Souveräne KI im Gesundheitswesen: eine Anbieter-Checkliste für die Datenschutzbeauftragte

KI-Agenten in der Krankenhausverwaltung sollen Arbeit abnehmen. Sie prüfen Rechnungen, bereiten Kostenübernahmen vor und gleichen Dokumente ab. Bevor so ein System produktiv geht, muss die Datenschutzbeauftragte zustimmen. Oft zieht sich diese Prüfung, weil Anbieter vage antworten. Diese Checkliste soll helfen, schneller zu einer belastbaren Entscheidung zu kommen. Sie zeigt, welche Fragen wirklich entscheiden und woran Sie eine gute Antwort erkennen.

Warum Souveränität im Krankenhaus kein Marketingbegriff ist

Gesundheitsdaten gehören nach der DSGVO zu den besonders geschützten Kategorien personenbezogener Daten. Auch die Verwaltung arbeitet mit solchen Daten, etwa bei Abrechnung, Patientenaufnahme und Korrespondenz mit Kostenträgern. Souveränität heißt hier ganz praktisch: Das Haus weiß jederzeit, wo die Daten liegen, wer darauf zugreifen kann und wie es sich wieder vom Anbieter lösen kann. Kann ein Anbieter diese drei Punkte nicht klar beantworten, ist das ein deutliches Warnsignal für den Einsatz im Krankenhaus.

1. Datenresidenz und Zugriff

• Wo werden die Daten gespeichert und verarbeitet? Gemeint sind konkrete Rechenzentrumsstandorte in der EU, nicht nur der Firmensitz.
• Kann die Verarbeitung lokal oder in der eigenen Infrastruktur des Hauses laufen, wenn das gewünscht ist?
• Unterliegt der Anbieter oder einer seiner Dienstleister einem Recht außerhalb der EU, das Behörden den Zugriff auf die Daten erlauben könnte?
• Wer beim Anbieter hat technisch Zugriff auf Produktivdaten, und wie wird dieser Zugriff protokolliert?

2. Modelle, Training und Subunternehmer

• Werden Kundendaten zum Training oder zur Verbesserung von Modellen genutzt? Die Antwort sollte ein vertraglich festgehaltenes Nein sein.
• Welche Sprachmodelle kommen zum Einsatz, und wo laufen sie? Wird ein externer Modellanbieter angebunden, gehört er auf die Liste der Unterauftragsverarbeiter.
• Gibt es eine vollständige, aktuelle Liste aller Unterauftragsverarbeiter mit Standort und Zweck?
• Wie wird das Haus über neue Subunternehmer informiert, und kann es widersprechen?

3. Vertrag und Dokumentation

• Gibt es einen Auftragsverarbeitungsvertrag, der auf den Gesundheitskontext zugeschnitten ist und nicht nur eine Standardvorlage übernimmt?
• Stellt der Anbieter die Unterlagen bereit, die das Haus für eine Datenschutz-Folgenabschätzung braucht, also Datenflüsse, technische und organisatorische Maßnahmen und eine Risikobewertung?
• Wie ordnet der Anbieter sein System nach dem EU AI Act ein, und kann er diese Einordnung begründen?
• Ist klar dokumentiert, dass das System kein Medizinprodukt ist, ausschließlich administrative Aufgaben übernimmt und keine klinischen Entscheidungen trifft?

4. Nachvollziehbarkeit der Agenten

Agenten machen nicht nur Vorschläge, sie erledigen Verwaltungsarbeit selbst. Umso wichtiger ist es, dass sich ihr Handeln lückenlos nachvollziehen lässt.

• Wird jeder Schritt eines Agenten protokolliert: welche Daten er gelesen hat, was er getan hat und auf welcher Grundlage?
• Lässt sich festlegen, welche Aktionen eine menschliche Freigabe brauchen?
• Gilt das Prinzip der minimalen Rechte, sodass ein Agent nur auf die Systeme und Felder zugreift, die er für seine Aufgabe braucht?
• Wie lange werden Protokolle aufbewahrt, und wer kann sie einsehen?

5. Integration und Exit

• Läuft das System als Schicht über dem bestehenden KIS, oder verlangt es, dass Daten in eine fremde Plattform kopiert werden?
• Welche Schnittstellen werden genutzt, und welche Daten verlassen dabei das KIS?
• Wie werden die Daten am Vertragsende zurückgegeben und gelöscht, und wie wird die Löschung bestätigt?
• Kann das Haus Konfigurationen und Prozesslogik in einem offenen Format mitnehmen?

Woran Sie eine gute Antwort erkennen

Gute Anbieter antworten schriftlich und konkret und belegen ihre Aussagen mit Dokumenten. Ausweichende Formulierungen wie „branchenübliche Standards“ oder „auf Anfrage“ sind ein Warnsignal, wenn es um Standort, Training oder Subunternehmer geht. Es kann sich lohnen, die Checkliste schon vor der Demo zu verschicken. Dann spricht das Projektteam später über den Nutzen und nicht über offene Grundsatzfragen.

Hinweis: Dieser Beitrag ist eine Orientierungshilfe und keine Rechtsberatung. Für die verbindliche Bewertung Ihres Vorhabens wenden Sie sich an Ihre Rechtsabteilung oder eine spezialisierte Beratung.

Wie Actio diese Fragen beantwortet

Actio baut KI-Agenten, die in der Verwaltung von Krankenhäusern und Pflegeeinrichtungen Arbeit erledigen, statt nur Vorschläge zu machen. Sie arbeiten als souveräne Schicht über dem vorhandenen KIS, unabhängig vom Hersteller. Die Daten bleiben in der EU, und auf Wunsch läuft die Verarbeitung lokal in der Infrastruktur des Hauses. Kundendaten werden nicht für das Training von Modellen verwendet, und jeder Schritt der Agenten wird protokolliert. Actio ist kein Medizinprodukt, trifft keine klinischen Entscheidungen und ist auf DSGVO und EU AI Act ausgerichtet. Wir beantworten Ihnen die Checkliste gern schriftlich, bevor Ihr Haus sich festlegt.

Fragen zum Thema beantwortet der Gründer direkt: david.rehrl@actio-agents.com