KI-Dokumentationstools im europäischen öffentlichen Gesundheitswesen: Was Verwaltungen wissen müssen

KI-gestützte Dokumentationswerkzeuge können Pflegefachkräften in kommunalen Gesundheitsprogrammen erheblich Zeit zurückgeben. Bevor eine europäische Gesundheitsbehörde ein solches Tool pilotiert, müssen die Datenschutz-Grundverordnung (DSGVO), der EU AI Act, die Medizinprodukteverordnung (MDR) und das Vergaberecht gleichzeitig im Blick behalten werden.

Was diese Tools leisten und was nicht

KI-gestützte Dokumentationswerkzeuge, manchmal auch KI-Medizinassistenten oder Ambient-Dokumentationssysteme genannt, erfassen gesprochene klinische Begegnungen und wandeln sie in strukturierte klinische Notizen um. Eine Fachkraft führt den Patientenbesuch wie gewohnt durch. Das Tool hört zu, transkribiert die Begegnung und erstellt einen Notizentwurf. Die behandelnde Person prüft und genehmigt diesen Entwurf, bevor er ins Praxisverwaltungssystem übernommen wird. Das Tool stellt keine Diagnosen, verschreibt nichts und gibt keine klinischen Empfehlungen ab. Diese Unterscheidung hat unmittelbare regulatorische Konsequenzen.

Im kommunalen Gesundheitswesen, also bei häuslichen Pflegebesuchen, psychiatrischer Nachsorge, Rehabilitationssitzungen und dem Management chronischer Erkrankungen, liegt der praktische Nutzen vor allem im Zeitgewinn. Ein sechswöchiger Pilotversuch in der Kommune Farsund, Norwegen, an dem zwanzig Mitarbeitende aus drei Pflegeteams beteiligt waren, zeigte, dass die tägliche Gesamtdokumentationszeit von etwa drei Stunden auf zehn bis fünfzehn Minuten sank. Eine separate groß angelegte Beobachtungsstudie in Capio/Ramsay Santé-Einrichtungen in Schweden untersuchte einen KI-Medizinassistenten anhand von 375.000 klinischen Notizen und stellte über mehrere Versorgungsebenen hinweg gleichbleibende Rückgänge bei der selbst berichteten Dokumentationszeit fest. Sie war präregistriert und folgte den SQUIRE-Berichtsrichtlinien. Beide Studien stützen sich auf selbst berichtete Ergebnisse. Objektive Messungen von Dokumentationsqualität und Fehlerquoten sind bisher rar, und Administratorinnen und Administratoren sollten Anbieterangaben kritisch einordnen und solche Messungen, wo möglich, ins eigene Pilotdesign einbauen.

EU AI Act, MDR und DSGVO: Was für kommunale Pilotprojekte gilt

Der EU AI Act, der im August 2024 in Kraft trat, unterscheidet zwischen KI-Systemen mit hohem Risiko und solchen mit geringerem Risiko. Als Hochrisiko-Systeme im Gesundheitswesen gelten vor allem solche, die für Diagnose, Behandlungsentscheidungen oder klinische Entscheidungsunterstützung eingesetzt werden. Ein Tool, das klinische Begegnungen transkribiert und strukturiert, ohne klinische Empfehlungen zu erzeugen, fällt nicht in diese Kategorie, weil seine Hauptfunktion administrativer Natur ist. Administratorinnen und Administratoren sollten beim Anbieter eine schriftliche Begründung der Risikoklassifizierung anfordern und prüfen, ob das Tool Entscheidungsunterstützungsfunktionen enthält, die seine Einstufung verändern würden. Der EU AI Act führt zudem Transparenzpflichten ein: Wenn KI-Systeme mit Patientinnen und Patienten in Kontakt treten, müssen diese darüber informiert werden.

