Ist es sicher, KI für Fitness- und Gesundheits-Apps zu nutzen?

Ja, KI kann bei Fitness und Gesundheit helfen, aber nicht mit Ihren Rohdaten. Sie kann einen Plan erstellen oder eine Zahl erklären, ohne etwas über Sie zu wissen. Die eigentliche Falle ist ein Irrglaube. In den USA denken die Menschen, ihre Gesundheitsdaten seien durch HIPAA geschützt. In Wirklichkeit deckt HIPAA Ärzte, Krankenhäuser und Versicherer ab. Die meisten Fitness-Apps, Zyklus-Tracker und KI-Coaches bleiben außen vor. In Europa ist die DSGVO strenger: Gesundheitsdaten sind Daten einer 'besonderen Kategorie'. Die richtige Methode ist einfach. Protokollieren Sie das Minimum und fügen Sie niemals identifizierbare Gesundheitsdetails in eine allgemeine KI ein.

Was Ihre Smartwatch wirklich verrät

Ein Wearable zählt mehr als nur Schritte. Es zeichnet ein intimes, kontinuierliches Bild von Ihnen. Ihre Herzfrequenz, Minute für Minute. Ihre Schlafzyklen. Ihr Gewicht. Die GPS-Routen Ihrer Läufe. Die Aufzeichnungen Ihres Menstruationszyklus.

Jedes Signal kann sensible Rückschlüsse nähren. Ihre Laufstrecken verraten Ihr Zuhause und Ihre Routine. Zyklusdaten können auf eine Schwangerschaft hindeuten. Eine Lücke in der Aktivität kann auf eine Krankheit hindeuten. Deshalb sind Daten zur reproduktiven Gesundheit in Teilen der USA rechtlich und persönlich besonders sensibel geworden. Wir stellen das hier als schlichte Tatsache fest.

Der natürliche Instinkt ist, alles einer KI anzuvertrauen. Sie fügen Ihr Trainingsprotokoll für einen Plan ein. Ihr Gewicht und Ihren Schlaf für einen Rat. Ihre Symptome für eine Einschätzung. Jedes Kopieren und Einfügen nimmt diese Daten von Ihrem Gerät.

Mythos Nr. 1: 'HIPAA schützt mich'

Das ist der größte Irrtum, deshalb sagen wir es klar. HIPAA (das US-Bundesgesetz zum Gesundheitsdatenschutz) ist enger, als die meisten annehmen. Es gilt für 'abgedeckte Einrichtungen': Ärzte, Krankenhäuser, Krankenversicherer, Apotheken. Und für deren Geschäftspartner. Nicht für die meisten Verbraucher-Apps.

Der Unterschied liegt darin, wer die Daten eingibt. Wenn Sie Ihre eigenen Zahlen in eine Wellness-App eintippen, fallen diese Daten in der Regel nicht unter HIPAA. Die App kann sie dann sammeln, analysieren, teilen und in manchen Fällen verkaufen. Mit wenig bundesrechtlicher Einschränkung. Eine Nuance: Eine App, die mit Ihrem Arzt oder Krankenhaus verbunden ist, kann unter HIPAA fallen. Doch die allgemeine Regel lautet, dass die meisten es nicht tun.

Das interaktive Tool 'Mobile Health Apps' der FTC führt Entwickler genau durch diesen Punkt. Es verweist auf den FTC Act und die Health Breach Notification Rule als die Regeln, die tatsächlich gelten. Nicht HIPAA.

Der eigentliche US-Rückhalt: die FTC

In den USA ist die FTC der wichtigste bundesstaatliche Rückhalt für Gesundheits-Apps für Verbraucher. Ihr Gesetz (Section 5 des FTC Act) zielt auf unlautere oder irreführende Praktiken. Ihre Health Breach Notification Rule verpflichtet viele Nicht-HIPAA-Apps, eine unbefugte Datenweitergabe offenzulegen. Dieser Rahmen greift gerade deshalb ein, weil diese Apps außerhalb von HIPAA liegen.

Das Risiko ist nicht theoretisch. Im Februar 2023 brachte die FTC ihre allererste Klage nach der Health Breach Notification Rule ein. Ziel war GoodRx. Laut FTC hatte das Unternehmen seit 2017 versprochen, niemals Gesundheitsdaten mit Werbetreibenden zu teilen. Dennoch soll es die Verschreibungen und Krankheitsbilder von Nutzern wiederholt an Dritte weitergegeben haben, darunter Facebook, Google und Criteo.

