Einsatz von Künstlicher Intelligenz

Nein. Die den Ärzt*innen vorbehaltenen Tätigkeiten nach § 2 Abs 2 ÄrzteG 1998, darunter die Untersuchung auf das Vorliegen von Krankheiten, die Beurteilung des Zustands sowie die Behandlung, dürfen nur von berufsberechtigten Ärzt*innen ausgeübt werden. Ein KI-System kann keine ärztliche Tätigkeit „ausüben“, es kann Sie dabei nur unterstützen. Jede Diagnose, jede Therapieentscheidung und jede Aufklärung bleibt Ihre höchstpersönliche Leistung, unabhängig davon, wie performant das System zu sein scheint.

KI-Systeme, die für diagnostische oder therapeutische Zwecke bestimmt sind (etwa KI-gestützte Bildanalyse in Radiologie oder Dermatologie, EKG-Auswertung, Entscheidungsunterstützung), werden in aller Regel als Medizinprodukt eingeführt und müssen nach der Medizinprodukteverordnung (MPVO) CE-zertifiziert sein. Verwenden Sie für solche Zwecke ausschließlich eine als Medizinprodukt zugelassene Software und halten Sie sich an deren Zweckbestimmung und Gebrauchsanweisung. Allgemeine Chatbots wie ChatGPT sind zum aktuellen Stand keine Medizinprodukte und sollten nicht ohne rechtliche Abklärung als Diagnoseinstrument im Behandlungskontext eingesetzt werden. Bedenken Sie dabei auch datenschutzrechtliche Verpflichtungen, sofern Sie Patient*innendaten in das System einspeisen.

§ 49 Abs 2 ÄrzteG 1998 verpflichtet zur persönlichen und unmittelbaren Berufsausübung; seit der Novelle BGBl. I Nr. 191/2023 ist ausdrücklich klargestellt, dass der Beruf auch „durch Anwendung von Telemedizin“ ausgeübt werden darf. Der Einsatz technischer Hilfsmittel – unabhängig davon, ob Labor-Analysegerät, Bildgebung oder KI-Software – war dem Berufsrecht nie fremd und berührt die Unmittelbarkeit nicht, solange die ärztliche Wahrnehmung, Bewertung und Entscheidung bei Ihnen verbleiben.

Nein, und das ist ein wichtiger Unterschied. Die Delegationsregeln des Ärztegesetzes (insbesondere § 49 Abs 3 ÄrzteG 1998: Übertragung einzelner ärztlicher Tätigkeiten nach genauer Anordnung und unter Aufsicht) betreffen Menschen.

Es gibt keine „Delegation an die KI“, die Ihre Verantwortung mindern würde. Was die KI erledigt, gilt rechtlich als Ihr eigenes Handeln mit einem Hilfsmittel; das Kontroll- und Sorgfaltsniveau richtet sich danach, was bei eigenem Handeln geboten wäre. Insbesondere in Haftungsfragen wird Ihnen das Handeln von KI zugerechnet.

Die Behandlung nach Maßgabe der ärztlichen Wissenschaft und Erfahrung (§ 49 Abs 1 ÄrzteG 1998), konkretisiert durch den jeweiligen Fachärzt*innenstandard. Die ungeprüfte Übernahme eines fehlerhaften Vorschlags kann einen Behandlungsfehler nach sich ziehen (Übernahmeverschulden).

Die Aufklärungspflicht folgt den allgemeinen Grundsätzen des Behandlungsvertrags: Aufzuklären ist über Umstände, die für die Einwilligung eines verständigen Patienten erheblich sind. Stützt sich eine Diagnose auf ein KI-System, wird ein KI-gestütztes Verfahren als Behandlungsalternative relevant, ist zu informieren. Im Zweifel ist offen zu kommunizieren.

§ 51 ÄrzteG 1998 verpflichtet Sie, Aufzeichnungen über jede zur Beratung oder Behandlung übernommene Person zu führen, insbesondere über den Zustand bei Übernahme, die Vorgeschichte, Diagnose, Krankheitsverlauf sowie Art und Umfang der beratenden, diagnostischen und therapeutischen Leistungen.

