KI im Medizinrecht: Haftung, Datenschutz und Praxisregeln

Der Einsatz künstlicher Intelligenz in Diagnostik, Therapieplanung, Dokumentation und Verwaltung verändert medizinische Abläufe spürbar. Rechtlich ist das Thema jedoch kein eigener, abgeschlossener Rechtsbereich. KI im Medizinrecht verbindet Behandlungsvertragsrecht, Arzthaftung, Datenschutz, Medizinprodukterecht, Berufsrecht, IT-Sicherheitsrecht und künftig auch die europäische KI-Regulierung. Für Arztpraxen, Kliniken, Medizinische Versorgungszentren, Softwareanbieter und Patienten stellt sich deshalb selten nur eine einzelne Frage.

Entscheidend ist nicht, ob eine Anwendung als „KI“ beworben wird, sondern welche Funktion sie im konkreten Behandlungsprozess übernimmt. Unterstützt sie lediglich die Terminplanung, bewertet sie Röntgenbilder, schlägt sie Diagnosen vor oder steuert sie Therapieentscheidungen mit? Je näher ein System an patientenbezogene Entscheidungen heranrückt, desto strenger werden die Anforderungen an Zulassung, Aufklärung, Dokumentation, Datenschutz und menschliche Kontrolle.

Der folgende Beitrag ordnet die wichtigsten Grundlagen ein, zeigt typische Fallkonstellationen und erläutert, welche Schritte vor dem Einsatz medizinischer KI sinnvoll sind. Eine abschließende Beurteilung hängt jedoch stets von der konkreten Software, dem Einsatzkontext, den Verträgen und der tatsächlichen Organisation ab.

Inhaltsverzeichnis

1. KI im Medizinrecht: rechtliche Grundlagen für die Praxis
2. Wo medizinische KI bereits eingesetzt wird: typische Fallkonstellationen
3. Abgrenzung: Medizinprodukt, Assistenzsystem, Software und ärztliche Entscheidung
4. Anforderungen für Arztpraxen, Kliniken und MVZ
5. Pflichten von KI-Anbietern, Entwicklern und Herstellern im Gesundheitsmarkt
6. Datenschutz, Schweigepflicht und Patientengeheimnis bei medizinischer KI
7. Risiken, Haftung und typische Fehler bei KI im Medizinrecht
8. Fristen, Verjährung und regulatorische Zeitachsen
9. Beweisfragen und Dokumentation: Worauf es im Streitfall ankommt
10. Handlungsschritte: KI rechtssicher in der medizinischen Praxis einsetzen
11. Was Patienten wissen sollten, wenn KI an Diagnose oder Behandlung beteiligt ist
12. FAQ zu KI im Medizinrecht
13. … und 1 weitere Abschnitte

KI im Medizinrecht: rechtliche Grundlagen für die Praxis

Unter künstlicher Intelligenz werden im rechtlichen Zusammenhang regelmäßig Systeme verstanden, die aus Eingabedaten Ergebnisse wie Vorhersagen, Empfehlungen, Klassifizierungen oder Entscheidungen erzeugen. Im Gesundheitswesen können solche Ergebnisse etwa die Einschätzung eines Tumorrisikos, die Priorisierung von Notfallpatienten, die automatische Auswertung eines EKG oder die Formulierung eines Arztbriefs betreffen. Rechtlich relevant wird dabei, ob diese Ergebnisse nur vorbereitend genutzt werden oder ob sie die medizinische Entscheidung faktisch prägen.

Eine einheitliche gesetzliche Regelung mit der Überschrift „KI im Medizinrecht“ gibt es nicht. Maßgeblich ist vielmehr ein Zusammenspiel verschiedener Normen. Im Zentrum stehen die Vorschriften über den Behandlungsvertrag in den §§ 630a ff. BGB. Danach schulden Behandelnde eine Behandlung nach den zum Zeitpunkt der Behandlung bestehenden, allgemein anerkannten fachlichen Standards. Wird ein KI-System eingesetzt, ersetzt dies diesen Standard nicht automatisch. Es kann ihn in bestimmten Bereichen unterstützen, in anderen aber auch zusätzliche Prüfpflichten auslösen.

Hinzu kommt das Medizinprodukterecht. Software kann ein Medizinprodukt sein, wenn sie für medizinische Zwecke bestimmt ist, etwa zur Diagnose, Verhütung, Überwachung, Vorhersage, Prognose, Behandlung oder Linderung von Krankheiten. Für solche Software gelten insbesondere die europäische Medizinprodukteverordnung (MDR) und in Deutschland ergänzend das Medizinprodukterecht-Durchführungsgesetz. Je nach Zweckbestimmung und Risiko können Konformitätsbewertung, klinische Bewertung, technische Dokumentation, Post-Market-Surveillance und Vigilanzpflichten erforderlich sein.

Daneben ist die Datenschutz-Grundverordnung besonders bedeutsam, weil Gesundheitsdaten besondere Kategorien personenbezogener Daten darstellen. Ihre Verarbeitung ist grundsätzlich untersagt und nur unter engen Voraussetzungen zulässig, etwa aufgrund einer gesetzlichen Grundlage, eines Behandlungszusammenhangs, ausdrücklicher Einwilligung oder besonderer Schutzvorkehrungen. Bei KI-Anwendungen kommen zusätzliche Fragen hinzu: Welche Daten werden verarbeitet? Erfolgt ein Training mit Patientendaten? Werden Daten in Drittstaaten übermittelt? Können Ergebnisse einzelnen Patienten zugeordnet werden?

