Zitat von Marcus-Matthias Woytas am 25. August 2026, 10:26 Uhr

na, dan bin ich mal so frech und behaupte, das die in D verfügbaren LLM das gleiche Problem haben und auch nur mit verdünntem Wasser kochen:
Denn es gibt bislang keine konkurrenzfähige, autochtone AI in EU und selbst der EU Musterschüler Mistral muß sich anderer Sprachmodelle bis hin zu Claude bedienen.
Bleibt also die API in die DSGVO konformen LLM aus Übersee oder selfhosting von chinesischen LLM / vLLM, wenn man das technisch skalieren kann.
Bleibt also nur die morsche Brücke, die wir auch bei allen anderen EDV-Anwendungen haben: Irgendein Zertifikat: wenn es nicht selbstgemalt ist, dann irgendwas ISO. DSGVO und Auftragsverarbeitung. 
Entscheidend ist, das man kein Trainingsmodell (ZDR / RAG = sichert zu, das die Daten auch wieder gelöscht werden) hat und die KI manipulationnsicher ist.
Keiner der PVS-assoziierten Anbieter legt bisher die Karten auf den Tisch und erklärt „was mit den Daten“ passiert. Ein Anbieter aus Koblenz ist seit über 10 Jahren so frei und aquiriert aus dem PVS Livedaten und verkauft sie an „Interessierte“. Das kann man natürlich, wenn man reich genug ist und in B genug Lobbyhuren findet. 

Zumindest Heidi, als eines der größten weltweit ausgerollten Projekte, aus Downunder sichert ausreichende Compliance zu: https://www.heidihealth.com/de-de/compliance/compliance-deutschland
Und ich muß mich auch bei allen anderen Anbietern (PVS, TI, KI) darauf verlassen, das die Compliancekonform abliefern. Im Verkaufsprospekt steht auch nur Hochsicherheitsrechenzentrum in D, redundant, DSGVO, ISO usw. : überprüfen kann ich es als Kunde nicht.

DL habe ich getrennt vom PVS über Zeitslots organisiert. Aaron / DL agieren unabhängig vom PVS. Die Patienten managen sich selbst und sind Vertragspartner von DL/Aaron. Wenn sie das nicht wollen, dann eben nicht. Und Heidi macht das, was alle anderen auch machen: Zwischenspeichern in D und dann wieder löschen, da keine Trainingsdaten aquiriert werden.

Die Praxisinterna (PVS, TI, KI) sind nicht verhandelbar. Ich werde mich nicht auf Tontäfelchen reduzieren lassen, nur weil jemand seine Paranoia auslebt. Dafür gibt es dann andere Ärzte oder HP. Allerdings habe ich auch gesehen, das Koll. mit offenen LLM wie ChatGPT, Gemini oder Claude agieren – naja, das könnte ins Auge gehen.

Nebenher: bevor ich Heidi adoptiert habe, habe ich ein Kollegenprojekt (.ai-konnektor.de) aufgegriffen, das bei mir nicht lief und ein eigenes KI Gutachenprogramm mit Anonymisierungsschicht zusammengeschustert. Das lief auch relativ gut, außer das ich immer aus den LLM Demos raus bin und keine Bank-Zahlungsdaten für die API locker machen wollte. Dann kam die Heidi daher und hat mich sofort mit ihren Argumenten überzeugt:

Zitat von Peter Quick am 25. August 2026, 11:08 Uhr

Zitat von Uwe Streit am 25. August 2026, 9:39 Uhr

Hallo in die Runde,

ich finde die Gespräche hier sehr interessant aber auch ein bisschen beängstigend. Also beispielsweise einfach irgend eine KI-Diktierlösung zu nehmen, um Patientengespräche aufzuzeichnen oder Gutachten zu schreiben finde ich doch hochgradig fahrlässig. Ich bin schon gespannt auf die ersten Klagen die es diesbezüglich geben wird. Also ich würde mich gegen eine solche Lösung beim Arzt strikt verwehren, das meine persönlichen Informationen an eine amerkikanische KI gehen. Und da könnte man mich auch nicht damit besänftigen, dass mein Name nicht genannt wird.

Ein Grund, warum wir Ihnen eigene KI-Lösungen anbieten, ist zuallererst deshalb weil wir Sie genau davor schützen wollen, in solche Fallen zu laufen. Es gibt die DSGVO und andere Gesetze zum Thema KI ja nicht zum Spaß oder aus Willkür, aber natürlich kann jeder tun, was immer er für richtig hält.

Wir planen auch unsere Schnittstellen für solche externen Produkte zu erweitern allerdings werden wir auch zukünftig darauf achten, was für Anbieter sich da andocken wollen.

mfg
Uwe Streit

Hallo Herr Streit,

ich denke, man muss sauber trennen zwischen Diktier-Lösung und der Aufnahme von Patientengesprächen. Wenn ich meine Aufzeichnungen oder Arztbriefe diktiere, diktiere ich nie Patientendaten mit. Allenfalls mal den Vornamen, aber das sollte kein Problem für die DSGVO sein. 

Bei der Aufnahme von Patientengesprächen gebe ich Ihnen recht. Hier muss man wirklich sehr vorsichtig sein, was aufgenommen wird. Auch hier könnte man die Aufnahme erst dann starten, wenn die Vorstellung des Patienten beendet ist, und im Gespräch muss man sich dann dazu zwingen, nicht immer den Namen des Patienten zu nennen. Oder man nimmt eine DSGVO-konforme Lösung. Letztlich muss natürlich der Patient einwilligen. Dann ist ja auch eine andere Lösung prinzipiell und juristisch möglich. Man muss dann wirklich nur sehr sauber auf eine vernünftige Einwilligung achten. 

