KI im Krankenhaus: Verwaltung, Dokumentation und Wissen

KI im Krankenhaus wird meist als medizinisches Thema diskutiert. Der größere und rechtlich einfachere Hebel liegt woanders: in Verwaltung, Dokumentation und Wissen. Kliniken, Medizinische Versorgungszentren und Pflegeeinrichtungen produzieren jeden Tag Schriftverkehr, Nachweise, Anfragen, Protokolle und Regelwerke. Genau dort arbeiten Sprachmodelle zuverlässig, und genau dort bleibt der rechtliche Rahmen beherrschbar.

Dieser Beitrag beschreibt ausdrücklich keine Diagnose- und keine Therapieunterstützung. Er zeigt, welche Aufgaben außerhalb der medizinischen Entscheidung liegen, wo die Grenze zum Medizinprodukt verläuft, welche Regeln für Patientendaten in der Cloud gelten und was ein Haus beim Anbieter prüfen muss, bevor die erste Datei hochgeladen wird.

Am schnellsten wirkt KI dort, wo Texte und Unterlagen entstehen, aber keine medizinische Bewertung stattfindet. Ein großer Teil dieser Aufgaben berührt nicht einmal Patientendaten, weil es um Organisation, Regeln und Verwaltung geht.

Die folgende Übersicht trennt die Einsatzfelder nach dem Kriterium, das rechtlich zählt: Geht es um den einzelnen Patienten und seine Behandlung, oder um den Betrieb des Hauses?

Auffällig ist, wie viel in der Spalte ohne Patientenbezug steht. Wer mit Regelwissen, Einkauf und interner Kommunikation beginnt, sammelt Erfahrung, ohne den strengsten Teil des Datenschutzrechts zu berühren. Die Methode dahinter beschreibt der Beitrag zur intelligenten Dokumentenverarbeitung, die Wissensseite der Beitrag zur semantischen Suche im Wissensmanagement.

Sobald Software für einen einzelnen Patienten Empfehlungen zu Diagnose, Prognose, Behandlung oder Überwachung gibt, ist sie ein Medizinprodukt. Das ist die zentrale Aussage der Leitlinie MDCG 2019-11 zur Qualifizierung und Klassifizierung von Software. Sie nennt ausdrücklich auch die patientenbezogene Berechnung von Dosierungen.

Nach Regel 11 des Anhangs VIII der Medizinprodukte-Verordnung fällt solche Software mindestens in Klasse IIa, bei schwerwiegenden möglichen Folgen in Klasse IIb oder III. Damit gelten Konformitätsbewertung unter Beteiligung einer Benannten Stelle, klinische Bewertung, technische Dokumentation, Überwachung nach dem Inverkehrbringen und Meldepflichten. Ein Medikations-Check mit Hinweisen zu Wechselwirkungen, Kontraindikationen oder Dosierungen ist deshalb kein Assistenzsystem am Rande der Verwaltung, sondern ein regulierter Fall.

Der oft gehörte Einwand, die Ärztin entscheide ja selbst, trägt nicht. Maßgeblich ist die Zweckbestimmung der Software, nicht die Frage, wer am Ende unterschreibt. Ein allgemeines Sprachmodell hat für diesen Zweck weder eine Zweckbestimmung noch eine Konformitätsbewertung. Es darf dort nicht eingesetzt werden.

Praktisch heißt das: Legen Sie die Zweckbestimmung jeder Anwendung schriftlich fest, bevor Sie starten, und schreiben Sie genauso auf, was ausgeschlossen ist. Diese Abgrenzung gehört in die interne KI-Richtlinie des Hauses.

Die KI-Verordnung setzt darauf auf. KI in Produkten, die nach Anhang I einer Konformitätsbewertung unterliegen, gilt als Hochrisiko-KI. Für Medizinprodukte greifen diese Pflichten ab dem 2. August 2028. Für eigenständige Hochrisiko-Anwendungen nach Anhang III, etwa in der Personalauswahl, gilt der 2. Dezember 2027. Beides betrifft ein Krankenhaus als Betreiber, nicht nur den Hersteller.