Diese Pflicht trifft Sie persönlich. Eine KI-gestützte Dokumentationssoftware ist berufsrechtlich zulässig, wenn Sie jeden Eintrag vor Übernahme prüfen und freigeben. Dabei ist zu beachten, dass Transkriptions- und Zusammenfassungsfehler Teil der Dokumentation werden, auf die sich spätere Behandler*innen verlassen. Die Verantwortung für das Ergebnis verbleibt bei Ihnen.

Die Eingabe in frei zugängliche Versionen von Chatbots, ist mit der Verschwiegenheitspflicht und der DSGVO regelmäßig nicht vereinbar. § 54 Abs 1 ÄrzteG 1998 verpflichtet Sie zur Verschwiegenheit über alle Ihnen in Ausübung des Berufes anvertrauten oder bekannt gewordenen Geheimnisse; die Verletzung ist zudem gerichtlich strafbar (§ 121 StGB) und ein Disziplinarvergehen.

Die Eingabe kann zulässig sein, wenn entweder gar keine identifizierbaren Patient*innendaten eingegeben werden oder das KI-System als weisungsgebundener Dienstleister mit Auftragsverarbeitervertrag, Trainingsausschluss und angemessenen Sicherheitsgarantien in Ihre Sphäre eingebunden ist, vergleichbar Ihrer Arztsoftware. Bedenken Sie, dass die Eingabe von personenbezogenen Patient*innendaten überdies nur zulässig ist, wenn sie auf einer Rechtsgrundlage nach der DSGVO beruht.

Nicht automatisch.

Personenbezug liegt schon vor, wenn eine Person identifizierbar ist. Eine seltene Diagnose kombiniert mit Alter, Beruf und Wohnort kann genügen.

Nur begrenzt.

Die Entbindung von der Verschwiegenheit durch die*den Patient*in ist zwar grundsätzlich möglich (§ 54 Abs 2 Z 3 ÄrzteG 1998). Sie trägt aber nicht jede Datenweitergabe: Die Datenschutzbehörde hat bereits die Einwilligung in unverschlüsselten Befundversand als rechtsunwirksam beurteilt; für die Eingabe von Gesundheitsdaten in unsichere KI-Dienste gilt derselbe Gedanke.

Beim Einsatz neuer Technologien zur umfangreichen Verarbeitung von Gesundheitsdaten ist eine Datenschutz-Folgenabschätzung nach Art 35 DSGVO regelmäßig geboten. Für die Einzelordination gelten die bekannten Ausnahmen der Ausnahmeverordnung (BGBl. II Nr. 108/2018) allerdings nur für die klassische Patient*innenverwaltung und Honorarabrechnung.

Wenn Sie ein KI-System einführen, das systematisch Gesundheitsdaten verarbeitet (etwa eine KIgestützte Dokumentations- oder Befundungssoftware), empfiehlt sich eine Datenschutz-Folgenabschätzung auch in der Einzelordination. Meist liefert der Hersteller dafür Vorlagen und die nötigen technischen Informationen.

In der typischen Ordinationskonfiguration nein. Art 22 DSGVO verbietet Entscheidungen mit rechtlicher oder ähnlich erheblicher Wirkung, die ausschließlich auf automatisierter Verarbeitung beruhen. KI-gestützte Befundentwürfe, Terminvorschläge oder Zuweisungsvorschläge fallen nicht darunter, solange ein substanzielles menschliches Eingreifen erfolgt: Die fachlich zuständige Person prüft den Vorschlag inhaltlich, kann davon abweichen und hat dafür realistisch Zeit. Eine bloße Pro-forma-Freigabe, etwa das reflexhafte Wegklicken einer Bestätigung, genügt nach der Rechtsprechung nicht, um Art 22 DSGVO auszuschließen. Kritisch sind daher überspringbare Bestätigungen, zeitgesteuerte automatische Ausführung und bewertende Funktionen ohne echten Prüfschritt.

Immer dann, wenn Gesundheitsdaten elektronisch übermittelt werden.

