KI für Ärzte: Was ist erlaubt? DSGVO, Schweigepflicht, EU AI Act und MDR

Hinweis: Dieser Artikel gibt einen Überblick, Stand 13. Oktober 2026, und ist keine Rechtsberatung. Für konkrete Vorhaben — etwa die Einführung eines KI-Werkzeugs in Klinik oder Praxis — sind Datenschutzbeauftragte, Rechtsabteilung und Ärztekammer die richtigen Ansprechpartner. Medelix ist selbst Anbieter eines KI-Werkzeugs.

Kurz gesagt

• Patientendaten sind Gesundheitsdaten und damit besonders geschützt (Art. 9 DSGVO). Auch pseudonymisierte Daten bleiben personenbezogen.
• Die Schweigepflicht gilt auch gegenüber KI-Anbietern (§ 203 StGB in Deutschland, § 54 Ärztegesetz in Österreich). Externe Dienstleister dürfen nur unter engen Voraussetzungen einbezogen werden.
• Faustregel: Keine identifizierenden Patientendaten in KI-Werkzeuge eingeben, die Deine Einrichtung nicht ausdrücklich freigegeben hat.
• EU AI Act: Die Pflicht zur KI-Kompetenz gilt seit Februar 2025, Transparenzpflichten seit August 2026. Pflichten für KI in Medizinprodukten wurden durch den „Digital Omnibus“ auf August 2028 verschoben.
• KI ersetzt nicht das ärztliche Urteil. Die Bundesärztekammer fordert, KI-Ergebnisse ärztlich auf Plausibilität zu prüfen.

1. Datenschutz: Was die DSGVO verlangt

Gesundheitsdaten gehören zu den besonderen Kategorien personenbezogener Daten; ihre Verarbeitung ist grundsätzlich untersagt, sofern keine Ausnahme greift (Art. 9 Abs. 1 DSGVO) [1]. Eine dieser Ausnahmen betrifft die medizinische Diagnostik und Versorgung (Art. 9 Abs. 2 lit. h), verbunden mit der Bedingung, dass die Verarbeitung durch oder unter Verantwortung von Personen erfolgt, die einer Geheimhaltungspflicht unterliegen (Art. 9 Abs. 3) [1].

Wichtig für die Praxis:

• Pseudonymisiert ist nicht anonym. Daten, die mit Zusatzinformationen wieder einer Person zugeordnet werden können, gelten weiterhin als personenbezogen (Art. 4 Nr. 5 und Erwägungsgrund 26 DSGVO). Nur wirklich anonyme Informationen fallen nicht unter die DSGVO [1].
• Auftragsverarbeitung. Verarbeitet ein KI-Anbieter personenbezogene Daten in Deinem Auftrag, braucht es einen Vertrag nach Art. 28 DSGVO (Auftragsverarbeitungsvertrag) mit hinreichenden Garantien [1].
• Drittlandübermittlung. Werden Daten außerhalb der EU verarbeitet, kommen zusätzliche Anforderungen hinzu (Kapitel V DSGVO).

Die Datenschutzkonferenz (DSK) hat 2024 eine Orientierungshilfe „Künstliche Intelligenz und Datenschutz“ veröffentlicht, die sich auf große Sprachmodelle konzentriert und als Checkliste für Auswahl und Nutzung von KI-Anwendungen gedacht ist [2].

2. Schweigepflicht

Deutschland: § 203 StGB stellt das unbefugte Offenbaren fremder Geheimnisse durch Ärztinnen und Ärzte unter Strafe. Seit der Reform 2017 dürfen Geheimnisse gegenüber „sonstigen mitwirkenden Personen“ — etwa externen IT-Dienstleistern — offenbart werden, soweit das für deren Tätigkeit erforderlich ist; wer solche Personen nicht zur Geheimhaltung verpflichtet, kann sich selbst strafbar machen [3].

Österreich: Nach § 54 Ärztegesetz 1998 sind Ärztinnen und Ärzte und ihre Hilfspersonen zur Verschwiegenheit über alle in Ausübung ihres Berufes anvertrauten oder bekannt gewordenen Geheimnisse verpflichtet [4].

Ein frei zugänglicher KI-Chatbot ohne Vertrag ist in aller Regel keine „mitwirkende Person“ im Sinne dieser Vorschriften.

3. Was heißt das im Alltag?

• Allgemein fragen, nicht über den Patienten. „Antikoagulation bei Vorhofflimmern und eGFR 25?“ ist eine fachliche Frage. Name, Geburtsdatum, Fallnummer, Adresse oder seltene Kombinationen von Merkmalen machen daraus Patientendaten.
• Nur freigegebene Werkzeuge für Patientendaten nutzen — mit Auftragsverarbeitungsvertrag, geklärtem Verarbeitungsort und Freigabe durch Datenschutzbeauftragte.
• Ergebnisse prüfen. Die zitierte Quelle öffnen, Plausibilität prüfen, dokumentieren, worauf die Entscheidung beruht.

