KI in der Heilmittelpraxis 2026: Was Physio-, Ergo- und Logopädie-Praxen rechtlich beachten müssen

Der Zeitplan des EU AI Act ist für Heilmittelpraxen kein einheitlicher Block. Welcher Stichtag für deine Praxis relevant ist, hängt davon ab, welche Art von KI-Tool du einsetzt.

Der wichtigste Termin für das operative Team ist der 2. August 2026. Ab dann gelten die Transparenzpflichten nach Art. 50 EU AI Act: KI-Telefonassistenten müssen sich als KI zu erkennen geben, KI-generierte öffentliche Texte mit gesundheitspolitischem Bezug müssen gekennzeichnet sein. Dieser Termin ist omnibus-unabhängig und gilt so, wie er im ursprünglichen Verordnungstext steht.

Für dich als Inhaberin kommt am 2. Dezember 2026 ein zweiter Termin hinzu, der weniger die Praxis selbst als die Anbieter trifft: Die Übergangsfrist für technisches Watermarking von KI-generierten Inhalten läuft aus. Das heißt konkret, dass du bei deinem KI-Anbieter nachfragen kannst, ob und wie er diese Kennzeichnungspflicht technisch umsetzt.

Der 2. August 2028 betrifft Hochrisiko-KI, also KI-Medizinprodukte der Klasse IIa und höher. Ab dann greift das vollständige Hochrisiko-Regime des EU AI Act für diese Systeme. Für Praxen, die Ambient-Dokumentation, Spracherkennung oder KI-Terminassistenz einsetzen, ist das eine Entwarnung: Diese Tools fallen nicht in die Hochrisiko-Kategorie. Relevant wird 2028 erst, wenn KI-gestützte Diagnostiksoftware im Einsatz ist, die in klinische Entscheidungen eingreift und als Medizinprodukt Klasse IIa eingestuft ist.

Für die meisten Heilmittelpraxen bedeutet das: Ein konkreter Handlungsbedarf liegt jetzt beim 2. August 2026. Alles andere ist Beobachtungsaufgabe, keine operative Pflicht.

Patientendaten in deiner Heilmittelpraxis fallen unter Art. 9 DSGVO und damit unter den höchsten Schutzmaßstab, den die DSGVO kennt. Anders als bei einer normalen Adressdatenbank reicht hier kein „berechtigtes Interesse“ als Rechtsgrundlage. Du brauchst entweder eine ausdrückliche Einwilligung der betroffenen Person oder eine spezifische gesetzliche Grundlage, in der Heilmittelpraxis typischerweise Art. 9 Abs. 2 Buchst. h DSGVO in Verbindung mit §22 BDSG (Gesundheitsversorgung).

Im KI-Kontext heißt das: Jede Eingabe in ein KI-Tool, die einen Patienten identifizierbar macht, ist eine Verarbeitung von Gesundheitsdaten im Sinne von Art. 9. Das gilt auch dann, wenn der Name nicht ausgeschrieben wird. Diagnose, Geburtsjahr und Postleitzahl zusammen können eine Person identifizierbar machen. Je kleiner die Patientenkohorte und je spezifischer die Diagnose, desto schneller. Der vermeintlich „anonymisierte“ Eintrag „45-jährige Patientin mit Aphasie nach Mediainfarkt“ ist in einer mittelgroßen Stadt unter Umständen eindeutig.

Das Tool muss von Anfang an so eingesetzt werden, dass die Verarbeitung rechtlich gedeckt ist. Das schließt aus, dass mal eben ChatGPT für eine Berichtsformulierung mit echten Patientendaten gefüttert wird, ohne dass Einwilligung und Vertragsgrundlage geklärt sind und der Anbieter geprüft wurde.

Sobald ein externer Anbieter Patientendaten in deinem Auftrag verarbeitet, brauchst du einen Auftragsverarbeitungsvertrag (AVV) nach Art. 28 DSGVO. Bei Cloud-KI ist das fast immer der Fall, weil die Daten den Anbieter-Server erreichen und dort verarbeitet werden. Der AVV regelt, dass der Anbieter nur auf deine Weisung handelt, welche Sicherheitsmaßnahmen er einsetzt, wie Daten am Ende der Zusammenarbeit gelöscht werden und welche Unterauftragnehmer er einbinden darf.

Seriöse Anbieter liefern fertige AVV-Vorlagen mit. Was du selbst prüfen musst: Welche Unterauftragnehmer im Vertrag stehen (sitzen die in der EU?), welche Sicherheitsmaßnahmen konkret zugesagt werden (Verschlüsselung wo, Zugriffsbeschränkungen wie, Audit-Möglichkeiten), und ob Trainingsnutzung deiner Eingaben ausgeschlossen ist.

Bei systematischem KI-Einsatz mit Gesundheitsdaten kommt eine Datenschutz-Folgenabschätzung (DSFA) nach Art. 35 DSGVO hinzu. Das ist eine strukturierte Risikobewertung, die du dokumentieren musst, bevor das Tool produktiv läuft.

