EU AI Act für Psychotherapie-Praxen: Was am 2. August 2026 anwendbar wird – Checkliste für KI-Doku-Tools

Zeitstrahl: Was wann anwendbar wird

Der EU AI Act ist seit dem 1. August 2024 in Kraft, aber gestaffelt anwendbar. Drei Stichtage sind für Psychotherapie-Praxen relevant: Am 2. Februar 2025 wurden die Verbote nach Art. 5 (etwa unterschwellige Manipulation, Social Scoring) sowie die AI-Literacy-Pflicht nach Art. 4 anwendbar. Am 2. August 2025 griffen Pflichten für Anbieter generativer KI-Modelle (General Purpose AI), Sanktionsregeln für diesen Bereich sowie Verwaltungs- und Governance-Strukturen. Am 2. August 2026 werden die Hochrisiko-Vorschriften nach Annex III anwendbar, die auch Gesundheits-Anwendungen betreffen können, ebenso Code-of-Practice-Mechanismen und die Mehrheit der Sanktionen. Am 2. August 2027 folgt die letzte Stufe: Hochrisiko-Systeme nach Annex I, also Sicherheitsbauteile regulierter Produkte wie Medizinprodukte unter MDR.

Für die Praxis heißt das: Was im Februar 2025 anwendbar wurde, gilt schon. Was am 2. August 2026 anwendbar wird, ist die Welle, auf die sich Praxen jetzt vorbereiten sollten. Der August-2027-Stichtag betrifft nur Tools, die formal als Medizinprodukt nach MDR klassifiziert sind – das ist die Minderheit der Dokumentations-Werkzeuge.

Ist mein KI-Doku-Tool ein „Hochrisiko-System“?

Die Antwort entscheidet darüber, ob der volle Pflichtenkatalog greift: Risikomanagement, technische Dokumentation, Datenqualitätsanforderungen, Konformitätsbewertung, CE-Kennzeichnung. Annex III der Verordnung listet abschließend, was als Hochrisiko gilt. Für Gesundheitsanwendungen sind drei Punkte zu prüfen: Annex III Nr. 5(a) erfasst KI-Systeme, die den Zugang zu oder die Inanspruchnahme essenzieller öffentlicher Dienste, einschließlich Gesundheitsdiensten, bewerten oder darüber entscheiden. Annex I betrifft KI-Systeme als Sicherheitsbauteile regulierter Produkte, etwa Medizinprodukte nach MDR – greift erst ab 2027 und nur, wenn die Software selbst Medizinprodukt ist. Art. 6 Abs. 3 enthält eine Ausnahme: Auch wenn ein Tool in eine Annex-III-Kategorie fallen könnte, ist es nicht Hochrisiko, wenn es nur eine eng umrissene, prozedurale Aufgabe erfüllt, das Ergebnis einer früheren menschlichen Tätigkeit verbessert, vorhersehende Muster aus Entscheidungen erkennt oder vorbereitend für eine menschliche Bewertung tätig ist – ohne automatisiertes Entscheiden ohne Aufsicht.

Konkret für KI-Doku-Tools in der Psychotherapie: Reines Strukturieren oder Transkribieren – eine KI, die aus Sitzungsstichworten ein Sitzungsprotokoll formt – ist nicht Hochrisiko, weil sie weder über den Zugang zu Leistungen noch über die Diagnose entscheidet; die Therapeut:in trifft die fachliche Entscheidung. Bei der PTV3-Berichtshilfe gilt Ähnliches: Auch wenn der Bericht später zu einer Genehmigungsentscheidung der Kasse führt, ist die KI nur Vorarbeit für die eigenverantwortlich abgebende Therapeut:in – damit greift die Ausnahme nach Art. 6 Abs. 3. Automatisierte Risiko-Scores, Suizid-Vorhersagen oder Diagnoseempfehlungen ohne ärztliche bzw. psychotherapeutische Letztverantwortung wären dagegen Hochrisiko. Solche Tools sind im Doku-Markt selten, aber wer ein Add-on einsetzt, das eigenständig Empfehlungen generiert, sollte beim Anbieter eine schriftliche Risikoklassifizierung anfordern. Tools mit CE-Kennzeichnung als Medizinprodukt sind ab 2027 automatisch Hochrisiko unter Annex I.

Art. 4 – AI-Literacy ist schon jetzt Pflicht

Seit dem 2. Februar 2025 verpflichtet Art. 4 sowohl Anbieter als auch Deployer, also auch Praxen, die KI nutzen, sicherzustellen, dass ihr Personal über ein angemessenes Maß an KI-Kompetenz verfügt. Das ist keine Zertifizierung, aber auch keine Floskel: Bei einer Beschwerde oder einem datenschutzrechtlichen Vorfall wird die Aufsichtsbehörde fragen können, wie Sie das nachweisen.

Pragmatisch reicht meist ein dokumentiertes internes Onboarding von zwei bis drei Seiten aus. Inhalt: Was kann das Tool? Was kann es nicht? Wie redigiere ich Ausgaben? Welche Daten dürfen rein, welche nicht? Wann muss ich die Patient:in informieren? Legen Sie das als Praxisanweisung mit Datum, Unterschriften der Mitarbeitenden und Verweis auf den AVV ab.