Zur Einordnung, wie ein Anbieter das umsetzen kann: Medelix verbietet in seinen Nutzungsbedingungen die Eingabe patientenidentifizierender Daten und filtert typische direkte Identifikatoren zusätzlich automatisch heraus; diese Filter sind laut Datenschutzerklärung eine Zusatzsicherung, keine Garantie [5].

4. EU AI Act: Was gilt wann?

Die KI-Verordnung (EU) 2024/1689 gilt gestaffelt [6]. Mit der Verordnung (EU) 2026/1744 („Digital Omnibus on AI“) wurden einzelne Fristen geändert [7]. Nach der Zusammenfassung der slowenischen Regulierungsbehörde AKOS [8]:

Für Ärztinnen und Ärzte als Betreiber („deployer“) von KI-Systemen heißt das:

• KI-Kompetenz (Art. 4): Einrichtungen, die KI einsetzen, müssen Maßnahmen zur KI-Kompetenz ihres Personals treffen. Der Digital Omnibus hat diese Pflicht nach Berichten abgeschwächt; maßgeblich ist der konsolidierte Text [6][7].
• Transparenz (Art. 50): Anbieter müssen sicherstellen, dass Menschen erkennen, dass sie mit einem KI-System interagieren; KI-generierte Inhalte sind zu kennzeichnen [6].
• Hochrisiko-Systeme (Art. 26): Wer ein Hochrisiko-KI-System betreibt — etwa KI als Teil eines Medizinprodukts —, muss es gemäß Gebrauchsanweisung einsetzen, menschliche Aufsicht durch geschultes Personal sicherstellen und den Betrieb überwachen [6]. Für Medizinprodukte gilt das nach dem Omnibus ab August 2028 [8].

5. Medizinprodukterecht: Ist mein KI-Werkzeug ein Medizinprodukt?

Software ist ein Medizinprodukt, wenn der Hersteller sie für einen medizinischen Zweck bestimmt — etwa Diagnose, Vorhersage oder Behandlung von Krankheiten (Art. 2 Nr. 1 MDR) [9]. Software, die Informationen für diagnostische oder therapeutische Entscheidungen liefert, fällt nach Regel 11 mindestens in Klasse IIa [9]. Wie Software einzuordnen ist, erläutert die Leitlinie MDCG 2019-11, deren Revision 1 im Juni 2025 erschienen ist [10].

Entscheidend ist die Zweckbestimmung des Herstellers. Ein Werkzeug, das ausdrücklich als Informationsquelle und nicht als Medizinprodukt angeboten wird — wie Medelix [11] —, ist für Information und Recherche gedacht; die klinische Entscheidung bleibt bei Dir.

6. Was die Ärzteschaft sagt

Die Bundesärztekammer hat im Januar 2025 eine Stellungnahme ihres Wissenschaftlichen Beirats zu „Künstlicher Intelligenz in der Medizin“ beschlossen [12]. Zu den ethischen Anforderungen ärztlicher Arbeit zählt danach etwa die Überprüfung der Plausibilität diagnostischer Vorschläge durch KI [13].

Checkliste vor der Nutzung

1. Brauche ich für meine Frage überhaupt Patientendaten? Meist nicht.
2. Ist das Werkzeug von meiner Einrichtung freigegeben, wenn Patientendaten nötig sind?
3. Wo werden die Daten verarbeitet, und gibt es einen Auftragsverarbeitungsvertrag?
4. Nennt das Werkzeug seine Quellen, und habe ich sie geprüft?
5. Ist das Werkzeug ein Medizinprodukt — und nutze ich es im Rahmen seiner Zweckbestimmung?

Mehr zu konkreten Werkzeugen: Medelix vs. ChatGPT · OpenEvidence-Alternative für Europa.

Quellen

1. Verordnung (EU) 2016/679 (DSGVO). eur-lex.europa.eu
2. Datenschutzkonferenz (06.05.2024): Orientierungshilfe Künstliche Intelligenz und Datenschutz. datenschutzkonferenz-online.de
3. § 203 StGB — Verletzung von Privatgeheimnissen. gesetze-im-internet.de
4. § 54 Ärztegesetz 1998 (Österreich). ris.bka.gv.at
5. Medelix: Datenschutzerklärung. medelix.ai/privacy
6. Verordnung (EU) 2024/1689 (KI-Verordnung). eur-lex.europa.eu
7. Verordnung (EU) 2026/1744 (Digital Omnibus on AI). eur-lex.europa.eu
8. AKOS: Digital Omnibus on Artificial Intelligence — FAQ. akos-rs.si
9. Verordnung (EU) 2017/745 (MDR). eur-lex.europa.eu
10. Europäische Kommission (17.06.2025): Update MDCG 2019-11 rev.1. health.ec.europa.eu
11. Medelix: Impressum. medelix.ai/impressum
12. Bundesärztekammer (2025): Stellungnahme „Künstliche Intelligenz in der Medizin“. doi.org/10.3238/arztebl.2025.Stellungnahme_KI_Medizin
13. Bundesärztekammer (21.02.2025): Ärztinnen und Ärzte auf Umgang mit KI in der Medizin vorbereiten. bundesaerztekammer.de