Ist es legal, Patientendaten in ChatGPT einzugeben?

Identifizierbare Patientendaten in einen Verbraucher-Assistenten wie ChatGPT einzufügen ist in den meisten Fällen ein Verstoß gegen die ärztliche Schweigepflicht und das Datenschutzrecht: die DSGVO in der Europäischen Union (Gesundheit ist eine „besondere Kategorie“), HIPAA in den Vereinigten Staaten. Der Fachmann — und sein Arbeitgeber — sehen sich Sanktionen ausgesetzt. Der rechtskonforme Weg besteht nicht darin, KI zu meiden, sondern ihr keine identifizierenden Daten zu senden: Sie anonymisieren zuerst.

Gesundheitsdaten: ein strenges Rechtsregime

Die DSGVO verbietet die Verarbeitung von Gesundheitsdaten grundsätzlich, abgesehen von eng gefassten Ausnahmen (Behandlung, ausdrückliche Einwilligung…). Sie einem Drittanbieterdienst ohne Rechtsgrundlage und ohne vertragliche Rahmung zu übergeben, fällt aus diesen Ausnahmen heraus. In den Vereinigten Staaten hat HIPAA denselben Effekt: identifizierbare Gesundheitsinformationen an einen nicht abgedeckten Dritten zu senden ist eine unbefugte Offenlegung. In den Threads, in denen die Frage aufkommt, antworten Fachleute unverblümt: „es ist zu 100 % ein Verstoß.“

Warum ein persönliches Konto nicht konform ist

Ein individuelles Konto, kostenlos oder kostenpflichtig, kommt ohne eine Verpflichtung, die für die Verarbeitung von Gesundheitsdaten geeignet ist. Damit eine Nutzung vertretbar ist, benötigen Sie einen vertraglichen Rahmen mit dem Anbieter (in den USA ein „BAA“ — Business Associate Agreement; in der EU einen Auftragsverarbeitungsvertrag nach Artikel 28 DSGVO) und die passenden technischen Garantien. Ohne das spielt der Tarif keine Rolle: die Daten sind ohne Grundlage abgeflossen.

• Kein geeigneter Auftragsverarbeitungsvertrag = keine Grundlage zur Verarbeitung von Gesundheitsdaten.
• Die berufliche Schweigepflicht hängt nicht vom Kanal ab: eine Dritt-KI ist weiterhin ein Dritter.
• Ein „kostenpflichtiger“ Tarif ist kein „konformer“ Tarif ohne vertragliche Rahmung und Garantien.
• Das Risiko trifft die Person, die eingefügt hat, und die Organisation, die sie beschäftigt.

Wenn die Daten bereits abgeflossen sind

Ein Kollege hat bereits eine Akte in eine KI eingefügt? Behandeln Sie es als eine Verletzung des Schutzes personenbezogener Daten: dokumentieren Sie den Vorfall, bewerten Sie seinen Umfang und prüfen Sie die Meldepflicht. In Frankreich muss eine Verletzung, die wahrscheinlich ein Risiko schafft, der CNIL gemeldet werden, grundsätzlich innerhalb von 72 Stunden, und die betroffenen Personen informiert werden, wenn das Risiko hoch ist. Der nächste Reflex: die Anonymisierung mit Werkzeugen ausstatten, damit es nicht erneut passieren kann.

Der rechtskonforme Weg: niemals eine Kennung senden

1. 1Erkennung: die Engine erkennt Identität, Behandlungskennungen und re-identifizierende Elemente.
2. 2Tokenisierung: jedes Element wird zu einem neutralen Token, das im lokalen Speicher gehalten wird.
3. 3Senden: nur der anonymisierte Text erreicht die KI — keine identifizierbaren Gesundheitsdaten fließen ab.
4. 4Wiederherstellung: die Antwort wird in Ihrem Browser de-tokenisiert und der richtigen Akte zugeordnet.

ONYRI Sanitize erkennt die identifizierenden Daten einer Akte — Identität, Sozialversicherungsnummer, Kontaktdaten, medizinische Elemente — und stellt die Antwort im Browser wieder her. Fachkräfte im Gesundheitswesen behalten die Hilfe der KI zum Umformulieren oder Zusammenfassen, auf der richtigen Seite des Gesetzes.