®Warum sind Patientendaten in ChatGPT ein Problem?
Zwei Dinge treffen zusammen. Erstens sind Gesundheitsdaten eine besondere Kategorie personenbezogener Daten nach Artikel 9 DSGVO und genießen den höchsten Schutz. Zweitens verarbeitet die frei zugängliche ChatGPT-Version Ihre Eingaben auf Servern von OpenAI, unter anderem in den USA, und es besteht dafür kein Auftragsverarbeitungsvertrag mit Ihrer Praxis. Wer den Namen, die Diagnose oder den Befund eines Patienten eintippt, gibt damit besonders geschützte Daten ohne Rechtsgrundlage aus der Hand. Das gilt auch dann, wenn nie etwas Sichtbares passiert.
Was ist erlaubt, was nicht?
Erlaubt ist alles, was keinen Bezug zu einer bestimmten Person hat: ein Aushang fürs Wartezimmer formulieren, einen allgemeinen Ablauf strukturieren, eine Stellenanzeige entwerfen, sich ein Thema erklären lassen.
Nicht erlaubt ist alles mit Klartext-Personenbezug: der Arztbrief mit Namen, die Schilderung eines konkreten Falls mit identifizierenden Details, Patientenlisten, Befunde.
Dazwischen liegt der eigentlich spannende Bereich, und dort entscheidet die Aufbereitung.
Der Weg zum Ja
Sie müssen auf den Nutzen nicht verzichten, Sie müssen ihn nur sauber einfädeln. Es gibt zwei Wege.
Der erste ist Anonymisieren oder korrektes Pseudonymisieren: Wenn Sie einen Fall besprechen wollen, entfernen Sie jeden Personenbezug, bevor die Anfrage das Haus verlässt. Kein Name, kein Geburtsdatum, keine Kombination von Details, die eine Person wieder erkennbar macht. Dann ist es kein Patientendatum mehr.
Der zweite ist ein geprüfter Zugang mit Vertrag: Für Fälle, in denen echte Personendaten verarbeitet werden müssen, gibt es geschäftliche KI-Zugänge mit Auftragsverarbeitungsvertrag und kontrollierter Datenverarbeitung. Welcher Zugang für Ihre Praxis passt und was der Vertrag abdecken muss, ist eine Einzelfallfrage, oft verbunden mit einer Datenschutz-Folgenabschätzung.
Und die KI-Verordnung?
Seit Februar 2025 verpflichtet Artikel 4 der EU-KI-Verordnung alle, die KI beruflich einsetzen, die KI-Kompetenz ihres Personals zu fördern. Für Ihre Praxis heißt das: Wer ChatGPT und ähnliche Werkzeuge nutzt, sollte geschult sein, und diese Maßnahmen sollten dokumentiert sein. Der sogenannte Digital Omnibus ist in Kraft: Verordnung (EU) 2026/1744, im Amtsblatt veröffentlicht am 24. Juli 2026, in Kraft seit 27. Juli 2026. Er verschiebt unter anderem Fristen für Hochrisiko-KI und hat Artikel 4 abgeschwächt: Statt ein ausreichendes Kompetenzniveau nach besten Kräften sicherzustellen, müssen Anbieter und Betreiber die KI-Kompetenz fördern. Die Pflicht als solche besteht seit Februar 2025 fort (Stand Juli 2026). Eine kurze, dokumentierte KI-Schulung und eine schriftliche Richtlinie für die Praxis decken beides ab: den sicheren Umgang und den Nachweis Ihrer KI-Kompetenz-Maßnahmen nach Artikel 4.
Der nächste Schritt
Wenn Sie KI in Ihrer Praxis nutzen wollen, ohne beim Datenschutz ins Straucheln zu geraten, hilft eine klare Richtlinie, ein einfaches Ampel-System fürs Team und eine dokumentierte Schulung. Genau dafür ist physicon da. Vereinbaren Sie ein unverbindliches Erstgespräch.
KI nutzen, ohne Patientendaten zu riskieren.
physicon bringt beides in Ihre Praxis: klare Regeln mit Ampel-System, die KI-Kompetenz-Schulung mit Zertifikat, und dokumentiert Ihre KI-Kompetenz-Maßnahmen nach Artikel 4. Schreiben Sie uns, womit Ihr Team heute arbeitet.
Quellen
- Verordnung (EU) 2024/1689 (KI-Verordnung), Artikel 4 · EUR-Lex
- Verordnung (EU) 2016/679 (DSGVO), Artikel 9 · EUR-Lex
- Orientierungshilfe der Datenschutzkonferenz zu Künstlicher Intelligenz und Datenschutz (Mai 2024, PDF)
Dieser Beitrag gibt einen praxisorientierten Überblick und ersetzt keine Rechtsberatung im Einzelfall.
Betriebswirt und Prozessberater mit über zehn Jahren Beratungserfahrung und fünf Jahren als Geschäftsführer eines Gesundheitsunternehmens. Autorisierter INQA-Coach. physicon berät und coacht Gesundheitsunternehmen in Compliance, Prozessen und KI.