Im Gesundheitswesen trifft die KI-Verordnung auf ein Feld, das bereits streng reguliert ist. Das erzeugt eine Konstellation, die es in kaum einem anderen Bereich gibt: Für dasselbe System gelten zwei Regelwerke gleichzeitig, mit teils überschneidenden und teils unterschiedlichen Anforderungen.
Für Spitäler, Praxen und Hersteller ist die erste Frage deshalb nicht, was zu tun ist, sondern welches Regime greift — und die Antwort lautet häufig beide.
Wo die Regelwerke sich überschneiden
Software, die einem medizinischen Zweck dient, ist regelmässig ein Medizinprodukt und unterliegt dem entsprechenden Konformitätsregime. Enthält sie zusätzlich ein KI-System, kommt die KI-Verordnung hinzu. Beide verlangen ähnliche Dinge: Risikomanagement, technische Dokumentation, Qualitätsanforderungen an die Entwicklung, Überwachung nach dem Inverkehrbringen.
Diese Überschneidung ist eine gute Nachricht. Wer ein funktionierendes Risikomanagement nach dem Medizinprodukterecht betreibt, hat einen erheblichen Teil dessen, was die KI-Verordnung verlangt, bereits im Haus. Die Aufgabe besteht dann darin, die vorhandenen Prozesse um die spezifisch KI-bezogenen Punkte zu ergänzen, nicht darin, ein zweites System aufzubauen.
Wo sie auseinandergehen
Die Unterschiede liegen dort, wo die KI-Verordnung Fragen stellt, die das Medizinprodukterecht nicht kennt. Die Anforderungen an Trainingsdaten — Repräsentativität, Verzerrungsprüfung, dokumentierte Herkunft — sind KI-spezifisch. Ebenso die Anforderungen an die menschliche Aufsicht in der konkreten Anwendung und an die Protokollierung des Systembetriebs.
Besonders relevant ist die Repräsentativität der Daten. Ein diagnoseunterstützendes System, das überwiegend an einer bestimmten Population entwickelt wurde, kann für andere Gruppen schlechter funktionieren. Im medizinischen Kontext ist das nicht eine Frage der Fairness allein, sondern eine der Patientensicherheit.
Die Betreiberseite wird unterschätzt
Ein Spital, das ein zugelassenes System einsetzt, ist nicht dessen Anbieter — aber es ist Betreiber, und damit treffen es eigene Pflichten. Dazu gehören der Einsatz gemäss der Zweckbestimmung, die Sicherstellung, dass das aufsichtführende Personal die nötige Kompetenz hat, und die Überwachung des Betriebs.
Der Punkt, der in der Praxis am häufigsten fehlt, ist die dokumentierte Aufsicht. Wer ist die Person, die eine Systemausgabe überprüft und überschreiben kann, und hat sie im Arbeitsalltag tatsächlich die Zeit dafür? In einem ausgelasteten klinischen Umfeld ist das keine rhetorische Frage.
Die Sorgfaltspflicht bei der Beschaffung
Weil ein grosser Teil der KI im Gesundheitswesen als Funktion eines beschafften Produkts ins Haus kommt, verschiebt sich der wirksamste Ansatzpunkt nach vorn: in die Beschaffung. Welche Angaben liefert der Anbieter zur Einstufung, zur Datengrundlage und zur vorgesehenen Aufsicht? Diese Fragen im Beschaffungsprozess zu stellen ist ungleich billiger, als die Antworten später zu suchen.
Ein Anbieter, der diese Fragen nicht beantworten kann, ist ein Risiko unabhängig von der Qualität seines Produkts — denn ohne seine Angaben kann der Betreiber seine eigenen Pflichten nicht erfüllen.
Der Vorfall ist der eigentliche Test
Die Frage, an der sich Compliance im klinischen Alltag entscheidet, ist nicht die Prüfung, sondern der Vorfall: Ein System hat etwas übersehen oder falsch eingeschätzt, und die Folge ist eine Patientin oder ein Patient mit einem Schaden. Ab diesem Moment zählt, was dokumentiert wurde.
Protokollierung ist deshalb keine Formalie. Welche Eingaben lagen vor, welche Ausgabe kam zurück, wer hat sie geprüft und mit welchem Ergebnis? Ohne diese Kette ist im Nachhinein nicht rekonstruierbar, ob das System oder die Aufsicht versagt hat — und diese Unterscheidung entscheidet über die Konsequenzen.
Der Schweizer Sonderfall
Für Schweizer Einrichtungen kommt hinzu, dass die Schweiz ausserhalb des EU-Regimes steht, über Marktzugang, Zulieferbeziehungen und internationale Partner aber regelmässig betroffen ist. Ob und wieweit die KI-Verordnung im Einzelfall greift, hängt an der konkreten Konstellation und gehört rechtlich geklärt.
Unabhängig davon gilt: Die inhaltlichen Anforderungen — dokumentierte Datengrundlage, wirksame Aufsicht, nachvollziehbare Risikobeurteilung — sind gute Praxis im medizinischen Kontext, mit oder ohne unmittelbare Anwendbarkeit der Verordnung.