KI-Sprachassistenten in der Medizin: was das Gesetz wirklich verlangt

Vier Normen — und keine erwähnt Sprach-KI

Ein Sprachassistent, der für eine Praxis oder eine Klinik Termine vergibt, verarbeitet Gesundheitsdaten. Damit gilt Art. 9 DSGVO, damit gilt die ärztliche Schweigepflicht nach § 203 StGB, und damit gilt Art. 32 DSGVO für die Sicherheit der Verarbeitung. Auf der KI-Seite stuft die Verordnung (EU) 2024/1689 ihn nicht als Hochrisiko-System ein. Sie verlangt eine einzige Sache: dem Anrufer zu sagen, dass er mit einer Maschine spricht — ab dem 2. August 2026. Jede dieser Normen ist älter als der Sprachagent. Keine nennt ihn beim Namen. Der Rahmen entsteht aus ihrer Überlagerung, und genau dort irren sich Anbieter — oder führen Sie in die Irre. Zwei Behauptungen fallen in fast jedem Verkaufsgespräch: die Einwilligung des Patienten sei die Rechtsgrundlage, und die KI-Verordnung mache das Produkt zum Hochrisiko-System, was den Aufpreis erklärt. Beides ist falsch. Es folgt jede Norm einzeln, und am Ende die Unterlagen, die Sie vor der Unterschrift verlangen.

Artikel 9: Ein Termin ist ein Gesundheitsdatum

Die DSGVO verbietet die Verarbeitung von Gesundheitsdaten im Grundsatz. Das ist Art. 9 Abs. 1. Ein Anruf in einer Zahnarztpraxis fällt darunter. Name des Anrufers, der genannte Grund, der zugeordnete Behandler — zusammen sagen sie etwas über den Gesundheitszustand aus. Die Frage lautet also nie, ob Sie verarbeiten dürfen. Sie lautet, auf welche Ausnahme Sie sich stützen. Die richtige Ausnahme ist Art. 9 Abs. 2 lit. h. Er erlaubt die Verarbeitung, die für die Gesundheitsvorsorge, die medizinische Diagnostik, die Versorgung oder Behandlung sowie für die Verwaltung von Systemen und Diensten im Gesundheitsbereich erforderlich ist. Eine Terminvergabe gehört genau dorthin. Die Einwilligung nach lit. a ist eine Falle. Sie muss ausdrücklich und freiwillig sein und jederzeit widerrufbar bleiben. Wer mit akuten Zahnschmerzen anruft, kann die Telefonzentrale nicht ablehnen — die Freiwilligkeit fehlt. Stützen Sie die Verarbeitung auf lit. h und halten Sie das im Verarbeitungsverzeichnis fest. Lit. h trägt nur unter einer Bedingung aus Abs. 3: Wer die Daten verarbeitet, muss dem Berufsgeheimnis unterliegen. Darum geht es im nächsten Abschnitt.

Die Schweigepflicht endet nicht beim Dienstleister

§ 203 Abs. 1 Nr. 1 StGB stellt Ärzte und Zahnärzte unter Schweigepflicht. Wer ein anvertrautes Geheimnis unbefugt offenbart, wird mit Freiheitsstrafe bis zu einem Jahr oder mit Geldstrafe bestraft. Entscheidend für einen Sprachassistenten ist Absatz 3. Er erlaubt es, fremde Geheimnisse gegenüber sonstigen mitwirkenden Personen zu offenbaren, soweit das für die Inanspruchnahme ihrer Tätigkeit erforderlich ist. Der Anbieter ist genau diese sonstige mitwirkende Person. Absatz 4 macht daraus ein doppeltes Risiko. Die mitwirkende Person wird selbst bestraft, wenn sie ein Geheimnis offenbart, das ihr bei ihrer Tätigkeit bekannt wurde. Und der Schweigepflichtige wird bestraft, wenn er nicht dafür Sorge getragen hat, dass sie zur Geheimhaltung verpflichtet wurde. Der Anbieter steht also nicht neben der Schweigepflicht, sondern in ihr. Für die Verpflichtung haften Sie. Datenschutzrechtlich ist er Ihr Auftragsverarbeiter. Art. 28 DSGVO macht aus dem Vertrag mehr als eine Formalie. Das muss der Vertrag dem Anbieter auferlegen.