Das GTelG 2012 gilt für alle Formen der elektronischen Übermittlung von Gesundheitsdaten und genetischen Daten durch Gesundheitsdiensteanbieter*innen, und als niedergelassene/r Arzt/Ärztin sind Sie Gesundheitsdiensteanbieter/in. Sobald ein KI-Werkzeug Gesundheitsdaten aus der Ordination hinausbewegt, etwa an einen Cloud-Dienst zur Transkription, an eine/n andere/n Gesundheitsdiensteanbieter/in oder an Patient*innen, sind die Telematik-Anforderungen einzuhalten. Rein lokal laufende KI (auf dem Ordinationsserver, ohne Datenabfluss) löst diese Übermittlungspflichten nicht aus.

Ja, unter den allgemeinen werberechtlichen Grenzen.

§ 53 ÄrzteG 1998 untersagt im Zusammenhang mit der Berufsausübung jede unsachliche, unwahre oder das Standesansehen beeinträchtigende Information; Näheres regelt die Verordnung der ÖÄK „Arzt und Öffentlichkeit“. Diese Maßstäbe gelten unabhängig davon, wer den Text geschrieben hat.

Gerade KI-generierte Inhalte brauchen deshalb Ihre Prüfung: Sprachmodelle neigen zu Superlativen („modernste Methoden“, „schmerzfrei garantiert“) und erfinden mitunter Fakten, Studien oder Erfolgsquoten. Beides kann Sie standesrechtlich treffen. Bei KI-Generierten-Bildern sind etwa Darstellungen, die reale Behandlungserfolge oder echte Patient*innen vortäuschen problembehaftet.

Bilder, Audio- und Videoinhalte müssen dann als KI-generiert oder KI-modifiziert gekennzeichnet werden, wenn sie fälschlicherweise für echt gehalten werden könnten.

Dies betrifft synthetische Inhalte, die Personen, Gegenstände, Einrichtungen und Ereignisse täuschend echt wiedergeben. Erfasst wären beispielsweise Darstellungen von KI-generierten Patient*innen. Erstellen Sie hingegen Bilder oder Videos, die offensichtlich nicht real sind (z.B. Inhalte im Comicstil oder phantastische Wesen), treffen Sie keine Kennzeichnungspflichten. KIgenerierte Texte sind nur dann zu kennzeichnen, wenn sie Informationen von öffentlichem Interesse enthalten, öffentlich verbreitet werden und keine redaktionelle Kontrolle erfolgt. Darunter fallen etwa KI-generierte Informationsmeldungen über Krankheitsausbrüche auf

sozialen Netzwerken, die ungeprüft veröffentlicht werden. Zur Orientierung hat die Europäische Kommission am 10. Juni 2026 einen freiwilligen Verhaltenskodex zur Transparenz KI-generierter

Inhalte samt einheitlicher EU-Symbole („AI GENERATED“ für vollständig KI-erzeugte, „AI MODIFIED“ für KI-überarbeitete Inhalte) veröffentlicht.

Für Dokumente an Patient*innen gilt unabhängig von einer Rechtspflicht die Empfehlung, offen zu kommunizieren, wenn ein Schriftstück maschinell entworfen wurde und von Ihnen geprüft ist.

Nur sehr eingeschränkt.

Allgemeine Serviceauskünfte (Öffnungszeiten, Leistungsspektrum, Terminvereinbarung) sind zulässig, sofern der Chatbot als solcher erkennbar ist und Aspekte der Verschwiegenheit gewahrt sind. Individuelle Beratung im Einzelfall, also die Bewertung geschilderter Symptome, Diagnose- oder Therapieaussagen, gehört in die ärztliche Konsultation und nicht in einen Chatbot. Folgen wären unter anderem ein Konflikt mit dem Tätigkeitsvorbehalt, eine Haftung für Falschauskünfte und der Vorwurf unsachlicher Werbung.

Berufspflichtverletzungen und Verhalten, das geeignet ist, das Ansehen der Ärzteschaft zu beeinträchtigen, sind Disziplinarvergehen (§ 136 ÄrzteG 1998) und können vom schriftlichen Verweis über Geldstrafen bis zur befristeten Untersagung der Berufsausübung führen.

