Nirgends ist die Lücke zwischen Erwartung und Rechtslage so groß wie bei Diagnose-KI. Auf der einen Seite stehen Ankündigungen, die eine medizinische Revolution versprechen. Auf der anderen Seite steht eine Praxis, die wissen muss, was sie überhaupt einsetzen darf – und welche Pflichten daran hängen.
Dieser Teil der Serie ordnet ein, was in Deutschland gilt. Er ersetzt keine Rechtsberatung und keine regulatorische Einzelfallprüfung, aber er gibt Ihnen die Fragen an die Hand, mit denen Sie jedes Angebot prüfen können.
Was mit „Diagnose-KI“ alles gemeint ist
| Kategorie | Beispiel | Regulatorische Einordnung |
|---|---|---|
| Organisation und Text | Terminvergabe, Arztbriefentwurf, Dokumentation | In der Regel kein Medizinprodukt; Datenschutz und Schweigepflicht bleiben zentral |
| Triage und Priorisierung | Einschätzung der Dringlichkeit von Anliegen | Kritisch – sobald medizinische Bewertung erfolgt, produktrechtlich relevant |
| Bildgebung und Befundung | Unterstützung bei Auswertung von Bilddaten | Typischerweise Medizinprodukt mit CE-Kennzeichnung und Zweckbestimmung |
| Diagnoseunterstützung | Vorschlagslisten, Risikoscores, Entscheidungshilfen | Meist Medizinprodukt; Zweckbestimmung und Grenzen sind verbindlich |
| Prädiktion | Risikoabschätzung für Verläufe oder Komplikationen | Medizinprodukt und zusätzlich datenschutzsensible Verarbeitung |
| Selbstgebaute Modelle | eigene Auswertungen mit Patientendaten | Rechtlich und organisatorisch der anspruchsvollste Weg – für den Start ungeeignet |
Der entscheidende Begriff: Zweckbestimmung
Ob ein System ein Medizinprodukt ist, hängt nicht von der Technik ab, sondern davon, welchen Zweck der Hersteller ihm zuschreibt. Ein Sprachmodell, das Briefe formuliert, ist etwas anderes als eine Software, die Befunde bewertet – auch wenn beide auf ähnlicher Technologie beruhen.
Für Ihren Alltag folgt daraus eine einfache Prüfregel: Lesen Sie die Zweckbestimmung, nicht die Marketingseite. Dort steht, für welche Anwendung, für welche Patientengruppe und mit welchen Grenzen das System bestimmt ist. Alles außerhalb dieser Zweckbestimmung ist kein „kreativer Einsatz“, sondern eine Nutzung ohne Grundlage.
Ein Medizinprodukt bringt Pflichten mit: Kennzeichnung, Klassifizierung, Herstellerangaben, Betriebsgrenzen, Regelungen für Vorkommnisse. Als Betreiber müssen Sie diese Angaben kennen und einhalten – dazu gehört auch die Schulung der Anwender, die der Hersteller vorschreibt.
Was die europäische KI-Verordnung zusätzlich verlangt
Die KI-Verordnung arbeitet mit Risikoklassen. Systeme, die in medizinische Entscheidungen eingebunden sind und die Sicherheit von Personen betreffen können, fallen in die strengere Kategorie. Daraus entstehen Betreiberpflichten, die für Praxen und Kliniken praktisch relevant sind:
- Menschliche Aufsicht: Es muss eine Person geben, die Ergebnisse bewerten und eingreifen kann – technisch und organisatorisch.
- Protokollierung: Nutzung und Ergebnisse müssen nachvollziehbar sein.
- Datenqualität und Zweckbindung: Das System darf nur mit den vorgesehenen Daten arbeiten.
- Information: Betroffene müssen – je nach Fall – wissen, dass ein System beteiligt ist.
- Kompetenz: Die Anwender müssen ausreichend geschult sein, um das System zu verstehen und seine Grenzen zu kennen.
Die praktische Konsequenz ist unspektakulär und anspruchsvoll zugleich: Ohne dokumentierte Aufsicht, Schulung und Protokollierung ist ein solches System auch dann nicht zulässig einsetzbar, wenn es technisch einwandfrei funktioniert.
Fünf Fehler, die wir in Gesprächen hören
- „Es ist doch nur eine Unterstützung.“ Die Zweckbestimmung entscheidet, nicht die Selbsteinschätzung. Auch eine „Unterstützung“ kann ein Medizinprodukt sein.
- „Der Hersteller hat das freigegeben.“ Der Hersteller gibt den Zweck frei – Sie geben die Anwendung frei. Beides ist nötig.
- „Wir testen mal mit echten Daten.“ Echte Patientendaten in ein nicht freigegebenes System zu geben, ist kein Test, sondern eine Verarbeitung ohne Grundlage.
- „Wir haben nichts unterschrieben.“ Auch probeweise Nutzung mit Patientendaten ist rechtlich relevant.
- „Wenn etwas passiert, melden wir das.“ Ohne definierten Vorkommnisprozess und klare Zuständigkeit passiert genau das nicht.
Was in der Praxis tatsächlich möglich ist
Die realistische Lage sieht so aus: Im organisatorischen und dokumentarischen Bereich ist vieles heute und ohne Medizinproduktregulatorik möglich – Terminorganisation, Vorbereitung von Textarbeit, Vollständigkeitsprüfungen, Fristen, Erinnerungen. Im diagnostischen Bereich ist der Einsatz zugelassener Systeme möglich, aber an klare Pflichten gebunden. Und der eigenständige Bau von Modellen zur Diagnoseunterstützung gehört nicht in einen Praxisbetrieb, sondern in ein Entwicklungsprojekt mit regulatorischer Begleitung.
Wo genau die Linie verläuft, ist eine Einzelfallfrage. Die vier Prüfschritte aus Teil 10 zur Haftung sind dafür der praktische Rahmen, die Governance-Seite behandelt Teil 6.
Fazit
Diagnose-KI ist kein Tabu, aber ein Feld mit klaren Regeln. Der Unterschied zwischen zulässigem und unzulässigem Einsatz liegt nicht in der Qualität des Modells, sondern in drei Papieren: einer Zweckbestimmung, einer dokumentierten Freigabe und Nachweisen für Aufsicht und Schulung. Wer diese drei Dinge vorlegen kann, arbeitet belastbar. Wer sie nicht hat, verlässt sich auf Glück.
Diese Ausführungen sind keine Rechts- oder Regulierungsberatung. Für die Einordnung eines konkreten Systems ziehen Sie die Herstellerangaben und eigene Rechtsberatung heran. Für Sicherheit und Betrieb von KI-Systemen sprechen Sie uns an: cybereiche.de – zum Beispiel über Penetrationstests und Schwachstellenanalysen.