Unsere Partnerschaften

Im März haben wir über die Vorbereitungen auf die Frist des EU-KI-Gesetzes im August 2026 berichtet. Diese Frist existiert in der von uns beschriebenen Form nicht mehr. Am 27. Juli 2026 trat das „Digital Omnibus“-Paket zur KI, die Verordnung (EU) 2026/1744, in Kraft und verschob die Verpflichtungen für Hochrisikobereiche um mehr als ein Jahr nach hinten. Für Organisationen im Gesundheitswesen und in den Biowissenschaften, die KI entwickeln oder erwerben, wird die erste Reaktion Erleichterung sein, und ein Teil dieser Erleichterung ist auch berechtigt. Was sich nicht geändert hat, ist das Einstellungsproblem, das durch die ursprüngliche Frist offenbart wurde und das in diesem Artikel dargelegt wird.

Die wichtigsten Erkenntnisse

• Die Verpflichtungen für eigenständige KI-Systeme mit hohem Risiko gelten nun ab dem 2. Dezember 2027, für KI, die in regulierte Produkte, einschließlich Medizinprodukte, integriert ist, ab dem 2. August 2028 (Europäische Kommission, 27. Juli 2026).
• Die Transparenzpflichten gemäß Artikel 50 wurden nicht aufgeschoben und gelten seit dem 2. August 2026, wobei für die Kennzeichnung von KI-generierten Inhalten in bereits auf dem Markt befindlichen Systemen eine kurze Übergangsfrist bis zum 2. Dezember 2026 gewährt wurde (Rat der EU, 29. Juni 2026).
• Die Fristverlängerung wurde gewährt, weil die Organisationen noch nicht bereit waren. Die Bereitschaft ist in erster Linie ein Personalproblem und erst in zweiter Linie ein Dokumentationsproblem, und es mangelt an Personal.
• Das Profil, das ein Unternehmen bis Dezember 2027 voranbringen kann, vereint klinische oder wissenschaftliche Glaubwürdigkeit, fundierte Kenntnisse im Bereich des maschinellen Lernens und umfassende Kenntnisse der regulatorischen Rahmenbedingungen. Im März war es schwer zu finden; heute ist es nicht einfacher, und jeder regulierte Sektor greift auf denselben Kandidatenpool zurück. Eine Verlängerung um 16 Monate entspricht in etwa einer Suche nach einer Führungskraft plus einem Jahr in der Position.

Was sich am 27. Juli tatsächlich geändert hat

Der Omnibus-Entwurf durchlief den Prozess von einem Vorschlag der Kommission im November 2025 über eine vorläufige Einigung am 7. Mai 2026 bis hin zur endgültigen Verabschiedung durch den Rat am 29. Juni und der Veröffentlichung im Amtsblatt am 24. Juli (White & Case). Drei Änderungen sind für alle von Bedeutung, die Führungskräfte im Bereich KI im Gesundheitswesen oder in den Biowissenschaften einstellen.

Der erste Punkt betrifft den Zeitplan. Die in Kapitel III festgelegten Verpflichtungen für eigenständige Hochrisikosysteme, die in der Liste gemäß Anhang III aufgeführt sind, gelten nun ab dem 2. Dezember 2027. Die Verpflichtungen für KI, die als Sicherheitskomponente eines nach dem geltenden EU-Produktrecht regulierten Produkts fungiert – wozu der Großteil der klinischen KI und der KI-gestützten Medizinprodukte gehört –, gelten ab dem 2. August 2028 (Europäische Kommission).

Der zweite Punkt betrifft den Anwendungsbereich. KI-Systeme, die lediglich Nutzer unterstützen oder die Leistung optimieren, werden nicht automatisch als Sicherheitskomponenten behandelt, sofern ihr Ausfall kein Gesundheits- oder Sicherheitsrisiko darstellt (White & Case). In der Verhandlungsphase wurde diese Eingrenzung ausdrücklich im Zusammenhang mit Medizinprodukten beschrieben (Gibson Dunn, 27. Mai 2026). Für eine Krankenhausgruppe oder ein Diagnostikunternehmen bedeutet dies eine echte Einstufungsaufgabe: Welche der bereits vorhandenen Geräte fallen nun nicht mehr unter die Hochrisikokategorie, welche verbleiben darin, und wer ist befugt, diese Entscheidung zu treffen und zu vertreten?

