Lesezeit: ca. 9 Minuten

„Regulierung bremst Innovation.” Dieser Satz wird im Tech-Kontext oft geäußert – und im Gesundheitswesen besonders laut. Wer neue KI-Produkte in die Versorgung bringen möchte, stößt auf DSGVO, MDR, AI Act und demnächst den European Health Data Space.

Das ist real. Der regulatorische Aufwand ist hoch. Aber die Schlussfolgerung, dass Regulierung Innovation blockiert, greift zu kurz. Im Gesundheitswesen ist Regulierung nicht nur ein Hindernis. Sie ist eine Bedingung – für Vertrauen, für Skalierung und letztlich für den Einsatz überhaupt.

Warum das Gesundheitswesen anders ist

Kein Innovationsbereich ist frei von Risiken. Aber im Gesundheitswesen gilt: Die Konsequenzen von Fehlern treffen Menschen direkt und körperlich. Ein falsch eingeschätzter Befund, ein halluzinierter Laborwert in einem KI-generierten Arztbrief, ein Triage-Fehler bei einem echten Notfall – das sind keine abstrakten Risiken.

Das erklärt, warum das Gesundheitswesen in Europa eines der am stärksten regulierten Felder ist. Und es erklärt, warum der regulatorische Rahmen für KI hier besonders differenziert ist.

Vier Ebenen spielen dabei eine Rolle.

Ebene 1: DSGVO – Gesundheitsdaten als besonders geschützte Kategorie

Gesundheitsdaten fallen in der Europäischen Union unter Artikel 9 der DSGVO: besondere Kategorien personenbezogener Daten, deren Verarbeitung grundsätzlich untersagt ist, außer ein klar definierter Ausnahmetatbestand greift.

Für KI-Systeme, die mit solchen Daten arbeiten, bedeutet das: Datenminimierung, Zweckbindung, klare Rechtsgrundlagen, technische Schutzmaßnahmen und Transparenz sind keine nachgelagerten Compliance-Aufgaben. Sie sind Startbedingungen.

Wer ein Produkt entwickelt, das Patientendaten verarbeitet, muss diese Fragen von Anfang an klären – nicht am Ende.

Ebene 2: MDR – wann wird Software zum Medizinprodukt?

In der EU entscheidet der Intended Purpose – der vorgesehene Verwendungszweck –, ob Software als Medical Device Software (MDSW) eingestuft wird. Das MDCG-Guidance-Dokument 2019-11 der EU-Kommission beschreibt Qualifikations- und Klassifikationskriterien ausdrücklich inklusive Apps, Cloud-Software und Plattformen.

Für generative KI ist diese Frage hochrelevant. Ein System, das Notizen entwirft und Ärzte bei der Dokumentation unterstützt, ist regulatorisch anders einzustufen als ein System, das Differenzialdiagnosen vorschlägt oder Triageempfehlungen gibt.

Die Formulierung entscheidet über die Regulierungsklasse. Das ist kein Trick, sondern die konsequente Anwendung des Intentionsprinzips: Was ein System faktisch tut und wie es vermarktet wird, bestimmt die Anforderungen.

Ebene 3: EU AI Act – Risikoklassen und High-Risk-Pflichten

Der EU AI Act (Verordnung EU 2024/1689) ist seit August 2024 in Kraft. Er kategorisiert KI-Systeme nach Risikoklassen.

Für den Gesundheitsbereich ist besonders relevant: KI-Systeme, die als Sicherheitskomponente eines Produkts unter die Medizinprodukteverordnung fallen und eine Drittprüfung benötigen, werden typischerweise als High-Risk-KI eingestuft.

Für diese Systeme gelten umfangreiche Pflichten: Risikomanagement, Daten-Governance, technische Dokumentation, Logging, Transparenz, Human Oversight und Post-Market Monitoring.

Das klingt nach Bürokratie. Aber es ist auch eine klare Erwartung an die Qualitätssicherung – und ein Rahmen, der Vertrauen schafft. Denn ohne Logging, ohne Nachvollziehbarkeit und ohne Monitoring ist es kaum möglich, aus Fehlern zu lernen oder Verantwortlichkeiten zu klären.

Ebene 4: EHDS – der europäische Gesundheitsdatenraum

Der European Health Data Space (EHDS), verabschiedet als Verordnung EU 2025/327, schafft Regeln für den grenzüberschreitenden Zugang zu Gesundheitsdaten, deren Sekundärnutzung für Forschung – und strengere Anforderungen an EHR-Systeme: Sicherheit, Interoperabilität, Konformitätsrahmen.

Für generative KI ist der EHDS deshalb wichtig, weil viele der praktisch relevanten Anwendungsfälle EHR-nah sind: Aktenzusammenfassung, Dokumentation, Suche in klinischen Notizen. Mit dem EHDS rückt nicht nur das KI-Modell, sondern die gesamte EHR-Systemumgebung in einen Compliance-Rahmen.

Was das für Innovationsunternehmen bedeutet

Diese vier Ebenen zusammen ergeben ein komplexes, aber konsistentes Bild: KI im Gesundheitswesen funktioniert in einem Rahmen, der Sicherheit, Nachvollziehbarkeit und Verantwortlichkeit verlangt.

Für Unternehmen, die in diesem Bereich tätig werden wollen, bedeutet das nicht, dass Innovation unmöglich ist. Es bedeutet, dass Innovation anders aussieht als in unregulierten Märkten.

Konkret: Wer frühzeitig klärt, was ein System faktisch tut und wie es eingestuft werden muss; wer Daten-Governance von Anfang an in das Produktdesign einbaut; und wer Human-Review-Prozesse nicht als lästige Auflage, sondern als Qualitätsmerkmal versteht – der hat einen strukturellen Vorteil.

Regulierung schafft Hürden. Aber sie schafft auch Barrieren gegen schlechte Lösungen. Und sie schafft Vertrauen – das Vertrauen, das die Grundlage für jede nachhaltige Adoption von Technologie im Gesundheitswesen ist.

Regulierung als Designprinzip

Der produktivste Umgang mit regulatorischen Anforderungen ist, sie nicht als externe Einschränkung zu verstehen, sondern als Designprinzip.

Ein System, das von Anfang an auf Nachvollziehbarkeit, Grounding in verifizierten Quellen und klare Verantwortlichkeiten ausgelegt ist, ist nicht nur compliant. Es ist besser.

Das ist keine Idealisierung von Bürokratie. Es ist die Beobachtung, dass die Qualitätsanforderungen im Gesundheitswesen – Sicherheit, Transparenz, Verantwortlichkeit – sich mit guten Produktprinzipien überschneiden.

Innovation, die diesen Rahmen ernst nimmt, ist robuster. Und das ist im Gesundheitswesen kein Luxus. Es ist Voraussetzung.

Dieser Artikel ist Teil der Serie „Generative KI im Gesundheitswesen” auf kuersatcifci.de.

Quellen: