Rechtliche Grundlagen für KI in der Medizin vom Diktat bis zur Bildauswertung

Ein Diktat, das sich selbst abtippt, ein Telefonassistent, der Anrufe sortiert, eine Software, die Bilddaten auswertet: KI kann Praxis und Klinik an sehr verschiedenen Stellen entlasten. Rechtlich hängen die drei Werkzeuge an unterschiedlichen Regeln. Wer vor dem Start vier Fragen auseinanderhält, findet für jede Funktion schnell die passenden Unterlagen: Behandlung und Dokumentation, Medizinprodukt, KI-Verordnung, Datenschutz und Schweigepflicht.

Maßgeblich sind dabei Funktion, Zweckbestimmung, Datenweg und konkrete Verwendung, nicht das Etikett „KI“. Wie ein Telefonassistent im Alltag arbeitet, zeigt der Beitrag zum KI-Telefonassistenten; einen breiten Überblick gibt KI in der Medizin.

Drei Funktionen, drei erste Fragen

Die Tabelle zeigt, womit die Prüfung jeweils beginnt.

Geplante Funktion	Zuerst prüfen	Was daraus noch nicht folgt
Eigenes Diktat als Text übertragen	Datenweg, fachliche Richtigkeit und Übernahme in die Akte	Keine Erlaubnis, das ganze Gespräch aufzunehmen
Telefonische Anliegen aufnehmen	Aufgabenrahmen mit festem Notfallweg (Hinweis auf 112, außerhalb der Sprechzeiten auf 116117, sofortige Weitergabe ans Team), Hinweis auf die KI, Weitergabe ans Team und Datenschutz	Keine Freigabe für eine medizinische Ersteinschätzung
Bilddaten für eine Diagnose auswerten	Medizinische Zweckbestimmung, Produktunterlagen und fachlicher Einsatz	Keine Eignung für jede Patientengruppe oder Fragestellung

Drei Anwendungen brauchen drei verschiedene erste Prüfungen. Ein Zertifikat für den Anbieter ersetzt diese Zuordnung nicht. Die Einrichtung geht vom geplanten Arbeitsschritt aus und fordert erst danach Unterlagen an.

Behandlung und Dokumentation bleiben eigene Maßstäbe

§ 630a Abs. 2 BGB setzt den Maßstab für jede Behandlung: „Die Behandlung hat nach den zum Zeitpunkt der Behandlung bestehenden, allgemein anerkannten fachlichen Standards zu erfolgen, soweit nicht etwas anderes vereinbart ist.“ § 630f BGB verlangt, wesentliche Maßnahmen und Ergebnisse zeitnah in der Akte festzuhalten. Spätere Änderungen müssen samt ursprünglichem Inhalt und Zeitpunkt erkennbar bleiben.

Software befreit von diesen Pflichten nicht. Wichtig wird das bei der Beweislast: Fehlt eine medizinisch gebotene wesentliche Maßnahme in der Akte, wird nach § 630h Abs. 3 BGB vermutet, dass sie nicht getroffen wurde. Ein KI-Entwurf, der nie freigegeben und übernommen wurde, schützt also nicht. Für den Ablauf zählt deshalb, wer den Entwurf fachlich kontrolliert und woran die Freigabe erkennbar ist. Ein automatischer Status „fertig“ belegt diese Kontrolle nicht. Beim Arztbrief kommen Empfänger und Versand als weitere Schritte hinzu.

Die Zweckbestimmung entscheidet über die Produktfrage

Das BfArM erklärt, dass der Hersteller mit der Zweckbestimmung festlegt, ob ein Produkt ein Medizinprodukt ist. Maßgeblich sind Kennzeichnung, Gebrauchsanweisung und Werbematerial. Auch Software kann nach Art. 2 Nr. 1 der Medizinprodukteverordnung ein Medizinprodukt sein, und ihre Risikoklasse richtet sich nach den Regeln in Anhang VIII. Allgemeine Software wird nicht allein dadurch zum Medizinprodukt, dass sie im Gesundheitswesen läuft.