Die europäische KI-Verordnung ergänzt diese Vorgaben risikobasiert. Medizinische KI kann, insbesondere wenn sie Teil eines Medizinprodukts ist oder sicherheitsrelevante Funktionen übernimmt, als Hochrisiko-KI einzuordnen sein. Dann werden Anforderungen an Risikomanagement, Datenqualität, technische Dokumentation, Transparenz, menschliche Aufsicht, Genauigkeit, Robustheit und Cybersicherheit relevant. Die Pflichten treffen nicht nur Hersteller, sondern je nach Rolle auch Betreiber, Importeure, Händler oder sonstige Akteure.

Für die ärztliche Praxis bedeutet das: Der bloße Einsatz einer innovativen Software genügt nicht. Es muss nachvollziehbar geklärt werden, wofür das System bestimmt ist, auf welcher rechtlichen Grundlage es eingesetzt wird, wer welche Verantwortung trägt und wie sichergestellt wird, dass die ärztliche Entscheidung weiterhin fachgerecht getroffen und dokumentiert wird.

Wo medizinische KI bereits eingesetzt wird: typische Fallkonstellationen

In der Praxis zeigt sich medizinische KI in sehr unterschiedlichen Erscheinungsformen. Manche Systeme arbeiten weit entfernt von der unmittelbaren Patientenbehandlung, andere wirken unmittelbar auf Diagnose oder Therapie ein. Diese Unterschiede sind rechtlich wesentlich, weil sie die Anforderungen an Risikobewertung, Aufklärung, Dokumentation und Haftungsverteilung beeinflussen.

Ein häufiger Anwendungsbereich ist die radiologische Bildauswertung. KI-Systeme können CT-, MRT- oder Röntgenbilder auf Auffälligkeiten untersuchen, Läsionen markieren oder Wahrscheinlichkeitswerte ausgeben. Solche Anwendungen können Arbeitsabläufe beschleunigen und Zweitbefundungen unterstützen. Gleichwohl bleibt zu prüfen, ob die Software als Medizinprodukt klassifiziert ist, für welche Indikation sie zugelassen wurde und ob die ärztliche Befundung das KI-Ergebnis kritisch einbezieht oder unreflektiert übernimmt.

Auch in der Dermatologie, Pathologie und Augenheilkunde werden KI-gestützte Analyseverfahren verwendet. Ein Beispiel ist die Bewertung verdächtiger Hautveränderungen anhand digitaler Bilder. Rechtlich macht es einen Unterschied, ob die Software nur eine Risikoeinschätzung für ärztliches Fachpersonal liefert oder ob Patientinnen und Patienten über eine App eigenständig eine medizinische Bewertung erhalten. Im zweiten Fall können Aufklärung, Zweckbestimmung, Haftung und regulatorische Einordnung deutlich anspruchsvoller sein.

Ein weiterer Praxisbereich ist die klinische Entscheidungsunterstützung. Systeme analysieren Laborwerte, Vitalparameter, Medikationsdaten und Vorerkrankungen, um Risiken zu erkennen oder Behandlungsoptionen vorzuschlagen. Solche Systeme können bei Sepsiswarnungen, Medikationsprüfungen oder Entlassmanagement eingesetzt werden. Rechtlich relevant ist, ob das medizinische Personal die Entscheidung eigenständig trifft oder ob das System faktisch einen Behandlungsstandard vorgibt, von dem nur noch selten abgewichen wird.

Neben der direkten Medizin betrifft KI auch administrative Prozesse. Automatisierte Dokumentation, Spracherkennung, Codierung, Abrechnung, Ressourcenplanung und Terminsteuerung können die Praxisorganisation unterstützen. Hier stehen häufig weniger Medizinproduktefragen im Vordergrund, dafür aber Datenschutz, Vertraulichkeit, Auftragsverarbeitung, Berufsgeheimnis und IT-Sicherheit. Wird etwa ein cloudbasierter Dienst zur Erstellung von Arztbriefen genutzt, muss geklärt werden, ob Patientendaten in zulässiger Weise verarbeitet werden und ob der Anbieter berufsrechtlich verlässlich eingebunden ist.

Für Patienten kann KI ebenfalls sichtbar werden, etwa durch Symptomchecker, digitale Gesundheitsanwendungen, Chatbots oder telemedizinische Triage. Solche Anwendungen können niedrigschwellige Orientierung bieten, dürfen aber nicht den Eindruck einer gesicherten ärztlichen Diagnose erzeugen, wenn die medizinische Verantwortung anders verteilt ist. Gerade bei Grenzfällen zwischen Information, Beratung und Behandlung entstehen rechtliche Risiken, die vor dem Einsatz sorgfältig beschrieben werden sollten.

Abgrenzung: Medizinprodukt, Assistenzsystem, Software und ärztliche Entscheidung

Eine der häufigsten Fehlannahmen besteht darin, jede medizinisch genutzte Software rechtlich gleich zu behandeln. Tatsächlich hängt die Einordnung maßgeblich von der Zweckbestimmung, dem konkreten Einsatz und der Wirkung im Behandlungsprozess ab. Eine Software, die Dienstpläne erstellt, ist grundsätzlich anders zu bewerten als ein Algorithmus, der ein Schlaganfallrisiko prognostiziert oder eine Tumorgrenze markiert.