KI-typische Risikofelder sind die Preisgabe von Patient*innen geheimnissen an ungeeignete Tools, die ungeprüfte Übernahme fehlerhafter KI-Ergebnisse in Diagnose oder Dokumentation und unsachliche KI-generierte Werbung. Daneben stehen die zivilrechtliche Haftung aus dem Behandlungsvertrag, verwaltungsstrafrechtliche Folgen (DSGVO, GTelG, KI-VO) und im Fall der Geheimnisverletzung die gerichtliche Strafbarkeit nach § 121 StGB. Der wirksamste Schutz ist unspektakulär: geprüfte Werkzeuge, klare Weisungen, konsequente Kontrolle der Ausgaben (Vorhersagen, Inhalte, Empfehlungen oder Entscheidungen).

Die KI-VO verfolgt einen risikobasierten Ansatz. Je riskanter ein KI-System für Gesundheit, Sicherheit oder Grundrechte ist, desto strenger die Anforderungen.

Die Verordnung kennt vier Stufen: verbotene Praktiken (Art 5), Hochrisiko-KI-Systeme (Art 6 iVm den Anhängen I und III), KI-Systeme mit besonderen Transparenzpflichten (Art 50) und KISysteme mit ohne besonderes Risiko, für die keine besonderen Pflichten gelten, außer der Unterstützung seines Personals zum Aufbau von KI-Kompetenz. Daneben gibt es eigene Regeln für KI-Modelle mit allgemeinem Verwendungszweck, also für die Basismodelle hinter Diensten wie ChatGPT; diese Regeln richten sich an die Modellhersteller, nicht an die Ordination.

Die KI-VO (Künstliche-Intelligenz-Verordnung oder EU AI Act) der EU regelt den sicheren und rechtskonformen Umgang mit Künstlicher Intelligenz. Sie lässt das nationale Berufsrecht unberührt. Ärztegesetz, Gesundheitstelematikgesetz und Standesrecht gelten unverändert weiter. Ebenso weiterhin anwendbar bleiben die Anforderungen der DSGVO. Für Sie heißt das: Ein KIWerkzeug kann nach der KI-VO völlig unbedenklich sein und trotzdem gegen Ihre Berufspflichten verstoßen, etwa gegen die Verschwiegenheitspflicht oder die Vorgaben für die elektronische Befundübermittlung.

Alle drei gelten nebeneinander. Die KI-VO regelt das Produkt und seinen Einsatz, die DSGVO die Verarbeitung personenbezogener Daten, das Ärztegesetz die Berufspflichten.

Ein KI-Einsatz kann daher nach der KI-VO zulässig und trotzdem datenschutzwidrig sein, oder umgekehrt. In der Praxis bedeutet das: Für jedes KI-Werkzeug sind beide Ebenen zu prüfen. Die strengste Vorschrift setzt sich durch.

Wesentliche Pflichten der KI-VO treffen Hersteller (in der Sprache der Verordnung: „Anbieter“) von KI-Systemen.

Als niedergelassene*r Ärzt*in sind Sie in aller Regel Betreiber/in. Ihre Kernpflichten variieren je nach Risikoeinstufung des Systems und können umfassen: KI-Kompetenz im Team sicherstellen, die Systeme entsprechend der Gebrauchsanweisung des Herstellers verwenden, menschliche Aufsicht gewährleisten, Transparenz gegenüber Patient*innen wahren und beim Umgang mit Patient*innendaten die DSGVO und die Verschwiegenheitspflicht einhalten.

Der Begriff ist in Art 3 Z 1 KI-VO weit definiert: ein maschinengestütztes System, das aus

Eingaben ableitet, wie es Ausgaben wie Vorhersagen, Inhalte, Empfehlungen oder Entscheidungen erzeugt, und das dabei mit unterschiedlichem Grad an Autonomie operiert und lernfähig sein kann. Darunter fallen etwa Sprachmodelle, Diktier- und Transkriptionssoftware mit Spracherkennung, KI-gestützte Befundungssoftware in der Radiologie ebenso wie Chatbots zur Terminvereinbarung.

