Praxisfall: Patientendaten in ChatGPT
Interaktive Fallstudien: Kundendaten, KI-Angebote, Bewerberbewertung und mehr — Sie entscheiden.
Im Kundenservice eines Homecare-Anbieters für Sauerstoff- und Beatmungstherapie soll ein neuer Mitarbeiter eine Beschwerde-E-Mail einer Patientin schneller beantworten. Um Zeit zu sparen, kopiert er die komplette Original-E-Mail inklusive Name, Adresse, Verordnungsnummer und Beschreibung der Therapiesituation in ein öffentlich zugängliches KI-Chatprogramm und bittet um eine freundliche Antwort. Die KI liefert innerhalb von Sekunden einen guten Textvorschlag, doch der Mitarbeiter hat dabei personenbezogene und gesundheitsbezogene Daten an einen externen Dienst übermittelt, ohne dass dafür eine Rechtsgrundlage oder Freigabe vorlag.
Warum dieses Vorgehen problematisch ist
Personenbezogene Daten wie Name, Adresse und Verordnungsnummer unterliegen dem Datenschutz. Werden sie in ein öffentliches KI-Werkzeug eingegeben, verlässt das Unternehmen die Kontrolle darüber, wo diese Daten gespeichert, verarbeitet oder eventuell für das Training des Modells genutzt werden. Je nach Anbieter und Einstellungen können solche Eingaben außerhalb der Europäischen Union verarbeitet werden. Ein Homecare-Anbieter, der mit Verordnungs- und Gesundheitsdaten arbeitet, trägt hier ein besonders hohes Risiko, weil Gesundheitsdaten nach Artikel 9 DSGVO besonders geschützt sind und bereits eine einzelne unbedachte Eingabe zu einem meldepflichtigen Datenschutzvorfall führen kann.
Der Mitarbeiter handelte nicht aus böser Absicht, sondern aus Unwissenheit über die Regeln des Unternehmens und die Funktionsweise der KI. Genau das zeigt, wie wichtig klare interne Vorgaben und eine kurze, aber verständliche Schulung für alle Mitarbeitenden sind, bevor KI-Werkzeuge im Arbeitsalltag genutzt werden.
Vor der Eingabe in eine KI müssen alle personenbezogenen Angaben entfernt oder durch Platzhalter ersetzt werden, zum Beispiel Patientin A statt echtem Namen und XY-12345 statt echter Verordnungsnummer.
- Namen, Adressen und Verordnungsnummern vor der Eingabe entfernen
- Nur den allgemeinen Sachverhalt beschreiben, keine Identifizierungsmerkmale
- Prüfen, ob ein freigegebenes, unternehmensinternes KI-Werkzeug genutzt werden muss
- Im Zweifel die IT- oder Datenschutzbeauftragte Person fragen
Der Mitarbeiter hätte schreiben können: Eine Patientin beschwert sich, dass eine zugesagte Ersatzlieferung für ihr Therapiegerät seit vier Wochen aussteht. Formuliere eine höfliche, entschuldigende Antwort, die einen nächsten Bearbeitungsschritt innerhalb von fünf Werktagen ankündigt. So erhält er den gewünschten Text, ohne dass reale Patientendaten übermittelt werden.
- ✓Enthält der Text Namen, Adressen oder Kennzeichnungen
- ✓Enthält der Text Verordnungs- oder Gesundheitsdaten
- ✓Kann der Sachverhalt auch ohne diese Daten beschrieben werden
- ✓Ist das genutzte Werkzeug für solche Aufgaben freigegeben
Dieses Modul umfasst 5 Kapitel und einen abschließenden Wissens-Check. Melden Sie sich an, um es vollständig zu bearbeiten.
Kostenlos testen →