Darf ich ChatGPT
in der Praxis nutzen?

Ohne Patientenbezug ja, für Praxistexte, Organisation und allgemeine Fachfragen. Mit Patientendaten nicht im privaten Konto, dort fehlt schon der Auftragsverarbeitungsvertrag, und die Eingabe ist eine Offenbarung nach § 203 StGB. Für Kassenpraxen scheiden derzeit auch die Geschäftskonten aus, weil ihnen das C5-Testat nach § 393 SGB V fehlt.

Diese Fassungen haben Auftragsverarbeitungsvertrag, Trainingsausschluss und eine wählbare europäische Datenregion. Für eine Kassenpraxis fehlt trotzdem das C5-Testat, das § 393 SGB V für Gesundheitsdaten in der Cloud verlangt, und eine Verpflichtungserklärung nach § 203 StGB lässt sich nicht vorlegen. Rechnet eine Praxis nicht mit den Krankenkassen ab, entfällt § 393 SGB V. Offen bleiben dann die Verpflichtung und der Transfer in die USA, weil OpenAI nicht im EU-US Data Privacy Framework gelistet ist.

Nein. Der Trainingsausschluss regelt, was der Anbieter mit Ihren Eingaben tun darf. Die Schweigepflicht hängt daran, wer auf die Eingaben zugreifen kann, und in der Kassenpraxis kommt das C5-Testat dazu. Ein Werkzeug, das nicht mit Patientendaten trainiert, kann deshalb trotzdem unzulässig sein.

Über Azure OpenAI in Microsoft Foundry Models läuft dasselbe Modell in Microsofts Cloud, mit Auftragsverarbeitungsvertrag, EU-Regionen und ohne Trainingsnutzung. Beim Transfer in die USA steht dieser Weg besser da, weil Microsoft im Data Privacy Framework gelistet ist. Für die Kassenpraxis ist das C5-Testat für die konkret genutzten Dienste und die Region nachzuweisen, und die Verpflichtung nach § 203 StGB reicht bis zum Support der Plattform. Das ist im Einzelfall zu prüfen.

Bei hohem Volumen, in besonders sensiblen Fachrichtungen wie Psychotherapie oder Onkologie und immer dann, wenn Patientendaten verarbeitet werden sollen und kein Anbieter C5-Testat und Verpflichtung vorlegt. Die Hardware für ein mittelgroßes Modell und ein Praxisteam liegt bei etwa 3.000 bis 8.000 Euro. Einrichtung, Anbindung an die Praxissoftware und Wartung kommen dazu und vervielfachen die Summe.

Selten. Eine Pseudonymisierung ist erst belastbar, wenn auch Geburtsdatum, Wohnort, seltene Diagnosen und ungewöhnliche Kombinationen fehlen. Eine 73-jährige Patientin mit seltener Erkrankung in einer Kleinstadt bleibt auch ohne Namen erkennbar.

Für Verwaltungstexte, Formulierungshilfe und allgemeine Fachfragen nicht. Die Betreiberpflichten des Art. 26 EU AI Act gelten nur für Hochrisiko-Systeme, also für Medizinprodukte-Software mit Drittprüfung oder die Anwendungsfälle des Anhangs III, und erst ab Dezember 2027 bzw. August 2028. Was heute gilt, ist Art. 4, also Maßnahmen für die KI-Kompetenz des Teams, ohne dass ein bestimmtes Niveau geschuldet ist.