Was ändert sich ab August 2026 für den Personalbereich in Kliniken durch die KI-Verordnung?

Ab August 2026 gelten für Kliniken, MVZ und andere Gesundheitseinrichtungen konkrete Pflichten aus der EU-KI-Verordnung (EU AI Act), sobald sie KI-Systeme im Personalbereich einsetzen. Betroffen sind insbesondere Systeme, die bei der Personalauswahl, Leistungsbewertung oder Personalplanung eingesetzt werden und als Hochrisiko-KI eingestuft sind. Die folgenden Abschnitte beantworten die wichtigsten Fragen, die Personalverantwortliche in Kliniken und MVZ jetzt kennen müssen.

Welche KI-Systeme im Personalbereich fallen unter die EU-KI-Verordnung?

KI-Systeme im Personalbereich fallen unter die EU-KI-Verordnung, wenn sie zur Personalauswahl, Bewerberfilterung, Leistungsbewertung, Beförderungsentscheidungen oder Überwachung von Beschäftigten eingesetzt werden. Diese Systeme werden in Anhang III der Verordnung ausdrücklich als Hochrisiko-KI eingestuft und unterliegen damit den strengsten Anforderungen des Regelwerks.

Konkret betrifft das im Klinikumfeld unter anderem folgende Anwendungen:

• Automatisierte Screening-Tools, die Bewerbungsunterlagen von Ärzten oder Pflegekräften filtern und priorisieren
• KI-gestützte Systeme zur Analyse von Vorstellungsgesprächen (z. B. Videoanalyse, Sprachauswertung)
• Algorithmen zur Bewertung der Arbeitsleistung oder Produktivität von Beschäftigten
• Systeme zur automatisierten Dienstplanung, die Entscheidungen über Einsatz und Verfügbarkeit von Personal treffen
• Tools zur Vorhersage von Fluktuation oder zur Identifikation von Abwanderungsrisiken

Nicht jede digitale HR-Software fällt automatisch unter die Verordnung. Entscheidend ist, ob das System auf Basis von maschinellem Lernen oder statistischen Modellen eigenständig Entscheidungen trifft oder Entscheidungen maßgeblich beeinflusst, die Beschäftigte oder Bewerber betreffen. Reine Verwaltungssoftware ohne KI-Komponente ist nicht erfasst.

Was bedeutet „Hochrisiko-KI“ konkret für Kliniken und MVZ?

Hochrisiko-KI im Sinne der EU-KI-Verordnung bezeichnet Systeme, deren Einsatz erhebliche Auswirkungen auf Grundrechte, Beschäftigung oder Gesundheit haben kann. Für Kliniken und MVZ bedeutet das: Jedes KI-System, das im Personalbereich eingesetzt wird und in Anhang III der Verordnung gelistet ist, gilt als Hochrisiko-KI und muss vor dem Einsatz umfangreiche Anforderungen erfüllen.

Die Einstufung als Hochrisiko-KI hat weitreichende praktische Konsequenzen. Das System muss nachweislich sicher, transparent und diskriminierungsfrei funktionieren. Kliniken als Betreiber tragen die Verantwortung dafür, dass diese Anforderungen dauerhaft eingehalten werden, auch wenn das System von einem externen Anbieter stammt.

Besonders relevant für den Klinikbetrieb ist die Tatsache, dass KI-Systeme, die bei der Besetzung von Arztstellen oder der Auswahl von Pflegepersonal eingesetzt werden, direkt unter diese Kategorie fallen. Die Verordnung unterscheidet dabei nicht nach der Größe der Einrichtung: Auch kleinere MVZ oder Fachkliniken sind betroffen, sobald sie entsprechende Systeme nutzen.

Welche Pflichten gelten ab August 2026 für Betreiber von KI-Systemen im HR-Bereich?

Ab August 2026 müssen Betreiber von Hochrisiko-KI-Systemen im HR-Bereich konkrete Compliance-Pflichten erfüllen. Dazu gehören die Einrichtung eines internen Risikomanagementsystems, die Sicherstellung menschlicher Aufsicht, die Führung technischer Dokumentation sowie die Registrierung des Systems in der EU-Datenbank für Hochrisiko-KI.