Lassen Sie sich deshalb die konkrete Zweckbestimmung und die Unterlagen geben. Soll eine Dokumentationshilfe künftig Risikosignale erkennen oder Therapieentscheidungen unterstützen, ist das eine neue Funktion und eine neue Einordnungsfrage. Die Bezeichnung „Assistent“ ist kein rechtlicher Nachweis. Für die Einrichtung gilt umgekehrt: Medizinprodukte dürfen nur ihrer Zweckbestimmung entsprechend und nur von Personen mit der nötigen Ausbildung oder Kenntnis und Erfahrung betrieben und benutzt werden (§ 4 Abs. 1 und 2 MPBetreibV). Wird eine allgemeine KI-Anwendung ohne medizinische Zweckbestimmung für Befund oder Therapieentscheidung herangezogen, deckt keine Herstellerangabe diesen Einsatz; die fachliche Verantwortung liegt dann allein bei der Ärztin oder dem Arzt.

Was die KI-Verordnung verlangt

Hinweis auf die KI. Nach Art. 50 gestalten Anbieter ihre Systeme so, dass Menschen bei direkter Interaktion erfahren, dass sie mit einer KI sprechen, sofern das nicht offensichtlich ist (Abs. 1). Die Information muss klar und erkennbar spätestens beim ersten Kontakt kommen (Abs. 5). Diese Pflicht gilt seit dem 2. August 2026. Die Einrichtung muss den vorgesehenen Hinweis im tatsächlichen Kontaktweg nachvollziehen können.

KI-Kompetenz. Nach Art. 4 Abs. 1 in der seit dem 27. Juli 2026 geltenden Fassung ergreifen Anbieter und Betreiber Maßnahmen, die die KI-Kompetenz ihres Personals und anderer in ihrem Auftrag tätiger Personen unterstützen. Ein bestimmtes individuelles Niveau müssen sie nicht garantieren. Eine Pflicht zur KI-Kompetenz besteht schon seit dem 2. Februar 2025; die frühere Fassung verlangte, ein ausreichendes Maß an KI-Kompetenz nach besten Kräften sicherzustellen. Eine Schulungsbescheinigung allein zeigt allerdings nicht, ob jemand die konkrete Anwendung sicher bedient und Fehler meldet.

Hochrisiko. Nach Art. 6 wird ein KI-System unter anderem dann als hochriskant eingestuft, wenn es selbst ein Produkt oder Sicherheitsbauteil eines Produkts nach den in Anhang I genannten Rechtsakten ist und eine Konformitätsbewertung durch Dritte braucht. Die Medizinprodukteverordnung steht in Anhang I. Medizinischer Kontext allein genügt also nicht, es kommt auf das konkrete Produkt an. In der durch die Verordnung (EU) 2026/1744 geänderten Fassung gelten Einstufung und Pflichten für solche Produkte ab dem 2. August 2028; für Systeme nach Anhang III gelten sie ab dem 2. Dezember 2027. Für die Praxis oder Klinik als Betreiberin heißt das dann unter anderem: Einsatz nach der Gebrauchsanweisung, menschliche Aufsicht durch Personen mit der nötigen Kompetenz, Überwachung des Betriebs mit Meldung von Risiken und schwerwiegenden Vorfällen, unter anderem an den Anbieter, sowie Aufbewahrung der automatisch erzeugten Protokolle für mindestens sechs Monate (Art. 26 KI-VO).