Dies hängt von Ihrer Rolle und der Risikostufe des Systems ab.

In der Regel fungieren niedergelassene Gesundheitsdienstleister als Betreiber iSd Art 3 Z 4 KIVO, wenn sie ein externes KI-System zukaufen und unverändert einsetzen.

Manche KI-Systeme sind generell verboten (z.B. Systeme, die Schutzbedürftigkeit wie

Minderjährigkeit oder psychische Erkrankungen ausnutzen). Umfangreiche Pflichten gelten insbesondere für Hochrisiko-KI-Systeme. Dazu zählen im medizinischen Kontext Systeme, die über den Zugang zu Gesundheitsdiensten oder die Reihung von Notfällen bzw Patient*innentriage entscheiden, zur Emotionserkennung eingesetzt werden (z.B. in der Psychotherapie) oder Medizinprodukte der Klasse IIa oder höher nach der MPVO darstellen. Im letzteren Fall genügt bei Software bereits, dass sie Informationen für diagnostische oder therapeutische Entscheidungen liefert (Regel 11 Anhang VIII MPVO). Betreiber solcher Systeme treffen die Pflichten nach Art 26 KI-VO (zB vorschriftsmäßige Verwendung, menschliche Aufsicht, vorab Informationen an Betroffene). Gegebenenfalls sind zudem eine Grundrechte-Folgenabschätzung nach Art 27 KIVO und das Recht auf Erläuterung nach Art 86 KI-VO relevant. Anbieter müssen die Anforderungen nach den Art 8 bis 15 sicherstellen (Risikomanagement, Datenqualität,

Cybersicherheit) sowie Art 16 KI-VO (Qualitätsmanagement, Konformitätsbewertung) erfüllen. Bei Chatbots, die mit Patient*innen interagieren, ist die Interaktion auszuweisen. KI-genierte Inhalte können Kennzeichnungspflichten unterliegen .

Greift keine dieser Risikostufen, hat der Betreiber lediglich die KI-Kompetenz seines Personals zu fördern.

Nach Art 4 KI-VO müssen Betreiber ihr Personal, das mit KI-Systemen arbeitet, beim Aufbau von KI-Kompetenz unterstützen. Das gilt seit 2. Februar 2025. Verlangt wird kein Zertifikat und keine bestimmte Kursform, sondern Kenntnisse, die zum konkreten Einsatz passen: Was kann das verwendete System, wo liegen seine Grenzen, welche Fehler sind typisch (Stichwort „Halluzinationen“ bei Sprachmodellen), und welche Daten dürfen eingegeben werden?

• Eine interne Schulung oder Teambesprechung zu den konkret genutzten Werkzeugen, mit kurzer schriftlicher Dokumentation (wer, wann, welche Inhalte).
• Eine schriftliche Weisung, welche KI-Werkzeuge im Ordinationsbetrieb verwendet werden dürfen und welche Daten dabei tabu sind.
• Wiederholung bei neuen Werkzeugen und neuen Mitarbeiter*innen.

Fortbildungsangebote zu KI bieten unter anderem die Ärztekammern und die KI-Servicestelle der RTR an. Als Orientierungsrahmen empfiehlt sich zusätzlich das laufend aktualisierte „Living Repository“ der Europäischen Kommission mit Beispielen guter KI-Kompetenz-Praktiken; ein bestimmtes Kompetenzniveau muss nicht garantiert werden, wohl aber ein zum Einsatz passendes Schulungsangebot. Die Dokumentation der Schulung ist auch deshalb sinnvoll, weil Sie damit im Fall des Betriebs eines Hochrisiko-KI-Systems Erfüllung der Pflicht zur Übertragung der menschlichen Aufsicht an eine kompetente Person nachweisen können.

Hier kommt auf die einzelne Funktion des Systems an.