Der dritte Punkt ist die Lockerung der Verpflichtung zur KI-Kompetenz. Artikel 4 verlangt nun von Anbietern und Betreibern, Maßnahmen zur Förderung der KI-Kompetenz ihrer Mitarbeiter zu ergreifen, anstatt diese zu gewährleisten (White & Case). Das verringert zwar das rechtliche Risiko, doch eine Organisation benötigt nach wie vor Mitarbeiter, die verstehen, was ihre Systeme tun – und die mildere Formulierung sorgt nicht dafür, dass solche Mitarbeiter entstehen.

Was sich nicht geändert hat

Die Transparenzpflichten gemäß Artikel 50 traten wie ursprünglich vorgesehen am 2. August 2026 in Kraft. Jede Organisation, die einem Patienten, einem Studienteilnehmer oder einem Mitarbeiter ein KI-System zur Verfügung stellt – sei es ein Chatbot, ein Triage-Assistent oder ein Tool zur Erzeugung von Texten oder Bildern –, unterliegt seit sechs Wochen einer laufenden Offenlegungspflicht. Die einzige Ausnahmeregelung war eine von sechs Monaten auf drei Monate verkürzte Übergangsfrist bis zum 2. Dezember 2026 für die Kennzeichnung künstlich generierter Inhalte aus bereits auf dem Markt befindlichen Systemen (Rat der EU, 29. Juni 2026). Ob ein bestimmter klinischer Einsatz unter Artikel 50 fällt, ist eine Frage für den Rechtsbeistand. Was auch ohne Rechtsbeistand feststeht, ist, dass der patientenbezogene Bereich der KI im Gesundheitswesen seit August reguliert ist, sodass bereits jetzt jemand innerhalb der Organisation die Verantwortung dafür übernehmen muss.

Auch der Inhalt der Vorschriften für hohe Risiken hat sich nicht geändert. Risikomanagement, Datenverwaltung, technische Dokumentation, Protokollierung, menschliche Überwachung, Genauigkeit und Robustheit stehen weiterhin auf der Tagesordnung. Mit dem Omnibus-Gesetz wurde der Termin verschoben, da die harmonisierten Normen, die Hilfsinstrumente der Kommission und in den meisten Fällen auch die Organisationen selbst noch nicht bereit waren. Die Anforderungen, die 2027 und 2028 gelten werden, sind dieselben, die eigentlich bereits im August dieses Jahres hätten in Kraft treten sollen.

Warum die Verzögerung das Einstellungsproblem verschlimmert statt zu verbessern

Eine sichtbare Frist zwingt zu einer Entscheidung. Zwischen Januar und Juli entschieden Vorstände in regulierten Branchen in ganz Europa darüber, wer für die Einhaltung der KI-Vorschriften zuständig sein sollte, und viele kamen zu dem Schluss, dass die Lösung eher in der Einstellung einer Führungskraft als in der Einrichtung eines Ausschusses lag. Die Verschiebung hebt diesen Zwang auf, ohne jedoch den Wettbewerb zu beseitigen: Finanzdienstleistungen, Arbeitsmarkt, Bildungswesen, kritische Infrastruktur und alle Produktbereiche mit integrierter KI haben nun dieselben neuen Fristen und denselben Fachkräftemangel. Die Unternehmen, die im Sommer neue Führungskräfte eingestellt haben, verfügen bereits über einen Verantwortlichen. Diejenigen, die eine Pause eingelegt haben, werden 2027 zeitgleich wieder auf den Markt zurückkehren.

Es gibt einen Effekt zweiter Ordnung. Systeme, die vor den neuen Antragsfristen in Verkehr gebracht wurden, werden anders behandelt als solche, die danach in Verkehr gebracht wurden, wobei eine nicht näher definierte Prüfung auf wesentliche Änderungen maßgeblich ist (White & Case). Nach unserer Auslegung – die eher eine Schlussfolgerung als eine Rechtsberatung darstellt – gibt dies Anbietern einen Grund, Systeme vor dem Stichtag auf den Markt zu bringen, sodass mehr Systeme früher in den Einsatz gelangen und jedes davon einen kompetenten Verantwortlichen benötigt. Sollte diese Auslegung zutreffen, erhöht die Verzögerung die Nachfrage nach Führungskompetenz im Bereich der KI-Governance im Gesundheitswesen, anstatt sie aufzuschieben.

