Privacy-First KI: Warum Patientendaten nicht auf US-Servern landen dürfen

Wer einen generischen Chatbot über eine Standard-API betreibt, verschiebt damit oft auch sensible Inhalte in einen Rechts- und Kontrollraum ausserhalb der eigenen Organisation. Das ist für normale Marketing-Texte harmloser als für medizinische oder personenbezogene Informationen.

Gerade im Klinik-Kontext kollidieren Komfort und Compliance schnell. Selbst wenn Anbieter mit geringer Datenspeicherung werben, bleiben für viele Organisationen die Fragen nach Zugriff, Verantwortung und späterer Nachvollziehbarkeit offen.

Gesundheitsdaten sind keine gewöhnlichen Personendaten. In der DSGVO stehen sie als besondere Kategorie, deren Verarbeitung grundsätzlich untersagt ist und nur über eng gefasste Ausnahmen erlaubt wird.[1] Das Schweizer Datenschutzgesetz zählt Gesundheitsdaten ebenso zu den besonders schützenswerten Personendaten, mit entsprechend höheren Anforderungen an Einwilligung und Sorgfalt.[2]

Für den Klinik-Alltag heisst das: Schon die Frage, in welchem Chat-Verlauf eine Diagnose fällt, ist eine Datenschutzfrage. Wer solche Inhalte durch eine generische API schickt, trägt die Beweislast, dass der Weg sauber ist — nicht der Anbieter. Eine Rechtsberatung ersetzt dieser Text nicht; die Einordnung, welche Datenklassen im eigenen Funnel auftauchen, gehört trotzdem an den Anfang jedes KI-Projekts.

Der häufigste Denkfehler in KI-Projekten lautet: Was einmal ins Training geflossen ist, ist darin aufgelöst und damit anonym. Der Europäische Datenschutzausschuss hat dazu 2024 eine Stellungnahme veröffentlicht, die genau das verneint. KI-Modelle, die mit personenbezogenen Daten trainiert wurden, können nicht in allen Fällen als anonym gelten; Anonymität setzt voraus, dass sowohl eine direkte Extraktion als auch das Herausholen personenbezogener Daten über Abfragen unbedeutend unwahrscheinlich ist.[3]

Für eine Klinik hat das eine unbequeme zweite Hälfte. Dieselbe Stellungnahme hält fest, dass eine Organisation, die ein solches Modell einsetzt, im Rahmen ihrer Rechenschaftspflicht selbst prüfen muss, ob das Modell nicht durch eine unrechtmässige Verarbeitung personenbezogener Daten entstanden ist.[3] Die Verantwortung endet also nicht beim Anbieter. Sie beginnt bei der Auswahl, und sie lässt sich nicht an einen Vertrag delegieren, der nur beschreibt, was der Anbieter zu tun verspricht.

Die Frage, wo ein Modell läuft, ist keine Geschmacksfrage der IT. Der Europäische Gerichtshof hat 2020 den damaligen Angemessenheitsbeschluss zum EU-US-Datenschutzschild für ungültig erklärt und dabei verlangt, dass ein Drittland ein der Sache nach gleichwertiges Schutzniveau bietet — einschliesslich einer Prüfung des dortigen Behördenzugriffs.[4] Vor dem Datenschutzschild war bereits dessen Vorgänger gefallen.

Der heutige Nachfolger, das EU-US Data Privacy Framework, steht: Das Gericht der Europäischen Union hat 2025 eine Klage gegen den Angemessenheitsbeschluss abgewiesen.[7] Wer Patientendaten in die USA gibt, baut damit auf einen tragfähigen, aber überprüfungspflichtigen Rechtsgrund, dessen beide Vorgänger gerichtlich weggefallen sind. Das ist kein Grund zur Panik. Es ist ein Grund, den Rückweg zu kennen, bevor man ihn braucht.

Die Verordnung über den europäischen Raum für Gesundheitsdaten ist seit März 2025 in Kraft und gilt ab dem 26. März 2027, mit gestaffelten Fristen für die einzelnen Datenkategorien bis 2031.[5] Sie regelt sowohl den Zugriff von Patienten und Behandelnden auf Gesundheitsdaten als auch deren Sekundärnutzung, und sie gibt Patienten dabei ausdrückliche Rechte, den Zugriff einzuschränken und der Sekundärnutzung zu widersprechen.

Für eine Klinik, die heute Systeme auswählt, ist das weniger eine Deadline als eine Richtungsanzeige: Der Regulierungsdruck auf Gesundheitsdaten wächst in den nächsten Jahren weiter. Eine Architektur, in der niemand sagen kann, wo welche Daten liegen, wird damit teurer, nicht günstiger.

Der Eidgenössische Datenschutz- und Öffentlichkeitsbeauftragte stellt klar, dass das Datenschutzgesetz technologieneutral formuliert und damit unmittelbar auch auf KI-gestützte Datenbearbeitungen anwendbar ist.[8] Seine Transparenzerwartung geht dabei über das übliche Datenschutzhinweis-Niveau hinaus: Zweck, Funktionsweise und Datenquellen der KI-gestützten Bearbeitung gehören offengelegt, und ausdrücklich auch, ob eingegebene Daten zur Verbesserung selbstlernender Systeme weiterverwendet werden.

Damit ist der dritte Punkt unserer Architektur, der fehlende Trainingspfad, in der Schweiz keine Marketingzusage. Eine Aufsichtsbehörde will diese Frage beantwortet sehen.

Wohin fliessen Prompts und Uploads, und in welchem Rechtsraum stehen die Server? Die Antwort muss ein Ort sein, kein Diagramm mit Fragezeichen.

Wer kann zugreifen, und wie wird gelöscht? Ob ein Vorfall ein beherrschbarer Prozess oder ein Reputationsschaden wird, entscheiden Rollen, Protokolle und Löschfristen.

Was fliesst in fremdes Training? Ein Nein muss technisch abgesichert sein, nicht nur vertraglich versprochen.

Diese drei Antworten sind in einer Stunde geklärt, wenn die Architektur sauber ist — und in keinem Vertrag zu finden, wenn sie es nicht ist. Wie wir Datensouveränität grundsätzlich halten, steht auf der Seite zur Datensouveränität; den Einstieg klärt das Audit.

Nicht jedes KI-Vorhaben in einer Klinik braucht eigene Infrastruktur. Wer ein Modell ausschliesslich auf öffentlichen Texten arbeiten lässt — Website-Copy, allgemeine Vorbereitungshinweise, interne Entwürfe ohne Personenbezug —, löst mit dedizierten Servern ein Problem, das an dieser Stelle nicht existiert.

Über den Aufwand entscheidet die Datenklasse. Sobald ein Patient in einem Kanal seinen Namen, seinen Termin oder seine Beschwerde nennt, ist die Verarbeitung eine andere. Genau deshalb steht die Einordnung der Datenklassen am Anfang und nicht am Ende eines Projekts.

Datenschutz ist im sensiblen Umfeld kein juristischer Appendix. Er ist Teil des Vertriebs und der Markenwirkung. Teams, die Kontrolle sichtbar machen können, gewinnen schneller Vertrauen in Beratung, Erstkontakt und Umsetzung.

Deshalb ist Privacy-First für RakenAI keine Unterseite, sondern ein sichtbarer Bestandteil von Produkt, Design und Architektur.

Und der Effekt ist messbar im Gespräch: Nach dem Preis ist die häufigste Frage internationaler Patienten oft die nach dem Umgang mit ihren Daten. Eine klare Antwort an dieser Stelle verkauft — keine Antwort auch.