KI in der Praxis: Was die KI-Verordnung von Ihnen verlangt — und was das Berufsrecht davon unberührt lässt

Seit die KI-Verordnung in Kraft ist, bekommt der Berufsstand zwei Sorten Auskunft: Entweder ändere sich nichts, oder es ändere sich alles. Beides ist falsch, und beides lässt sich in wenigen Minuten sortieren — wenn man mit der richtigen Frage anfängt.

Die richtige Frage lautet nicht „Ist KI erlaubt?". Sie lautet: Welche Rolle habe ich?

Sie sind Betreiber, nicht Anbieter

Für eine Praxis sind zunächst zwei Rollen entscheidend — die Verordnung kennt daneben weitere, etwa Bevollmächtigte, Einführer und Händler. Anbieter ist, wer ein KI-System entwickelt oder entwickeln lässt und es unter eigenem Namen oder eigener Marke in Verkehr bringt oder in Betrieb nimmt. Betreiber ist, wer es unter eigener Verantwortung verwendet. Eine Praxis, die eine Software einsetzt, ist Betreiber (Art. 3 Nr. 3 und Nr. 4). Die Definition nimmt ausdrücklich nur die persönliche, nicht berufliche Nutzung aus — für eine Praxis greift diese Ausnahme also gerade nicht.

Diese Unterscheidung trägt fast den gesamten Rest. Der schwere Apparat der Verordnung — Risikomanagementsystem, Datenqualität, technische Dokumentation, Konformitätsbewertung, CE-Kennzeichnung, Registrierung in einer EU-Datenbank — richtet sich an den Anbieter. Wer diese Kataloge liest und sich fragt, wie eine Praxis mit drei Behandlungsräumen das leisten soll, liest die Pflichten eines anderen.

Das gilt allerdings nicht ausnahmslos: Auch Betreiber von Hochrisiko-Systemen treffen eigene Pflichten. Für die Praxissoftware, um die es hier geht, greift das nach dem übernächsten Abschnitt in aller Regel nicht — als allgemeine Rollenbeschreibung wäre „alles beim Anbieter" aber zu einfach.

Was für Betreiber übrig bleibt, ist überschaubar. Es ist aber nicht nichts, und darauf kommt es an.

Was seit wann gilt — und was sich vor vier Wochen geändert hat

Die Verordnung gilt nicht auf einen Schlag, sondern in Stufen.

Seit dem 2. Februar 2025 gelten die ursprünglich vorgesehenen Verbote und die Pflicht zur KI-Kompetenz; für die im Juli 2026 neu eingefügten Verbote gilt eine spätere Frist — sie greifen ab dem 2. Dezember 2026. Seit dem 2. August 2025 die Regeln für Modelle mit allgemeinem Verwendungszweck sowie die Sanktionsvorschriften. Seit dem 2. August 2026 der Großteil des übrigen Textes.

Und dann kam eine Änderung, die viele Ratgeber noch nicht kennen: Am 27. Juli 2026 ist die Digital-Omnibus-Verordnung zur KI in Kraft getreten — Verordnung (EU) 2026/1744 vom 8. Juli 2026, verkündet im Amtsblatt L-Serie 2026/1744 am 24. Juli 2026. Sie verschiebt einen wesentlichen Teil der Regeln für Hochrisiko-Systeme — die Abschnitte 1 bis 3 des Kapitels III: für die Anwendungsfälle aus Anhang III auf den 2. Dezember 2027, für KI in regulierten Produkten auf den 2. August 2028.

Zwei Dinge sind daran wichtig. Erstens: verschoben, nicht abgeschafft. Zweitens, und praktisch bedeutsamer: Viele Übersichten zu diesem Thema, die vor August 2026 veröffentlicht wurden, nennen inzwischen überholte Fristen — auch sorgfältig gemachte. Wenn Sie eine Quelle prüfen, prüfen Sie zuerst ihr Datum.

Ist meine Praxissoftware ein Hochrisiko-System?

Das ist die Frage, die zuerst gestellt wird, und die Antwort lautet in aller Regel: nein. Der Weg dorthin führt über zwei getrennte Tore.

Das erste Tor ist Anhang III. Er zählt acht Bereiche auf: Biometrie, kritische Infrastruktur, Bildung und Berufsausbildung, Beschäftigung, Zugang zu wesentlichen privaten und öffentlichen Diensten, Strafverfolgung, Migration und Grenzkontrolle sowie Justiz und demokratische Prozesse.