Die Zweckbestimmung wird regelmäßig vom Hersteller festgelegt. Sie ergibt sich aus Gebrauchsanweisung, Werbematerial, technischer Dokumentation und tatsächlicher Produktgestaltung. Eine nachträgliche Nutzung außerhalb dieser Zweckbestimmung kann für Praxen und Kliniken problematisch sein. Wird ein System etwa nur zur Forschung oder internen Qualitätssicherung bereitgestellt, aber im Alltag zur patientenbezogenen Diagnose verwendet, kann dies regulatorische und haftungsrechtliche Folgen haben.

Diese Abgrenzung ist auch deshalb wichtig, weil der Begriff „Assistenzsystem“ keine Haftungsfreistellung bewirkt. Ein ärztliches Assistenzsystem kann medizinprodukterechtlich hoch reguliert sein, wenn seine Empfehlung in eine Diagnose oder Behandlung einfließt. Umgekehrt kann eine KI-Anwendung mit beeindruckenden technischen Fähigkeiten rechtlich weniger streng zu behandeln sein, wenn sie nur anonymisierte Statistik, Kapazitätsplanung oder nichtmedizinische Verwaltungsprozesse betrifft. Die folgende Übersicht zeigt typische Unterschiede, ersetzt aber keine Einzelfallprüfung.

Nach der Einordnung folgt die organisatorische Konsequenz. Bei medizinproduktnahen Anwendungen genügt es nicht, einen Lizenzvertrag abzuschließen und das System technisch freizuschalten. Erforderlich ist regelmäßig eine Prüfung, ob das Produkt für den konkreten Einsatz zugelassen ist, ob Anwender geschult wurden, ob Einschränkungen bekannt sind und wie Abweichungen dokumentiert werden.

Bei generativer KI ist die Abgrenzung besonders anspruchsvoll. Ein Sprachmodell kann allgemeine Texte formulieren, medizinische Informationen zusammenfassen oder Entscheidungsvorschläge ausgeben. Ob daraus ein Medizinprodukt wird, hängt nicht allein von der Technologie ab, sondern von Zweckbestimmung und Verwendung. Wenn ein System patientenbezogene Therapieempfehlungen erzeugt, rückt es rechtlich deutlich näher an diagnostische oder therapeutische Software heran. Wird es dagegen nur zur sprachlichen Strukturierung eines bereits ärztlich geprüften Befunds genutzt, stehen andere Pflichten im Vordergrund.

Anforderungen für Arztpraxen, Kliniken und MVZ

Für medizinische Einrichtungen ist KI in erster Linie eine Organisationsentscheidung. Die Leitung einer Praxis, eines MVZ oder Krankenhauses muss prüfen, ob der Einsatz fachlich sinnvoll, rechtlich zulässig und organisatorisch beherrschbar ist. Dabei geht es nicht nur um die Frage, ob die Software technisch funktioniert. Entscheidend ist, ob sie in den konkreten Behandlungsablauf integriert werden kann, ohne Standards, Verantwortlichkeiten oder Patientenrechte zu vernachlässigen.

Ausgangspunkt ist die ärztliche Sorgfaltspflicht. Ärztinnen und Ärzte dürfen technische Hilfsmittel nutzen, müssen deren Ergebnisse aber fachlich einordnen. Ein KI-Hinweis kann eine zusätzliche Informationsquelle sein, ersetzt jedoch grundsätzlich nicht die eigene Befunderhebung, Anamnese, klinische Erfahrung und Plausibilitätsprüfung. Je kritischer die Anwendung, desto sorgfältiger muss festgelegt werden, wann ein KI-Ergebnis übernommen, hinterfragt oder ignoriert wird.

Hinzu kommen Aufklärungsfragen. Nicht jeder Softwareeinsatz muss gesondert und ausführlich mit Patienten besprochen werden. Wird KI jedoch in einer Weise eingesetzt, die für die Behandlung wesentlich ist, neue Risiken schafft oder die Entscheidungsgrundlage maßgeblich beeinflusst, kann eine transparente Information geboten sein. Besonders relevant wird dies, wenn alternative Verfahren bestehen, wenn Daten zu Trainings- oder Forschungszwecken verwendet werden sollen oder wenn die Behandlung teilweise automatisiert wirkt.

Ein weiterer Punkt ist die interne Rollenverteilung. Wer darf das System bedienen? Wer prüft Ergebnisse? Wer entscheidet bei Widersprüchen zwischen KI-Ausgabe und ärztlicher Einschätzung? Wer aktualisiert die Software, überwacht Fehlfunktionen und meldet Vorkommnisse? Ohne klare Zuständigkeiten entsteht im Haftungsfall schnell der Vorwurf eines Organisationsverschuldens.

Praxen und Kliniken sollten außerdem darauf achten, dass die Software zum eigenen Versorgungssetting passt. Ein System, das anhand bestimmter Studiendaten entwickelt wurde, kann in einer anderen Patientengruppe weniger zuverlässig sein. Unterschiedliche Altersgruppen, Vorerkrankungen, ethnische Hintergründe, Bildqualitäten oder Laborverfahren können die Aussagekraft beeinflussen. Rechtlich bedeutet das nicht, dass KI nur unter idealen Bedingungen eingesetzt werden darf. Es verlangt aber eine realistische Prüfung der Grenzen.

Praktisch empfiehlt sich ein Einsatzkonzept, das medizinische, technische und rechtliche Aspekte verbindet. Dazu gehören mindestens Zweck, Nutzerkreis, Datenflüsse, Verantwortlichkeiten, Freigabeprozesse, Schulungen, Dokumentation, Datenschutzprüfung und ein Verfahren für Fehlermeldungen. Je größer die Einrichtung und je patientennäher die KI-Anwendung, desto formalisierter sollte dieses Konzept sein.