Die EU-Medizinprodukteverordnung gilt für Software, die für einen medizinischen Zweck bestimmt ist, also für Diagnose, Prävention, Überwachung oder Behandlung. Ein Tool, das ausschließlich transkribiert und strukturiert, ohne eine Ausgabe zu erzeugen, die klinische Entscheidungen beeinflusst, gilt in der Regel nicht als Medizinprodukt. Enthält es Funktionen wie das Kennzeichnen klinischer Auffälligkeiten oder das Vorschlagen von Diagnosen, kann es in den Anwendungsbereich der MDR fallen. Administratorinnen und Administratoren sollten eine schriftliche Begründung zur MDR-Klassifizierung anfordern, prüfen, ob das Tool eine CE-Kennzeichnung als Medizinprodukt trägt und unter welcher Klasse, und sich bestätigen lassen, dass eine vorhandene CE-Kennzeichnung tatsächlich für die pilotierte Version des Tools gilt.

Von den drei Regelwerken ist die DSGVO dasjenige, das die meisten kommunalen Pilotprojekte am direktesten blockieren kann. Nicht weil die Anforderungen unerfüllbar wären, sondern weil sie zeitaufwändig sind und zu früh im Prozess beginnen müssen. Gesundheitsdaten sind besondere Kategorien personenbezogener Daten im Sinne von Artikel 9. Ihre Verarbeitung erfordert nicht nur eine Rechtsgrundlage nach Artikel 6, sondern zusätzlich eine Bedingung nach Artikel 9, am häufigsten eine ausdrückliche Einwilligung oder eine Verarbeitung nach Artikel 9 Absatz 2 Buchstabe h. Diese Festlegung muss vor Beginn eines Pilotprojekts dokumentiert sein.

Die wichtigsten DSGVO-Pflichten lassen sich nach Phase gliedern. Vor der Pilotierung ist eine Datenschutz-Folgenabschätzung (DSFA) gemäß Artikel 35 verpflichtend. Sie identifiziert Risiken, bewertet, ob die Verarbeitung notwendig und verhältnismäßig ist, und hält Maßnahmen zur Risikominderung fest. Ohne unterzeichnete Auftragsverarbeitungsvereinbarung gemäß Artikel 28 darf kein Pilotprojekt beginnen. Während der Pilotierung ist der Grundsatz der Datenminimierung anzuwenden: Audioaufnahmen dürfen nicht länger gespeichert werden, als für die Transkription nötig ist, und der Anbieter darf Patientendaten nicht ohne ausdrückliche Genehmigung für das Training seines Modells verwenden. Im laufenden Betrieb ist das Verzeichnis von Verarbeitungstätigkeiten gemäß Artikel 30 zu führen, die Rechte betroffener Personen, insbesondere Auskunft und Löschung, müssen gewährleistet sein, und die Auftragsverarbeitungsvereinbarung ist regelmäßig auf Aktualität zu prüfen.

Datenhaltung und Datensouveränität: Was Kommunen schriftlich bestätigen müssen

Für die meisten europäischen Gesundheitsbehörden ist die Verarbeitung von Gesundheitsdaten außerhalb der EU oder des Europäischen Wirtschaftsraums (EWR) keine Option, unabhängig davon, was die DSGVO technisch durch Übermittlungsmechanismen erlaubt. Viele kommunale Beschaffungsrichtlinien verlangen eine ausdrückliche Bestätigung, dass Daten innerhalb der EU gespeichert werden. Vor der Pilotierung sollten Administratorinnen und Administratoren vom Anbieter schriftlich bestätigen lassen: wo Audiodaten zum Zeitpunkt der Transkription verarbeitet werden; wo strukturierte Notizen gespeichert werden und wie lange; ob Unterauftragsverarbeiter beteiligt sind und wo diese sitzen; ob Daten in irgendeiner Phase außerhalb der EU oder des EWR übertragen werden, auch für Modelltraining oder Qualitätssicherung.

Anbieter, die Infrastruktur außerhalb des EWR nutzen, müssen den verwendeten rechtlichen Übermittlungsmechanismus angeben, etwa Standardvertragsklauseln. Der Europäische Gesundheitsdatenraum (EHDS), der 2025 in Kraft trat, schafft zusätzliche Strukturen für die grenzüberschreitende Nutzung von Gesundheitsdaten. Wie der EHDS mit nationalen Anforderungen zur Datenhaltung zusammenwirkt, ist noch nicht abschließend geklärt. Administratorinnen und Administratoren sollten diese Entwicklung aktiv verfolgen.