Behandlungsdokumentation gehört zu keinem der dort aufgeführten Anwendungsfälle. Gesundheitsbezug findet sich in Anhang III durchaus — unter anderem bei der Entscheidung über bestimmte öffentliche Gesundheitsleistungen, bei Lebens- und Krankenversicherungen sowie im Bereich von Notrufen, Notfalldiensten und medizinischer Triage. Das sind andere Konstellationen als die Dokumentation einer Behandlung.

Das zweite Tor ist Artikel 6 Absatz 1. Danach ist ein System hochriskant, wenn es Sicherheitsbauteil eines Produkts ist, das unter das in Anhang I aufgeführte Harmonisierungsrecht fällt — oder selbst ein solches Produkt ist —, und wenn für dieses Produkt eine Konformitätsbewertung durch eine dritte Stelle vorgeschrieben ist.

Zwei Dinge sind daran wichtig. Die beiden Tore sind eigenständig — ein System kann über Anhang III hochriskant sein, ohne je ein Medizinprodukt zu sein, und umgekehrt. Und die Einstufung als Medizinprodukt genügt für sich noch nicht: Artikel 6 Absatz 1 verlangt zusätzlich, dass für das Produkt eine Konformitätsbewertung durch eine dritte Stelle vorgeschrieben ist. Die Änderung von 2026 hat den Begriff des Sicherheitsbauteils zudem präzisiert.

Für einen reinen Dokumentationsassistenten ohne weitere Funktionen aus Anhang III läuft es damit praktisch auf eine Vorfrage hinaus: Ist die Software ein Medizinprodukt? Für eine Praxissoftware, die daneben etwa eine Emotionserkennungsfunktion enthielte, sähe die Antwort anders aus — dazu weiter unten.

(Ergänzend kennt Artikel 6 Absatz 3 eine Rückausnahme — sie ist allerdings enger, als sie oft zitiert wird. Vorausgesetzt ist zunächst, dass das System kein erhebliches Risiko für Gesundheit, Sicherheit oder Grundrechte birgt und insbesondere das Ergebnis einer Entscheidungsfindung nicht wesentlich beeinflusst. Erst dann kommt es darauf an, ob einer der aufgezählten Fälle vorliegt: eng gefasste Verfahrensaufgabe, Verbesserung einer abgeschlossenen menschlichen Tätigkeit, Mustererkennung ohne Ersetzung der menschlichen Bewertung oder vorbereitende Aufgabe. Für ein System aus Anhang III, das Profiling natürlicher Personen durchführt, greift die Rückausnahme nicht — es gilt stets als hochriskant. Und all das wird überhaupt erst relevant, wenn ein System unter einen Anwendungsfall des Anhangs III fällt — für Dokumentationssoftware ist es deshalb meist ohne Bedeutung.)

Wann Software zum Medizinprodukt wird

Hier wird es überraschend klar, und die Klarheit liegt an einer Stelle, die technisch ungeschulte Leser oft übersehen.

Ausgangspunkt ist die Zweckbestimmung des Herstellers — also wofür die Software nach seinen Produktinformationen, Aussagen und Unterlagen bestimmt ist. Sie muss mit den tatsächlichen Funktionen des Produkts zusammenpassen; eine medizinische Funktion lässt sich nicht durch eine administrative Beschreibung wegdefinieren. Dient sie einem medizinischen Zweck im Sinne der MDR — etwa Diagnose, Prävention, Überwachung, Vorhersage, Prognose oder Behandlung von Krankheiten —, kann sie als Medizinproduktsoftware einzustufen sein, mit allem, was daran hängt.

Software dagegen, die Informationen lediglich aufzeichnet, speichert oder anzeigt, sowie Software für allgemeine oder administrative Zwecke — Terminkalender, Abrechnung, Praxisverwaltung — ist in aller Regel kein Medizinprodukt.

Daraus folgt für die Praxis eine nüchterne Zwischenbilanz — mit den nötigen Einschränkungen: Ein reiner Dokumentationsassistent, dessen Zweckbestimmung auf administrative Dokumentationsunterstützung beschränkt bleibt, der keinem medizinischen Zweck dient und der keinen Anwendungsfall des Anhangs III erfüllt, ist grundsätzlich weder Medizinprodukt noch Hochrisiko-KI-System. Die medizinischen Zwecke reichen dabei über Diagnose und Therapie hinaus — die Verordnung nennt unter anderem auch Prävention, Überwachung, Vorhersage und Prognose.