• Nur auf dokumentierte Weisung des Verantwortlichen verarbeiten
• Jede zugriffsberechtigte Person zur Vertraulichkeit verpflichten
• Weitere Auftragsverarbeiter nur mit schriftlicher Genehmigung einsetzen
• Daten nach Vertragsende löschen oder zurückgeben
• Audits zulassen und Nachweise der Einhaltung liefern

HDS gibt es nur in Frankreich — was in Deutschland gilt

Frankreich verlangt für das Hosting von Patientendaten ein eigenes Pflichtzertifikat: HDS, geregelt in Art. L1111-8 des Code de la santé publique, geprüft von unabhängigen Zertifizierungsstellen. Deutschland kennt nichts Vergleichbares. Es gibt keine gesetzliche Zertifizierungspflicht für den Hoster von Gesundheitsdaten. Der Maßstab ist stattdessen Art. 32 DSGVO — Sicherheit, die dem Risiko angemessen ist — zusammen mit dem Auftragsverarbeitungsvertrag nach Art. 28 und der Verpflichtung nach § 203 Abs. 4 StGB. Das klingt leichter. In der Praxis ist es schwerer, denn niemand legt Ihnen ein Zertifikat vor, das Sie lesen können. Sie bewerten die Sicherheitsanlage selbst. Als Referenz dient der Kriterienkatalog C5 des BSI, erstmals 2016 veröffentlicht. Die Fassung C5:2026 erschien am 7. April 2026 und umfasst 168 Kriterien in 17 Themengebieten. Sie nimmt erstmals Container-Management, Post-Quanten-Kryptografie und Confidential Computing auf, und wird zum 1. Juni 2027 verbindlich. Ein C5-Testat ist keine Pflicht. Es ist aber der Nachweis, den ein deutscher Prüfer liest — verlangen Sie ihn, samt Prüfzeitraum.

KI-Verordnung: Ihr Terminagent ist kein Hochrisiko-System

Die Verordnung (EU) 2024/1689 sortiert KI-Systeme nach Risikostufen, und Hochrisiko ist eine abschließende Liste. Anhang III nennt acht Bereiche: Biometrie, kritische Infrastruktur, Bildung, Beschäftigung, Zugang zu wesentlichen Diensten, Strafverfolgung, Migration, Justiz. Das Gesundheitswesen taucht genau einmal auf, in Nummer 5 Buchstabe d, für Systeme zur Bewertung und Priorisierung von Notrufen und für die Triage von Notfallpatienten. Eine Terminvergabe ist weder das eine noch das andere. Die Europäische Kommission ordnet Konversationsagenten dem Transparenzrisiko zu und stellt klar, dass die Verordnung für minimales Risiko keine Regeln aufstellt. Was wirklich gilt, steht in zwei Artikeln. Art. 50 verpflichtet den Anbieter, das System so zu gestalten, dass die Person weiß, dass sie mit einer KI interagiert — es sei denn, das ist offensichtlich, und die Kommission legt diese Ausnahme eng aus. Art. 4 trifft Sie als Betreiber. Die Verordnung (EU) 2026/1744 hat ihn am 27. Juli 2026 neu gefasst: Sie ergreifen Maßnahmen, um die KI-Kompetenz Ihrer Mitarbeiter zu fördern, ohne ein bestimmtes Niveau garantieren zu müssen. Dieselbe Verordnung hat das Hochrisiko verschoben, nicht die Transparenz. Der Hinweis an den Anrufer bleibt zum 2. August 2026 fällig. Systeme nach Anhang III rücken auf den 2. Dezember 2027. KI in regulierten Produkten, Medizinprodukte eingeschlossen, folgt erst zum 2. August 2028.

• KI-Kompetenz intern fördern: Art. 4, gilt seit 2. Februar 2025
• KI beim Abheben offenlegen: ab 2. August 2026
• Medizinprodukte-KI abgrenzen: Hochrisiko erst ab 2. August 2028
• Bußgeld bis 15 Millionen Euro oder 3 % des Jahresumsatzes

