EU AI Act: Was KI-Einsatz für Medizintechnik-Service bedeutet

Seit dem 2. August 2026 wird die KI-Verordnung durchgesetzt. Für Betriebe, die KI im Kundenkontakt einsetzen, ist das kein abstrakter Termin mehr: An diesem Tag haben das KI-Büro der EU und die nationalen Behörden die Aufsicht aufgenommen, samt Bußgeldvorschriften.

Gleichzeitig ist der Teil, vor dem die meisten Angst hatten, nach hinten gerutscht. Beides zusammen ergibt eine Lage, die überschaubarer ist, als die Schlagzeilen vermuten lassen.

Was verschoben wurde

Ursprünglich sollten am 2. August 2026 auch die Pflichten für Hochrisiko-Systeme greifen: Risikomanagement, technische Dokumentation, Konformitätsbewertung. Der Digital Omnibus, Verordnung (EU) 2026/1744, in Kraft seit dem 27. Juli 2026, hat diesen Block verschoben. Eigenständige Hochrisiko-Systeme nach Anhang III gelten ab dem 2. Dezember 2027, in Produkte eingebettete nach Anhang I ab dem 2. August 2028. Begründet wird das damit, dass die harmonisierten Normen und die Behördenstrukturen noch nicht standen.

Für den durchschnittlichen Servicebetrieb ändert diese Verschiebung wenig, weil er ohnehin selten Hochrisiko-Systeme betreibt. Wichtig ist sie für Hersteller, deren Geräte KI als Sicherheitsbauteil enthalten. Dort greifen MDR und KI-Verordnung ineinander, und der zusätzliche Zeitraum ist knapp bemessen.

Was seit dem 2. August gilt

Die Transparenzpflicht aus Artikel 50 ist unverändert in Kraft. Sie ist kurz zusammengefasst: Wer mit einer Maschine spricht, muss das wissen.

Praktisch betrifft das drei Dinge, die es in vielen Betrieben längst gibt. Ein Chatbot auf der Website muss erkennbar ein Chatbot sein. Ein Telefonassistent, der Anrufe annimmt, muss sich zu erkennen geben. Und Inhalte, die eine KI erzeugt hat, etwa Bilder oder synthetische Stimmen, müssen gekennzeichnet sein.

Dazu kommen zwei Punkte, die schon länger gelten. Die verbotenen Praktiken aus Artikel 5 sind seit Februar 2025 scharf, darunter das Auslesen von Emotionen am Arbeitsplatz. Und Beschäftigte, die mit KI arbeiten, brauchen ein Grundverständnis davon, was das System kann und wo es irrt. Der Digital Omnibus hat diese Anforderung entschärft, abgeschafft hat er sie nicht.

Anbieter oder Betreiber

Diese Unterscheidung entscheidet über den Aufwand. Wer ein KI-System entwickelt und unter eigenem Namen anbietet, ist Anbieter und trägt die schwereren Pflichten. Wer ein fertiges System einsetzt, ist Betreiber.

Ein medizintechnischer Servicebetrieb ist fast immer Betreiber: Er nutzt einen eingekauften Chatbot, eine Assistenzfunktion in der Servicesoftware, ein Diktiersystem für Berichte. Das ist die deutlich leichtere Rolle. Sie endet allerdings, wenn ein System unter eigenem Namen weitergegeben oder wesentlich verändert wird.

Was zu tun ist

Verschaffen Sie sich zuerst eine Liste. Welche Systeme mit KI sind im Haus, wer hat sie beauftragt, was tun sie mit welchen Daten? Erfahrungsgemäß tauchen dabei Werkzeuge auf, von denen die Geschäftsführung nichts wusste, weil eine Abteilung sie selbst abonniert hat.

Danach die Kennzeichnung: Chatbot und Telefonassistent so beschriften, dass es vor dem ersten Satz klar ist, nicht im Kleingedruckten.

Dann die Verträge: Beim Anbieter prüfen, ob Auftragsverarbeitung geregelt ist und wo die Daten liegen. Bei Gesundheitsdaten ist das ohnehin Pflicht, unabhängig von der KI-Verordnung.

Und zuletzt: kurz dokumentieren, was Sie einsetzen und warum es unkritisch ist. Zwei Seiten reichen. Der Wert liegt nicht im Papier, sondern darin, dass Sie es einmal durchdacht haben, bevor jemand fragt.

Das gehört ab jetzt in die Planung

Die Jahre, in denen man ein KI-Werkzeug einfach anschaltete und schaute, was passiert, sind vorbei. Seit dem 2. August gibt es eine Aufsicht, die zuständig ist, und Bußgelder, die verhängt werden können.

Sie kennen dieses Muster aus Ihrem eigenen Geschäft. Eine sicherheitstechnische Kontrolle ist nicht fertig, wenn das Gerät wieder läuft, sondern wenn das Protokoll geschrieben ist. Niemand käme auf die Idee, die Dokumentation als lästiges Anhängsel zu behandeln, sie ist Teil der Leistung. Bei KI-Anwendungen ist es ab sofort genauso: Die Frage, wie gekennzeichnet und dokumentiert wird, gehört an den Anfang eines Vorhabens, nicht ans Ende.

Das ist kein Grund, langsamer zu werden. Es ist ein Grund, es beim ersten Mal richtig aufzusetzen. Nachträglich Transparenzhinweise in eine laufende Anwendung zu bauen kostet mehr als die zehn Minuten, die es in der Planung gekostet hätte.

Wenn wir eine Lösung bauen, ist dieser Teil enthalten. Ein Chatbot von uns weist sich als solcher aus, bevor die erste Frage kommt. Wir halten fest, welches System im Einsatz ist, welche Daten es sieht und wo sie liegen. Verträge zur Auftragsverarbeitung gehören zur Zusammenarbeit, ebenso Hosting in Deutschland oder der EU. Sie bekommen also nicht nur eine Anwendung, sondern auch die Unterlagen, mit denen Sie im Zweifel zeigen können, dass sie sauber aufgesetzt ist. Die rechtliche Bewertung Ihres Einzelfalls bleibt bei Ihnen, die Grundlage dafür liefern wir mit.

Einordnung

Für einen Servicebetrieb, der KI für Anfragen, Termine und Dokumentation nutzt, ist die KI-Verordnung überschaubar. Der Aufwand liegt bei Kennzeichnung und Übersicht, nicht bei Zertifizierung. Kritisch wird es an zwei Stellen: KI in der Personalauswahl, die als Hochrisiko gilt, und KI in Geräten, wo die MDR mitspielt.

Stand dieses Beitrags: 13. August 2026. Die Fristen der KI-Verordnung werden weiter angepasst, der Digital Omnibus war nicht die erste Änderung.

Wollen Sie wissen, welche Pflichten Ihren Betrieb treffen? Der KI-Pflichten-Check fragt das in wenigen Minuten ab. Im kostenlosen Erstgespräch gehen wir Ihre Systeme gemeinsam durch.