Das entlastet den Anbieter. Es entlastet nicht Sie.

Drei Dinge, die trotzdem bleiben

Vorab eine Abgrenzung: Das Datenschutzrecht läuft daneben unverändert weiter — Gesundheitsdaten sind besondere Kategorien personenbezogener Daten. Es ist nicht Gegenstand dieses Beitrags.

Erstens: KI-Kompetenz. Artikel 4 verpflichtet Anbieter und Betreiber. Und genau hier hat die Digital-Omnibus-Verordnung eingegriffen: Die ursprüngliche Fassung verlangte, „nach besten Kräften sicherzustellen", dass ein ausreichendes Maß an KI-Kompetenz besteht. Die seit dem 27. Juli 2026 geltende Fassung verlangt stattdessen, Maßnahmen zu ergreifen, um die Entwicklung von KI-Kompetenz zu unterstützen — und stellt ausdrücklich klar, dass kein bestimmtes Kompetenzniveau einer einzelnen Person garantiert werden muss.

Die Pflicht ist damit deutlich abgeschwächt: Statt nach besten Kräften ein ausreichendes Kompetenzniveau sicherzustellen, sind nun Maßnahmen zu ergreifen, die die Entwicklung von KI-Kompetenz unterstützen. Eine ausdrückliche Dokumentationspflicht enthält Artikel 4 nicht — um die ergriffenen Maßnahmen im Zweifel nachvollziehbar belegen zu können, empfiehlt es sich aber, sie festzuhalten. Nachzuweisen wären dann die Maßnahmen, nicht ein erreichtes Niveau.

Die Pflicht gilt seit dem 2. Februar 2025 und unabhängig von jeder Risikoeinstufung. Nach dem Wortlaut geht es um das eigene Personal und um andere Personen, die im Auftrag mit dem Betrieb und der Nutzung befasst sind. Für eine Praxis ist sie damit jedenfalls einschlägig, sobald Mitarbeiter oder Beauftragte mit dem System arbeiten. Ob sie auch die Einzelpraxis erfasst, in der ausschließlich der Inhaber selbst das System nutzt, lässt sich aus dem Wortlaut nicht ohne Weiteres beantworten.

Praktisch heißt das nicht Zertifikatskurs. Es heißt: Wer das System bedient, sollte wissen, was es tut, wo es zuverlässig ist und wo nicht — und dass sich nachvollziehen lässt, wie diese Kenntnis vermittelt wurde.

Zweitens: Transparenz bei bestimmten Systemarten. Artikel 50 Absatz 3 verpflichtet Betreiber von Emotionserkennungssystemen und von Systemen zur biometrischen Kategorisierung, die betroffenen Personen über den Betrieb zu informieren.

Hier lohnt eine Entwarnung, die selten ausgesprochen wird: Emotionserkennung im Sinne der Verordnung setzt biometrische Daten voraus — Emotionen oder Absichten werden auf deren Grundlage festgestellt oder abgeleitet. Eine rein inhaltliche Auswertung eines Transkripts, die nur auswertet, was gesagt wurde, ist deshalb nicht schon deswegen Emotionserkennung. Anders kann es liegen, wenn Stimmmerkmale, Sprechmelodie, Gesichtsausdruck oder andere biometrische Merkmale verarbeitet werden. Auch das genügt allerdings nicht allein: Entscheidend ist, ob solche Merkmale verarbeitet werden, um Emotionen oder Absichten festzustellen oder abzuleiten. Das ist die Trennlinie, nach der man fragen sollte.

Drittens: das Berufsrecht. Davon handelt der letzte Abschnitt, und er ist der wichtigste.

Was keine Verordnung abnimmt

Die Behandlungsdokumentation ist Ihre. Sie war es vor der KI-Verordnung, und sie ist es danach. Wer einen maschinell erzeugten Entwurf übernimmt, übernimmt ihn als eigene Dokumentation — mit derselben Verantwortung, die eine selbst getippte Notiz hätte.

Diese Verantwortung folgt nicht aus dem europäischen Recht, sondern aus der Dokumentationspflicht des Behandlungsvertrags und aus Ihrer Berufsordnung. Das Berufsrecht ist dabei landesrechtlich geprägt: Verbindlich ist die Berufsordnung Ihrer zuständigen Landespsychotherapeutenkammer — Satzungsrecht der Kammer auf Grundlage des Landesrechts. Die Muster-Berufsordnung der Bundespsychotherapeutenkammer ist kein unmittelbar geltendes Berufsrecht.