Die USA zeigen, wie diese Nachfrage aussieht, sobald sie institutionalisiert ist. Im August identifizierte Becker’s zwanzig große Gesundheitssysteme, darunter die Mayo Clinic, die Cleveland Clinic, Kaiser Permanente und UCSF Health, die über einen eigenen KI-Verantwortlichen verfügen, dessen Titel von „Chief AI Officer“ über „Chief Health AI Officer“ bis hin zu „Chief Data and AI Officer“ reichen (Becker’s Hospital Review, 5. August 2026). Diese Funktionen entsprechen dem Umfang der Nutzung: Eine Umfrage im März ergab, dass drei Viertel der US-Gesundheitssysteme mindestens eine KI-Anwendung einsetzen, gegenüber 59 % im Jahr zuvor (Fierce Healthcare, 24. März 2026). Europäische Gesundheitsdienstleister und Life-Sciences-Unternehmen sehen sich derselben Logik gegenüber, wobei eine Aufsichtsbehörde die Stellenbeschreibung für sie festlegt.

Zwei kleinere Änderungen mit Auswirkungen auf die Personalbeschaffung

Zwei Bestimmungen fanden weniger Beachtung als die Fristen, haben jedoch direkten Einfluss darauf, wen eine Organisation benötigt. Die erste betrifft die Aufsicht. Der Omnibus-Erlass erweitert die Rolle des EU-KI-Amtes und überträgt ihm die Zuständigkeit für KI-Systeme, die auf Allzweck-KI-Modellen basieren, sowie für Systeme, die in sehr große Online-Plattformen integriert sind (White & Case); in der politischen Einigung vom Mai wurde dies als ausschließliche Zuständigkeit für GPAI-basierte Systeme beschrieben (Gibson Dunn, 27. Mai 2026). Ein wachsender Anteil der Tools für klinische Dokumentation, Triage und Patientenkommunikation basiert auf Allzweckmodellen. Für ein Gesundheitssystem oder ein Unternehmen im Bereich der digitalen Gesundheit wird daher die zuständige Aufsichtsbehörde für diese Tools eine EU-Behörde in Brüssel sein und nicht – oder zusätzlich – eine nationale Behörde. Die Person, die die KI-Governance leitet, muss sicher im Umgang damit sein.

Der zweite Aspekt ist die Verhältnismäßigkeit. Maßnahmen, die bisher kleinen und mittleren Unternehmen vorbehalten waren – darunter vereinfachte Dokumentationspflichten und verhältnismäßige Anforderungen an das Qualitätsmanagement –, werden nun auf kleine Mid-Cap-Unternehmen ausgeweitet (Europäische Kommission, 27. Juli 2026). Das ist von Bedeutung für mittelständische Unternehmen aus den Bereichen Diagnostik, Medizintechnik und Gesundheitsdaten, die einen Großteil des europäischen Marktes für KI im Gesundheitswesen ausmachen: Ihre Compliance-Funktion kann zwar weniger umfangreich sein als die eines multinationalen Konzerns, darf aber nicht ganz fehlen, und bei einer weniger umfangreichen Funktion konzentriert sich ein größerer Teil der Entscheidungsgewalt auf eine einzige Führungskraft. In der Praxis erhöht dies die Anforderungen an die Person in dieser Position eher, als dass sie gesenkt werden.

