KI für Ernährungsberater: Ist sie legal und ethisch? Leitfaden zu DSGVO und KI-Gesetz
Cibus-TeamJa, ein Ernährungsberater darf künstliche Intelligenz in seiner Praxis legal nutzen, unter drei Bedingungen: (1) Patientendaten müssen auf einer korrekten Rechtsgrundlage gemäß DSGVO verarbeitet werden, (2) der Softwareanbieter muss einen Auftragsverarbeitungsvertrag (AVV gemäß Art. 28 DSGVO) unterzeichnen und die Daten nicht zum Training seiner Modelle verwenden, (3) jede klinische Entscheidung muss unter der Aufsicht der Fachkraft bleiben.
Was die DSGVO über Patientendaten sagt
Die Daten, die Sie täglich verarbeiten — Anamnese, Erkrankungen, Messungen, Ziele — sind Gesundheitsdaten, die von der DSGVO am stärksten geschützte Kategorie (Art. 9). Kurz gesagt, um sie mit einem digitalen Werkzeug zu verarbeiten, brauchen Sie:
- Eine angemessene Rechtsgrundlage: für die Verarbeitung zu Behandlungszwecken gilt Art. 9 Abs. 2 lit. h; für Werkzeuge, die über die Behandlung im engeren Sinne hinausgehen, ist es üblich, die ausdrückliche Einwilligung des Patienten einzuholen.
- Eine aktuelle Datenschutzerklärung, die die digitalen Werkzeuge und etwaige genutzte KI-Funktionen nennt.
- Als Auftragsverarbeiter benannte Anbieter mit einem AVV gemäß Art. 28: ohne dieses unterzeichnete Dokument verstoßen Sie gegen die DSGVO, auch wenn die Software hervorragend ist.
- Angemessene Sicherheitsmaßnahmen: Verschlüsselung, Zugriffskontrolle, Server in der Europäischen Union.
Warum Sie Patientendaten NICHT in ChatGPT einfügen sollten
- 1Kein AVV: Die Consumer-Versionen der Chatbots sehen keinen Auftragsverarbeitungsvertrag mit der Gesundheitsfachkraft vor. Sie sind der Verantwortliche und übertragen Gesundheitsdaten an eine nicht benannte Stelle.
- 2Mögliche Nutzung zum Training: Je nach Einstellungen können die eingegebenen Inhalte zur Verbesserung der Modelle verwendet werden.
- 3Übermittlungen außerhalb der EU ohne die erforderlichen Garantien.
Der Unterschied ist nicht „KI ja / KI nein": Er liegt zwischen Consumer-KI und professioneller KI. Seriöse Gesundheitssoftware nutzt KI innerhalb eines konformen Rahmens: unterzeichneter AVV, EU-Server, kein Training mit den Daten Ihrer Patienten, Protokolle und Zugriffskontrollen.
KI-Gesetz: Was sich für Beschäftigte im Gesundheitswesen ändert
- Transparenz: Der Patient muss wissen, wann er mit Inhalten interagiert, die mit KI-Unterstützung erstellt wurden.
- Menschliche Aufsicht: Systeme, die Entscheidungen im Gesundheitsbereich unterstützen, müssen die Fachkraft im Zentrum halten. Die KI schlägt vor, die Fachkraft entscheidet.
Übersetzt: Wenn Sie KI nutzen, um den Entwurf eines Plans oder Berichts zu erstellen, prüfen Sie ihn, unterschreiben ihn und übernehmen die berufliche Verantwortung dafür — genau wie bei der Arbeit einer menschlichen Assistenz.
Die Ethik: Ersetzt KI den Ernährungsberater?
Nein — und wer das verspricht, verkauft KI schlecht. Ein Ernährungsplan ist keine Rechnung: Er ist ein beruflicher Akt, der Erkrankungen, Untersuchungen, Adhärenz, Psychologie und das reale Leben des Patienten berücksichtigt. Die KI erledigt den mechanischen Teil sehr gut (den Entwurf strukturieren, Makros berechnen, den Bericht verfassen) und den klinischen und menschlichen Teil sehr schlecht.
- Transparenz mit dem Patienten: eine Zeile in der Datenschutzerklärung und, wenn der Patient fragt, eine einfache Erklärung.
- Systematische Prüfung: niemals ein KI-Ergebnis ohne fachliche Prüfung ausliefern.
- Aktuelle Kompetenz: KI erodiert Ihre Fähigkeiten nicht, solange Sie derjenige bleiben, der entscheidet; sie erodiert sie, wenn Sie abdanken.
Wie Cibus mit Daten umgeht (und warum wir es gern erklären)
Cibus ist in Italien für italienische Gesundheitsfachkräfte entstanden, und Compliance ist kein Anhang: Sie ist Architektur. Das ist ein wesentlicher Unterschied zu vielen Gesundheits-KI-Werkzeugen, die in den USA entstanden und um amerikanische Vorschriften wie HIPAA herum konzipiert sind: Für eine europäische Fachkraft bedeutet ein Anbieter außerhalb der EU, Übermittlungen von Gesundheitsdaten aus der Union heraus rechtfertigen zu müssen.
- Italienisches Unternehmen, Daten in Europa: keine zu rechtfertigenden Übermittlungen außerhalb der EU.
- AVV gemäß Art. 28 DSGVO für jeden Kunden bereit.
- Server in der Europäischen Union.
- Kein Training der KI-Modelle mit den Daten Ihrer Patienten.
- Verschlüsselung und Zugriffskontrolle für alle Daten.
Möchten Sie KI konform bei Ihren Patienten einsetzen?
Hinterlassen Sie Ihre Kontaktdaten und wir zeigen Ihnen, wie Cibus KI und DSGVO zusammenhält, mit fertigen AVV- und Datenschutzerklärungsvorlagen.
Häufige Fragen
Darf ich die Daten meiner Patienten in ChatGPT eingeben?
Nein, in den Consumer-Versionen nicht: Es fehlen der AVV gemäß Art. 28, die Garantien zu Übermittlungen und der Ausschluss vom Training. Nutzen Sie professionelle, für Gesundheitsdaten konzipierte Werkzeuge.
Braucht man eine spezifische Einwilligung, um KI mit Patienten zu nutzen?
Sie brauchen eine aktuelle Datenschutzerklärung, die die genutzten Werkzeuge nennt; je nach Zweck kann die ausdrückliche Einwilligung erforderlich sein. Für Ihren konkreten Fall wenden Sie sich an Ihren Datenschutzberater.
Wer haftet, wenn die KI einen Ernährungsplan falsch macht?
Die Fachkraft bleibt für den beruflichen Akt verantwortlich: Deshalb muss jedes KI-Ergebnis vor der Auslieferung geprüft werden. Es ist dasselbe Prinzip wie die Aufsicht über einen Mitarbeiter.
Was ist ein AVV und warum sollte ich ihn von meinem Anbieter verlangen?
Es ist der Vertrag (Art. 28 DSGVO), der den Anbieter als Auftragsverarbeiter benennt und dessen Pflichten und Grenzen definiert. Ohne unterzeichneten AVV ist die Nutzung jeder Software mit Patientendaten ein Verstoß.
Darf ich amerikanische KI-Software mit den Daten meiner Patienten nutzen?
Mit großer Vorsicht: Für den US-Markt entstandene Werkzeuge sind um HIPAA konzipiert, nicht um die DSGVO, und bringen Übermittlungen von Gesundheitsdaten außerhalb der EU mit sich, die mit spezifischen Garantien gerechtfertigt werden müssen. Ein europäischer Anbieter mit EU-Servern beseitigt das Problem an der Wurzel.