Haftung: Was sich gerade ändert

Wer im konkreten Schadenfall aus welchem Grund haftet, lässt sich nicht pauschal sagen. Der Satz „bei KI haftet immer die Praxis“ wäre zu grob, und Ansprüche gegen Hersteller oder Dienstleister lassen sich nicht vorwegnehmen. Unabhängig davon bleibt die Haftung aus der Behandlung: Gegenüber Patientinnen und Patienten schuldet die Praxis oder Klinik den fachlichen Standard nach § 630a Abs. 2 BGB, auch wenn eine Software beteiligt ist. Die Produkthaftung kommt als möglicher Anspruch gegen den Hersteller hinzu, sie ersetzt diese Haftung nicht. Bewegung gibt es bei der Produkthaftung. Die EU-Richtlinie 2024/2853 modernisiert das Produkthaftungsrecht. Deutschland setzt sie mit dem Gesetz zur Modernisierung des Produkthaftungsrechts um, das laut Bundesjustizministerium am 27. Oktober 2026 verkündet wurde. Nach den Angaben des Ministeriums wird Software, auch KI, unabhängig von der Art ihrer Bereitstellung oder Nutzung in die Produkthaftung einbezogen. Wer ein Produkt wesentlich verändert, gilt nach den Angaben des Ministeriums selbst als Hersteller. Die Umsetzungsfrist der Richtlinie endet am 9. Dezember 2026. Die neuen Regeln gelten für Produkte, die nach dem 9. Dezember 2026 in Verkehr gebracht oder in Betrieb genommen werden.

Aufnahme, Datenschutz und Schweigepflicht

Eine Behandlungsakte und eine Tonaufnahme sind unterschiedliche Datenbestände. Wer das nichtöffentlich gesprochene Wort eines anderen unbefugt auf einen Tonträger aufnimmt, macht sich nach § 201 Abs. 1 Nr. 1 StGB strafbar. Soll ein Gespräch aufgenommen werden, etwa für eine automatische Transkription oder beim Telefonassistenten, klären Sie deshalb vorher, wie die Beteiligten informiert werden und ihr Einverständnis geben, und bieten Sie einen Weg ohne Aufnahme für alle an, die nicht einverstanden sind. Die Dokumentationspflicht nach BGB erlaubt nicht automatisch jede technische Aufnahmeform.

Gesundheitsdaten sind nach Art. 9 DSGVO besonders geschützt. Für Diagnostik, Versorgung und Behandlung lässt Art. 9 Abs. 2 Buchst. h ihre Verarbeitung zu, soweit sie dafür erforderlich ist, etwa auf Grundlage des Behandlungsvertrags; in Deutschland regelt das § 22 Abs. 1 Nr. 1 Buchst. b BDSG. Nach Abs. 3 müssen die Daten dann von Fachpersonal, das dem Berufsgeheimnis unterliegt, oder unter dessen Verantwortung verarbeitet werden, oder von einer anderen Person, die einer Geheimhaltungspflicht unterliegt. Ärztinnen und Ärzte unterliegen der Schweigepflicht nach § 203 StGB. Externen Dienstleistern dürfen Patientengeheimnisse nur offenbart werden, soweit das für deren Mitwirkung erforderlich ist, und die Ärztin oder der Arzt muss dafür sorgen, dass die mitwirkenden Personen zur Geheimhaltung verpflichtet werden (Absatz 3 Satz 2 und Absatz 4 Satz 2 Nr. 1). Die Musterberufsordnung der Bundesärztekammer sieht dafür in § 9 Abs. 4 die Schriftform vor und erlaubt, die Verpflichtung auf das beauftragte Unternehmen zu übertragen; maßgeblich ist die Berufsordnung der zuständigen Landesärztekammer. Gegebenenfalls kommen die Cloudvorgaben des § 393 SGB V hinzu. Die vertiefte Datenschutzprüfung behandelt diese Fragen genauer.

Wo die Grenzen liegen

Eine solche Zuordnung sortiert die Prüfungen. Sie entscheidet keinen Haftungsfall und gibt keiner Anwendung eine Freigabe. Die Tabelle oben ist eine Zuordnung zur Vorbereitung eines Fachgesprächs, keine Klassifizierung eines konkreten Produkts. Rollen, Pflichten und Anwendungszeitpunkte der KI-Verordnung müssen für die konkrete Funktion anhand der aktuellen Fassung geprüft werden; ein Einführungstermin aus einem allgemeinen Überblick ersetzt diese Prüfung nicht. Ein Datenschutzvertrag sagt nichts über die medizinische Zweckbestimmung aus.

Womit eine Einrichtung anfängt

Der sinnvolle erste Schritt ist ein kurzes Funktionsblatt je Werkzeug: Eingabe, Ausgabe, Datenweg und verantwortliche Freigabe. Daran können die zuständigen Fachpersonen die nötigen Prüfungen festmachen.