Durch die Umsetzung der NIS2-Maßnahmen können Krankenhäuser dazu beitragen, das Vertrauen in KI-gestützte medizinische Anwendungen zu stärken und die Patientensicherheit zu gewährleisten. Seit der ersten Lesung im Bundestag vom 11. Oktober 2024 und einer Expertenanhörung Anfang November hüllt sich die Bundesregierung in Bezug auf NIS-2 in Schweigen. Aufgrund der anstehenden Neuwahlen und Schwierigkeiten bei der Regierungsbildung ist eine zeitnahe Umsetzung der NIS-2-Richtlinie eher unwahrscheinlich.
Ab Februar 2025 verpflichtet der EU AI Act Krankenhäuser, die Künstliche Intelligenz (KI) einsetzen, spezifische personelle, organisatorische und technische Maßnahmen zu ergreifen. Ziel ist es, den sicheren, ethischen und rechtskonformen Einsatz von KI-Systemen im Gesundheitswesen sicherzustellen.
Personell müssen Krankenhäuser sicherstellen, dass alle Mitarbeitenden, die mit KI-Systemen arbeiten, über ausreichende KI-Kompetenz verfügen. Dies umfasst technisches Wissen über die Funktionsweise von KI, Kenntnisse der rechtlichen Rahmenbedingungen, insbesondere des Datenschutzes, sowie ein Bewusstsein für ethische Fragestellungen. Regelmäßige Schulungen sind erforderlich, um das Personal auf dem neuesten Stand zu halten und den sachkundigen Umgang mit KI-Systemen zu gewährleisten.
Organisatorisch sind Krankenhäuser angehalten, interne Prozesse und Strukturen zu etablieren, die den verantwortungsvollen Einsatz von KI unterstützen. Dazu gehört die Implementierung von Risikomanagementsystemen, die potenzielle Gefahren identifizieren und bewerten, sowie die Festlegung klarer Verantwortlichkeiten für die Überwachung und Wartung der KI-Systeme. Zudem sollten transparente Entscheidungsprozesse geschaffen werden, um nachvollziehen zu können, wie und warum bestimmte KI-gestützte Entscheidungen getroffen wurden.
Anforderungen an KI-Kompetenz
Laut Artikel 4 des AI Acts müssen Unternehmen sicherstellen, dass ihre Mitarbeitenden, die KI-Systeme nutzen oder betreiben, über ausreichend Kenntnisse verfügen. Dazu gehören: a) Technisches Wissen: Verständnis für die Funktionsweise von KI-Algorithmen, Datenverarbeitung und Softwareentwicklung. b) Regulatorisches Wissen: Kenntnis der gesetzlichen und ethischen Anforderungen im Umgang mit KI. c) Anwendungsspezifisches Wissen: Verständnis für die spezifischen Anforderungen und Risiken in den jeweiligen Einsatzbereichen.
Technisch müssen Krankenhäuser sicherstellen, dass die eingesetzten KI-Systeme robust und zuverlässig sind. Es ist essenziell, die Qualität der Daten, mit denen die KI trainiert wird, zu gewährleisten, um Verzerrungen und Fehlinterpretationen zu vermeiden. Zudem sollten Mechanismen zur kontinuierlichen Überwachung der KI-Systeme implementiert werden, um deren Leistung zu bewerten und bei Bedarf Anpassungen vorzunehmen. Die Einhaltung von Datenschutzbestimmungen, insbesondere der DSGVO, ist dabei von zentraler Bedeutung, um die Privatsphäre der Patienten zu schützen.
Die Nichteinhaltung dieser Vorgaben kann zu erheblichen Strafen führen, die je nach Schwere des Verstoßes bis zu 35 Millionen Euro oder 7 % des weltweiten Jahresumsatzes betragen können.
Kritik am aktuellen Entwurf sowie das bei Neuwahlen betreffende Diskontinuitätsprinzip (alle Gesetzentwürfe und andere Vorlagen, die vom alten Bundestag noch nicht beschlossen wurden, müssen neu eingebracht und verhandelt werden) lassen vermuten, dass das Gesetz noch einmal überarbeitet wird. Wann mit der finalen Umsetzung gerechnet werden kann, ist zu diesem Zeitpunkt daher nicht abzusehen.
Umsetzung in Unternehmen sofort erwartet
Das NIS2UmsuCG bzw. das darin neu gefasste BSI-Gesetz sehen nach Beschluss im Parlament keine weitere Umsetzungsfrist für die Unternehmen vor. Auch wenn – ähnlich wie nach Einführung der DSGVO – nicht zu erwarten ist, dass am Tag nach dem Wirksamwerden Auditoren des BSI ausschwärmen und die Behörde danach Unternehmen mit Bußgeldern überzieht, so ist dennoch fraglich, ob die neuen, persönlichen Haftungsregeln für die Geschäftsleitung aus §38 BSIG nicht direkt angewandt und – in Schadensfällen – von Gesellschaftern bzw. Investoren auch eingefordert werden.
Autor: Wolf-Dietrich Lorenz
Bild: Adobestock / Rawf8
