Was gilt eigentlich gerade – und was nicht mehr? Nach der Einigung von Rat und Europäischem Parlament auf eine Überarbeitung des EU-AI-Acts am 7. Mai 2026 ist Unklarheit darüber verständlich. Die Kernbotschaft: Zentrale Fristen für Hochrisiko-KI wurden verschoben. Die Pflichten, die Praxen, MVZ und BAGs im Alltag unmittelbar betreffen, gelten nach unserer Einschätzung jedoch unverändert weiter. Das Regelwerk ist hochkomplex, weshalb Praxen und MVZ nahezulegen ist, sich an den bisher bekannten Anforderungen zu orientieren und nicht zu versuchen, etwaige Graubereiche auszuloten.

Was sich verschiebt: Die Überarbeitung, die als Teil eines umfassenden EU-Digitalpakets, das gleich mehrere Digitalgesetze gleichzeitig anpasst und „Digital Omnibus on AI“ genannt wird, verschiebt die vollständige Compliance für eigenständige Hochrisiko-KI-Systeme vom 2. August 2026 auf den 2. Dezember 2027. Für KI, die in regulierte Produkte eingebettet ist – etwa Medizinprodukte ab Risikoklasse IIa – gilt künftig der 2. August 2028. Diese Verschiebung betrifft aber primär Anbieter und Hersteller solcher Systeme, nicht deren Betreiber im Praxisalltag (~ zum Normtext der EU v. 18.06.2026). Alle nachfolgenden Nennungen von ‚Artikeln‘ der Norm beziehen sich auf diese Fassung.

Was unberührt bleibt: Drei Pflichten bleiben von den Änderungen allerdings unberührt und gelten bereits jetzt. Das Verbot bestimmter KI-Praktiken (seit Februar 2025, Art. 5 EU AI Act), die Kennzeichnungspflichten für KI-generierte Inhalte (ab 2. August 2026, Art. 50 EU AI Act) sowie die Anforderung, dass alle Mitarbeitenden, die KI-Systeme nutzen, über ausreichende KI-Kompetenz verfügen müssen, um diese verantwortungsvoll anzuwenden (Art. 4 EU AI Act). Im Detail hatten wir diese bereits 2025 beleuchtet. (~ KW 25/2025: KI-Kompetenz im Praxisalltag) Ob die Pflicht zur KI-Kompetenz durch den Omnibus indirekt abgeschwächt wurde, weil juristische Findigkeiten die Konsequenzen abmildern, ist zum Redaktionszeitpunkt noch nicht abschließend geklärt – wer auf der sicheren Seite sein will, orientiert sich weiterhin an den von uns beschriebenen Anforderungen.

Was MVZ und BAGs konkret beachten sollten: Chatbots, Telefonassistenten oder KI-gestützte Dokumentationssysteme fallen in der Regel in die Kategorie der Niedrigrisiko-KI – hier gelten primär Transparenzanforderungen. Wer hingegen diagnostische oder therapieentscheidungsunterstützende Systeme einsetzt, die als Medizinprodukt der Risikoklasse IIa oder höher eingestuft sind und damit automatisch als Hochrisiko-KI gelten, sollte sich beim Anbieter die entsprechende Konformitätsbescheinigung zur EU-KI-Verordnung vorlegen lassen. Für solche Systeme gilt diese Pflicht ab dem 2. August 2026, für Medizinprodukte ab Risikoklasse IIa erst ab dem 2. August 2027, wo sie Teil der CE-Kennzeichnung sein wird (Art. 6 EU AI Act). Mehr dazu unter ~ Johner Institut: CE-Kennzeichnung für Medizinprodukte.

Bei cloudbasierten KI-Lösungen gilt unabhängig vom Omnibus: Der Anbieter muss ein gültiges C5-Typ2-Testat des BSI vorweisen können, die Datenverarbeitung muss in der EU, einem EWR-Land oder einem zulässigen Drittstaat erfolgen, und mit dem Anbieter ist ein Auftragsverarbeitungsvertrag abzuschließen (~ § 393 SGB V). Mehr zu den Testaten unter (~ BSI Themenseite: C5 Testate). Eine datenschutzrechtliche Einwilligung der Patient:innen ist in der Regel nicht erforderlich – es sei denn, die Daten werden nicht ausschließlich für deren Versorgung genutzt, sondern auch für das Training oder die Optimierung des KI-Systems.

Für kleinere Unternehmen sieht die EU konkrete Erleichterungen vor. Dabei arbeitet der EU AI Act mit drei Kategorien: klassische KMU (bis 250 Mitarbeitende und bis 50 Mio. Euro Jahresumsatz), Start-ups sowie die Small Mid-Caps (SMC). Letztere umfassen Unternehmen mit bis zu 750 Mitarbeitenden oder 150 Millionen Euro Jahresumsatz – und gehen damit bewusst über die klassische KMU-Schwelle hinaus. Im Kern eine Verschiebung der Schwellenwerte nach oben: Mehr Unternehmen als bisher kommen unter den Schirm der Erleichterungen bei der EU-AI-Act-Konformität.