Vergaberecht: Was kommunale Gesundheitsbehörden beachten müssen

KI-Dokumentationswerkzeuge, die europäische kommunale Gesundheitsbehörden beschaffen, unterliegen dem EU-Vergaberahmen gemäß Richtlinie 2014/24/EU. Für nachgeordnete öffentliche Auftraggeber liegt der aktuelle Schwellenwert für Dienstleistungsaufträge bei 215.000 € (ohne Mehrwertsteuer). Verträge oberhalb dieses Schwellenwerts erfordern ein formelles Ausschreibungsverfahren; unterhalb gelten nationale Vergabevorschriften, aber auch hier sollte ein dokumentiertes Wettbewerbsverfahren stattfinden. Der Schwellenwert wird alle zwei Jahre überarbeitet.

Technische Spezifikationen sollten funktionale Anforderungen beschreiben, zum Beispiel Echtzeit-Transkription in der relevanten Sprache, strukturierte Ausgabe, die mit dem bestehenden Praxisverwaltungssystem kompatibel ist, und Datenhaltung innerhalb der EU. Daneben gehören Compliance-Anforderungen wie DSGVO-Konformität, EU AI Act-Konformitätsdokumentation und ISO 27001-Zertifizierung in die Ausschreibung. Spezifikationen, die faktisch das Produkt eines einzelnen Anbieters beschreiben, sind gemäß der Richtlinie untersagt. Vertragsbedingungen sollten klare Regelungen zum Dateneigentum, zu Ausstiegsregelungen und zu Prüfungsrechten enthalten.

Die Organisation für wirtschaftliche Zusammenarbeit und Entwicklung (OECD) hat festgestellt, dass die meisten EU-Gesundheitssysteme keine eigenen Erstattungsstrukturen für KI-Tools haben und nennt gemeinsame Beschaffungsmodelle als Möglichkeit, Bewertungskosten zu senken und die Verhandlungsposition zu stärken. Für kleinere Kommunen ist das besonders relevant.

Ein risikoarmes Pilotprojekt strukturieren

Ein klar abgegrenztes Pilotprojekt verringert regulatorische Risiken und liefert verwertbare Erkenntnisse. Bewährt hat sich ein Umfang von einem bestimmten Pflegeteam oder Standort, eine Laufzeit von sechs bis zwölf Wochen und vorab vereinbarte Erfolgskriterien: Dokumentationszeit pro Besuch, von Mitarbeitenden berichtete Bewertungen zur Benutzerfreundlichkeit, Fehlerquoten in generierten Notizen sowie Patientenfeedback. Das Pilotprojekt in Farsund lief sechs Wochen und lieferte klare, messbare Ergebnisse.

Vor Beginn sind schriftliche Freigaben einzuholen: vom Datenschutzbeauftragten (DSFA abgeschlossen), vom Beschaffungsleiter (Vertrag und Auftragsverarbeitungsvereinbarung liegen vor) und von der klinischen Leitung (klinischer Governance-Rahmen ist vereinbart). Der Bericht der Weltgesundheitsorganisation (WHO) für Europa über KI im Gesundheitswesen nennt Mitarbeiterschulung und KI-Kompetenz als entscheidende Faktoren für eine erfolgreiche Einführung. Alle teilnehmenden Mitarbeitenden müssen verstehen, wie das Tool funktioniert, welche Prüfpflichten sie tragen und wie sie Fehler melden. Patientinnen und Patienten müssen in allgemeinverständlicher Sprache, und in den Sprachen der betreuten Gruppe, darüber informiert werden, dass während ihres Termins ein KI-Tool eingesetzt wird.

Drei operative Fragen tauchen in Untersuchungen regelmäßig auf und sollten frühzeitig geklärt werden. Erstens: Wem gehören die Ausgabedaten? Die erzeugten strukturierten Notizen sind klinische Aufzeichnungen. Eigentum und Verwahrung müssen im Vertrag eindeutig geregelt sein. Zweitens: Was passiert, wenn das Tool einen Fehler macht? Die behandelnde Person, die die Notiz prüft und genehmigt, trägt die klinische und rechtliche Verantwortung, und das muss in der Anbietervereinbarung ausdrücklich festgehalten sein. Drittens: Wie arbeitet das Tool mit dem bestehenden Praxisverwaltungssystem zusammen? Manche Tools exportieren strukturierten Text, der manuell importiert werden muss, andere binden sich direkt über eine Programmierschnittstelle (API) ein. Das Integrationsmodell beeinflusst sowohl das Workflow-Design als auch die Bewertung der Datensicherheit. Ein dokumentierter Ausstiegsplan, der regelt, was mit Daten und Zugriffsrechten bei Beendigung des Pilotprojekts geschieht, muss vorliegen, bevor Daten verarbeitet werden.

