Klinische KI-Verpflichtungen, die nie auf 2027 verschoben wurden
Eine politische Einigung, die die Verpflichtungen für Hochrisiko-Systeme im Rahmen des EU AI Act auf Dezember 2027 und für KI in regulierten Medizinprodukten auf August 2028 verschiebt, hat dazu geführt, dass viele Gesundheitssysteme die gesamte Regulierung als „Problem für das nächste Jahr“ abtun. Diese Einschätzung ist jedoch falsch. Die Verschiebung betrifft nur bestimmte Kapitel des Gesetzes. Mehrere andere Verpflichtungen wurden davon nie erfasst, und einige gelten bereits heute für klinische KI-Tools.
Das praktische Risiko besteht darin, dass ein Gesundheitssystem die gesamte KI-Governance-Arbeit einstellt und dann feststellt, dass Transparenzpflichten und Anforderungen an Anbieter von General-Purpose-AI-Modellen, auf denen viele klinische Entscheidungsunterstützungstools basieren, nie Teil der Verschiebung waren. Dieser Artikel zeigt auf, was tatsächlich verschoben wurde, was unberührt bleibt und was das für die KI-Governance-Arbeit bedeutet, die bereits laufen sollte.
Executive Summary
Die Digital-Omnibus-Änderung zum EU AI Act hat die Verpflichtungen für Hochrisiko-Systeme – derzeit bis Dezember 2027 für eigenständige Systeme und bis August 2028 für KI in regulierten Medizinprodukten – aufgrund fehlender technischer Standards verschoben. Diese Verschiebung betrifft jedoch nicht die Verbote unzulässiger Praktiken, die Verpflichtungen für Anbieter von General-Purpose-AI-Modellen oder die Transparenzanforderungen, von denen einige bereits heute für Gesundheitssysteme verbindlich sind. Für Compliance-Verantwortliche sind die Jahre 2027 und 2028 daher die falschen Fristen, wenn es darum geht, alle Verpflichtungen als noch ausstehend zu betrachten.
wichtige Erkenntnisse
- Nur die Verpflichtungen für Hochrisiko-Systeme in Kapitel III sowie die Anforderungen für eingebettete Medizinprodukte in Anhang I wurden verschoben, nicht der gesamte AI Act.
- Transparenzpflichten gemäß Artikel 50 wurden nicht verschoben und gelten bereits. Die Offenlegung der KI-Interaktion gegenüber Patienten ist eine aktuelle Verpflichtung.
- Verpflichtungen für Anbieter von General-Purpose-AI-Modellen wurden durch die Verschiebung nicht berührt. Viele klinische KI-Tools basieren auf solchen Modellen.
- Verbotene KI-Praktiken bleiben unabhängig vom Hochrisiko-Zeitplan untersagt.
- Jetzt aufgebaute Governance-Infrastruktur für Transparenz und Dokumentation bleibt auch bei künftiger Hochrisiko-Klassifizierung relevant.
Was der Digital Omnibus für klinische KI tatsächlich verschoben hat
Der Mechanismus zur Verschiebung wurde eingeführt, weil die technischen Standards zur Umsetzung der Hochrisiko-Anforderungen nicht rechtzeitig fertiggestellt waren.
Gezielte Verschiebung von Kapitel III und Anhang I, kein Neustart des Gesetzes
Die Verschiebung betrifft die Konformitätsbewertung und das umfassende Compliance-Regime, dem Hochrisiko- und eingebettete Medizinprodukt-Systeme unterliegen. Alles außerhalb dieser Kategorien läuft nach dem ursprünglichen Zeitplan des Gesetzes weiter.
Stichtage als Puffer, weil Standards noch in Arbeit sind
Die neuen Termine dienen als äußerste Fristen – 2027 und 2028 sind die spätesten Zeitpunkte. Die Aufsichtsbehörden erwarten, dass Gesundheitssysteme die Vorbereitungen während der Verlängerung fortsetzen.
Was für Gesundheitssysteme bereits gilt – unabhängig von der Verschiebung
Mehrere Verpflichtungen liegen vollständig außerhalb der verschobenen Kategorien und gelten weiterhin nach dem ursprünglichen Zeitplan.
Verpflichtungen für General-Purpose-AI-Modelle gelten schon vor der Verschiebung
Anbieter von General-Purpose-AI-Modellen, die vielen klinischen Entscheidungsunterstützungstools zugrunde liegen, unterliegen bereits seit vor dem Digital Omnibus Dokumentations- und Transparenzpflichten.
Transparenz- und Offenlegungspflichten gelten bereits
Die Pflicht, Patienten über die Interaktion mit einem KI-System zu informieren, gilt nach dem ursprünglichen Zeitplan des Gesetzes und wurde durch den Omnibus nicht verschoben.
Warum eine Pause bei der Umsetzung später teurer wird
Ein Gesundheitssystem, das die gesamte KI-Governance-Arbeit einstellt, verzichtet auf Vorarbeit, die das Erreichen der späteren Hochrisiko-Frist erleichtert hätte.
Jetzt aufgebaute Dokumentation und Protokollierung sind keine verlorene Arbeit
Die Aufzeichnungs- und Zugriffskontrollfunktionen, die Hochrisiko-Systeme künftig benötigen, überschneiden sich weitgehend mit den Anforderungen, die Transparenzpflichten bereits heute stellen.
KI-Governance auf das ausrichten, was heute tatsächlich gilt
Praktisch bedeutet das: Die Verpflichtungen müssen in solche unterteilt werden, die bereits gelten, und solche, die auf einen späteren Zeitpunkt verschoben wurden. Die Governance-Arbeit sollte sofort auf die erste Gruppe ausgerichtet werden.
Wie eine Data Control Plane bereits geltende KI-Governance-Pflichten unterstützt
Die Kiteworks Data Control Plane setzt datenbasierte zero-trust-Kontrollen für jede Aktion eines Anwenders oder KI-Agenten über alle Kanäle hinweg um und erfasst jede einzelne in einem fälschungssicheren, nicht gedrosselten Audit-Trail, der direkt in SIEM-Tools eingespeist wird. So erhalten Gesundheitssysteme den detaillierten, abfragbaren Nachweis, den aktuelle Transparenzpflichten verlangen.
Gesundheitssysteme, die wissen möchten, wie dies auf ihre aktuellen KI-Einsätze anwendbar ist, können eine individuelle Demo vereinbaren.
Häufig gestellte Fragen
Nur die Verpflichtungen für Hochrisiko-Systeme in Kapitel III sowie die Anforderungen für eingebettete Medizinprodukte in Anhang I wurden verschoben – bis Dezember 2027 für eigenständige Systeme und bis August 2028 für KI in regulierten Medizinprodukten. Der Rest des Gesetzes läuft nach dem ursprünglichen Zeitplan weiter.
Ja. Transparenzpflichten gemäß Artikel 50 wurden durch den Digital Omnibus nicht verschoben und gelten bereits. Gesundheitssysteme müssen offenlegen, wenn Patienten mit einem KI-System interagieren.
Ja. Die Verpflichtungen für Anbieter von General-Purpose-AI-Modellen wurden durch die Verschiebung nicht berührt und gelten nach dem ursprünglichen Zeitplan – relevant, weil viele klinische Entscheidungsunterstützungstools auf diesen Modellen basieren.
Verbotene KI-Praktiken bleiben untersagt, Transparenzpflichten gelten bereits, und jetzt aufgebaute Dokumentation und Protokollierung für aktuelle Anforderungen bleiben erhalten und reduzieren den Aufwand, wenn Hochrisiko-Anforderungen später greifen.