KI und Datenschutz

Mit dem Inkrafttreten des EU-Gesetzes zur Regulierung von Künstlicher Intelligenz (AI Act) stehen auch Heilpraktiker und Berater vor neuen Herausforderungen in Bezug auf den Datenschutz. Der Schutz personenbezogener Daten, insbesondere Gesundheits- und Beratungsdaten, ist ein zentraler Bestandteil des Gesetzes. Wer KI-Systeme einsetzt, muss sicherstellen, dass sowohl die Datenverarbeitung als auch die Transparenz gegenüber Patienten und Klienten den gesetzlichen Vorgaben entspricht.
In diesem Artikel erfahren Sie, welche Anforderungen das Gesetz stellt und welche Maßnahmen Sie ergreifen sollten.

Welche Daten sind besonders schützenswert?
Heilpraktiker und Berater verarbeiten häufig hochsensible personenbezogene Daten. Diese unterliegen strengen Datenschutzvorgaben, insbesondere durch die Datenschutz-Grundverordnung (DSGVO) und den AI Act.
Beispiele für sensible Daten:

• Gesundheitsdaten wie Diagnosen, Befunde, Vitalwerte und Laborergebnisse

• Psychische Gesundheitsdaten aus Anamnesegesprächen oder Beratungen
• Dokumentierte Behandlungsmethoden und Therapiepläne
• Informationen zu sozialen und familiären Hintergründen
• Daten über Ernährungs- und Lebensgewohnheiten

Diese Daten müssen vor unbefugtem Zugriff geschützt und ausschließlich für den vorgesehenen Zweck verwendet werden.

Anforderungen an den Datenschutz nach dem AI Act
Wer in seiner Praxis oder Beratung KI-Systeme verwendet, muss eine Reihe von Datenschutzanforderungen erfüllen. Diese überschneiden sich teilweise mit den Vorgaben der DSGVO, gehen aber in spezifischen Bereichen darüber hinaus.

• Datenminimierung
  Verarbeiten Sie nur die Daten, die für den konkreten Zweck unbedingt erforderlich sind. Vermeiden Sie es, überflüssige Daten zu sammeln oder langfristig zu speichern.
• Einwilligung der Patienten und Klienten
  Informieren Sie Ihre Patienten klar und verständlich über den Einsatz von KI-Systemen und holen Sie eine ausdrückliche Einwilligung zur Datenverarbeitung ein. Diese sollte dokumentiert werden.
• Transparenz und Aufklärung
  Patienten und Klienten müssen nachvollziehen können, wie die KI ihre Daten verarbeitet und zu ihren Ergebnissen gelangt. Erklären Sie z. B., wie eine KI-Analyse funktioniert und welche Rolle die KI bei der Entscheidungsfindung spielt.
• Zugriffskontrollen
  Nur befugte Personen dürfen Zugriff auf die KI-Systeme und die verarbeiteten Daten erhalten. Implementieren Sie Sicherheitsmechanismen wie Passwortschutz, Rollenvergabe und Zugriffsbeschränkungen
• Technische und organisatorische Maßnahmen
  Zum Schutz der Daten sind Maßnahmen wie Verschlüsselung, regelmäßige Sicherheitsupdates und Backups erforderlich. Die Systeme sollten regelmäßig auf Sicherheitslücken überprüft werden.

Dokumentationspflichten
Eine wichtige Anforderung des AI Acts ist die lückenlose Dokumentation der Prozesse rund um die Nutzung der KI-Systeme. Diese Dokumentation dient dazu, bei Kontrollen durch Aufsichtsbehörden die Einhaltung der Vorschriften nachweisen zu können.
Zu dokumentierende Punkte:

• Welche KI-Systeme eingesetzt werden und welche Daten sie verarbeiten
• Zweck und Funktionsweise der KI-Systeme
• Risikobewertungen und Maßnahmen zur Risikominderung
• Sicherheits- und Datenschutzmaßnahmen (z. B. Verschlüsselung, Zugriffskontrollen)
• Schulungen des Praxispersonals im Umgang mit KI-Systemen

Datenschutzrisiken durch KI – Was sollten Sie beachten?
Der Einsatz von KI bringt spezifische Risiken für den Datenschutz mit sich, die erkannt und minimiert werden müssen.

