Datenschutzrechtliche und sicherheitstechnische Anforderungen an KI-Systeme in Krankenhäusern
Die Integration von Künstlicher Intelligenz (KI) in Krankenhäuser bringt erhebliche Vorteile, stellt jedoch auch besondere Anforderungen in Bezug auf Datenschutz und Sicherheit. Insbesondere wenn KI-Systeme in der medizinischen Versorgung eingesetzt werden, müssen Krankenhäuser nicht nur auf die Auswahl passender KI-Modelle achten, sondern auch auf die Wahrung der ärztlichen Schweigepflicht und die Einhaltung von Sicherheitszertifikaten wie dem C5-Testat. Dieser Blogpost zeigt auf, welche zentralen Aspekte Krankenhäuser im Umgang mit KI beachten müssen.
Auswahl des richtigen KI-Systems
Die Architektur und Auswahl eines geeigneten KI-Modells sind grundlegend, unabhängig davon, ob es sich um ein Hochrisiko-KI-System handelt oder nicht. Dabei müssen Krankenhäuser sicherstellen, dass personenbezogene Daten, insbesondere Patientendaten, nicht unzulässig zur Optimierung dieser Modelle verwendet werden. Die Nutzung solcher Modelle erfordert eine strikte Trennung der verarbeiteten Daten unter verschiedenen Nutzern, um datenschutzrechtliche Bedenken auszuräumen.
Sicherung der Datentrennung und Kontrolllösungen
Anbieter wie Microsoft, Amazon, und Google bieten dedizierte Instanzen ihrer Sprachmodelle an, um eine logische Trennung der Daten zu gewährleisten. Während Microsoft mit dem Azure OpenAI Service Vorreiter in dieser Kategorie ist, bieten auch Amazon (‚Amazon Bedrock‘) und Google (‚Vertex AI‘) ähnliche Dienste an. Für die vollständige Kontrolle bieten sich Open-Source-Modelle wie Llama oder Mistral an, welche lokal oder bei vertrauenswürdigen Dienstleistern wie T-Systems gehostet werden können.
Rechtliche Anforderungen und C5-Zertifizierungen
Zusätzlich zu den datenschutzrechtlichen Herausforderungen stellt das Betreiben von KI-Systemen auch rechtliche Anforderungen an Krankenhäuser. Verträge zur Auftragsverarbeitung müssen erweiterte Klauseln enthalten, um die gesetzlichen Vorgaben des § 203 StGB zu erfüllen. Diese Anforderungen an den Schutz von Patientendaten dürfen nicht vernachlässigt werden.
Vertragliche Bindungen und Geheimhaltungspflichten
Damit Externe, die im Auftrag eines Krankenhauses tätig sind, Zugriff auf sensible Daten haben können, müssen entsprechende vertragliche Vorkehrungen getroffen werden. Diese Verträge müssen nicht nur den Bestimmungen der DSGVO (Art. 28 Abs. 3) entsprechen, sondern auch sicherstellen, dass alle beteiligten Mitarbeiter zur Verschwiegenheit im Sinne des § 203 StGB verpflichtet werden. Microsoft bietet hierfür spezielle Zusatzvereinbarungen, aber selbige müssen im Einzelfall mit anderen Anbietern verhandelt werden.
C5-Testate und lokale Niederlassungen
Um Sicherheitsstandards zu erfüllen, werden C5-Testate für Cloud-Dienstanbieter verlangt, die in der Verarbeitung von Gesundheitsdaten involviert sind. Diese Zertifizierungen gewährleisten, dass ein Anbieter die hohen Sicherheitsanforderungen des Bundesamts für Sicherheit in der Informationstechnik (BSI) erfüllt. Hierbei gilt es zu beachten, dass nicht alle Anbieter, wie etwa OpenAI oder Anthropic, aktuell über ein solches Testat verfügen.
Die Sicherheit und der Schutz von Patientendaten hat höchste Priorität. Wenn Ihr Krankenhaus Unterstützung bei der sicheren Implementierung von KI-Systemen benötigt oder Fragen zu den rechtlichen und technischen Anforderungen hat, zögern Sie nicht, uns bei Datenschutzbeauftragter Trier zu kontaktieren. Unser Expertenteam steht Ihnen gerne zur Seite!