Pflichten von KI-Anbietern, Entwicklern und Herstellern im Gesundheitsmarkt

Anbieter medizinischer KI bewegen sich in einem anspruchsvollen Markt, weil technische Leistungsfähigkeit allein nicht genügt. Wer Software mit medizinischer Zweckbestimmung entwickelt, vertreibt oder betreibt, muss früh klären, ob die Anwendung als Medizinprodukt einzustufen ist und welche Risikoklasse einschlägig ist. Diese Entscheidung beeinflusst Entwicklungsprozess, Dokumentation, klinische Bewertung, Qualitätsmanagement und Marktzugang.

Hersteller müssen die Zweckbestimmung präzise formulieren. Sie darf weder zu eng gewählt werden, wenn Marketing und tatsächliche Nutzung weiter gehen, noch zu weit, wenn die klinische Evidenz diese Breite nicht trägt. Unklare oder widersprüchliche Angaben können im Streitfall erheblich belasten. Maßgeblich ist nicht nur der Vertragstext, sondern auch die Außendarstellung, Schulungsmaterialien, Webseiten, Vertriebsaussagen und Benutzerführung.

Besondere Aufmerksamkeit verdient die Validierung. Medizinische KI muss nicht fehlerfrei sein; das wäre praktisch kaum erreichbar. Sie muss aber im Rahmen der vorgesehenen Anwendung eine nachvollziehbare Leistung erbringen. Dazu gehören geeignete Trainings-, Validierungs- und Testdaten, eine Bewertung möglicher Verzerrungen, ein Umgang mit Grenzfällen sowie eine Dokumentation der Leistungsgrenzen. Bei lernenden oder regelmäßig aktualisierten Systemen stellt sich zusätzlich die Frage, ob Änderungen eine erneute Bewertung erfordern.

Vertraglich sollten Anbieter klar regeln, welche Leistungen geschuldet sind, welche Einsatzgrenzen gelten, wer für die lokale Integration verantwortlich ist und wie Updates, Support, Sicherheitsvorfälle und Fehlermeldungen behandelt werden. Haftungsbeschränkungen können im unternehmerischen Verkehr zulässig sein, stoßen aber an Grenzen, insbesondere bei Kardinalpflichten, Vorsatz, grober Fahrlässigkeit, Verletzung von Leben, Körper oder Gesundheit sowie produktrechtlichen Vorgaben.

Auch datenschutzrechtlich ist die Rollenverteilung zentral. Ein Anbieter kann Auftragsverarbeiter sein, wenn er Patientendaten nur weisungsgebunden für eine Praxis verarbeitet. Er kann aber auch selbst Verantwortlicher oder gemeinsam Verantwortlicher sein, wenn er Zwecke und Mittel der Verarbeitung wesentlich mitbestimmt, etwa bei eigenem Training, Produktverbesserung oder Auswertung über Kunden hinweg. Diese Einordnung muss sich in Verträgen, technischen Einstellungen und tatsächlichen Abläufen widerspiegeln.

Schließlich sollten Anbieter den europäischen KI-Regulierungsrahmen nicht erst kurz vor Markteinführung prüfen. Die Anforderungen an Hochrisiko-KI betreffen unter anderem Risikomanagement, Daten-Governance, technische Dokumentation, Transparenz, menschliche Aufsicht und Cybersicherheit. Viele dieser Pflichten lassen sich nur sinnvoll erfüllen, wenn sie bereits im Entwicklungsprozess berücksichtigt werden.

Datenschutz, Schweigepflicht und Patientengeheimnis bei medizinischer KI

Gesundheitsdaten genießen rechtlich einen besonders hohen Schutz. Für medizinische KI ist dies ein Kernpunkt, weil viele Systeme auf großen Datenmengen beruhen oder patientenbezogene Informationen verarbeiten. Die DSGVO stuft Gesundheitsdaten als besondere Kategorien personenbezogener Daten ein. Ihre Verarbeitung ist nur zulässig, wenn eine tragfähige Rechtsgrundlage besteht und zusätzliche Schutzmaßnahmen umgesetzt werden.

Im laufenden Behandlungsverhältnis kann die Verarbeitung medizinischer Daten grundsätzlich erforderlich sein, um Diagnose, Behandlung und Versorgung zu ermöglichen. Das bedeutet jedoch nicht, dass jede KI-Nutzung automatisch gedeckt ist. Eine Software, die intern Befunde strukturiert, kann anders zu bewerten sein als ein cloudbasiertes System, das Daten an einen externen Anbieter übermittelt und diese möglicherweise für Modellverbesserungen nutzt. Je weiter die Verarbeitung vom unmittelbaren Behandlungszweck entfernt ist, desto sorgfältiger muss die Rechtsgrundlage geprüft werden.

Zusätzlich zur DSGVO gilt die ärztliche Schweigepflicht. Patientengeheimnisse dürfen grundsätzlich nicht unbefugt offenbart werden. Werden externe IT-Dienstleister einbezogen, muss sichergestellt sein, dass die Offenbarung rechtlich zulässig ist, etwa durch berufsrechtlich und strafrechtlich angemessene Einbindung als mitwirkende Person, durch Vertraulichkeitsverpflichtungen und durch geeignete technische und organisatorische Maßnahmen. Eine bloße Vertraulichkeitsklausel genügt nicht immer, wenn Datenflüsse und Zugriffe faktisch unkontrolliert bleiben.