Der AVV regelt das Verhältnis zum Anbieter. Was er nicht regelt, ist die strafrechtliche Schweigepflicht in der Heilmittelpraxis.

§203 StGB stellt das Berufsgeheimnis der Heilmittelberufe unter Strafe. Patientendaten dürfen grundsätzlich nicht an Dritte gelangen, und das gilt im KI-Einsatz weiter, weil cloudbasierte Tools die Daten technisch an einen Dritten übermitteln, auch wenn der Anbieter einen AVV unterschrieben hat. Strafrechtlich ist „Dritter“ jeder, der nicht selbst Träger der Schweigepflicht und auch nicht Teil des engeren Praxisbetriebs ist. Damit ist ein Cloud-Anbieter strafrechtlich gesehen ein Dritter.

Wer trotzdem Patientendaten an Dritte gelangen lässt, ohne dass eine Rechtfertigung greift, erfüllt den Tatbestand. Die Strafdrohung reicht bis zu einem Jahr Freiheitsstrafe oder Geldstrafe, in besonders schweren Fällen bis zu zwei Jahren. Hinzu kommen mögliche berufsrechtliche Konsequenzen über die zuständige Aufsichtsbehörde.

Rechtfertigungsgrundlagen gibt es im Wesentlichen zwei: die ausdrückliche Einwilligung der betroffenen Person und die gesetzliche Erlaubnis. Die wichtigste gesetzliche Erlaubnis im KI-Kontext steht in §203 Abs. 3 StGB.

§203 Abs. 3 erlaubt die Einbindung sonstiger mitwirkender Personen unter engen Bedingungen. Erforderlich sind eine nachweisbare Verpflichtung des Anbieters und seiner Mitarbeitenden zur Verschwiegenheit, in der Praxis regelmäßig in Schriftform, die sachliche Erforderlichkeit der Einbindung, und eine sorgfältige, dokumentierte Auswahl des Anbieters. Wer einen Cloud-KI-Anbieter einsetzt, ohne dass diese drei Punkte sauber stehen, hat keine Rechtfertigung nach Abs. 3.

AVV nach Art. 28 DSGVO und Verpflichtungserklärung nach §203 Abs. 4 StGB sind zwei verschiedene Dokumente, die zwei verschiedene Rechtsebenen abdecken. Manche Anbieter führen beides zusammen, manche nur eines. Wer hier nur den AVV bekommt und keine §203-Verpflichtung, hat datenschutzrechtlich vielleicht alles, strafrechtlich aber eine Lücke.

Art. 30 DSGVO verpflichtet Verantwortliche, ein Verzeichnis ihrer Verarbeitungstätigkeiten zu führen. Die KMU-Ausnahme in Art. 30 Abs. 5 DSGVO greift für Heilmittelpraxen nicht: Sobald regelmäßig Gesundheitsdaten verarbeitet werden, gilt die Pflicht unabhängig von der Praxisgröße.

Sobald ein KI-Tool Patientendaten verarbeitet, ist es eine eigene Verarbeitungstätigkeit. Drei Stellen, an denen das Verzeichnis lückenhaft wird:

Die erste: Das KI-Tool taucht im Verzeichnis gar nicht auf. Die Praxisverwaltungssoftware ist eingetragen, das KI-Tool fehlt.

Die zweite: Die Trainingsnutzung der Eingaben ist nicht als Zweck erfasst. Es gibt Anbieter, die sich vorbehalten, Eingaben für Modelltraining zu nutzen, und solche, die das vertraglich ausschließen.

Die dritte: Der Drittlandtransfer fehlt. Sobald der KI-Anbieter Unterauftragnehmer außerhalb der EU einbindet, ist das ein Drittlandtransfer im Sinne der DSGVO.

Art. 4 EU AI Act verlangt von Betreiberinnen, dass ihr Personal mit KI-Tools angemessen umgehen kann. Ein formales Zertifikat schreibt der AI Act nicht vor. Im Streitfall solltest du aber zeigen können, dass du dich um diese Kompetenz gekümmert hast.

Drei Formen davon funktionieren in einer Heilmittelpraxis ohne großen Aufwand: Schulungsnotizen mit Datum, eine interne Handhabungsregel für das Tool (ein bis zwei Seiten), und Team-Briefings als Vermerk bei Tool-Updates oder neuen Funktionen.

Art. 49 und 71 EU AI Act schaffen ein EU-weites Register für Hochrisiko-KI-Systeme. Die Einträge dort sind Aufgabe der Anbieter, nicht der Betreiberinnen. Eine Heilmittelpraxis, die ein KI-Tool nutzt, muss sich nicht in dieses Register eintragen. Wer behauptet, dass Praxen sich „bei der EU melden“ müssten, verwechselt Anbieter- und Betreiberpflichten.

Du brauchst kein Compliance-Archiv und meldest dich nirgendwo zentral an. Was du brauchst, ist eine schlanke Datei, in die das KI-Tool als eigene Position eingepflegt ist und in der die Schulungs- und Handhabungsspuren mitlaufen.

