KI-Inventar für Gesundheitseinrichtungen

Ein allgemeines KI-Inventar fragt nach Anbieter, Zweck, Daten und Verantwortung. Das ist richtig und reicht im Gesundheitswesen nicht. Vier Felder kommen hinzu, und sie sind genau die, an denen es hakt.

1. Die Zweckbestimmung des Herstellers, wörtlich. Sie entscheidet über die Einordnung des Produkts, nicht das, was Sie damit tun. Direkt darunter steht deshalb die Frage, ob Sie im Haus davon abweichen.
2. Eigenständig oder eingebaut. Assistenzfunktionen in Praxis- und Krankenhausinformationssystemen werden nicht beschafft, sie erscheinen mit einem Update. Sie sind der häufigste Grund für ein unvollständiges Inventar.
3. Einsichtnahme durch Personal des Anbieters. Bei Angaben, die der Schweigepflicht unterliegen, ist das die wichtigere Frage. Sie steht selten dort, wo man sie sucht, und fast nie auf der Produktseite.
4. Betreiber oder Anbieter. Sie bleiben Betreiber, solange Sie ein System unverändert und im vorgesehenen Zweck einsetzen. Der Wechsel in die Anbieterrolle greift nur in drei genau benannten Fällen, und alle drei setzen einen Hochrisiko-Bezug voraus. Der Block sagt, welche das sind, damit Sie die Frage einmal bewusst beantworten statt sie zu vermuten.

Die kurze Betriebssicht daraus: Anlage 1 der Nutzungsrichtlinie →

Ein Inventar, das nur die freigegebenen Systeme kennt, beschreibt nicht den Betrieb, sondern die Absicht. Deshalb ein eigener Anhang mit derselben Bedingung, die auch in der Nutzungsrichtlinie steht: Eine Meldung nach diesem Anhang sollte für sich genommen keine arbeitsrechtliche Folge haben. Andernfalls hört die Nutzung nicht auf, sie wird nur unsichtbar.

• System und Anbieter, soweit bekannt:
• Wer nutzt es, in welcher Abteilung:
• Wofür wird es genutzt:
• Welche Angaben gehen hinein, nach Selbstauskunft:
• Seit wann, ungefähr:
• Gemeldet von, am:
• Entscheidung: aufnehmen, ersetzen oder beenden, mit Datum:

Ist ein KI-Inventar gesetzlich vorgeschrieben?

Nein. Die KI-Verordnung verlangt von Betreibern kein Verzeichnis der eingesetzten KI-Systeme, weder in der Ursprungsfassung noch nach der Änderung durch die Verordnung (EU) 2026/1744. Ein Inventar ist ein freiwilliges Hilfsmittel. Es hilft dabei, die Pflichten zu erfüllen, die tatsächlich bestehen: die Unterstützung der KI-Kompetenz nach Artikel 4, die Betreiberpflichten nach Artikel 26 für Hochrisiko-Systeme, das Verzeichnis der Verarbeitungstätigkeiten nach Artikel 30 DSGVO. Auch die Feldliste auf dieser Seite ist eine Empfehlung und keine Rechtspflicht.

Müssen wir unsere KI-Systeme in der EU-Datenbank registrieren?

Die Registrierungspflicht nach Artikel 49 der KI-Verordnung trifft in erster Linie Anbieter. Betreiber erfasst Absatz 3 nur dann, wenn es sich um Behörden oder um Organe, Einrichtungen und sonstige Stellen der Union handelt oder um Personen, die in deren Namen handeln, und auch dann nur für Hochrisiko-Systeme nach Anhang III. Für eine Praxis, ein MVZ oder eine Klinik in privater Trägerschaft greift das nicht. Ob ein kommunales Krankenhaus oder eine Anstalt des öffentlichen Rechts unter den Behördenbegriff fällt, lässt sich aus dem Verordnungstext nicht beantworten, die KI-Verordnung definiert ihn nicht. Das gehört in Ihre Prüfliste, nicht in eine Vorlage.

Wozu ein Inventar, wenn wir schon ein Verzeichnis der Verarbeitungstätigkeiten führen?