Der Hinweis beim Abheben — und was Sie nicht aufzeichnen dürfen

Zwei getrennte Pflichten treffen im Moment des Abhebens aufeinander. Art. 13 DSGVO verlangt die Information bei der Erhebung: Identität des Verantwortlichen, Zwecke, Rechtsgrundlage, Empfänger, Speicherdauer, Rechte der betroffenen Person. Art. 50 der KI-Verordnung verlangt den Hinweis, dass das Gegenüber eine Maschine ist. Beides passt in einen Begrüßungssatz, solange er auf eine vollständige Information an anderer Stelle verweist. Die Aufzeichnung ist eine eigene Verarbeitung mit eigenen Regeln. Die französische Aufsichtsbehörde hat dazu eine ausformulierte Doktrin veröffentlicht. Sie schließt jede permanente oder systematische Aufzeichnung aus, sofern kein Gesetz sie vorschreibt — Rettungsdienste sind der Anwendungsfall. Jeder Anrufer ist im Moment des Anrufs über Zweck, Empfänger, Widerspruchsrecht und Auskunftsrecht zu informieren. Aufzeichnungen werden höchstens sechs Monate gespeichert, Analysedokumente höchstens ein Jahr, sofern keine Norm etwas anderes vorgibt. Empfohlen wird ein strengerer Weg: Aufnahme innerhalb weniger Tage auswerten, Analysedokument schreiben, Audio löschen. Wer Aufzeichnungen behält, um sein Modell zu trainieren, schiebt Ihnen diese Verarbeitung zu. Verantwortlich sind Sie.

Folgenabschätzung: Pflicht in der Klinik, nicht in der Einzelpraxis

Art. 35 DSGVO verlangt eine Datenschutz-Folgenabschätzung vor dem Einsatz, sobald eine Verarbeitung voraussichtlich ein hohes Risiko birgt. Art. 35 Abs. 3 lit. b nennt ausdrücklich die umfangreiche Verarbeitung von Daten nach Art. 9. Offen bleibt, wo „umfangreich“ beginnt. Art. 35 Abs. 4 überlässt die Antwort den Aufsichtsbehörden, die dazu Listen veröffentlichen müssen. Erwägungsgrund 91 zieht die untere Grenze selbst: Die Verarbeitung von Patientendaten durch einen einzelnen Arzt ist nicht umfangreich, und eine Folgenabschätzung ist dann nicht verpflichtend. Die französische Aufsichtsbehörde hat das in zwei Listen ausbuchstabiert, die als Referenz taugen. Pflicht für Gesundheitsdaten in Kliniken und medizinisch-sozialen Einrichtungen. Ausgenommen die Versorgung eines Patienten durch einen einzeln praktizierenden Behandler — die Terminverwaltung wird dort ausdrücklich genannt. Dazwischen liegt die Gemeinschaftspraxis. Keine Liste nennt sie. Im Zweifel führen Sie die Folgenabschätzung durch. Sie ist billiger als die Begründung, warum Sie sie unterlassen haben.

Fünf Fragen an den Anbieter, vor der Unterschrift

Ein konformer Anbieter beantwortet jede dieser Fragen mit einem Dokument, nicht mit einem Satz aus dem Vertrieb. Verlangen Sie die Unterlagen. Ein Testat ist lesbar: Es nennt eine Einheit, einen Prüfumfang und einen Prüfzeitraum. Ein Auftragsverarbeitungsvertrag wird Zeile für Zeile gegen die fünf Pflichten aus Art. 28 gelesen, die oben stehen. Eine Rechtsgrundlage wird mit ihrem Artikel zitiert, nicht mit dem Wort Konformität. Keine dieser fünf Fragen braucht einen Juristen. Sie brauchen eine schriftliche Antwort, und sie genügen zur Vorauswahl. Stellen Sie die Fragen per E-Mail statt im Termin, denn es zählt der Nachweis. Ein Anbieter, der an seine Rechtsabteilung verweist und nicht zurückkommt, hat bereits geantwortet. Und beachten Sie die letzte Frage: Der Hinweissatz ist das einzige Stück dieses Apparats, das der Patient je hört — und Sie müssen ihn vor ihm vertreten.

