Gesundheitsdaten bei Versicherungen: Was darf in die KI?

Das Problem

Auf Ihrem Schreibtisch liegt ein Arztbericht, dazu eine Schadenmeldung nach einem Unfall und ein Brief der Patientin. Der Fall ist dick, die Zeit knapp. Sie denken: «Eine KI könnte mir das in fünf Minuten zusammenfassen.» Ein Klick, und Sie hätten die Übersicht. Doch dürfen Sie das?

In Versicherungen, Brokerbüros und Agenturen gehören Gesundheitsdaten zum Alltag: Arztzeugnisse, Spitalberichte, Angaben zu Vorerkrankungen, Fragebögen zur Gesundheit. Sie sind besonders heikel, weil sie sehr persönlich sind und bei Missbrauch grossen Schaden anrichten können. Entsprechend streng sind die Regeln im Datenschutz.

Das Schweizer Datenschutzgesetz (DSG) zählt Daten über die Gesundheit zu den besonders schützenswerten Personendaten. Auch das EU-Recht (DSGVO) kennt für solche Daten strenge Anforderungen, relevant etwa bei Kundschaft im EU-Raum. Wer Gesundheitsdaten an ein KI-Werkzeug übergibt, gibt sie an einen Dritten weiter, oft ins Ausland. Dieser Text vermittelt Grundsätze und ersetzt keine Rechtsberatung.

So lösen Sie es mit KI – Schritt für Schritt

1. Klären, um welche Daten es geht. Sortieren Sie Ihre Unterlagen: Welche enthalten Angaben zur Gesundheit, auch indirekt (Diagnosen, Medikamente, Arbeitsunfähigkeit, Behandlungen)? Diese sind die sensibelsten.

1. Zweck prüfen. Wozu brauchen Sie die KI? Zusammenfassen, übersetzen, ordnen? Ist der Zweck mit dem vereinbar, wofür die Daten ursprünglich erhoben wurden? Siehe Zweckbindung.

1. Interne Regeln kennen. Fragen Sie bei Ihrer Datenschutzverantwortlichen, ob und wie KI-Werkzeuge verwendet werden dürfen. Viele Unternehmen haben dafür Weisungen. Wenn nicht, ist das ein Warnsignal.

1. Werkzeug prüfen. Lesen Sie in den Datenschutzbedingungen, wo Daten verarbeitet werden, ob Eingaben gespeichert oder zum Training verwendet werden und welche Verträge bestehen. Ohne klare Antworten verwenden Sie das Werkzeug nicht für Gesundheitsdaten.

1. Anonymisieren, wo möglich. Entfernen Sie Namen, Adressen, Geburtsdaten, Policen- und Fallnummern sowie alle Angaben, die auf die Person schliessen lassen. Beachten Sie: Echte Anonymisierung ist schwierig. Siehe Anonymisieren und Pseudonymisieren.

1. Mit erfundenen Beispielen üben. Wenn Sie lernen wollen, wie die KI Berichte zusammenfasst, nutzen Sie erfundene Fälle. Echte Daten brauchen Sie dafür nicht.

1. Menschliche Prüfung einplanen. Jede KI-Zusammenfassung prüfen Sie gegen das Original. Auslassungen und Fehler sind häufig, und bei Gesundheitsdaten wiegen sie schwer.

1. Ergebnisse schützen. Auch das Ergebnis, etwa eine Zusammenfassung, enthält Gesundheitsdaten. Speichern Sie es geschützt und löschen Sie es, wenn es nicht mehr nötig ist.

1. Im Zweifel fragen. Wenn Sie unsicher sind, ob etwas erlaubt ist, holen Sie Rat bei der Datenschutzverantwortlichen, der Rechtsabteilung oder einer Fachperson, bevor Sie Daten eingeben.

Vorlage zum Kopieren

Du hilfst mir, intern eine Regel zum Umgang mit Gesundheitsdaten und KI-Werkzeugen in einem Schweizer Versicherungsbüro zu entwerfen. Du gibst keine Rechtsberatung, erfindest keine Gesetzesartikel und weist am Ende darauf hin, dass der Entwurf fachlich geprüft werden muss.