Art. 50 – Transparenz gegenüber Patient:innen

Art. 50 regelt Transparenzpflichten – was Patient:innen wissen müssen, wenn KI im Spiel ist. Für Psychotherapie-Praxen relevant: Nach Art. 50 Abs. 1 muss die Patient:in informiert werden, wenn sie direkt mit einer KI interagiert, etwa einem Chatbot in der Terminbuchung. Bei KI-Doku-Tools, die im Hintergrund laufen, greift das nicht – aber Art. 13 DSGVO verlangt die Information ohnehin. Art. 50 Abs. 2 verpflichtet Anbieter generativer KI, Ausgaben maschinenlesbar als KI-generiert zu kennzeichnen (Wasserzeichen) – das ist Anbieter-Pflicht, nicht Ihre. Art. 50 Abs. 4 verlangt Offenlegung der KI-Genese, wenn KI-generierter Text an die Öffentlichkeit gerichtet ist und über Themen von öffentlichem Interesse informiert. Klinische Dokumentation ist keine öffentliche Kommunikation, also besteht hier kein direkter Bezug. Patient:innen-Aufklärung darüber, dass KI in der Doku läuft, schulden Sie aber ohnehin aus DSGVO Art. 13 und § 630e BGB.

Art. 26 – Pflichten der Deployer (Anwender:innen)

Art. 26 listet die Pflichten von Deployern von Hochrisiko-Systemen auf. Für KI-Doku-Tools, die oben als nicht-Hochrisiko klassifiziert wurden, gelten diese Pflichten formal nicht voll – sie sind aber das beste Quellendokument dafür, wie eine saubere KI-Governance in der Praxis aussieht. Drei Pflichten lohnen sich auch ohne Hochrisiko-Status: Menschliche Aufsicht, also die klare Regel, dass keine KI-Ausgabe ungeprüft in die Akte geht – zugleich die Voraussetzung, um nicht in Art. 6 Abs. 3 als Hochrisiko zu kippen; Logging, also wenn der Anbieter Audit-Logs anbietet (welche Sitzung wurde von wem wann verarbeitet?), diese aktivieren und für die zehnjährige Aktenaufbewahrungsfrist zugänglich halten; und Vorfallsmeldung – mit dem Anbieter klären, was bei einem Sicherheitsvorfall passiert und wer wann an wen meldet, was ohnehin bereits in den AVV nach Art. 28 DSGVO gehört.

Verhältnis zur DSGVO – kein Ersatz, sondern Ergänzung

Der AI Act ersetzt die DSGVO nicht. Beide gelten parallel. Was Sie bislang DSGVO-seitig aufgebaut haben – AVV nach Art. 28, Patient:innen-Information nach Art. 13, Verarbeitungsverzeichnis – bleibt unverändert nötig. Der AI Act addiert zwei Schichten: Produktregulierung, also Anforderungen an das Tool selbst wie CE-Konformität, technische Dokumentation und Risikomanagement, primär Anbieter-Pflicht; und Organisationspflichten wie AI-Literacy (Art. 4), Transparenz (Art. 50) und ggf. Deployer-Pflichten (Art. 26), also Praxis-Pflichten.

Datenschutzbehörden und KI-Aufsichtsbehörden werden eng zusammenarbeiten. In Deutschland ist die nationale KI-Aufsicht im Aufbau (Bundesnetzagentur als Marktüberwachungsbehörde nach der KI-VO, BSI für sicherheitstechnische Aspekte). Beschwerden bei der jeweils zuständigen Datenschutzaufsicht bleiben weiterhin möglich und greifen in vielen Fällen schneller als der KI-Pfad.

Acht Fragen, die Ihr KI-Anbieter bis 2. August 2026 beantworten sollte

• Rolle nach VO 2024/1689: Sind Sie Anbieter (Provider) oder „nur“ Downstream-Distributor? Wer ist verantwortliche Stelle für die KI-Konformität?
• Risikoklassifizierung mit Begründung: Klassifizieren Sie Ihr Tool als Hochrisiko oder nicht? Mit welchem Verweis auf Annex III bzw. Art. 6 Abs. 3?
• CE-Konformitätsbewertung: Falls Hochrisiko – welches Verfahren (intern / mit notifizierter Stelle)? Aktueller Stand? Geplantes Ausstellungsdatum vor dem 2.8.2026?
• Technische Dokumentation nach Annex IV: Bei Hochrisiko-Systemen verbindlich vorzuhalten – auf Anfrage einsehbar?
• Daten-Governance nach Art. 10: Mit welchen Datensätzen wurde trainiert? Wie wird Bias adressiert? Was sind die Limitationen für deutschsprachige Psychotherapie?
• Logging-/Audit-Funktionen nach Art. 12: Welche Ereignisse werden geloggt, wie lange, in welchem Format exportierbar?
• Transparenzinformation nach Art. 13: Liegt ein Informationsblatt vor, das Funktionsweise, Genauigkeit und Limitationen für Anwender:innen beschreibt?
• Wasserzeichen nach Art. 50 Abs. 2: Werden KI-generierte Ausgaben maschinenlesbar gekennzeichnet, etwa via Metadaten? Ab wann?

