DSGVO-konforme KI im Gesundheitswesen

Gesundheitsorganisationen in der gesamten EU setzen zunehmend auf KI-Infrastruktur mit hohen Datenschutzstandards – darunter etwa der Wiener Gesundheitsverbund in Österreich. Die Nachfrage wächst europaweit, aber mit deutlich strengeren Datenschutzanforderungen als in anderen Branchen.

Warum das Gesundheitswesen besondere Anforderungen an KI stellt

Das Gesundheitswesen verarbeitet die sensibelsten personenbezogenen Daten überhaupt: Diagnosen, Behandlungsverläufe, genetische Informationen, psychologische Befunde, Medikationspläne. Diese Daten fallen unter Artikel 9 der DSGVO als "besondere Kategorien personenbezogener Daten" und unterliegen EU-weit einem erhöhten Schutzstandard.

Für KI-Systeme im Gesundheitswesen bedeutet das: Die Anforderungen gehen weit über die Standard-DSGVO-Konformität hinaus. Zusätzlich greifen die jeweiligen nationalen Gesundheitsdatenschutzgesetze der EU-Mitgliedstaaten, die ärztliche Verschwiegenheitspflicht und zunehmend der EU AI Act, der viele KI-Systeme im Gesundheitsbereich als Hochrisiko einstuft.

Die Datenschutzanforderungen im Detail

Artikel 9 DSGVO – Besondere Datenkategorien: Gesundheitsdaten dürfen EU-weit nur unter engen Voraussetzungen verarbeitet werden. Für den KI-Einsatz kommt in der Regel die ausdrückliche Einwilligung (Art. 9 Abs. 2a) oder die Verarbeitung zum Zweck der Gesundheitsversorgung (Art. 9 Abs. 2h) in Betracht – jeweils mit hohen Anforderungen an die technischen Schutzmaßnahmen. Diese Vorgaben gelten unmittelbar in allen EU-Mitgliedstaaten.

Ärztliche Verschwiegenheitspflicht: Ärzte und andere Gesundheitsberufe unterliegen in den meisten EU-Mitgliedstaaten einer eigenen, häufig auch strafrechtlich geschützten Verschwiegenheitspflicht. Die Eingabe von Patientendaten in externe KI-Systeme kann mit dieser Pflicht in Konflikt stehen. Ob ein Auftragsverarbeitungsvertrag mit dem KI-Anbieter allein ausreicht, um diesem Risiko zu begegnen, hängt von den technischen und vertraglichen Rahmenbedingungen sowie vom jeweils anwendbaren nationalen Recht ab und sollte im Zweifel rechtlich geprüft werden.

EU AI Act – Hochrisiko-Einstufung: KI-Systeme, die in der Gesundheitsversorgung eingesetzt werden – insbesondere wenn sie klinische Entscheidungen unterstützen – fallen nach aktuellem Stand ab August 2026 EU-weit unter die Hochrisiko-Kategorie. Das bedeutet: Transparenzpflichten, menschliche Aufsicht, Dokumentation und Risikomanagement werden verpflichtend. Da die genauen Übergangsfristen auf EU-Ebene derzeit noch verhandelt werden, lohnt sich vor der Umsetzung ein Blick auf den aktuellen Stand.

Nationales Gesundheitsrecht: Zusätzlich zur DSGVO regeln viele EU-Mitgliedstaaten die elektronische Verarbeitung von Gesundheitsdaten durch eigene nationale Gesetze – in Österreich etwa das Gesundheitstelematikgesetz (GTelG). Gesundheitsorganisationen sollten prüfen, welche nationalen Zusatzregelungen in ihrem jeweiligen Land gelten, bevor sie KI-Systeme mit Patientendaten einführen.

Wo KI im Gesundheitswesen den größten Mehrwert schafft

Klinische Dokumentation: KI kann Arztbriefe, Befundberichte und Entlassungsberichte entwerfen, die der Arzt überprüft und freigibt. Das kann einen erheblichen Teil der Dokumentationszeit einsparen – Zeit, die für die Patientenversorgung frei wird.

