Radiologische Praxis: KI-Diagnostik unter MDR + EU AI Act

Ausgangslage

Der Mandant ist ein mittelgroßer radiologischer Versorger in Nordrhein-Westfalen mit vier Standorten, 22 Radiolog:innen und 35 medizinisch-technischen Radiologieassistent:innen. Seit 2024 werden zwei KI-gestützte Befundungssysteme eingesetzt — eines für die Mammographie-Screening-Befundung (CE-zertifiziert, MDR Klasse IIb), eines zur Priorisierung in der Notfallradiologie (CE-zertifiziert, Klasse IIa).

Die MDR-Konformität der eingesetzten Systeme war durchweg sichergestellt — die Anbieter hatten ihre Hausaufgaben gemacht. Offen war die Frage: Welche Pflichten treffen die Praxis als Betreiber nach EU AI Act, insbesondere nachdem Art. 4 (KI-Kompetenzpflicht) seit Februar 2025 gilt und die Hochrisiko-Vorschriften im August 2026 scharf werden?

Herausforderung

Die Kernherausforderungen in diesem Mandat waren ungewöhnlich komplex, weil drei Regelwerke gleichzeitig relevant sind:

• MDR + AI Act Doppelregulierung: Die KI-Systeme sind zugleich Medizinprodukte (MDR) und Hochrisiko-KI. Als KI-Sicherheitskomponenten CE-pflichtiger Medizinprodukte fallen sie über Art. 6 Abs. 1 i.V.m. Anhang I EU AI Act in die Hochrisiko-Kategorie (nicht über die Anhang-III-Liste). Beide Regelwerke haben eigenständige Dokumentations-, Monitoring- und Meldepflichten — teils redundant, teils ergänzend.
• Unklare Betreiber-Pflichten: Während Anbieter-Pflichten in der MDR-Welt gut dokumentiert sind, war unklar, welche AI-Act-Pflichten die Praxis als Betreiber konkret trifft (Art. 26).
• Ärzte-Haftung: Eine Falschbefundung kann ärztliche Haftung auslösen. Die Frage der menschlichen Aufsicht (Art. 14 AI Act) wurde intensiv diskutiert — wie weit darf/muss sich der Arzt auf die KI verlassen?
• Patienteninformation: Bei der Mammographie-KI stellte sich die Frage, ob Patientinnen aktiv über den KI-Einsatz informiert werden müssen (Art. 50 AI Act Transparenzpflicht) und wie der Aufklärungsbogen anzupassen ist.
• DSGVO-Schnittstelle: Die KI verarbeitet besonders sensible personenbezogene Daten (Gesundheitsdaten, Art. 9 DSGVO). Koordinierte Folgenabschätzung DSFA + AI-Folgenabschätzung war erforderlich.

Unser Vorgehen

Das Mandat lief über 10 Wochen parallel zum Praxisbetrieb. Als externer KI-Beauftragter wurde ein DATUREX-Mitarbeiter mit medizinprodukte-spezifischer Qualifikation benannt; als interner Counterpart fungierte die Qualitätsmanagement-Beauftragte der Praxis.

Woche 1–2: Regulatorische Kartierung. Gemeinsam mit der QM-Beauftragten und dem Datenschutzbeauftragten wurde ein Regulierungs-Matrix erstellt, die für jedes KI-System die Pflichten aus MDR, AI Act, DSGVO und Patientenrechtegesetz gegenüberstellt. Ergebnis: klare Abgrenzung, was Anbieter-Pflicht ist (und damit abgedeckt) und was die Praxis selbst leisten muss.

Woche 3–4: KI-Folgenabschätzung nach Art. 27. Da die Praxis als privater Gesundheitsversorger öffentliche Dienste erbringt, wurde eine formale KI-Folgenabschätzung für beide Systeme durchgeführt (nach unserem 7-Schritte-Vorgehen). Parallel wurde die DSFA nach Art. 35 DSGVO aktualisiert. Beide Dokumente wurden integriert erstellt, mit klaren Querverweisen.