Im Einzelnen umfassen die Betreiberpflichten folgende Bereiche:

1. Risikomanagementsystem: Kliniken müssen ein dokumentiertes Verfahren einrichten, das Risiken des KI-Systems kontinuierlich identifiziert, bewertet und minimiert.
2. Menschliche Aufsicht: Entscheidungen, die durch das KI-System getroffen oder vorbereitet werden, müssen durch qualifiziertes Personal überprüfbar und korrigierbar sein. Vollautomatisierte Personalentscheidungen ohne menschliche Kontrolle sind unzulässig.
3. Technische Dokumentation: Betreiber müssen nachweisen können, wie das System funktioniert, welche Daten es verarbeitet und wie Entscheidungen zustande kommen.
4. Datenschutz und Datenqualität: Die verwendeten Trainingsdaten und Eingabedaten müssen repräsentativ, fehlerfrei und diskriminierungsfrei sein.
5. Transparenz gegenüber Betroffenen: Bewerber und Beschäftigte müssen darüber informiert werden, dass KI-Systeme bei Entscheidungen eingesetzt werden, die sie betreffen.
6. Registrierung: Hochrisiko-KI-Systeme müssen in der von der EU-Kommission geführten Datenbank registriert werden.

Diese Pflichten gelten unabhängig davon, ob das System intern entwickelt oder von einem externen Anbieter bezogen wurde. Die Verantwortung für die ordnungsgemäße Nutzung liegt beim Betreiber, also der Klinik oder dem MVZ.

Wie unterscheiden sich die Pflichten von Anbietern und Betreibern von KI-Systemen?

Anbieter von KI-Systemen sind Unternehmen, die ein KI-System entwickeln und auf dem Markt bereitstellen. Betreiber sind Einrichtungen, die dieses System in ihrem eigenen Betrieb einsetzen. Kliniken und MVZ sind in der Regel Betreiber, nicht Anbieter, und tragen damit eine eigene, klar definierte Verantwortung nach der EU-KI-Verordnung.

Pflichten der Anbieter

Anbieter müssen sicherstellen, dass ihr System die technischen Anforderungen der Verordnung erfüllt, bevor es auf den Markt gebracht wird. Dazu gehören das Konformitätsbewertungsverfahren, die CE-Kennzeichnung, die Erstellung der technischen Dokumentation und die Bereitstellung von Gebrauchsanweisungen für Betreiber. Der Anbieter haftet für die grundlegende Sicherheit und Konformität des Systems.

Pflichten der Betreiber

Betreiber, also Kliniken und MVZ, sind verpflichtet, das System nur gemäß der Zweckbestimmung des Anbieters einzusetzen, die menschliche Aufsicht sicherzustellen, Vorfälle zu melden und die interne Dokumentation zu führen. Wenn ein Betreiber das System in einer Weise einsetzt, die über die ursprüngliche Zweckbestimmung hinausgeht, übernimmt er zusätzliche Anbieterpflichten. Diese Unterscheidung ist für Kliniken besonders wichtig, wenn sie KI-Software aus dem allgemeinen HR-Bereich für medizinisches Personal adaptieren.

Was droht bei Verstößen gegen die KI-Verordnung im Gesundheitswesen?

Verstöße gegen die EU-KI-Verordnung können mit Bußgeldern von bis zu 30 Millionen Euro oder 6 Prozent des weltweiten Jahresumsatzes geahndet werden, je nachdem, welcher Betrag höher ist. Für Kliniken und MVZ bedeutet das ein erhebliches finanzielles und reputationsbezogenes Risiko, das ernst genommen werden muss.

Die Bußgeldrahmen sind nach Schwere des Verstoßes gestaffelt:

• Bis zu 35 Millionen Euro oder 7 % des Jahresumsatzes bei verbotenen KI-Praktiken (z. B. Social Scoring oder Manipulation)
• Bis zu 15 Millionen Euro oder 3 % des Jahresumsatzes bei Verstößen gegen Betreiberpflichten wie fehlende Dokumentation oder mangelnde menschliche Aufsicht
• Bis zu 7,5 Millionen Euro oder 1 % des Jahresumsatzes bei falschen Angaben gegenüber Behörden

Neben Bußgeldern drohen Marktverbote für das eingesetzte System sowie Reputationsschäden, die im sensiblen Bereich des Gesundheitswesens besonders schwer wiegen. Aufsichtsbehörden auf nationaler Ebene werden mit der Durchsetzung betraut. In Deutschland ist die zuständige Marktüberwachungsbehörde noch in der Bestimmungsphase, die Bundesregierung arbeitet an der entsprechenden nationalen Umsetzungsstruktur.