Nach den Leitlinien der Kommission und der Rechtsprechung des EuGH ist modular zu prüfen: Eine Praxissoftware, die Termine verwaltet und abrechnet, ist kein Medizinprodukt. Einzelne Module derselben Software, die medizinischen Zwecken dienen (Diagnostik und Befunderstellung)), können aber sehr wohl als eigenständige Medizinprodukte einzustufen sein. Maßgeblich ist die Zweckbestimmung des Herstellers, wobei ein bloßer Hinweis „Dies ist kein Medizinprodukt“ nicht als Freibrief genügt. Die Schwelle ist niedrig: Nach der Klassifizierungsregel für Software (Regel 11 Anhang VIII MPVO) reicht es bereits, dass die Softwareinformationen liefert, die für diagnostische oder therapeutische Entscheidungen herangezogen werden; dann liegt mindestens Klasse IIa vor, mit Konformitätsbewertung durch eine benannte Stelle, und das Modul ist zugleich Hochrisiko-KI nach Art 6 Abs 1 KI-VO. Die Ausnahme für bloß unterstützende Aufgaben (Art 6 Abs 3 KI-VO) gilt hier nicht, sie betrifft nur die Anhang-III-Fälle.

Der Einsatzzweck des KI-Systems sollte daher mit Ihrem Softwareanbieter schriftlich (vertraglich) festgelegt werden, damit klar ist, wofür das System bestimmt ist und wofür nicht. Zweitens sollte ein System ohne Medizinprodukt-Zulassung so eingesetzt werden, dass es Daten nur strukturiert und dokumentiert, aber keine individualisierten medizinischen Ableitungen erzeugt (also keine Befund- oder Therapievorschläge für konkrete Patient*innen).

Vorsicht: KI-Systeme zur Auswahl von Bewerber*innen, zur Schaltung von Stellenanzeigen, zur Bewertung von Mitarbeiter*innen oder zum Teil zur automatisierten Aufgabenzuteilung gehören zu den Hochrisiko-Anwendungen nach Anhang III der KI-VO. Die entsprechenden Betreiberpflichten werden ab 2. Dezember 2027 anwendbar, unter anderem sind betroffene Arbeitnehmer*innen und ihre Vertretungen sowie von Entscheidungen Betroffene vorab über den KI-Einsatz zu informieren.

Bei Systemen, die eine Zustimmung voraussetzen, können Patient*innen diese verweigern; dann ist herkömmlich zu dokumentieren. Ein allgemeiner Anspruch darauf, dass Sie intern keine Hilfsmittel verwenden, besteht nicht. Nehmen Sie Bedenken trotzdem ernst und erklären Sie, wie das Werkzeug arbeitet und dass die Entscheidung bei Ihnen bleibt.

Für Sie als Betreiber*in heißt es: Kein KI-Ergebnis geht ungeprüft an Patient*innen oder in die Dokumentation. Lesen Sie Transkripte gegen, prüfen Sie Befundvorschläge am eigenen fachlichen Urteil, behandeln Sie KI-Ausgaben als Entwurf. Bei als Medizinprodukt zugelassener Software beachten Sie zusätzlich die Vorgaben der Gebrauchsanweisung zur Überwachung des Systems.

Bevor Sie ein neues KI-Werkzeug in der Ordination einsetzen, gehen Sie nachstehende Punkte durch:

• Zweck: Wofür soll das Werkzeug eingesetzt werden? Werden dabei Patient*innendaten verarbeitet?
• Produktstatus: Handelt es sich um ein Medizinprodukt? Wenn ja: CE-Kennzeichnung und Zweckbestimmung prüfen.
• Anbieter: Auftragsverarbeitervertrag vorhanden? Serverstandort und Trainingsausschluss schriftlich bestätigt?
• Datenschutz: Wurde das Verzeichnis der Verarbeitungstätigkeiten ergänzt? Ist eine Datenschutz-Folgenabschätzung erforderlich? Ist die Datenschutzerklärung der Website aktuell?
• Transparenz: Interagieren Patient*innen direkt mit dem System? Wenn ja: Hinweis vorgesehen?
• Team: Sind die Mitarbeiter*innen geschult und schriftlich angewiesen, welche Eingaben zulässig?
• Kontrolle: Ist sichergestellt, dass jede KI-Ausgabe vor Verwendung fachlich geprüft wird?