Die beiden überschneiden sich, decken sich aber nicht. Das Verarbeitungsverzeichnis nach Artikel 30 DSGVO fragt nach Zweck, Kategorien und Empfängern der Daten. Das KI-Inventar fragt zusätzlich nach der Zweckbestimmung des Herstellers, der Einordnung als Medizinprodukt, den selbstständigen Aktionen des Systems und danach, wer im Haus fachlich dafür geradesteht. Wer beides führt, verweist im Inventar auf den passenden Eintrag im Verzeichnis, statt Angaben doppelt zu pflegen. Umgekehrt ersetzt das Verarbeitungsverzeichnis das Inventar nicht.

Gilt die Ausnahme für Einrichtungen unter 250 Beschäftigten?

Für das Verzeichnis der Verarbeitungstätigkeiten gibt es diese Ausnahme in Artikel 30 Absatz 5 DSGVO, sie ist aber an Bedingungen geknüpft. Sie entfällt unter anderem, wenn besondere Kategorien personenbezogener Daten nach Artikel 9 Absatz 1 verarbeitet werden oder die Verarbeitung nicht nur gelegentlich erfolgt. Gesundheitsdaten sind besondere Kategorien, und in einer Praxis werden sie dauerhaft verarbeitet, nicht gelegentlich. Die Ausnahme besteht also, greift im Versorgungsalltag aber regelmäßig nicht.

Womit fängt man an?

Nicht bei der IT. Die kennt die beschafften Systeme. Unvollständig wird ein Inventar durch die Assistenzfunktionen, die mit einem Update in vorhandener Software erscheinen, und durch still genutzte Dienste. Fragen Sie in zwei Abteilungen offen: Womit arbeitet ihr, das Texte oder Vorschläge erzeugt?

Was ist der Unterschied zu Anlage 1 der Nutzungsrichtlinie?

Anlage 1 ist die kurze Betriebssicht und beantwortet eine Frage: Was darf in dieses System hinein? Das Inventar ist der vollständige Datensatz je System. Anlage 1 entsteht aus dem Inventar durch Weglassen. Zwei getrennt gepflegte Listen laufen unweigerlich auseinander.

Warum ein eigener Anhang für ungeregelt genutzte Systeme?

Weil ein Inventar, das nur die freigegebenen Systeme kennt, den Betrieb nicht beschreibt. Damit Meldungen überhaupt kommen, sollte eine Meldung nach diesem Anhang für sich genommen keine arbeitsrechtliche Folge haben. Sonst hört die Nutzung nicht auf, sie wird nur unsichtbar.

Entscheidet die Zweckbestimmung oder die tatsächliche Nutzung?

Für die Einordnung eines Produkts als Medizinprodukt ist die Zweckbestimmung des Herstellers maßgeblich. Deshalb steht sie im Inventar wörtlich und nicht sinngemäß. Direkt darunter steht die Frage, ob im Haus davon abgewichen wird. Diese Gegenüberstellung ist der eigentliche Zweck des Blocks.

Darf ich die Vorlage im eigenen Haus verwenden?

Ja. Sie ist gemeinfrei gestellt und darf kopiert, gekürzt, umgeschrieben und ohne Quellenangabe verwendet werden. Eine Rechtsberatung ist sie nicht, und sie ersetzt keine Prüfung Ihres konkreten Falls.

Gemeinfrei gestellt. Sie dürfen ihn kopieren, kürzen, umschreiben, in Ihr Qualitätsmanagement übernehmen und ohne Quellenangabe im eigenen Namen verwenden. Eine Rechtsberatung ist er nicht, und er ersetzt keine Prüfung Ihres konkreten Falls.

Und weil das im Markt oft anders klingt: Es gibt für ein KI-Inventar keine gesetzlich vorgegebene Struktur und keine Pflichtfelder. Die acht Blöcke sind eine Empfehlung. Streichen Sie, was für Ihr Haus keine Rolle spielt.

Was in welches System darf: zur Datenampel →

Alle Werkzeuge →