Besonders sensibel sind Trainings- und Sekundärnutzungen. Wenn Patientendaten verwendet werden sollen, um ein KI-Modell zu trainieren, zu verbessern oder wissenschaftlich auszuwerten, ist zu prüfen, ob Anonymisierung, Pseudonymisierung, Einwilligung, gesetzliche Forschungserlaubnisse oder andere Grundlagen greifen. Eine echte Anonymisierung ist rechtlich nur dann gegeben, wenn eine Re-Identifizierung mit vertretbarem Aufwand nicht mehr möglich ist. Bei seltenen Erkrankungen, Bilddaten oder umfangreichen Datensätzen kann diese Grenze schwer zu ziehen sein.

Auch internationale Datenübermittlungen sind relevant. Viele KI-Dienste werden cloudbasiert betrieben. Werden Daten außerhalb des Europäischen Wirtschaftsraums verarbeitet oder können Supportmitarbeiter aus Drittstaaten zugreifen, sind zusätzliche Voraussetzungen zu erfüllen. Standardvertragsklauseln, Transfer Impact Assessments, Verschlüsselung und Zugriffsbeschränkungen können erforderlich sein. Ob sie ausreichen, hängt vom Dienst, den Daten und der Zugriffsmöglichkeit ab.

Für medizinische Einrichtungen empfiehlt sich daher vor dem Einsatz einer KI-Anwendung eine Datenschutz-Folgenabschätzung, wenn die Verarbeitung voraussichtlich ein hohes Risiko für Rechte und Freiheiten der Betroffenen mit sich bringt. Bei umfangreicher Verarbeitung von Gesundheitsdaten, automatisierter Bewertung oder neuen Technologien liegt dies häufig nahe. Die Folgenabschätzung sollte nicht als Formalie verstanden werden, sondern als Instrument, um Risiken frühzeitig zu erkennen und Schutzmaßnahmen belastbar festzulegen.

Risiken, Haftung und typische Fehler bei KI im Medizinrecht

Haftungsfragen bei KI im Medizinrecht lassen sich nicht pauschal beantworten. Grundsätzlich kommen mehrere Verantwortungsbereiche nebeneinander in Betracht: ärztliche Behandlungsverantwortung, Organisationshaftung der Einrichtung, Produkthaftung des Herstellers, vertragliche Haftung des Softwareanbieters und datenschutzrechtliche Verantwortlichkeit. Welche Ebene im Einzelfall greift, hängt davon ab, wo der Fehler entstanden ist und ob er vermeidbar war.

Bei Behandlungsfehlern bleibt der medizinische Standard maßgeblich. Wenn ein Arzt ein KI-Ergebnis übernimmt, obwohl es erkennbar unplausibel ist oder nicht zur klinischen Situation passt, kann dies haftungsrechtlich relevant werden. Umgekehrt kann es ebenfalls problematisch sein, ein etabliertes, fachlich gebotenes Unterstützungssystem ohne nachvollziehbaren Grund nicht zu nutzen, wenn sich daraus ein vermeidbarer Schaden ergibt. Ob eine solche Pflicht zur Nutzung besteht, ist jedoch stark vom Fachgebiet, vom Zeitpunkt und vom anerkannten Standard abhängig.

Kliniken und MVZ müssen sich zudem Organisationsfragen zurechnen lassen. Wird eine KI-Software ohne Schulung eingeführt, werden Warnhinweise ignoriert oder fehlen Regeln für die ärztliche Freigabe, kann der Vorwurf eines Organisationsverschuldens entstehen. Auch technische Aspekte wie fehlerhafte Schnittstellen, veraltete Versionen, unklare Zuständigkeiten für Updates oder mangelnde Zugriffskontrolle können haftungsrelevant sein.

Hersteller und Anbieter können haften, wenn die Software fehlerhaft ist, zugesicherte Eigenschaften fehlen, Sicherheitslücken bestehen oder regulatorische Anforderungen nicht eingehalten wurden. Bei Medizinprodukten sind Produktbeobachtung und Meldung schwerwiegender Vorkommnisse besonders wichtig. Allerdings bedeutet ein fehlerhaftes Behandlungsergebnis nicht automatisch, dass das Produkt fehlerhaft war. Es muss geprüft werden, ob der Fehler aus dem Produkt, aus der Anwendung, aus Datenqualität, aus falscher Integration oder aus einer medizinischen Fehlentscheidung stammt.

Typische Fehler in der Praxis sind:

• Einsatz einer KI-Anwendung ohne Prüfung der medizinprodukterechtlichen Zweckbestimmung.
• Unklare Verantwortung zwischen ärztlichem Personal, IT-Abteilung, Klinikleitung und Anbieter.
• Ungeprüfte Übernahme von KI-Ausgaben in Befunde, Arztbriefe oder Therapieentscheidungen.
• Fehlende oder unzureichende Schulung der Anwender, insbesondere zu Grenzen und Fehlermeldungen.
• Keine dokumentierte Datenschutzprüfung bei Verarbeitung von Gesundheitsdaten durch externe Dienste.
• Nutzung von Patientendaten zu Trainings- oder Testzwecken ohne tragfähige Rechtsgrundlage.
• Fehlende Protokollierung von Versionen, Eingabedaten, Ergebnissen und menschlicher Freigabe.
• Verlass auf Marketingangaben, ohne Verträge, Zertifikate und Gebrauchsanweisungen zu prüfen.

Besonders risikoreich ist die schleichende Zweckänderung. Eine Software wird zunächst zur internen Unterstützung eingeführt, später aber faktisch als diagnostische Entscheidungshilfe genutzt. Solche Entwicklungen geschehen oft nicht durch formale Beschlüsse, sondern durch Arbeitsroutine. Gerade deshalb sollten Einrichtungen regelmäßige Überprüfungen einplanen und festhalten, wofür das System tatsächlich eingesetzt wird.