Für Patientendaten gilt kein einzelnes Gesetz, sondern ein Zusammenspiel aus vier Ebenen. Wer sie kennt, kann die Frage nach der Zulässigkeit sachlich beantworten, statt sie mit einem Serverstandort zu verwechseln.

Erstens die DSGVO. Gesundheitsdaten sind besondere Kategorien personenbezogener Daten nach Art. 9 Abs. 1. Die Verarbeitung im Rahmen der Gesundheitsversorgung stützt sich in der Regel auf Art. 9 Abs. 2 lit. h in Verbindung mit nationalem Recht und setzt das Berufsgeheimnis nach Art. 9 Abs. 3 voraus. § 630f BGB ist dafür keine Grundlage, sondern regelt die Pflicht zur Dokumentation der Behandlung.

Zweitens § 393 SGB V. Die Vorschrift erlaubt Leistungserbringern nach dem Vierten Kapitel des SGB V, zu denen zugelassene Krankenhäuser, Vertragsärzte und MVZ zählen, sowie Kranken- und Pflegekassen und deren Auftragsverarbeitern die Verarbeitung von Sozial- und Gesundheitsdaten über Cloud-Dienste. Bedingungen nach § 393 Abs. 2 bis 4: Verarbeitung im Inland, in einem EU-Mitgliedstaat oder in einem Drittstaat mit Angemessenheitsbeschluss, eine Niederlassung der datenverarbeitenden Stelle im Inland, angemessene technische und organisatorische Maßnahmen sowie ein aktuelles C5-Testat, seit dem 1. Juli 2025 als Typ 2. Die im Prüfbericht genannten Kriterien für Kunden muss das Haus selbst umsetzen.

Drittens § 203 StGB. Die Schweigepflicht endet nicht am Serverraum. Nach § 203 Abs. 3 Satz 2 dürfen Geheimnisse gegenüber sonstigen mitwirkenden Personen offenbart werden, soweit das für deren Tätigkeit erforderlich ist. Dazu zählen IT-Dienstleister. Wer sie einbindet, muss sie nachweislich zur Geheimhaltung verpflichten; unterbleibt das, ist die verantwortliche Person nach § 203 Abs. 4 strafbar. Diese Verpflichtung gehört neben den Auftragsverarbeitungsvertrag, nicht hinein.

Viertens das Landesrecht. Die Bundesländer regeln in ihren Krankenhausgesetzen ergänzend, wie Patientendaten verarbeitet und an Dritte weitergegeben werden dürfen. Die Vorgaben unterscheiden sich, deshalb gehört ein Blick in das Gesetz des eigenen Bundeslandes an den Anfang jedes Projekts.

Hinzu kommt, was noch kommt: Die Verordnung über den europäischen Raum für Gesundheitsdaten, Verordnung (EU) 2025/327, ist seit dem 26. März 2025 in Kraft. Ihre Vorgaben greifen gestaffelt ab 2027, wesentliche Teile ab März 2029. Sie betrifft vor allem den Austausch elektronischer Patientendaten und die Sekundärnutzung, nicht den Verwaltungsbetrieb. Beobachten genügt vorerst.

Was aus der Drittlandsdebatte übrig bleibt, ist eine Abwägung, kein Verbot. Seit Juli 2023 besteht ein Angemessenheitsbeschluss für zertifizierte US-Empfänger, das Gericht der Europäischen Union hat ihn im September 2025 bestätigt, ein Rechtsmittel ist anhängig. Für Gesundheitsdaten ist der einfachere Weg trotzdem die Verarbeitung in der EU, weil § 393 SGB V ohnehin eine Niederlassung im Inland verlangt. Die Einordnung beschreibt der Beitrag zu DSGVO-konformen KI-Lösungen im Detail.