Wie sollten Kliniken und Praxen sich jetzt auf August 2026 vorbereiten?

Kliniken und MVZ sollten jetzt eine systematische Bestandsaufnahme aller eingesetzten digitalen HR-Systeme durchführen und prüfen, welche davon KI-Komponenten enthalten. Auf dieser Basis lässt sich der Handlungsbedarf konkret bestimmen und eine strukturierte Vorbereitung auf die Anforderungen der EU-KI-Verordnung einleiten.

Ein strukturierter Vorbereitungsprozess umfasst folgende Schritte:

1. Inventarisierung: Alle digitalen Systeme im HR-Bereich erfassen und prüfen, ob KI-Funktionen enthalten sind.
2. Klassifizierung: Für jedes identifizierte KI-System prüfen, ob es unter Anhang III der Verordnung fällt und damit als Hochrisiko-KI einzustufen ist.
3. Anbieterkommunikation: Softwareanbieter kontaktieren und Konformitätsnachweise, technische Dokumentation und Gebrauchsanweisungen anfordern.
4. Interne Prozesse: Verfahren zur menschlichen Aufsicht und zur Dokumentation von KI-gestützten Entscheidungen einrichten.
5. Schulung: Personalverantwortliche und Verwaltungsleitungen über die neuen Pflichten informieren und für den verantwortungsvollen Umgang mit KI-Systemen sensibilisieren.
6. Rechtliche Beratung: Arbeits- und IT-rechtliche Expertise hinzuziehen, um Compliance-Lücken zu schließen.

Einrichtungen, die aktuell keine KI-Systeme im Personalbereich einsetzen, sind von den Hochrisiko-Pflichten nicht unmittelbar betroffen. Für sie empfiehlt sich dennoch eine Prüfung, ob geplante Digitalisierungsvorhaben im HR-Bereich zukünftig unter die Verordnung fallen werden. Die Beschäftigungsformen im Überblick zeigen, welche Alternativen zur digitalen Personalauswahl im Klinikbetrieb zur Verfügung stehen.

Wie DEPVA Kliniken bei der Personalbesetzung unabhängig von KI-Regulierung unterstützt

Die Anforderungen der EU-KI-Verordnung machen deutlich, dass automatisierte Personalentscheidungen im Gesundheitswesen mit erheblichem Compliance-Aufwand verbunden sind. Wir bei DEPVA setzen auf einen anderen Ansatz: persönliche, fachkundige Vermittlung durch erfahrene Spezialisten, ohne den Einsatz automatisierter Auswahlsysteme.

Als spezialisierte Personalvermittlung im Gesundheitswesen unterstützen wir Kliniken und MVZ konkret in folgenden Bereichen:

• Kurzfristige Vertretungen: Bei Personalengpässen durch Urlaub, Krankheit oder unbesetzte Stellen vermitteln wir schnell geeignete Ärzte für befristete Einsätze und Bereitschaftsdienste.
• Facharztstellen und leitende Positionen: Wir besetzen Vakanzen auf Facharzt-, Oberarzt- und Chefarztebene mit qualifizierten Kandidaten aus unserer umfangreichen Datenbank.
• Arbeitnehmerüberlassung und befristete Festanstellung: Wir bieten flexible Beschäftigungsformen an, die auf den konkreten Bedarf Ihrer Einrichtung zugeschnitten sind.
• Fachliche Expertise: Unser Geschäftsführer ist selbst approbierter Arzt, was eine präzise fachliche Einschätzung von Kandidatenprofilen ermöglicht.
• Begleitung des gesamten Prozesses: Wir stehen Ihnen als Arbeitgeber während des gesamten Vermittlungsprozesses beratend zur Seite, von der ersten Anfrage bis zur erfolgreichen Besetzung.

Wenn Sie kurzfristig qualifiziertes ärztliches Personal benötigen oder eine Facharztstelle besetzen möchten, sprechen Sie uns an. Stellen Sie jetzt Ihre Personalanfrage und erhalten Sie zeitnah passende Kandidatenvorschläge.