Auch Patienten können durch KI-bezogene Fehler betroffen sein, ohne den technischen Hintergrund zu kennen. Wenn ein Schaden vermutet wird, ist daher nicht nur die medizinische Dokumentation wichtig, sondern auch die Frage, ob und welche Software beteiligt war. Der Zugang zu diesen Informationen kann im Einzelfall anspruchsvoll sein, weil Geschäftsgeheimnisse, Datenschutz und technische Komplexität eine Rolle spielen. Gleichwohl dürfen solche Aspekte berechtigte Patientenrechte nicht pauschal verdrängen.

Fristen, Verjährung und regulatorische Zeitachsen

Fristen spielen bei KI im Medizinrecht auf mehreren Ebenen eine Rolle. Für Patienten stehen häufig Behandlungsfehler, Aufklärungsmängel oder Datenschutzverstöße im Vordergrund. Für Einrichtungen und Anbieter geht es zusätzlich um Meldepflichten, Aufbewahrung, Auskunftsanfragen, Vertragsfristen und regulatorische Übergangszeiträume. Eine pauschale Frist gibt es nicht; entscheidend ist der Anspruch oder die Pflicht, um die es konkret geht.

Zivilrechtliche Schadensersatzansprüche wegen Behandlungsfehlern unterliegen regelmäßig der dreijährigen Regelverjährung. Diese beginnt grundsätzlich mit dem Schluss des Jahres, in dem der Anspruch entstanden ist und die betroffene Person von den anspruchsbegründenden Umständen und der Person des Schuldners Kenntnis erlangt oder ohne grobe Fahrlässigkeit hätte erlangen müssen. Gerade bei KI-bezogenen Sachverhalten kann die Kenntnisfrage schwierig sein, weil Patienten oft zunächst nicht wissen, dass ein Algorithmus beteiligt war.

Daneben bestehen absolute Höchstfristen, etwa im Deliktsrecht, die auch ohne Kenntnis laufen können. Bei Produkthaftungsfragen gelten ebenfalls besondere Fristen, einschließlich kenntnisabhängiger Verjährung und langfristiger Ausschlussfristen. Welche Regelung einschlägig ist, hängt davon ab, ob Ansprüche gegen Behandelnde, Einrichtung, Hersteller oder sonstige Beteiligte geprüft werden.

Datenschutzrechtlich sind andere Zeitachsen relevant. Bei Datenschutzverletzungen kann eine Meldung an die zuständige Aufsichtsbehörde grundsätzlich innerhalb von 72 Stunden erforderlich sein, sofern ein Risiko für Rechte und Freiheiten natürlicher Personen besteht. Betroffenenrechte, etwa Auskunft oder Kopie, müssen grundsätzlich innerhalb eines Monats bearbeitet werden, wobei Verlängerungen unter bestimmten Voraussetzungen möglich sind. Diese Fristen verlangen eine vorbereitete Organisation, weil technische Klärungen bei KI-Systemen häufig Zeit benötigen.

Für medizinische Dokumentation gilt im Behandlungsverhältnis regelmäßig eine Aufbewahrungsfrist von mindestens zehn Jahren, soweit nicht nach anderen Vorschriften längere Fristen bestehen. Bei KI-Anwendungen sollte geprüft werden, ob zusätzlich Systemprotokolle, Versionsstände, Freigaben und Prüfvermerke aufzubewahren sind. Ohne diese Informationen lässt sich später oft nicht rekonstruieren, welche Grundlage eine Entscheidung hatte.

Regulatorisch ist die europäische KI-Verordnung stufenweise zu beachten. Je nach Rolle und Risikokategorie treten Pflichten zu unterschiedlichen Zeitpunkten voll zur Anwendung. Einrichtungen und Anbieter sollten daher nicht nur aktuelle Pflichten prüfen, sondern auch Übergangsfristen, künftige Anforderungen und Vertragslaufzeiten berücksichtigen. Wer heute ein mehrjähriges KI-Projekt plant, sollte vermeiden, dass die gewählte Architektur kurz nach Einführung rechtlich oder technisch nachgebessert werden muss.

Beweisfragen und Dokumentation: Worauf es im Streitfall ankommt

Bei medizinischen Streitfällen entscheidet häufig nicht nur die materielle Rechtslage, sondern auch die Beweisbarkeit. KI macht diese Frage anspruchsvoller, weil medizinische Entscheidung, technische Empfehlung, Datenbasis und menschliche Freigabe ineinandergreifen. Für Patienten kann es schwierig sein, nachzuvollziehen, ob ein Algorithmus beteiligt war und welchen Einfluss er hatte. Für Behandelnde und Einrichtungen kann es problematisch werden, wenn sie zwar sorgfältig gehandelt haben, dies aber nicht dokumentieren können.

Im Arzthaftungsrecht gelten besondere Dokumentationspflichten. Wesentliche Maßnahmen, Befunde, Aufklärungen und Entscheidungen müssen in der Patientenakte nachvollziehbar festgehalten werden. Wird eine KI-Anwendung entscheidungserheblich genutzt, spricht viel dafür, auch deren Rolle zu dokumentieren: Welche Anwendung wurde genutzt? Welches Ergebnis wurde angezeigt? Wurde das Ergebnis übernommen, verworfen oder ergänzend geprüft? Welche ärztliche Begründung lag vor?