Anbieterbewertung: Was unabhängig geprüft werden muss

Eine begutachtete Studie zur Beschaffung von Gesundheitstechnologie in schwedischen Kommunen zeigte, dass Kommunen bei Beschaffungsentscheidungen uneinheitlich auf strukturierte Evidenz zurückgreifen und dass bestehende nationale Leitlinien nicht ausreichen, um evidenzbasierte Entscheidungen zu unterstützen. Das bedeutet in der Praxis: Eigene Bewertungskapazitäten sind wichtiger als das alleinige Vertrauen auf vom Anbieter bereitgestellte Belege.

Folgende Punkte sollten unabhängig geprüft werden. Das aktuelle ISO 27001-Zertifikat ist anzufordern, mit Bestätigung, dass sein Geltungsbereich die Systeme umfasst, die zur Verarbeitung von Gesundheitsdaten genutzt werden. Die DSGVO-Auftragsverarbeitungsvereinbarung muss vor jeder Datenübermittlung vorliegen und anhand der Anforderungen von Artikel 28 geprüft werden. EU AI Act-Konformitätsdokumentation ist anzufordern, einschließlich einer schriftlichen Begründung der Risikoklassifizierung. Falls eine CE-Kennzeichnung beansprucht wird, ist die Konformitätserklärung einzuholen und zu prüfen, welche benannte Stelle beteiligt war. Die medRxiv-Studie, die den Tandem-KI-Medizinassistenten in schwedischen Einrichtungen untersuchte, ist insofern bemerkenswert, als das geprüfte Tool CE-gekennzeichnet war, was zeigt, wie Anbieterzertifizierungen in der Praxis aussehen können.

Zur Datenhaltung und zum Modelltraining ist eine schriftliche Bestätigung einzuholen, wo Daten in jeder Verarbeitungsphase gespeichert und verarbeitet werden. Ausdrücklich zu fragen ist, ob Patientendaten zum Training oder zur Feinabstimmung des Modells verwendet werden und auf welcher Rechtsgrundlage. Schließlich sollten Referenzen oder veröffentlichte Belege aus Einführungen in öffentlichen oder kommunalen Gesundheitseinrichtungen in Europa angefordert werden. Begutachtete oder präregistrierte Studien haben dabei mehr Gewicht als interne Fallstudien. Zu prüfen ist auch, ob das Tool in den spezifischen Sprachen des klinischen Personals zuverlässig funktioniert, einschließlich regionaler Dialekte und klinischer Fachbegriffe.

Interne Abstimmung: Beschaffung, Datenschutz und klinische Leitung zusammenbringen

KI-Dokumentationswerkzeuge brauchen die Freigabe durch mindestens drei interne Stellen: Beschaffung, Recht und Datenschutz sowie klinische Leitung. In kommunalen Strukturen arbeiten diese Stellen möglicherweise nicht routinemäßig zusammen.

Am sinnvollsten ist es, mit dem Datenschutzbeauftragten zu beginnen, noch vor der Anbieterauswahl. Die DSFA ist Voraussetzung für jedes Pilotprojekt, das besondere Kategorien von Gesundheitsdaten verarbeitet. Wer erst einen bevorzugten Anbieter auswählt und dann die Datenschutzprüfung einleitet, riskiert, den Prozess von vorne beginnen zu müssen. Klinische Leitungen lassen sich eher von einem Vorhaben überzeugen, das den Aufwand für Dokumentation senkt. Die Zahlen aus Farsund und der schwedischen Multi-Site-Studie liefern dafür konkrete Belege. Beschaffungsteams brauchen eine klare Übersicht, welche regulatorischen Pflichten gelten und welche davon beim Anbieter und welche bei der Kommune liegen. Jede Entscheidung, fortzufahren, zu pausieren oder einen Anbieter auszuschließen, sollte mit Begründung dokumentiert werden.