Woche 5–6: Menschliche Aufsicht formalisieren. Die kritischste Arbeit: Wie bewerten die Ärzte KI-Befunde? Welche Vier-Augen-Prüfung greift? Wann wird ein KI-Vorschlag überstimmt? Es wurde ein internes Protokoll entwickelt, das für jedes System eindeutige Entscheidungsregeln dokumentiert. Bei der Mammographie etwa: KI-Markierungen sind Hinweise, nie Diagnosen; jede Markierung wird vom befundenden Arzt explizit bestätigt oder widerlegt, beides dokumentiert.

Woche 7–8: Patientenkommunikation und Aufklärung. Die Aufklärungsbögen wurden um einen KI-Absatz erweitert (in einfacher Sprache, MDR-konform formuliert). Patientinnen bei der Mammographie erhalten jetzt aktiv die Information, dass ein KI-System den Befund unterstützt — mit expliziter Opt-out-Möglichkeit, die im QMS dokumentiert ist.

Woche 9: Schulungen Art. 4. Alle 22 Ärzte und 35 MTRAs durchliefen eine 120-Minuten-Schulung mit medizin-KI-spezifischem Modul (Halluzinationsrisiken, Bias bei unterschiedlichen Patientengruppen, Grenzen der Trainingsdaten). Die Schulung wurde dokumentiert und in das QMS-Register aufgenommen.

Woche 10: Governance und Monitoring. Abschluss mit einer praxisangepassten KI-Governance-Richtlinie, definierten Monitoring-Kennzahlen (Übereinstimmungsrate KI vs. ärztliche Entscheidung, Vorfälle, technische Updates) und einem quartalsweisen Review-Rhythmus.

Ergebnis

Nach 10 Wochen war die Praxis auf eine saubere MDR-plus-AI-Act-Doppelregulierung umgestellt:

• Integrierte Dokumentation MDR + AI Act + DSGVO statt dreier paralleler Dokumentensätze — Aufwandsreduktion gegenüber Silo-Ansatz ca. 35 %.
• Dokumentiertes Aufsichtsprotokoll für beide KI-Systeme — wird seit Implementierung in 100 % der Befundungen gelebt.
• Patienteninformation aktualisiert — erste Evaluation nach drei Monaten zeigte: weniger als 0,5 % der Patientinnen haben einen Opt-out genutzt, Fragen zur KI-Nutzung werden von den MTRAs routiniert beantwortet.
• Ein Verdachtsfall im Monitoring (Diskrepanz KI vs. Arztbefund) wurde innerhalb von 24 Stunden aufgeklärt — die dokumentierte Eskalationskette funktionierte sauber. Patientin wurde erneut befundet, kein klinischer Schaden.
• Reviewzyklen etabliert: monatlicher Compliance-Report, quartalsweise KPI-Review, jährliche Aktualisierung der Folgenabschätzung und der Schulungen.

Die laufende Betreuung kostet jetzt ca. 7.200 Euro pro Jahr (Paket L individualisiert, enthält eine KI-Folgenabschätzung pro Jahr) — bei einem geschätzten Haftungs-Risikokontingent im sechs- bis siebenstelligen Bereich pro potenziellem Schadensfall.

Was daraus gelernt wurde

Das wichtigste Learning aus diesem Mandat: MDR und EU AI Act sind keine konkurrierenden, sondern komplementäre Regelwerke. MDR regelt das Produkt, AI Act regelt den Einsatz — beide zusammen ergeben ein stimmiges Bild. Wer beides als separates Compliance-Projekt aufsetzt, verliert Zeit und schafft inkonsistente Dokumente.

Für Kliniken und Praxen mit KI-Einsatz ist der praktische Einstieg meist die Unterscheidung: Welche Systeme sind CE-zertifiziert (dann liegt der Großteil der Anbieter-Pflicht beim Hersteller) — und welche Betreiber-Pflichten greifen bei uns? Oft ist die Lücke bei Art. 4 Schulung, Art. 14 menschliche Aufsicht und Art. 50 Patientenkommunikation.

Wer eine ähnliche Konstellation hat — die branchenspezifische Service-Seite zum Gesundheitswesen beschreibt typische Einsatzfelder und Risiken, die wir im Mandatsrahmen adressieren. Der Einstieg beginnt mit einem kostenlosen 15-Min-Erstgespräch.

Beispiel-Szenario: konstruierter, realistischer Fall zur Veranschaulichung unseres Vorgehens — kein konkretes Kundenmandat. Unternehmensangaben und Kennzahlen sind illustrativ.