GoodRx willigte in eine zivilrechtliche Geldbuße von 1,5 Millionen Dollar ein. Dem Unternehmen wurde untersagt, Gesundheitsdaten von Nutzern für Werbung zu teilen. Das ist ein konkreter Beweis, dass das Risiko durchgesetzt wird und nicht hypothetisch ist.

In Europa: Gesundheitsdaten sind eine 'besondere Kategorie'

Für eine Nutzerin oder einen Nutzer in der EU oder im Vereinigten Königreich ist die Regel schützender. Nach der DSGVO (Artikel 9) sind Gesundheitsdaten Daten einer 'besonderen Kategorie'. Ihre Verarbeitung ist grundsätzlich verboten. Es braucht eine bestimmte Bedingung, um sie zu erlauben, etwa Ihre ausdrückliche Einwilligung.

Das ICO, die britische Datenschutzbehörde, definiert den Geltungsbereich. Gesundheitsdaten sind nicht nur eine Diagnose. Es sind alle Daten, die etwas über Ihren Gesundheitszustand verraten. Ein Testergebnis. Eine Terminerinnerung. Oder ein Rückschluss aus anderen Signalen.

Die Fitness- oder Gesundheits-App ist dann ein 'Verantwortlicher'. Sie muss einen doppelten Maßstab erfüllen. Eine Rechtsgrundlage nach Artikel 6. Und eine gesonderte Bedingung nach Artikel 9 für die Gesundheitsdaten. Sie muss auch Ihre Rechte wahren, etwa Auskunft und Löschung. Das ist eine weit stärkere Grundlage als der US-Flickenteppich. Sie hängt jedoch davon ab, dass die App tatsächlich einhält.

Die Lösung: minimieren, dann anonymisieren

Gute Nachricht: KI ist weiterhin nützlich für Ihre Fitness. Sie kann einen Plan erstellen, eine Zahl erklären, eine Routine strukturieren. Dafür braucht sie keine Daten, die Sie identifizieren. Hier sind die einfachen Schritte, die Ihre Gesundheit für Sie behalten.

• Gehen Sie davon aus, dass eine Verbraucher-App nicht HIPAA-abgedeckt ist, es sei denn, sie sagt es klar.
• Protokollieren Sie nur, was Sie brauchen: Jedes ausgefüllte Feld ist ein weiteres Datum in Bewegung.
• Lesen Sie die Bedingungen zur Datenweitergabe der App, bevor Sie sich auf sie verlassen.
• Bevorzugen Sie lokale oder geräteinterne Verarbeitung, wo sie angeboten wird.

Die wichtigste Regel betrifft die allgemeine KI. Fügen Sie niemals identifizierbare Gesundheitsdetails in einen Allzweck-Chatbot ein. Nicht Ihren Namen mit Ihren Symptomen. Nicht Ihr genaues Gewicht. Nicht Ihre Zyklusdaten. Nicht Ihre Herzfrequenz-Historie. Wenn Sie KI-Hilfe möchten, entfernen Sie zuerst die Identifikatoren und verwenden Sie gerundete oder aggregierte Werte.

Die Idee ist einfach. Die KI denkt über die Form Ihrer Situation nach, niemals über Ihre echten Werte. Die echten Daten stellen Sie danach wieder her, lokal. Hier ist der Ablauf, Schritt für Schritt.

1. 1Erkennen Sie die Gesundheitsdaten in Ihrem Text: Zyklus, Gewicht, Schlaf, Herzfrequenz, Symptome.
2. 2Ersetzen Sie sie durch umkehrbare Token, im Browser.
3. 3Senden Sie nur den anonymisierten Text an die KI.
4. 4Stellen Sie die echten Werte in der Antwort wieder her, lokal.

Genau dafür ist ONYRI Sanitize da. Die Engine erkennt sensible Daten — Gewicht, Zyklusdaten, Symptome, Messwerte — und ersetzt sie vor dem Senden durch umkehrbare Token. Die Erkennung und das Mapping bleiben in Ihrem Browser. Nur anonymisierter Text erreicht das Modell. Die KI findet nur Token, niemals Ihre echten Gesundheitsdaten. Sie erhalten die Hilfe, ohne das Risiko, das die FTC und die DSGVO Sie ausschließen heißen.