KI-Tools in der Psychotherapiepraxis: Datenschutz und Schweigepflicht richtig einhalten

Die Frage, ob KI-Tools in der psychotherapeutischen Praxis überhaupt datenschutzkonform nutzbar sind, wird häufig mit einem pauschalen Nein beantwortet – oder mit einem pauschalen Ja. Beides greift zu kurz. Die Antwort hängt davon ab, welche Daten eingegeben werden, welches Tool genutzt wird und wie es konfiguriert ist.

Was wirklich problematisch ist

Kritisch wird es, wenn personenbezogene Patientendaten in externe KI-Dienste fließen: vollständige Namen, Geburtsdaten, Krankenversicherungsnummern, Adressen. Diese Daten unterliegen der ärztlichen Schweigepflicht und der DSGVO in besonderem Maß. Wer solche Daten unverschlüsselt in ein allgemeines KI-Tool eingibt, bewegt sich rechtlich auf dünnem Eis – unabhängig von den AGBs des Anbieters.

Was erlaubt ist und sogar sinnvoll sein kann

Anonymisierte oder pseudonymisierte Fallinformationen fallen in eine andere Kategorie. Wenn ein Therapeut beschreibt: »Patientin Anfang 40, Angststörung mit depressiver Begleitsymptomatik, ausgelöst durch berufliche Überbelastung« – dann ist das klinisch verwertbar, aber nicht rückführbar auf eine bestimmte Person. Genau hier liegt der Gestaltungsspielraum.

• Klarnamen und Geburtsdaten: Niemals in externe Tools eingeben
• Anonymisierte Stichpunkte: Klinisch ausreichend und deutlich weniger problematisch
• Serverstandort und Subauftragsverarbeitung: EU-Hosting und DPA-Vertrag sind Mindestanforderungen
• Trainingsverhalten des Anbieters: Werden Eingaben für Modelltraining genutzt? Opt-out prüfen

Worauf man beim Tool-Auswahlprozess achten sollte

Nicht jedes KI-Tool ist für den Einsatz in sensiblen Kontexten geeignet. Relevante Fragen sind: Wo werden die Daten verarbeitet? Gibt es einen Auftragsverarbeitungsvertrag? Werden Eingaben für zukünftiges Modelltraining genutzt – und kann man dem widersprechen? Für Praxen, die auf der sicheren Seite bleiben wollen, empfiehlt sich der Einsatz von Tools, die explizit auf anonymisierte Eingaben ausgelegt sind und keine Patientendaten voraussetzen.

Ein gesunder Mittelweg: Den Bericht mit anonymisierten Informationen strukturieren und ausformulieren lassen, die patientenidentifizierenden Angaben (soweit nötig) erst im finalen Dokument außerhalb des KI-Systems ergänzen. Das reduziert das Risiko erheblich, ohne auf die strukturierende Wirkung des Tools zu verzichten.