gesundheitswesen versprechen bessere Diagnosen, effizientere Abläufe und neue medizinische Erkenntnisse. Gleichzeitig zählt der Gesundheitsbereich zu den am stärksten regulierten Einsatzfeldern: Gesundheitsdaten sind nach Art. 9 DSGVO besonders geschützt, und viele medizinische KI-Anwendungen fallen unter den EU AI Act als Hochrisiko-Systeme.

Hinzu kommt ein weiterer Regulierungsrahmen: Je nach Einsatz kann eine KI-Anwendung auch als Medizinprodukt gelten und damit unter die Medical Device Regulation (MDR) oder In-vitro Diagnostic Regulation (IVDR) fallen.

Dieser Beitrag erläutert:

• Datenschutzanforderungen bei Gesundheitsdaten
• Typische DSFA-Auslöser bei medizinischer KI
• AI-Act-Einstufung und Pflichten
• Schnittstellen zu MDR/IVDR
• Praktische Handlungsschritte für Projekte

1️⃣ Datenschutz: Gesundheitsdaten als besondere Kategorie (Art. 9 DSGVO)

Was zählt als Gesundheitsdatum?

Gesundheitsdaten umfassen u. a.:

• Diagnosen, Befunde, Laborwerte
• Medikationspläne
• Behandlungsverläufe
• Daten aus Wearables (z. B. Herzfrequenz), sofern Gesundheitsbezug besteht
• Patient:innenidentifikationen in klinischem Kontext

Als besondere Kategorie gilt grundsätzlich ein Verarbeitungsverbot – außer es greift eine Ausnahme nach Art. 9 Abs. 2 DSGVO.

Häufige Ausnahmen im Gesundheitskontext

• Art. 9 Abs. 2 lit. h: Gesundheitsversorgung / Behandlung
• Art. 9 Abs. 2 lit. i: Öffentliches Interesse im Bereich der öffentlichen Gesundheit
• Art. 9 Abs. 2 lit. j: Wissenschaftliche Forschung (unter zusätzlichen Voraussetzungen)
• Ausdrückliche Einwilligung (lit. a) – in der Praxis oft schwierig, da Widerruf und Zweckbindung komplex sind

2️⃣ Typische KI-Anwendungsfälle im Gesundheitswesen

Klinische Entscheidungsunterstützung (CDSS)

• Vorschläge zu Diagnosen oder Therapien
• Risiko: Übervertrauen in KI, Bias, fehlende Nachvollziehbarkeit

KI-gestützte Bildgebung

• Radiologie, Pathologie, Dermatologie
• Risiko: Fehlklassifikationen, Datendrift, Bias durch Trainingsdaten

Operational AI (Krankenhausprozesse)

• Kapazitätsplanung, Patient:innenfluss, Ressourcenoptimierung
• Risiko: indirekte Auswirkungen auf Behandlung, Priorisierung

Drug Discovery & Forschung

• Mustererkennung in Daten, Wirkstoffscreening
• Risiko: Zweckänderung, Datenschnittstellen, Anonymisierungsfragen

3️⃣ DSFA: Warum sie im Gesundheitswesen fast immer relevant ist (Art. 35 DSGVO)

Eine DSFA ist häufig erforderlich, weil:

• besondere Kategorien verarbeitet werden (Art. 9)
• großflächige Verarbeitung medizinischer Daten möglich ist
• Profiling und Scoring im klinischen Kontext stattfinden kann
• Betroffene potenziell erheblich betroffen sind

Typische DSFA-Risiken bei medizinischer KI:

• Bias / systematische Benachteiligung bestimmter Gruppen
• Intransparenz (Black-Box-Modelle)
• Fehlentscheidungen mit Gesundheitsfolgen
• Kontrollverlust bei automatisierten Workflows
• Drittlandtransfer bei Cloud-Services

4️⃣ EU AI Act: Hochrisiko-Einstufung im Gesundheitsbereich

Viele medizinische KI-Systeme gelten als Hochrisiko, insbesondere wenn sie:

• Diagnosen unterstützen oder beeinflussen
• Behandlungspriorisierungen vornehmen
• Patient:innenrisiken bewerten
• in klinische Entscheidungen eingreifen

Je nach System kann die Einstufung erfolgen über:

• Anhang III (z. B. Systeme mit erheblicher Grundrechtsrelevanz)
• oder als Sicherheitskomponente eines Produkts

Typische Hochrisiko-Pflichten (vereinfacht)

1. Risikomanagementsystem
2. Daten-Governance
3. Technische Dokumentation
4. Logging
5. Transparenz
6. Menschliche Aufsicht
7. Genauigkeit, Robustheit, Cybersicherheit
8. Konformitätsbewertung und ggf. CE-Kennzeichnung

5️⃣ MDR/IVDR: Wann wird KI zum Medizinprodukt?

Ob eine KI ein Medizinprodukt ist, hängt nicht von der Technologie, sondern von:

• Zweckbestimmung
• medizinischer Funktion
• Einsatz im klinischen Kontext

ab.

Beispiele, die häufig Medizinprodukt-Charakter haben:

• Diagnoseunterstützung
• Therapieempfehlungen
• klinische Entscheidungsassistenz

Beispiele, die nicht zwingend Medizinprodukt sind:

• rein administrative Prozessoptimierung
• generische Textassistenz ohne medizinische Zweckbestimmung

6️⃣ Praktische Umsetzung: Checkliste für KI-Projekte im Gesundheitswesen

A) Scope und Zweckbestimmung klären

1. Was ist der medizinische Zweck?
2. Beeinflusst KI klinische Entscheidungen direkt oder indirekt?
3. Handelt es sich um ein Medizinprodukt (MDR/IVDR-Relevanz)?

B) Datenschutzfundament legen

4. Datenkategorien klassifizieren (Art. 9?)
5. Rechtsgrundlage + Art.-9-Ausnahme festlegen
6. Transparenzpflichten (Art. 13/14) definieren
7. Speicher- und Löschkonzept festlegen

C) Risiko- und Qualitätsprozesse integrieren

8. DSFA-Screening durchführen → DSFA erstellen, wenn erforderlich
9. Bias- und Robustheitstests planen
10. Human Oversight definieren (wer darf überstimmen?)
11. Logging und Monitoring implementieren

D) Technische und organisatorische Maßnahmen (TOMs)

12. Zugriffskontrollen (rollenbasiert)
13. Verschlüsselung (at rest / in transit)
14. Pseudonymisierung / Datenminimierung
15. Incident-Response-Prozess definieren

7️⃣ Häufige Fehlerquellen

Nächste Schritte

1. Klären Sie Zweckbestimmung und Produktkategorie (inkl. MDR/IVDR-Prüfung).
2. Definieren Sie Rechtsgrundlage + Art.-9-Ausnahme für Gesundheitsdaten.
3. Führen Sie ein DSFA-Screening durch und erstellen Sie eine DSFA, falls erforderlich.
4. Prüfen Sie AI-Act-Hochrisiko-Einstufung und starten Sie Dokumentation und Risikomanagement.
5. Validieren Sie Ihr Vorgehen mit qualifizierten Expert:innen unter /experts.