Medizinische Literaturrecherche: Ärzte und Forscher können KI nutzen, um aktuelle Studien, Leitlinien und Fachliteratur zu durchsuchen und zusammenzufassen – deutlich schneller als manuelle Recherche.

Patientenkommunikation: KI kann Patienteninformationen in verständlicher Sprache aufbereiten, mehrsprachige Kommunikation unterstützen und Standardanfragen beantworten – gerade in mehrsprachigen EU-Ländern ein spürbarer Vorteil.

Verwaltung und Administration: Terminplanung, Abrechnungscodierung, Dokumentenklassifikation und Qualitätssicherung sind Bereiche, in denen KI erhebliche Effizienzgewinne ermöglicht – ohne direkten Patientenkontakt.

Wissensmanagement: Kliniken mit tausenden Seiten interner Richtlinien, SOPs und Qualitätshandbücher können KI nutzen, um dieses Wissen für alle Mitarbeiter durchsuchbar und abrufbar zu machen.

Warum Standard-KI-Tools für das Gesundheitswesen nicht ausreichen

Die Consumer-Versionen gängiger KI-Tools sind für den Einsatz mit Patientendaten kategorisch ungeeignet: Daten werden auf externen Servern verarbeitet, häufig außerhalb der EU. Nutzungsbedingungen erlauben teils die Verwendung für Modelltraining. Audit-Trails fehlen. Granulare Zugriffsrechte sind nicht verfügbar. Es gibt keine Möglichkeit, die Verschwiegenheitspflicht technisch abzusichern.

Selbst Enterprise-Versionen einiger Anbieter lösen nicht alle Probleme: Die grundsätzliche Architektur bleibt cloudbasiert, die Datenverarbeitung erfolgt auf Infrastruktur des Anbieters, und die Kontrolle über Datenflüsse ist begrenzt.

Die richtige Architektur: KI im eigenen Sicherheitsperimeter

Für Gesundheitsorganisationen in der EU gibt es im Wesentlichen zwei sichere Architekturen:

On-Premise: Die KI-Plattform läuft auf der eigenen Infrastruktur der Einrichtung – im Krankenhausrechenzentrum oder auf dedizierten Servern. Maximale Kontrolle, kein Datenabfluss, unabhängig vom jeweiligen EU-Mitgliedstaat.

Managed Hosting im österreichischen Rechenzentrum: Die Plattform wird in unserem Rechenzentrum in Österreich betrieben – als EU-Mitgliedstaat DSGVO-konform für Gesundheitsorganisationen aus der gesamten Union. Geringerer operativer Aufwand, volle DSGVO-Konformität, kein Kontakt mit Infrastruktur außerhalb der EU.

In beiden Fällen gilt: Patientendaten verlassen zu keinem Zeitpunkt den kontrollierten Bereich. Es findet kein Training externer Modelle mit diesen Daten statt.

headwAI ONE: Mehr als DSGVO-konform – für Gesundheitsorganisationen in der ganzen EU

headwAI ONE ist für Organisationen mit höchsten Datenschutzanforderungen konzipiert. Als Enterprise-Distribution von Open WebUI bietet die Plattform Zugang zu den führenden KI-Modellen über eine zentrale, sichere Oberfläche.

Gesundheitsorganisationen wie der Wiener Gesundheitsverbund setzen bereits auf headwAI. Die Plattform ist On-Premise oder als Managed Server im Rechenzentrum in Österreich betreibbar – für Gesundheitsorganisationen aus der gesamten EU eine DSGVO-konforme Lösung innerhalb der Union, bei der Patientendaten zu keinem Zeitpunkt den kontrollierten Bereich verlassen.

Rollenbasierte Zugriffskontrolle mit Active-Directory-Integration stellt sicher, dass nur autorisiertes Personal auf sensible Funktionen zugreifen kann. Vollständiges Audit-Logging dokumentiert jede Interaktion – eine wichtige Grundlage für die Compliance mit dem EU AI Act und die Anforderungen der jeweiligen nationalen Gesundheitsaufsicht. Verschlüsselte Speicherung schützt Daten im Ruhezustand. Die Infrastruktur ist ISO-27001-ready.