Alle drei Gruppen – KMU, Start-ups und SMCs – dürfen die technische Dokumentation für Hochrisiko-KI in vereinfachter Form einreichen. Die EU-Kommission wird dafür ein standardisiertes Formular entwickeln (Art. 11 Abs. 1 EU AI Act). Darüber hinaus können KMU und Start-ups – nicht jedoch SMCs! – bestimmte Elemente des Qualitätsmanagementsystems vereinfacht umsetzen, sofern keine verbundenen Unternehmen im Sinne der EU-KMU-Definition vorliegen. Auch hier entwickelt die Kommission entsprechende Leitlinien (Art. 63 Abs. 1 EU AI Act). Für alle Unternehmensgrößen gilt zudem: Die Umsetzung der QM-Anforderungen insgesamt muss verhältnismäßig zur Unternehmensgröße erfolgen, ohne jedoch den inhaltlichen Mindeststandard zu unterschreiten (Art. 17 Abs. 2 EU AI Act).

Bei Bußgeldern gilt: Die Mitgliedstaaten müssen die wirtschaftliche Lebensfähigkeit von KMU bei der Festsetzung berücksichtigen (Art. 99 Abs. 1 EU AI Act). Für Small Mid-Caps gibt es darüber hinaus eine konkrete Bußgelddeckelung, deren genaue Ausgestaltung die Mitgliedstaaten gemäß den noch ausstehenden Kommissionsleitlinien umsetzen müssen (Art. 96 und Art. 99 Abs. 6a EU AI Act). Die genaue Ausgestaltung der Erleichterungen bzw. deren Kommentierung in der Fachpresse – insbesondere die Formulare und Leitlinien der Kommission – steht zum Redaktionszeitpunkt noch aus.

Der Omnibus verschafft Zeit – aber wenig Klarheit. Wer die gewonnene Zeit nutzt, um den eigenen KI-Einsatz zu strukturieren, Zuständigkeiten zu klären und Mitarbeitende zu sensibilisieren, steht beim nächsten Fristablauf deutlich besser da. Die KBV-Broschüre „PraxisWissen Künstliche Intelligenz" – veröffentlicht im Dezember 2025 – bietet dafür einen soliden und praxisnahen Einstieg ~ Praxiswissen: KI Einsatz in Praxen.

Kaum hat das GKV-Beitragssatzstabilisierungsgesetz den Bundestag passiert, legt das Bundesgesundheitsministerium nach. Am 15. Juli 2026 hat das Bundeskabinett den Entwurf eines „Gesetzes für Daten und digitale Innovation im Gesundheitswesen“ (GeDIG) beschlossen. Wer die Strategie von Ministerin Nina Warken verfolgt, erkennt das Muster: Das GeDIG ist kein isoliertes Vorhaben, sondern der nächste Schritt in einer bewussten Gesetzeskaskade, die auf die Einführung eines Primärversorgungssystems zusteuert. Gewissermaßen das Wetterleuchten vor dem Gewitter. Der gesetzgeberische Weg bis zum Beschluss ist noch weit, aber das BMG hat in den vergangenen Monaten keinen Zweifel aufkommen lassen, dass man gewillt ist, den politischen Diskurs auf das demokratisch tragbare Minimum zu beschränken. Für Praxen und MVZ würde der aktuelle Entwurf einige positive Neuerungen, aber auch Verpflichtungen mit sich bringen. (~ zum Entwurf v. 14.07.2026)

Eines der relevantesten Elemente für den Praxisalltag dürfte die schrittweise Einführung der verpflichtenden elektronischen Überweisung (eÜberweisung) bis zum 1. September 2029 sein. Die eÜberweisung soll über einen Versorgungsfachdienst bei der gematik laufen – mit dem Vorteil, dass sie auch ohne ePA-Nutzung des Patienten zugänglich ist. Dennoch soll parallel dazu die ePA-App der Krankenkassen zum zentralen digitalen Versorgungseinstieg werden. Versicherte können darüber Termine buchen und Ersteinschätzungen durch die Terminservicestellen der KVen abrufen. In einem weiteren Schritt soll eine umfassendere digitale Bedarfseinschätzung folgen, die Dringlichkeit und Versorgungsebene bestimmt. KBV und GKV-Spitzenverband werden beauftragt, die dafür notwendigen Vorgaben gemeinsam zu vereinbaren. Für Praxen bedeutet das konkret: Eine verbindliche Schnittstelle in den Praxis- und Terminverwaltungssystemen zur Meldung freier Termine an die KVen wird, zumindest nach dem Entwurf des Gesetzes, Pflicht. (Seite 13 ff. im Entwurf)