• Fehlende Nachvollziehbarkeit
  Manche KI-Systeme arbeiten mit komplexen Algorithmen, deren Entscheidungsprozesse schwer zu erklären sind. Dies kann die Transparenzpflicht gegenüber Patienten erschweren. Nutzen Sie daher Systeme, die nachvollziehbare Entscheidungsgrundlagen bieten.
• Datenlecks und Cyberangriffe
  KI-Systeme, die mit sensiblen Daten arbeiten, sind attraktive Ziele für Hacker. Investieren Sie in Cybersicherheitsmaßnahmen, um Angriffe zu verhindern.
• Unbefugte Datenweitergabe
  Achten Sie darauf, dass Daten nicht an Dritte weitergegeben werden, insbesondere wenn Sie externe Anbieter oder Cloud-Dienste nutzen. Schließen Sie entsprechende Auftragsverarbeitungsverträge ab.
• Diskriminierungsrisiken
  Falls die KI zur Analyse von Patienten- oder Klientendaten verwendet wird, können fehlerhafte oder verzerrte Daten zu diskriminierenden Ergebnissen führen. Beispielsweise könnten bestimmte Gruppen aufgrund unzureichender Datengrundlagen benachteiligt werden.

Rechte der Patienten und Klienten
Der AI Act und die DSGVO stärken die Rechte der Patienten und Klienten in Bezug auf ihre personenbezogenen Daten. Diese Rechte müssen Sie als Praxis- oder Beratungsinhaber respektieren und unterstützen.
Wichtige Rechte:

1. Recht auf Auskunft: Patienten dürfen erfahren, welche Daten über sie gespeichert und verarbeitet werden.

2. Recht auf Berichtigung: Falsche oder unvollständige Daten müssen korrigiert werden.

3. Recht auf Löschung: Patienten können verlangen, dass ihre Daten gelöscht werden, sofern keine gesetzlichen Aufbewahrungspflichten entgegenstehen.

4. Recht auf Widerspruch: Patienten können der Verarbeitung ihrer Daten durch KI-Systeme widersprechen.

5. Recht auf Datenübertragbarkeit: Patienten können verlangen, dass ihre Daten in einem gängigen Format übermittelt werden.

Praxisnahe Beispiele für Datenschutzmaßnahmen

1. Sie setzen ein KI-gestütztes Diagnose-Assistenzsystem ein. Vor der Nutzung informieren Sie den Patienten schriftlich und holen dessen Einwilligung ein.

2. Ihr System zur Terminplanung greift nur auf die notwendigen Patientendaten (Name, Kontaktdaten, Terminzeiten) zu. Diese Daten werden verschlüsselt gespeichert.

3. Ein System zur Vitalwertanalyse speichert die Ergebnisse nicht automatisch, sondern nur nach ausdrücklicher Zustimmung des Patienten.

Was tun bei einem Datenschutzverstoß?
Sollte es trotz aller Maßnahmen zu einem Datenschutzverstoß kommen (z. B. durch einen Hackerangriff), müssen Sie folgende Schritte einleiten:

1. Sofortige Sicherung und Untersuchung: Stellen Sie die Sicherheitslücke ab und dokumentieren Sie den Vorfall.

2. Meldung an die Aufsichtsbehörde: Melden Sie den Vorfall innerhalb von 72 Stunden an die zuständige Datenschutzbehörde.

3. Informierung der betroffenen Personen: Informieren Sie betroffene Patienten oder Klienten, wenn deren Daten gefährdet wurden.

4. Ergreifung von Gegenmaßnahmen: Analysieren Sie die Ursache des Vorfalls und implementieren Sie Maßnahmen, um zukünftige Verstöße zu verhindern.

Der Einsatz von KI in der Heilpraktiker- und Beratungspraxis bringt zahlreiche Vorteile, erfordert jedoch auch ein hohes Maß an Verantwortungsbewusstsein im Hinblick auf den Datenschutz. Durch transparente Kommunikation, technische Sicherheitsmaßnahmen und eine lückenlose Dokumentation können Sie die gesetzlichen Anforderungen des AI Acts und der DSGVO erfüllen und das Vertrauen Ihrer Patienten stärken.