Norwegens nationaler KI-Plan für das Gesundheitswesen, den die norwegische Gesundheitsdirektion leitet, zielt ausdrücklich darauf ab, KI sowohl in kommunalen als auch in spezialisierten Versorgungseinrichtungen einzuführen und zu skalieren. Dazu gehört der KI-Rollout des Vestre Viken Health Trust, der 22 Kommunen und rund 500.000 Menschen versorgt. Dieses Engagement auf nationaler Ebene bietet einen nützlichen Referenzpunkt für Administratorinnen und Administratoren, die intern Unterstützung für die Bewertung solcher Tools aufbauen möchten.

Aufkommende Bewertungsstandards in Europa

Einen einheitlichen Standard gibt es nicht, aber mehrere Initiativen prägen, wie eine gute Bewertung aussieht. Das SHAIPED-Projekt der Europäischen Kommission, das im März 2025 startete, erprobt die Entwicklung und Validierung von KI-Modellen unter Nutzung der HealthData@EU-Infrastruktur. Der WHO-Europa-Bericht, der im April 2026 veröffentlicht wurde, stellte fest, dass 81 Prozent der EU-Mitgliedstaaten Interessengruppen aktiv in die KI-Governance einbeziehen und die Mehrheit bereits KI-Tools in klinischen Einrichtungen einsetzt. Strukturierte Bewertungsrahmen sowie KI-Kompetenz der Belegschaft werden darin als Prioritäten in der gesamten Region genannt.

Die glaubwürdigsten Bewertungsansätze teilen mehrere Merkmale: die Präregistrierung von Bewertungsprotokollen (wie in der schwedischen Multi-Site-Studie), den Einsatz validierter Instrumente zur Benutzerfreundlichkeit neben zeitbasierten Kennzahlen, die Einbeziehung von Patientenerfahrungsdaten, die unabhängige Prüfung von anbieterseitig bereitgestellten Belegen sowie eine transparente Berichterstattung auch über negative Befunde. Das quelloffene Dokumentationswerkzeug Berta, das zwischen November 2024 und Juli 2025 in 105 Einrichtungen von 198 Notärztinnen und Notärzten eingesetzt wurde, steht für ein Modell transparenter Bewertung mit öffentlich dokumentierter Methodik und ist damit methodisch aussagekräftiger als die meisten Anbieter-Fallstudien. Eine randomisierte kontrollierte Crossover-Studie, die KI-gestützte klinische Kodierung in Schweden und Norwegen untersuchte, bietet eine nützliche methodische Referenz für anspruchsvolles Studiendesign.

Der regulatorische Rahmen ist in Bewegung. Administratorinnen und Administratoren sollten die Empfehlungen ihrer nationalen Gesundheitsbehörden und Datenschutzaufsichtsbehörden aktiv verfolgen und Bewertungsrahmen so gestalten, dass sie neue Leitlinien aufnehmen können, sobald diese erscheinen.

Häufig gestellte Fragen

▶ Was tun KI-gestützte Dokumentationswerkzeuge tatsächlich während eines kommunalen Gesundheitsbesuchs?

Das Tool hört zu, transkribiert und erstellt einen Entwurf einer klinischen Notiz, den die behandelnde Person prüft und freigibt. Diagnosen, Verschreibungen oder klinische Empfehlungen erzeugt es nicht. Entscheidend für die regulatorische Einordnung ist, dass die Funktion rein administrativ bleibt.

▶ Welche Evidenz gibt es für Zeitersparnis in kommunalen Gesundheitseinrichtungen?

Die vorliegenden Studien messen fast ausschließlich selbst berichtete Zeiten. Wer ein eigenes Pilotprojekt plant, sollte von Anfang an objektive Kennzahlen festlegen, etwa Zeitstempel aus dem Praxisverwaltungssystem, um Anbieterangaben unabhängig überprüfen zu können.

▶ Klassifiziert der EU AI Act Dokumentationswerkzeuge als Hochrisiko?