Ab 2029 soll das Fax in der medizinischen Kommunikation verboten werden – KIM und TI-M werden zur Pflicht für alle an die TI angeschlossenen Leistungserbringer. (Seite 65 im Entwurf) Das betrifft die gesamte medizinische, pflegerische und administrative Kommunikation. Gleichzeitig erhält die gematik deutlich mehr Befugnisse: Sie darf künftig eigenständig Störungen beseitigen, Anordnungen gegen Verursacher von TI-Ausfällen erteilen und in letzter Konsequenz Anbietern die Zulassung entziehen. Eine ausführliche Darstellung der geplanten Befugnisse der gematik findet sich unter der Begründung ab Seite 177 im Entwurf.

Praxen erhalten ein „Recht auf Interoperabilität" gegenüber den PVS-Herstellern. Hersteller werden verpflichtet, Patientendaten kostenfrei in interoperablem Format bereitzustellen. Das erleichtert künftig den Wechsel zwischen Systemen und soll medienbruchfreie Prozesse ermöglichen. Das Wort Interoperabilität kommt insgesamt 126 mal im Entwurf vor und scheint das neue schriftgewordene Feigenblatt für eine funktionierde TI. Mit Bezug auf die von Praxen langersehnte PVS-Schnittstellen-Interoperabilität empfiehlt sich die Begründung zum § 386 a auf Seite 221f. Überdies sollen die KVen ein gesetzliches Recht zur Digitalberatung gegenüber Praxen erhalten – einschließlich der Unterstützung bei Cybersicherheitsfragen.

Zu den ungelösten Problemen des Entwurfs gehört das bestehende Sanktionsregime: Praxen können mit Honorarabzügen oder Abrechnungsausschluss belegt werden, wenn ihr PVS-Hersteller gematik-Vorgaben nicht einhält – also für ein Versagen, das außerhalb ihrer Kontrolle liegt. Die KBV fordert die Streichung dieser Regelungen und eine direkte Haftung der Hersteller. Der Entwurf lässt das unbeantwortet. (~ KBV-Stellungnahme GeDIG, Mai 2026)

Das GeDIG erweitert die Möglichkeiten der Krankenkassen, Daten aus der ePA auszuwerten und Versicherte auf Gesundheitsrisiken hinzuweisen – von Herz-Kreislauf-Erkrankungen über Krebsrisiken bis hin zu Impfindikationen. Voraussetzung ist die aktive Einwilligung der Versicherten (Seite 9ff. im Entwurf). Darüber hinaus dürfen Krankenkassen in sogenannten Reallaboren zeitlich befristet innovative Datennutzungsansätze erproben. Dafür steht allerdings noch eine Ausgestaltung des Bundeserprobungsgesetzes aus. (Seite 126f. im Entwurf) Beides stößt bei der Ärzteschaft nachvollziehbarerweise auf erheblichen Widerstand – dazu mehr im letzten Absatz.

Was sonst noch im Gesetz steckt: Das eRezept wird auf häusliche Krankenpflege und Heilmittel ausgeweitet. Die längst versprochene Volltextsuche in der ePA sowie eine digitale Impfübersicht mit Erinnerungsfunktion sollen ab Anfang bzw. Mitte 2027 verfügbar sein. Für Terminbuchungsplattformen werden Qualitätsanforderungen festgelegt. Das Forschungsdatenzentrum Gesundheit wird weiterentwickelt, und die Grundlagen für den Europäischen Gesundheitsdatenraum (EHDS) werden geschaffen – ein Aspekt, der insbesondere für die klinische Forschung mittelfristig erhebliche Bedeutung entfalten dürfte.

Die Kritik am Entwurf ist laut und kommt gleich von mehreren Seiten. KBV und Hausärzteverband sehen in der erweiterten Datennutzung durch Kassen einen Angriff auf die ärztliche Schweigepflicht und die Arzt-Patienten-Beziehung. „Krankenkassen dürfen keine Überwachungsrolle über den Lebensstil ihrer Versicherten übernehmen”, so die KBV. (~ KBV v. Mai 2026) Der Hausärzteverband warnt vor dem „nächsten Schritt in die Kassenmedizin” (~ haev v. 17.07.2026). Kritisiert werden außerdem die erwähnten Sanktionen gegen Praxen bei technischen Problemen der PVS-Hersteller sowie das geplante Monopol der Kassenkassen-Apps beim digitalen Versorgungseinstieg – auf Kosten der etablierten 116117. Ob diese Kritikpunkte zu substanziellen Nachbesserungen führen, bleibt abzuwarten. Ministerin Warken scheint in Hinblick auf ihre Digitalisierungsstrategie alleinig einem Kreis zu vertrauen, zu dem ‚der ambulante Sektor‘ nicht gehört.