Ob unsere DSGVO grundsätzlich sinnvoll ist oder nicht, darüber lässt sich sicherlich trefflich streiten. Im Rahmen der KI werden wir, wenn wir so weitermachen, erheblich ins Hintertreffen kommen und uns eigentlich damit ins eigene Knie schießen. Patientendaten und Krankheiten einfach in die Welt zu blasen und ohne Rücksicht auf Verluste sie dort verarbeiten zu lassen, ist natürlich ebenso unsinnig. Ein vernünftiger Mittelweg wäre hier aus meiner Sicht zielführend. 

Ich denke, das, was uns alle beschäftigt, ist die Diskrepanz zwischen den Preisen, die hier aufgerufen werden und den Preisen, wie sie im internationalen Bereich üblich sind.

Dazu will ich mich aber nicht äußern, das ist letztendlich Ihre Geschäftsentscheidung.

Ich falle letztendlich immer wieder auf den Appell zurück, vernünftige etablierte Schnittstellen zu schaffen. Und dann kann man sehen, wie und mit welcher Firma man darauf andocken kann. damit ist aber für uns Kunden auch eine gewisse Wahlfreiheit vorhanden. Mehr würde ich nicht erwarten wollen.

Sie selbst nehmen ja auch am üblichen Leben teil und wissen, denke ich, genau, was ich meine. Sie wollen auch Ihre Geräte und Software mit Erweiterungen nutzen, um mehr Nutzen daraus zu ziehen.

Grüße,

Peter Quick

Zitat von bro am 25. August 2026, 14:53 Uhr

Ich glaube, hier werden zwei sehr unterschiedliche Dinge miteinander vermischt. Man muss keineswegs Patientengespräche mit Namen, Anschrift, Geburtsdatum oder sonstigen Identifikationsdaten ungefiltert an ChatGPT et al übermitteln.

Man kann eine solche KI auch so nutzen, dass keine Namen, Adressen, Kontaktdaten, Geburtsdaten, konkreten Altersangaben, Praxis-, Klinik- oder Ortsangaben, Versicherungs- oder Fallnummern und auch keine sonstigen eindeutigen Identifikatoren übermittelt werden. An die KI gehen dann ausschließlich die für die jeweilige Fragestellung notwendigen medizinischen Informationen, beispielsweise Anamnese, Laborwerte, EKG-Befunde und klinische Befunde. Ein gegebenenfalls enthaltenes Untersuchungs- oder Behandlungsdatum ist für sich genommen keiner bestimmten Person zuzuordnen.

Damit stellt sich die entscheidende Frage: Welche Information in einem solchen Datensatz soll es dem Empfänger überhaupt ermöglichen, den konkreten Patienten zu identifizieren?

Natürlich muss man auch indirekte Identifikationsmöglichkeiten berücksichtigen. Eine extrem seltene Erkrankung zusammen mit einem außergewöhnlichen Ereignis, einem konkreten Ort und Datum könnte theoretisch eine Person identifizierbar machen. Solche Konstellationen müssen entsprechend ebenfalls vermieden beziehungsweise vor der Übermittlung bereinigt werden.

Deshalb halte ich die pauschale Aussage, bei der Nutzung von ChatGPT würden „persönliche Informationen an eine amerikanische KI gehen“, für zu undifferenziert. Entscheidend ist nicht das Schlagwort „KI“, sondern welche Daten tatsächlich übertragen werden und ob die betreffende natürliche Person daraus identifiziert oder mit vertretbarem Aufwand identifizierbar ist.

Eine ungefilterte Übermittlung identifizierbarer Patientendaten und die Übermittlung eines zuvor entsprechend bereinigten medizinischen Sachverhalts sind datenschutzrechtlich und tatsächlich nicht dasselbe. Genau diese Unterscheidung sollte man bei einer solchen Diskussion machen.

Bei Husten, Schnupfen, Hypertonie, das täglich Brot, sollte es keine Probleme geben.  Im Übrigen sorgen schon die offiziellen Organe dafür, dass die Patientendaten sonst wo landen. Aus diesem Grunde habe ich auch keine ePA, der traue ich schon mal gar nicht. 

Thema Gutachten: Die KI macht da genau das, was ich ihr vorgebe, da gibt es keinen Spielraum. Macht sie das nicht, dann wird korrigiert. Sie macht es aber viel schneller und fehlerfrei und ich kann endlich für 25 Euro, zeitoptimiert arbeiten.  Selbst meine Mitarbeiter können aus dem Text, den Patienten nicht erraten.

Und ja wir werden immer gläserner werden, das ist egal wie, nicht mehr zu korrigieren.

Zu Heidi: Patient → Arzt/Praxis → Internet → Heidi-Cloud → Ergebnis → Praxis.

Auch bei Heidi (sehr umfangreiche KI für Ärzte) verlassen Patientendaten die Praxis und werden extern in der Cloud verarbeitet, selbst wenn diese in Deutschland gehostet wird. Bei ChatGPT oder Claude mache ich technisch Ähnliches, übermittle aber nur einen zuvor stark von Identifikationsmerkmalen bereinigten medizinischen Sachverhalt.

Man kann sich daher durchaus fragen, was für die Patientendatensicherheit günstiger ist: identifizierbare Gesundheitsdaten in einer spezialisierten Cloud oder weitgehend anonymisierte medizinische Informationen bei einem allgemeinen KI-Dienst. Denn grundsätzlich gilt: Alles, was die Praxis verlässt, kann trotz Sicherheitsmaßnahmen kompromittiert werden.

Fazit: wenn man sorgfältig ist und Ärzte müssen/sollten das ohnehin sein, kann man KI verwenden und keine KI kann erfolgreich (es gibt Ausnahmen) alleine auf dem eigenen Server betrieben werden, auch nicht die, die Indamed reinlässt.