Kurz gesagt: KI-gestützte Dokumentation ist in Dänemark legal. Das Gesetz verbietet nicht, KI als Hilfsmittel zum Schreiben einer Notiz zu nutzen. Es stellt Anforderungen an Verantwortung und Datenschutz - und die gehen wir hier durch.
Wer trägt die Verantwortung für die Akte?
Die Verantwortung liegt bei der autorisierten behandelnden Person - nicht beim Werkzeug. Die KI erstellt einen Entwurf. Die behandelnde Person liest ihn durch, korrigiert und genehmigt ihn, bevor er gespeichert wird. Die Dokumentationspflicht gilt unverändert. Ein KI-Werkzeug ändert nicht, wer für den Inhalt verantwortlich ist.
Was verlangt die DSGVO?
Patientendaten sind sensible personenbezogene Daten. Die Verarbeitung braucht eine gültige Grundlage nach der Datenschutz-Grundverordnung (DSGVO), einschließlich der Regeln zu besonderen Kategorien von Daten in Artikel 9. In der Praxis werden die Daten im Rahmen Ihrer Behandlung der Patientin oder des Patienten verarbeitet.
Sie müssen dokumentieren können, wie Daten verarbeitet werden, und nur das Nötige verarbeiten. Das nennt man Datenminimierung.
Braucht es einen Auftragsvertrag?
Ja. Wenn Sie eine externe KI-Anbieterin oder einen externen KI-Anbieter zur Verarbeitung von Patientendaten nutzen, ist diese Stelle Auftragsverarbeiter. Dann verlangt die DSGVO (Artikel 28) einen Auftragsverarbeitungsvertrag zwischen der Klinik und dem Anbieter. Der Vertrag legt unter anderem fest, wo Daten verarbeitet werden, wie sie gesichert werden und wann sie gelöscht werden.
Bei People's Clinic werden Daten innerhalb der EU verarbeitet, und Sie erhalten als Teil der Einrichtung einen Auftragsverarbeitungsvertrag. Mehr dazu unter Daten und Sicherheit.
Muss die Patientin oder der Patient informiert werden?
In der Regel ist keine formelle Einwilligung erforderlich, und es besteht keine Pflicht, die Patientin oder den Patienten während der Konsultation mündlich zu informieren. Die Notiz wird als Teil der Behandlung und der Dokumentationspflicht erstellt. Nach der Informationspflicht der DSGVO hat die Patientin oder der Patient das Recht zu erfahren, dass ein KI-Werkzeug genutzt wird - was in der Regel über die allgemeine Datenschutzinformation der Klinik erfüllt wird. Es ist gute Praxis, in der Akte zu vermerken, dass die Patientin oder der Patient informiert wurde. Die Transkription wird nach bis zu 90 Tagen gelöscht, während die fertige Notiz unter Ihrer Kontrolle in Ihrem Aktensystem verbleibt.
Wo dürfen Daten verarbeitet werden?
Sensible Patientendaten müssen innerhalb der EU/des EWR (Europäischer Wirtschaftsraum) oder unter vergleichbarem Schutz verarbeitet werden. People's Clinic verarbeitet Daten innerhalb der EU. Die Daten werden nicht an die US-Jurisdiktion übermittelt.
Was ist mit dem EU AI Act?
Die KI-Verordnung der EU (AI Act) stellt Anforderungen an KI im Gesundheitswesen - unter anderem zu Transparenz und Verantwortlichkeit. Welche Anforderungen für KI in der Klinik gelten und worauf Sie als Klinik achten müssen, sehen wir uns in einem eigenen Guide genauer an.
Dieser Guide ist eine allgemeine Orientierung zu den Regeln - keine Rechtsberatung. Sind Sie bei der Lage Ihrer Klinik unsicher, holen Sie konkreten Rat ein. Zuständige Behörden sind Datatilsynet (die dänische Datenschutzbehörde) und Styrelsen for Patientsikkerhed (die dänische Behörde für Patientensicherheit).