Das Profil – ein neuer Blick darauf

Im Februar haben wir beschrieben, wie die Führungsriege im Bereich KI im Gesundheitswesen zusammengesetzt sein sollte, und im Mai, warum sich die Führungskräfte, die KI vom Pilotprojekt in die Produktionsphase führen, von denen unterscheiden, die die Pilotprojekte leiten. Der Omnibus-Gesetzentwurf untermauert beide Argumente. Die Person, die für den Termin im Dezember 2027 verantwortlich ist, benötigt drei Dinge, die selten gleichzeitig gegeben sind: genügend klinische oder wissenschaftliche Kompetenz, um von einem Chief Medical Officer, einem Leiter der Forschungs- und Entwicklungsabteilung oder einer benannten Stelle als glaubwürdig angesehen zu werden, wenn sie aussagt, ob ein System eine Sicherheitskomponente ist oder nicht; ausreichende Fachkenntnisse im Bereich des maschinellen Lernens, um die Angaben eines Anbieters zu Genauigkeit, Drift und Überwachung kritisch zu hinterfragen, anstatt eine Konformitätsbewertung ungeprüft zu akzeptieren; sowie umfassende Kenntnisse der regulatorischen Rahmenbedingungen, einschließlich des AI Act, der Verordnungen für Medizinprodukte und In-vitro-Diagnostika, der DSGVO und – für alle, die mit dem Vereinigten Königreich zu tun haben – des separaten Verfahrens der MHRA, da die vom Omnibus-Gesetz geforderte Klassifizierung an der Schnittstelle all dieser Vorschriften angesiedelt ist.

Fergal Nolan hat über 25 Jahre Erfahrung im Aufbau von Data-Science- und KI-Teams und ist zu der Erkenntnis gelangt, dass man Personen, die alle drei Kriterien erfüllen, nicht findet, indem man eine Stelle ausschreibt und abwartet. Sie werden namentlich identifiziert, sind in der Regel bereits beschäftigt, oft außerhalb der offensichtlichen Kandidatenpools, und lassen sich eher durch ein Mandat als durch ein Gehaltspaket überzeugen. Aus diesem Grund führen wir diese Suchaufträge als Retained Searches und nicht als Contingent Searches durch, und deshalb sollten wir jetzt damit beginnen und nicht erst im Jahr 2027.

Was der Vorstand in diesem Quartal tun sollte

Führen Sie die KI-Bestandsaufnahme, die durch die ursprüngliche Frist ausgelöst wurde, erneut durch, diesmal anhand des eingegrenzten Tests für Sicherheitskomponenten. Das Ergebnis sollte eine Liste der Systeme, ihrer neuen Anwendungsdaten und jeweils eines namentlich genannten Verantwortlichen sein; jede Lücke in der Spalte „Verantwortlicher“ entspricht dem Anforderungsprofil für die Stellenbesetzung.

Trennen Sie die Arbeiten zu Artikel 50 von denen zu Kapitel III. Die Transparenzpflicht gilt bereits; weisen Sie diese Aufgabe jetzt zu, auch wenn es sich nur um eine vorläufige Zuständigkeit handelt, wobei der 2. Dezember 2026 als Stichtag für die inhaltliche Kennzeichnung gilt.

Entscheiden Sie, wer das Unternehmen bis Dezember 2027 leiten soll, und stellen Sie diese Person in den nächsten beiden Quartalen ein – und nicht erst in den letzten beiden. Eine gut genutzte Verlängerung um 16 Monate sorgt dafür, dass eine Führungskraft einen vollständigen Risikomanagementzyklus durchlaufen und die Governance-Funktion aufgebaut hat, bevor die Verpflichtungen greifen. Bei schlechter Nutzung kommt es ein Jahr später zu demselben hektischen Gerangel. Wenn Sie ein Life-Sciences-Unternehmen sind, das KI in einem regulierten Produkt einsetzt, ist Ihr Stichtag der August 2028 – doch die Fachkräfte, die sich mit KI-Governance in regulierten Umgebungen auskennen, sind genau die, die alle anderen auch brauchen, und diese warten nicht bis dahin.

Wenn Sie eine zweite Meinung zur Führungsfrage einholen möchten, sprechen Sie uns an. Unser Tätigkeitsschwerpunkt liegt in den Bereichen maschinelles Lernen, KI und Datenmanagement für das Gesundheitswesen und die Biowissenschaften, und die Suchaufträge, die wir derzeit bearbeiten, sind fast ausnahmslos von dieser Verordnung geprägt.

Fergal Nolan ist Gründer von Banba, einer auf Healthcare-KI und Life-Sciences-KI spezialisierten Personalberatungsagentur mit Niederlassungen in New York, London und Berlin. Er verfügt über mehr als 25 Jahre Erfahrung in der Personalbeschaffung, unter anderem als Gründungsmitglied von SThree / Real Staffing und als Gründer von Upstream, wo er Data-Science- und KI-Teams sowie Führungskräfte im KI-Bereich für Start-ups, Scale-ups und globale Unternehmen aufgebaut hat.