§630a verpflichtet dich auf den fachlichen Standard deiner Berufsgruppe. Das gilt auch dann, wenn der Text aus einem KI-Tool kommt. Der Behandlungsvertrag interessiert sich für die Aussage, die in der Patientenakte landet.

Wenn ein Schaden eingetreten ist, kommt §630h ins Spiel. Zwei Absätze sind im KI-Kontext besonders wichtig.

§630h Abs. 3 trifft, wer schlecht dokumentiert. Wenn eine medizinisch gebotene wesentliche Maßnahme nicht aus der Patientenakte hervorgeht, wird vermutet, dass sie nicht erfolgt ist. Eine knappe Spur in der Akte, die zeigt, dass du den Entwurf geprüft und gegebenenfalls korrigiert hast, ist das Mittel, das im Beweislast-Fall trägt.

§630h Abs. 5 ist die scharfe Variante. Bei einem groben Behandlungsfehler kehrt sich die Beweislast für die Kausalität um. Ein KI-Entwurf, der einen offensichtlichen Fachstandard-Verstoß enthält und ungeprüft übernommen wird, kann unter Umständen als grober Behandlungsfehler gewertet werden, wenn der Verstoß bei normaler Prüfung offensichtlich gewesen wäre.

Wie sich das konkret übersetzt, zeigt für jede Berufsgruppe ein Szenario.

Physiotherapie. Der KI-Entwurf für den Verlaufsbericht übernimmt eine Reaktionsbeschreibung aus der vorherigen Behandlungseinheit, die für den aktuellen Termin nicht zutrifft. Der Entwurf geht ungeprüft in die Patientenakte. Dokumentiert ist damit eine Reaktion, die an diesem Termin nicht beobachtet wurde.

Was passiert haftungsrechtlich? §630h Abs. 3 greift: Was nicht in der Akte steht, gilt als nicht geschehen, und was falsch in der Akte steht, ist im Streitfall das, was zählt. Dass die KI den Entwurf geliefert hat, ist kein Argument. Die Freigabe ohne Prüfung liegt bei dir.

Ergotherapie. Ein KI-Befundtext kategorisiert eine Beobachtung nach ICF, wählt aber die falsche Kategorie. Der Text wird in den Bericht an die verordnende Ärztin übernommen. Bleibt der Fehler ohne fachliche Folgen, ist es ein Dokumentationsmangel. Stützt sich aber eine Folgeentscheidung auf die falsche Kategorisierung, wird daraus ein Behandlungsmangel mit Beweislastfolgen.

Logopädie. Das Modell schreibt einen Verlaufsbericht für ein Kind mit einer Sprachentwicklungsstörung und überzeichnet die Fortschritte im Wortschatz, die so nicht stattgefunden haben. Geht der Bericht ungeprüft an die verordnende Ärztin und stützt sich die Entscheidung über die Heilmittelfortsetzung darauf, ist eine falsche fachliche Aussage in fremder Hand.

Für alle drei Berufsgruppen liegt der haftungsrechtliche Unterschied zwischen einem Entwurf, der geprüft und vermerkt wurde, und einem, der es nicht wurde. Den Vermerk zu setzen ist eine Minute. Im Streitfall ist es der Unterschied zwischen einer Akte, in der die Prüfung erkennbar ist, und einer, in der sie es nicht ist.

Zwei peer-reviewte Studien zeigen, dass KI-gestützte Dokumentation den Zeitaufwand reduziert: eine Meta-Analyse im BMC Medical Informatics mit einem standardisierten Mittelwertunterschied von -0,72 über 14 gepoolte Studien, und die PYSA-Studie der Charité mit einer adjustierten Reduktion von 28 Prozent in der stationären Langzeitpflege. Direkte Studien aus Heilmittelpraxen stehen noch aus. Was die Studien nicht messen: ob der KI-Entwurf die vertraglichen Inhaltsanforderungen der jeweiligen Berufsgruppe erfüllt.

Alle drei Berufsgruppen haben einen gemeinsamen Mindestkonsens für die Verlaufsdokumentation: erbrachte Leistung, therapeutische Reaktion oder Wirkung, gegebenenfalls Besonderheiten. Die konkrete Inhaltslogik unterscheidet sich von Berufsgruppe zu Berufsgruppe.

Bei der Blanko-Verordnung (Ergotherapie seit April 2024, Physiotherapie seit November 2024) verschiebt sich die Doku-Last zusätzlich. Die Verlaufsdokumentation muss auch die therapeutische Begründung der Versorgungsentscheidung tragen, nicht nur die Behandlungsbeschreibung.

Für alle drei Berufsgruppen gilt dasselbe Grundprinzip: KI-gestützte Dokumentation muss nicht nur sprachlich korrekt sein, sondern die berufsgruppenspezifische Inhaltslogik des jeweiligen §125-Vertrags abbilden.