Ein reines Transkriptionswerkzeug ohne Entscheidungsunterstützungsfunktionen fällt nach aktuellem Stand nicht in die Hochrisiko-Kategorie. Die Klassifizierung kann sich jedoch ändern, wenn spätere Versionen des Tools klinische Auffälligkeiten kennzeichnen oder Diagnosevorschläge machen. Lassen Sie sich die Risikoklassifizierung bei jeder neuen Produktversion schriftlich bestätigen.

▶ Welche DSGVO-Verpflichtungen gelten vor Beginn eines Pilotprojekts?

Zwei Dokumente müssen vorliegen, bevor auch nur ein Datensatz übermittelt wird: die abgeschlossene Datenschutz-Folgenabschätzung und die unterzeichnete Auftragsverarbeitungsvereinbarung. Wer erst einen Anbieter auswählt und dann den Datenschutzbeauftragten einschaltet, riskiert, den gesamten Auswahlprozess wiederholen zu müssen.

▶ Wie bestätigen Kommunen, dass Patientendaten innerhalb der EU bleiben?

Fordern Sie vom Anbieter eine schriftliche Aufstellung für jede Verarbeitungsphase: Transkription, Speicherung strukturierter Notizen und etwaige Qualitätssicherung. Fragen Sie ausdrücklich nach Unterauftragsverarbeitern und deren Standorten. Viele kommunale Beschaffungsrichtlinien verlangen diese Bestätigung ohnehin, unabhängig davon, was die DSGVO über Übermittlungsmechanismen erlaubt.

▶ Wann gilt die EU-Medizinprodukteverordnung für ein KI-Dokumentationswerkzeug?

Die Grenze liegt bei der Frage, ob eine Ausgabe klinische Entscheidungen beeinflusst. Reine Transkription fällt in der Regel nicht unter die Verordnung. Prüfen Sie bei jeder neuen Produktversion erneut, ob hinzugekommene Funktionen die Klassifizierung verändern, und lassen Sie sich eine aktualisierte schriftliche Begründung geben.

▶ Welche Vergabevorschriften gelten, wenn eine Kommune ein KI-Dokumentationswerkzeug kauft?

Der Schwellenwert für subzentrale Auftraggeber liegt derzeit bei 215.000 Euro ohne Mehrwertsteuer und wird alle zwei Jahre überarbeitet. Technische Spezifikationen müssen funktionale Anforderungen beschreiben. Formulierungen, die faktisch das Produkt eines einzigen Anbieters abbilden, sind nach Richtlinie 2014/24/EU unzulässig und können das gesamte Verfahren angreifbar machen.

▶ Wer ist verantwortlich, wenn eine KI-generierte klinische Notiz einen Fehler enthält?

Die behandelnde Person, die die Notiz genehmigt, trägt die klinische und rechtliche Verantwortung. Klären Sie vor Pilotstart, wie der Prüfpfad technisch abgebildet wird, also wer welche Notiz wann freigegeben hat, und lassen Sie diese Regelung ausdrücklich in der Anbietervereinbarung festhalten.

▶ Wie sollte eine Kommune ein risikoarmes Pilotprojekt strukturieren?

Begrenzen Sie den Umfang auf ein Team oder einen Standort, legen Sie Erfolgskriterien schriftlich fest, bevor das Pilotprojekt startet, und holen Sie die Freigaben von Datenschutzbeauftragtem, Beschaffungsleitung und klinischer Leitung ein. Ein dokumentierter Ausstiegsplan, der Daten und Zugriffsrechte bei Beendigung regelt, muss vorliegen, bevor Daten verarbeitet werden.

▶ Was sollten Administratorinnen und Administratoren bei der Bewertung eines Anbieters unabhängig überprüfen?

Fordern Sie Belege aus vergleichbaren europäischen öffentlichen Einrichtungen an und gewichten Sie präregistrierte oder begutachtete Studien höher als interne Fallstudien. Fragen Sie ausdrücklich, ob Patientendaten zum Training oder zur Feinabstimmung des Modells verwendet werden, und auf welcher Rechtsgrundlage. Diese Frage wird in Standardgesprächen mit Anbietern selten gestellt.