Technische Logs können dabei wichtig sein, ersetzen aber nicht die medizinische Dokumentation. Ein Systemprotokoll zeigt möglicherweise, dass eine Warnung angezeigt wurde. Es erklärt aber nicht automatisch, ob die Warnung medizinisch plausibel war oder warum die behandelnde Person ihr gefolgt ist. Umgekehrt kann eine medizinische Notiz ohne technische Kontextdaten unvollständig bleiben, wenn später die Version oder Konfiguration der KI unbekannt ist.

Für eine belastbare Prüfung sollten folgende Unterlagen, soweit vorhanden und rechtlich zugänglich, gesichert werden:

• Patientenakte einschließlich Befunden, Arztbriefen, Aufklärungsunterlagen und Verlaufsdokumentation.
• Name, Version, Zweckbestimmung und Herstellerangaben der eingesetzten KI-Software.
• Gebrauchsanweisung, Warnhinweise, Schulungsunterlagen und interne SOPs.
• Protokolle zu Eingabedaten, KI-Ausgaben, Warnmeldungen und ärztlicher Freigabe.
• Nachweise über Updates, Konfigurationsänderungen, Schnittstellen und Systemausfälle.
• Datenschutzunterlagen wie Verzeichnis der Verarbeitungstätigkeiten, Auftragsverarbeitungsverträge und Datenschutz-Folgenabschätzung.
• Kommunikation mit Anbieter, IT-Dienstleister, Datenschutzbeauftragten oder Aufsichtsstellen.
• Vorkommnismeldungen, interne Incident-Berichte und Maßnahmen zur Fehlerbehebung.

Für Patienten ist wichtig, frühzeitig Einsicht in die Behandlungsunterlagen zu verlangen und den zeitlichen Ablauf möglichst genau festzuhalten. Für Einrichtungen empfiehlt sich eine Dokumentationsroutine, die nicht erst im Streitfall beginnt. Dokumentation sollte knapp, verständlich und prüffähig sein. Übermäßige, unstrukturierte Datenmengen helfen wenig, wenn sie später nicht mit der medizinischen Entscheidung verknüpft werden können.

Handlungsschritte: KI rechtssicher in der medizinischen Praxis einsetzen

Ein rechtssicherer KI-Einsatz beginnt nicht mit dem Kauf der Software, sondern mit einer strukturierten Vorprüfung. Je patientennäher die Anwendung ist, desto mehr sollten medizinische Leitung, Datenschutz, IT-Sicherheit, Einkauf, Qualitätsmanagement und gegebenenfalls Rechtsberatung zusammenarbeiten. Ziel ist nicht, jedes Risiko auszuschließen, sondern Risiken zu erkennen, zu reduzieren und Verantwortlichkeiten nachvollziehbar festzulegen.

Die folgenden Schritte können als praxisorientierte Checkliste dienen. Sie müssen an Größe, Fachrichtung, Versorgungsform und Risikoprofil der jeweiligen Einrichtung angepasst werden:

1. Anwendungszweck festlegen: Beschreiben Sie konkret, wofür die KI eingesetzt werden soll, etwa Bildanalyse, Dokumentation, Triage oder Abrechnung. Vermeiden Sie offene Formulierungen, die später eine unkontrollierte Ausweitung begünstigen.
2. Medizinprodukterechtliche Einordnung prüfen: Klären Sie, ob die Software ein Medizinprodukt ist, welche Zweckbestimmung gilt, welche Risikoklasse einschlägig ist und ob die vorhandene Kennzeichnung den geplanten Einsatz abdeckt.
3. Rollen und Verantwortlichkeiten dokumentieren: Legen Sie fest, wer das System bedienen darf, wer Ergebnisse prüft, wer bei Abweichungen entscheidet und wer für Updates, Störungen und Meldungen zuständig ist.
4. Datenschutzprüfung durchführen: Ermitteln Sie Datenarten, Datenflüsse, Speicherorte, Empfänger, Rechtsgrundlagen und Löschkonzepte. Bei hohem Risiko sollte eine Datenschutz-Folgenabschätzung dokumentiert werden.
5. Verträge und Anbieterunterlagen prüfen: Kontrollieren Sie Lizenzvertrag, Auftragsverarbeitung, Supportregelungen, Sicherheitszusagen, Haftungsbeschränkungen, Unterauftragnehmer und Regelungen zur Nutzung von Daten für Training oder Produktverbesserung.
6. Fristenkalender anlegen: Erfassen Sie Aufbewahrungsfristen, Updatezyklen, Vertragslaufzeiten, Meldefristen für Datenschutzvorfälle, Fristen für Betroffenenanfragen und relevante regulatorische Übergangszeiträume.
7. Schulung der Anwender nachweisen: Schulen Sie nicht nur Bedienung, sondern auch Grenzen, Fehlerrisiken, Warnhinweise, Dokumentation und Eskalationswege. Halten Sie Datum, Inhalt und Teilnehmer dokumentiert fest.
8. Dokumentationsstandard definieren: Legen Sie fest, wann KI-Ergebnisse in der Patientenakte erwähnt werden, welche Systemdaten gespeichert werden und wie ärztliche Freigaben oder Abweichungen begründet werden.
9. Pilotphase und Evaluation planen: Testen Sie das System zunächst begrenzt, vergleichen Sie Ergebnisse mit etablierten Verfahren und werten Sie Fehlalarme, Ausfälle, Bedienprobleme und klinische Relevanz aus.
10. Incident- und Beschwerdeprozess einrichten: Bestimmen Sie, wie Fehlfunktionen, Datenschutzvorfälle, Patientennachfragen und mögliche Vorkommnisse gemeldet, bewertet und fristgerecht weitergeleitet werden.
11. Regelmäßige Überprüfung vorsehen: Prüfen Sie mindestens anlassbezogen und in angemessenen Abständen, ob Zweck, Version, Datenflüsse, Rechtslage und tatsächliche Nutzung noch übereinstimmen.