• Die Einheit mit dem Sicherheitstestat und deren Prüfumfang benennen
• Die Rechtsgrundlage zitieren: Art. 9 Abs. 2 lit. h, nicht Einwilligung
• Den Auftragsverarbeitungsvertrag vor der Unterschrift vorlegen
• Speicherdauer der Aufzeichnungen und Training am Modell offenlegen
• Den KI-Hinweissatz ausformulieren, den der Anrufer hören wird

Quellen

1. RGPD, article 9 — Traitement de catégories particulières de données (CNIL) https://www.cnil.fr/fr/reglement-europeen-protection-donnees/chapitre2
2. RGPD, article 13 — Information de la personne concernée (CNIL) https://www.cnil.fr/fr/reglement-europeen-protection-donnees/chapitre3
3. RGPD, articles 28 et 35 — Sous-traitant et analyse d’impact (CNIL) https://www.cnil.fr/fr/reglement-europeen-protection-donnees/chapitre4
4. RGPD, considérant 91 — Notion de traitement à grande échelle https://gdpr-info.eu/recitals/no-91/
5. Code pénal, article 226-13 — Légifrance https://www.legifrance.gouv.fr/codes/article_lc/LEGIARTI000006417944
6. Code de la santé publique, article L1110-4 — Légifrance https://www.legifrance.gouv.fr/codes/article_lc/LEGIARTI000043895798
7. Code de la santé publique, article L1111-8 — Légifrance https://www.legifrance.gouv.fr/codes/article_lc/LEGIARTI000049577902
8. Certification des hébergeurs de données de santé — Agence du Numérique en Santé https://esante.gouv.fr/labels-certifications/hds/certification-des-hebergeurs-de-donnees-de-sante
9. FAQ HDS, hébergement pour son propre compte — Agence du Numérique en Santé https://esante.gouv.fr/faq/nous-ne-sommes-pas-etablissement-de-sante-ce-sont-nos-clients-qui-hebergent-les-donnees-de-sante-de
10. Liste des hébergeurs certifiés HDS — Agence du Numérique en Santé https://esante.gouv.fr/offres-services/hds/liste-des-hebergeurs-certifies
11. Obligations de transparence de l’article 50 de l’AI Act — Commission européenne https://digital-strategy.ec.europa.eu/en/faqs/transparency-obligations-under-article-50-ai-act
12. Cadre réglementaire européen de l’IA et niveaux de risque — Commission européenne https://digital-strategy.ec.europa.eu/en/policies/regulatory-framework-ai
13. Règlement (UE) 2024/1689, annexe III — Systèmes d’IA à haut risque https://artificialintelligenceact.eu/annex/3/
14. Règlement (UE) 2024/1689, article 4 — Maîtrise de l’IA https://artificialintelligenceact.eu/article/4/
15. Entrée en vigueur de l’AI Omnibus, 27 juillet 2026 — Commission européenne https://digital-strategy.ec.europa.eu/en/news/ai-omnibus-enters-force
16. Ce que le règlement (UE) 2026/1744 change au calendrier de l’AI Act — Future of Privacy Forum https://fpf.org/blog/the-ai-act-implementation-timeline-what-changes-under-the-ai-omnibus/
17. Règlement (UE) 2024/1689, article 99 — Sanctions https://artificialintelligenceact.eu/article/99/
18. Calendrier d’application du règlement européen sur l’IA https://artificialintelligenceact.eu/implementation-timeline/
19. L’écoute et l’enregistrement des appels — CNIL https://www.cnil.fr/fr/lecoute-et-lenregistrement-des-appels-sur-le-lieu-de-travail
20. Enregistrement des conversations téléphoniques : informer ses interlocuteurs — CNIL https://www.cnil.fr/fr/cnil-direct/question/enregistrement-ou-ecoute-des-conversations-telephoniques-faut-il-informer-ses
21. Liste des traitements pour lesquels une AIPD est requise — CNIL https://www.cnil.fr/fr/liste-traitements-aipd-requise
22. Liste des traitements pour lesquels une AIPD n’est pas requise — CNIL https://www.cnil.fr/fr/liste-traitements-aipd-non-requise
23. § 203 StGB, Verletzung von Privatgeheimnissen — Gesetze im Internet https://www.gesetze-im-internet.de/stgb/__203.html
24. Kriterienkatalog C5:2026 für Cloud-Dienste — BSI https://www.bsi.bund.de/DE/Themen/Unternehmen-und-Organisationen/Informationen-und-Empfehlungen/Empfehlungen-nach-Angriffszielen/Cloud-Computing/Kriterienkatalog-C5/C5_2025/C5_2025_node.html
25. IA et santé : projet de guide HAS-CNIL, consultation close en avril 2026 — CNIL https://www.cnil.fr/fr/cloturee-ia-et-sante-la-has-et-la-cnil-lancent-une-consultation-publique-sur-un-projet-de-guide