Ist der Einsatz von KI für Personal Trainer sicher?

Die kurze Antwort passt in einen Satz. KI kann Ihnen helfen, einen Trainingsplan zu erstellen, aber geben Sie ihr niemals die namentlichen Gesundheitsdaten eines Kunden. Ein Par-Q-Fragebogen, eine Verletzung, eine Erkrankung, ein Medikament, Körpermaße, eine Schwangerschaft: Das sind Gesundheitsdaten. Nach der DSGVO macht Artikel 9 sie zu einer besonderen Kategorie, der am stärksten geschützten Klasse überhaupt. Ein Trainer verwaltet davon eine Menge. Sie in eine Verbraucher-KI einzufügen, übergibt sie einem Dritten. In den Vereinigten Staaten fällt ein Trainer meist nicht unter das Gesundheitsgesetz HIPAA. Es gibt eine saubere Methode: Anonymisieren Sie Namen und Kennungen, bevor Sie senden.

Was die Akte eines Kunden offenlegt

Ein Personal Trainer sammelt mehr Daten, als er denkt. Einen Par-Q-Fitnessfragebogen. Eine Verletzungshistorie. Erkrankungen und aktuelle Medikamente. Körpermaße. Ziele und manchmal eine Schwangerschaft. Jede dieser Angaben spricht über die Gesundheit einer Person.

Die DSGVO ordnet diese Daten in ein genaues Fach ein. Artikel 9 erfasst „Gesundheitsdaten“. Er macht sie zu einer besonderen Kategorie. Ihre Verarbeitung ist standardmäßig untersagt, abgesehen von engen Ausnahmen wie der ausdrücklichen Einwilligung. Sie stehen neben genetischen, biometrischen Daten und Daten zum Sexualleben. Es ist die am stärksten verschlossene Schublade des Textes.

Die Definition ist weit gefasst. Laut ICO, der britischen Aufsichtsbehörde, umfassen Gesundheitsdaten jede Information über die körperliche oder geistige Gesundheit einer Person. Eine Verletzung. Eine Krankheit. Eine ärztliche Untersuchung. Sogar eine Notiz, dass eine Kundin schwanger ist, zählt als Gesundheitsdatum. Eine förmliche Diagnose ist nicht nötig.

Die Schutzlücke in den Vereinigten Staaten

Viele Trainer nehmen an, HIPAA schütze diese Daten. Das tut es selten. HIPAA (das US-Bundesgesundheitsgesetz) gilt nur für „covered entities“. Das sind Krankenversicherungen, Clearingstellen und Leistungserbringer, die Daten für Standardtransaktionen übermitteln. Auch deren Auftragsverarbeiter.

Ein Personal Trainer, ein Fitnessstudio oder ein Wellness-Coach passt in der Regel in keine dieser Kategorien. Ohne Verbindung zu einer covered entity bleibt er außerhalb von HIPAA. Die unmittelbare Folge: Die Gesundheitsdaten, die er sammelt, sind nicht so geschützt wie die Akten einer Klinik.

Die FTC (die US-Bundesbehörde für Handel) bestätigt das für Wellness-Tools. Eine Fitness-App aus einem Store, ohne Verbindung zu einer Klinik, unterliegt in der Regel nicht HIPAA. Diese Daten fallen stattdessen unter den FTC Act und die Health Breach Notification Rule. Ein anderer und für die einzelne Person schwächerer Schutz als bei klinischen Akten.

Zwei Fallen, die man kennen sollte: Minderjährige und falsche medizinische Beratung

Junge Menschen zu coachen, legt die Latte höher. Die Daten eines Minderjährigen sind Kinderdaten. Behörden behandeln sie als besonders schutzbedürftig. Ein Trainer, der Unter-18-Jährige betreut, hat es daher mit zwei sensiblen Ebenen zugleich zu tun: Gesundheit und Kindheit.

Eine weitere Falle ist die Verlässlichkeit. KI kann bei einer Verletzung oder einer Erkrankung selbstsicher falschliegen. Ihre Antwort ist keine medizinische Beratung. Das ist ein echtes Sicherheitsproblem für einen Kunden. Der Trainer muss bei allem Gesundheitsbezogenen das Urteil behalten. Handeln Sie niemals auf Grundlage einer KI-Antwort über den Zustand eines Kunden.

Die Lösung: vor dem Prompt anonymisieren

Gute Nachricht: KI bleibt für Ihre Arbeit nützlich. Sie kann einen Trainingsplan strukturieren, einen Plan schreiben, Steigerungen vorschlagen. Dafür braucht sie den Namen Ihres Kunden nicht. Sie argumentiert gut auf Basis anonymisierter Gesundheitsangaben. Die Person ist nicht mehr direkt identifizierbar, ohne Einbußen für den Trainingsplan.

Die Grundregel ist einfach. Fügen Sie niemals einen medizinischen Screen oder eine Erkrankung ein, die mit einem Namen verknüpft sind. Ersetzen Sie jede Kennung durch ein Token, bevor Sie senden. Die KI erstellt den Trainingsplan auf Grundlage der Struktur des Falls, ohne die echten Werte zu sehen. Die echten Daten stellen Sie danach lokal wieder her.

• Anonymisieren Sie die Namen und Kennungen des Kunden vor jedem Prompt.
• Fügen Sie keine medizinischen Screens oder Erkrankungen ein, die mit einem Namen verknüpft sind.
• Behalten Sie bei allem Gesundheitsbezogenen ein menschliches Urteil.
• Bevorzugen Sie geprüfte Tools, die durch einen Auftragsverarbeitungsvertrag (AVV) abgedeckt sind.

1. 1Erkennen Sie die sensiblen Daten: Name, Verletzungen, Erkrankungen, Medikamente, Maße.
2. 2Ersetzen Sie sie durch umkehrbare Token, im Browser.
3. 3Senden Sie nur den anonymisierten Text an die KI.
4. 4Stellen Sie die echten Werte in der Antwort wieder her, lokal.

Genau dafür ist ONYRI Sanitize da. Die Engine erkennt sensible Daten — Namen, Verletzungen, Erkrankungen, Maße — und ersetzt sie vor dem Senden durch umkehrbare Token. Die Erkennung und das Mapping bleiben in Ihrem Browser. Nur anonymisierter Text erreicht das Modell. Die KI erstellt Ihren Trainingsplan auf Basis von Token, niemals auf Basis der echten Gesundheitsakte Ihres Kunden. Sie erhalten die Hilfe, ohne die Datenklasse preiszugeben, die die DSGVO am stärksten schützt.