Kein Anbieter kann Ihnen Rechtssicherheit verkaufen. Prüfbar ist dagegen, ob er die Voraussetzungen erfüllt, unter denen Sie selbst rechtmäßig arbeiten können. Diese Punkte gehören in die Anbieterprüfung, bevor ein Projekt startet.

Was in der Prüfung sonst noch auffällt: Zertifikate und Testate gehören dem Anbieter, nicht dem Projekt. Lassen Sie sich den Geltungsbereich zeigen. Ein Testat für eine Rechenzentrumsplattform sagt nichts über die Anwendung darüber aus. Die Vertragsseite behandelt der Beitrag zum Auftragsverarbeitungsvertrag für KI-Dienste.

Ebenso früh gehört die Mitbestimmung an den Tisch. Führt das Haus ein System ein, das zur Verhaltens- oder Leistungskontrolle geeignet ist, greift § 87 Abs. 1 Nr. 6 BetrVG, bei öffentlichen und kirchlichen Trägern das jeweilige Personalvertretungs- oder Mitarbeitervertretungsrecht. Der Beitrag zur Mitbestimmung bei KI zeigt, wie eine belastbare Vereinbarung aussieht.

Plotdesk verbindet eine KI-Plattform mit einem Umsetzungsteam für den Mittelstand. Für ein Krankenhaus, ein MVZ oder einen Pflegeträger heißt das konkret: Die Plattform läuft als dedizierte Instanz in der EU oder im eigenen Tenant, etwa in Azure, erreichbar unter einer eigenen Subdomain. Es gibt keine gemeinsame Umgebung mit anderen Kunden.

Innerhalb der Instanz steuern Sie, wer welche Modelle nutzen darf. Aus mehr als 100 Modellvarianten aus zehn Provider-Typen geben Sie je Team frei, was zum Anwendungsfall passt, bis hin zu offenen Modellen mit Inferenz in der EU. Dazu kommen Anmeldung über Microsoft Entra ID, Rollen mit mehr als 40 Berechtigungen, verschlüsselte Zugangsdaten, Audit-Logs und Kostensteuerung je Bereich. Wissensspeicher, Dateien mit Texterkennung und Vorlagen mit Variablen bilden die Grundlage für Regelwissen und wiederkehrende Schreiben. Bestandssysteme wie Archiv, Warenwirtschaft, Fileserver oder Ticketsystem werden über Plotdesk Connect angebunden.

Ebenso wichtig ist, was Plotdesk nicht ist. Die Plattform ist kein Medizinprodukt, hat keine Zweckbestimmung für Diagnose, Therapie oder Dosierung und ersetzt kein Krankenhausinformationssystem. Testate und Zertifikate gehören in die Anbieterprüfung oben und werden hier nicht behauptet, sondern im Einzelfall belegt. Wo ein Anwendungsfall die Grenze zum Medizinprodukterecht berührt, gehört er in ein zertifiziertes Produkt.

Die Zusammenarbeit läuft in vier Schritten: KI-Potenzialanalyse, Proof of Value, produktive Lösung, systematischer Ausbau. Erfahrung aus mehr als 1.200 Use Cases in 15 Branchen fließt dabei vor allem über die Verwaltungsprozesse ein, die ein Krankenhaus mit jedem anderen größeren Betrieb teilt.

KI im Krankenhaus scheitert selten an der Technik. Sie scheitert daran, dass Verwaltung und Medizin in einen Topf geworfen werden. Wer die Grenze sauber zieht, gewinnt zweierlei: einen Bereich, in dem schnell und ohne Medizinprodukterecht gearbeitet werden kann, und eine klare Antwort für alles, was jenseits dieser Grenze liegt.

Der erste Schritt kostet keine Investition. Sortieren Sie Ihre Aufgaben nach Patientenbezug, halten Sie für jeden verbliebenen Fall Rechtsgrundlage und Zweckbestimmung fest und beginnen Sie dort, wo keine Patientendaten im Spiel sind. Alles Weitere folgt daraus. Stand: September 2026; dieser Beitrag ersetzt keine Rechts- und keine medizinprodukterechtliche Beratung.