Was Sie selbst bis zum Stichtag tun sollten

• AI-Literacy dokumentieren: Eine Praxisanweisung „KI-Nutzung in der Doku“ (2–3 Seiten) erstellen, mit allen Mitarbeitenden unterschreiben, jährlich aktualisieren.
• Patient:innen-Aufklärung prüfen: Verweist sie auf die KI-Nutzung? Ist sie nach DSGVO Art. 13 vollständig?
• AVV-Check: Enthält der Auftragsverarbeitungsvertrag eine Klausel zur AI-Act-Konformität des Anbieters? Wenn nicht, ergänzen lassen.
• Verarbeitungsverzeichnis: Eintrag „KI-gestützte Dokumentation“ aktualisieren – Rechtsgrundlage, Empfänger, Speicherdauer.
• Vorfallsplan: Wer informiert wen, in welcher Frist, in welcher Reihenfolge bei einem Vorfall? Datenschutzbehörde innerhalb 72 Stunden (DSGVO Art. 33), KI-Aufsicht zusätzlich bei Hochrisiko-Vorfällen (AI Act Art. 73).

duktus im Kontext der KI-Verordnung

duktus ist ausschließlich Doku-Assistenz – kein Diagnose-System, keine automatisierte Empfehlung, keine Entscheidung ohne Therapeut:innenaufsicht. Die Tool-Ausgabe ist immer redaktioneller Vorschlag, nie automatisierter Akten-Eintrag, und die therapeutische Letztentscheidung bleibt in jedem Fall bei der approbierten Person. Das positioniert duktus klar in der Nicht-Hochrisiko-Kategorie nach Art. 6 Abs. 3.

Trotzdem implementiert duktus freiwillig die Deployer-Werkzeuge aus Art. 26: vollständiges Audit-Log pro Sitzung, jederzeit exportierbar, plus eine standardisierte Praxisanweisung „AI-Literacy KI-Doku“ als Teil des Onboarding-Pakets, damit Praxen den 2. August 2026 ohne Mehraufwand erreichen — dauerhafte Datenhaltung auf Servern in Deutschland nach ISO/IEC 27001, mit AVV gemäß Art. 28 DSGVO und automatischer Pseudonymisierung.

Häufige Fragen

• Brauche ich für KI-Doku-Tools eine CE-Kennzeichnung? Als Anwender:in nicht – die CE-Kennzeichnung ist Pflicht des Anbieters, und nur bei Hochrisiko-Systemen. Sie müssen prüfen, ob Ihr Anbieter den Status korrekt eingeschätzt hat. Fordern Sie die schriftliche Risikoklassifizierung an.
• Was ist mit ChatGPT, Claude, Gemini für die Doku? Generative KI-Modelle fallen unter die GPAI-Vorschriften (seit August 2025 anwendbar). Die Anbieter müssen technische Dokumentation und Copyright-Transparenz liefern. Für Sie als Praxis ändert sich AI-Act-seitig wenig – viel kritischer bleibt der DSGVO-Pfad: Diese Tools verarbeiten in der Regel in den USA, ohne AVV mit angemessenem Datenschutzniveau für besondere Kategorien personenbezogener Daten.
• Was passiert bei einem Verstoß ab August 2026? Sanktionen werden gestaffelt. Die schwerste Stufe (Verstöße gegen die Verbote nach Art. 5) liegt bei bis zu 35 Mio. EUR oder 7 % des weltweiten Jahresumsatzes. Die typischere Stufe (z. B. Verstöße gegen Hochrisiko-Pflichten) liegt bei bis zu 15 Mio. EUR oder 3 %. Für Praxen als Deployer von Nicht-Hochrisiko-Tools liegt das primäre Risiko bei Art. 4 (AI-Literacy) und bei DSGVO-Sanktionen, die parallel weiterlaufen.
• Gibt es eine Übergangsphase? Die Verordnung ist bereits in Kraft – die Stichtage sind keine Übergangsfristen, sondern Anwendbarkeitsdaten. Wer am 2. August 2026 nicht vorbereitet ist, ist im Anwendungsbereich. Eine Schonfrist gibt es nur informell, soweit Aufsichtsbehörden in der Anfangsphase priorisieren – verlassen sollte man sich darauf nicht.
• Was bedeutet „Regulatory Sandbox“? Art. 57 ff. der Verordnung verpflichtet die Mitgliedstaaten, bis 2. August 2026 mindestens eine regulatorische Sandbox einzurichten – ein geschützter Testraum für KI-Innovation unter Aufsicht. Für etablierte Doku-Tools nicht relevant, interessant für Forschungsprojekte ohne bisherigen Marktzugang. Deutschland baut die Sandbox-Struktur unter Federführung der Bundesnetzagentur derzeit auf.