Damit lässt sich das ganze Thema auf einen Satz bringen:

Die KI-Verordnung regelt die Anforderungen an KI-Systeme und an ihren Einsatz. Das Berufsrecht regelt, wofür Sie fachlich geradestehen. Das zweite wird durch das erste nicht ersetzt.

Das ersetzt nicht die Einzelheiten — dieser Text zeigt an mehreren Stellen, wie sehr sie zählen. Es ordnet sie nur. Und die Frage, die vor jedem Werkzeugeinsatz steht, bleibt dieselbe: Kann ich verantworten, was am Ende in der Akte steht?

Fünf Fragen an den Anbieter

Aus dem Vorstehenden ergeben sich fünf Fragen, die sich in einem Verkaufsgespräch ohne Vorwissen stellen lassen. Sie sind kein Prüfkatalog, sondern der kürzeste Weg zu belastbaren Auskünften.

1. Welche Zweckbestimmung hat Ihre Software, und steht sie schriftlich? Das ist die Angabe, an der alles Weitere hängt — ein Anbieter, der sie nicht sofort nennen kann, hat sie nicht durchdacht.

2. Ist die Software als Medizinprodukt eingestuft? Falls nein: mit welcher Begründung?

3. Welche Funktionen beruhen auf KI, und wie werden ihre Ergebnisse verwendet — als Entwurf oder Empfehlung zur fachlichen Prüfung, oder als Grundlage für Entscheidungen? Damit lässt sich einschätzen, welchen Einfluss das System auf die fachliche Tätigkeit hat. Wichtig dabei: Die Bezeichnung als „Entwurf" entscheidet nicht über die regulatorische Einstufung. Auch Software, die lediglich Empfehlungen für eine menschliche Entscheidung liefert, kann Medizinproduktsoftware sein — die fachliche Prüfung durch den Behandler ist kein Freibrief.

4. Was stellen Sie zur KI-Kompetenz nach Artikel 4 bereit? Gibt es eine Einweisung, die wir dokumentieren können, und eine verständliche Beschreibung dessen, was das System kann und was nicht?

5. Werten Funktionen biometrische Merkmale aus — Stimmmerkmale, Sprechmelodie, Gesichtsausdruck —, oder ausschließlich den Inhalt des Gesprochenen? Nur im ersten Fall kommt Emotionserkennung überhaupt in Betracht — und auch dann erst, wenn diese Merkmale verarbeitet werden, um Emotionen oder Absichten festzustellen oder abzuleiten. Daran hängen dann eigene Informationspflichten.

Die dritte Frage ist die aufschlussreichste. Wie ein Anbieter sie beantwortet, sagt mehr über sein Produktverständnis aus als jede Funktionsliste.

Zum Stand dieses Textes

Dieser Beitrag gibt den Stand vom 27. August 2026 wieder. Er bietet Orientierung, keine Rechtsberatung, und er bewertet weder einen Einzelfall noch ein bestimmtes Produkt.

Ein Hinweis, der bei diesem Thema mehr wiegt als sonst: Die Rechtslage hat sich zuletzt am 27. Juli 2026 geändert, vier Wochen vor Redaktionsschluss. Wir prüfen diesen Text vierteljährlich. Wenn Sie ihn später lesen, achten Sie auf das Stand-Datum oben — bei diesem Thema ist es keine Formalie.

Hinweis in eigener Sache: Dieser Text stammt von Psymira, einem Anbieter von Dokumentationssoftware für psychotherapeutische Praxen. Er stuft bewusst kein Produkt ein — auch nicht das eigene. Ob eine Software Medizinprodukt oder Hochrisiko-System ist, hängt unter anderem an der Zweckbestimmung, die der Hersteller beziehungsweise Anbieter festlegt — wie sie sich aus Produktinformationen, Gebrauchshinweisen, Werbe- und Vertriebsaussagen und gegebenenfalls der technischen Dokumentation ergibt. Diese Einordnung ist überprüfbar — durch Behörden und im Streitfall durch Gerichte —, und sie lässt sich nicht durch einen Haftungsausschluss bestimmen: Produktfunktion, Bewerbung und erklärte Zweckbestimmung müssen zusammenpassen. Ein Anbieter, der sich selbst freispricht, hat damit nichts bewiesen. Unsere eigene Zweckbestimmung und die daraus folgende Einordnung legen wir gesondert dar — nachzulesen unter psymira.de/zweckbestimmung.