Für kleinere Praxen muss dieser Prozess nicht dieselbe Komplexität haben wie in einem Universitätsklinikum. Dennoch sollten die Kernelemente schriftlich festgehalten werden. Gerade bei cloudbasierten Anwendungen oder generativer KI ist eine kurze, aber klare Entscheidungsvorlage oft hilfreicher als verstreute E-Mails und unvollständige Anbieterinformationen.

Patienten und Angehörige können ebenfalls strukturiert vorgehen, wenn sie vermuten, dass eine KI-Anwendung zu einem Fehler beigetragen hat. Sinnvoll ist zunächst die Sicherung medizinischer Unterlagen, die Rekonstruktion des zeitlichen Ablaufs und die Klärung, ob überhaupt eine KI-Anwendung eingesetzt wurde. Erst danach lässt sich beurteilen, ob ein Behandlungsfehler, ein Produktfehler, ein Datenschutzproblem oder eine Kombination verschiedener Ursachen näherliegt.

Was Patienten wissen sollten, wenn KI an Diagnose oder Behandlung beteiligt ist

Patientinnen und Patienten müssen nicht jede technische Einzelheit eines KI-Systems verstehen. Sie haben aber ein berechtigtes Interesse daran, ob automatisierte oder algorithmische Unterstützung ihre Behandlung wesentlich beeinflusst. Das gilt besonders, wenn eine Empfehlung nicht nur administrativ ist, sondern Diagnose, Risikoeinschätzung oder Therapieauswahl betrifft.

Im ärztlichen Gespräch können Patienten nachfragen, welche Rolle eine KI-Anwendung gespielt hat und ob die behandelnde Person das Ergebnis eigenständig geprüft hat. Eine sachliche Nachfrage ist kein Misstrauensbeweis, sondern kann helfen, Entscheidungsgrundlagen zu verstehen. Ärztliche Aufklärung muss sich weiterhin an den medizinisch wesentlichen Umständen orientieren. Ob der KI-Einsatz ausdrücklich aufklärungspflichtig ist, hängt vom Gewicht der Anwendung, von Risiken, Alternativen und der Erwartbarkeit für den Patienten ab.

Wenn nach einer Behandlung Zweifel entstehen, sollte zunächst der medizinische Verlauf geordnet werden: Welche Beschwerden bestanden vor der Behandlung? Welche Untersuchungen wurden durchgeführt? Wann erfolgten Befunde, Therapieentscheidungen und Verschlechterungen? Wurde auf eine Software, App oder automatisierte Auswertung verwiesen? Diese Informationen sind wichtig, weil KI-bezogene Fehler selten isoliert auftreten. Häufig geht es um das Zusammenspiel aus Datenqualität, ärztlicher Bewertung, Organisation und Technik.

Patienten haben grundsätzlich ein Recht auf Einsicht in ihre Patientenakte. Daraus ergibt sich nicht in jedem Fall ein Anspruch auf vollständigen Quellcode oder Geschäftsgeheimnisse des Herstellers. Die Behandlungsdokumentation muss aber nachvollziehbar machen, welche wesentlichen Befunde und Entscheidungen Grundlage der Behandlung waren. Wenn KI-Ergebnisse entscheidungserheblich waren, kann deren Dokumentation für die Prüfung von Ansprüchen relevant sein.

Bei Datenschutzbedenken können Betroffene Auskunft über die Verarbeitung ihrer personenbezogenen Daten verlangen. Dazu gehören etwa Zwecke, Empfänger, Speicherdauer und Herkunft der Daten. Werden Gesundheitsdaten von externen KI-Diensten verarbeitet, kann die Antwort technisch und organisatorisch komplex sein. Dennoch sollten Anfragen präzise gestellt und Fristen notiert werden, damit der Vorgang nachvollziehbar bleibt.

FAQ zu KI im Medizinrecht

Fazit: KI im Medizinrecht verlangt klare Verantwortung

KI im Medizinrecht bietet praktische Chancen, schafft aber keine rechtliche Sonderzone. Maßgeblich bleiben medizinischer Standard, Patientenschutz, Datenschutz, Produktsicherheit und nachvollziehbare Verantwortung. Für Praxen, Kliniken und Anbieter steht daher vor allem die strukturierte Einordnung im Vordergrund: Zweckbestimmung prüfen, Datenschutz klären, Rollen festlegen, Anwender schulen und Entscheidungen dokumentieren.

Betroffene Patienten sollten bei Zweifeln zunächst Unterlagen sichern, den Ablauf rekonstruieren und gezielt nach der Rolle eingesetzter Software fragen. Nicht jede fehlerhafte Behandlung ist KI-bedingt, und nicht jede KI-Ausgabe begründet Haftung. Umgekehrt darf technische Komplexität berechtigte Ansprüche nicht verdecken.

Die rechtliche Bewertung hängt stets vom Einzelfall ab: vom konkreten System, seiner Zulassung, dem Einsatzkontext, den Datenflüssen, der ärztlichen Prüfung und der Dokumentation. Wer diese Punkte früh klärt, reduziert Risiken und schafft eine belastbare Grundlage für medizinische Innovation.