Unser Büro: [Grösse, Tätigkeit, z. B. Agentur für Personenversicherungen]
Gesundheitsdaten, die wir bearbeiten: [z. B. Arztberichte, Schadenmeldungen mit Verletzungen, Gesundheitsfragen]
KI-Werkzeuge, die genutzt werden oder genutzt werden sollen: [Namen oder «noch offen»]
Zweck: [z. B. Zusammenfassungen, Übersetzungen]

Erstelle einen einseitigen Entwurf mit:
1. Was nie in ein KI-Werkzeug eingegeben werden darf
2. Was unter welchen Bedingungen anonymisiert erlaubt ist
3. Wer vorab fragen muss und wen
4. Was bei versehentlicher Eingabe zu tun ist
5. Wie Ergebnisse gespeichert und gelöscht werden
Sprache: einfach, Sie-Form, Schweizer Rechtschreibung, höchstens 250 Wörter.

Lassen Sie den Entwurf von der Datenschutzverantwortlichen oder einer Fachperson prüfen, bevor er gilt.

Worauf Sie achten müssen

• Besonders schützenswerte Daten: Das DSG nennt Gesundheitsdaten ausdrücklich. Die Anforderungen sind höher als bei normalen Personendaten. Mehr: Sensible Daten und KI.
• Berufliche Verschwiegenheit: Versicherungen und Beratende unterliegen je nach Tätigkeit Vertraulichkeitspflichten. Prüfen Sie, was für Sie gilt.
• Weitergabe ins Ausland: Viele KI-Dienste verarbeiten Daten ausserhalb der Schweiz. Das ist rechtlich zu prüfen und muss transparent sein.
• Anonymisierung ist anspruchsvoll: Auch ohne Namen kann ein Fall erkennbar sein, etwa durch seltene Diagnose, Ort und Alter. Reduzieren Sie Details.
• EU-Bezug: Bei Kundschaft im EU-Raum kann zusätzlich die DSGVO gelten. Die Prüfung im Einzelfall ist unerlässlich.
• Fehler bei Gesundheitsangaben: KI kann Diagnosen vertauschen oder weglassen. Ein falscher Eintrag kann Folgen haben. Siehe KI-Zusammenfassungen: Auslassungen.

Ein Beispiel aus der Praxis

Ein Beispiel: Eine Mitarbeiterin einer Unfallversicherung in Luzern möchte lange Arztberichte mit KI zusammenfassen lassen. Sie fragt zuerst die Datenschutzverantwortliche. Die Antwort: Öffentliche KI-Dienste sind für Berichte mit Namen tabu. Es gibt aber ein intern geprüftes Werkzeug, das nur Mitarbeitende nutzen dürfen, und eine Anweisung, die Fälle zu pseudonymisieren.

Die Mitarbeiterin übt zunächst an erfundenen Berichten und lernt, wo die KI Fehler macht. Beim echten Einsatz prüft sie jede Zusammenfassung gegen das Original und hält fest, dass die KI bei zwei von zehn Berichten ein Datum verwechselt. Die Regel im Team wird entsprechend ergänzt: Zusammenfassungen sind Entwürfe und werden vor jeder Weiterverwendung geprüft.

So hilft Ihnen Alpasana

Wenn Ihr Team lernen soll, KI sorgfältig mit Daten zu verwenden, bietet absofort die KI-Weiterbildung für Unternehmen. Datenschutz mit Schweizer Praxisbezug und der verantwortungsvolle Umgang mit Unternehmensdaten sind dort Lerninhalte, bei EU-Bezug auch der EU AI Act. Sie lernen online im eigenen Tempo und erhalten verifizierbare Abschlüsse. Für Firmenlösungen und Teambuchungen gibt es eine Kontaktmöglichkeit.

Eine rechtliche Prüfung Ihrer Prozesse ersetzt das nicht. Es bereitet Ihr Team aber auf die richtigen Fragen vor.

Häufige Fragen

Darf ich einen Arztbericht zusammenfassen lassen, wenn der Name fehlt?

Nicht automatisch. Auch ohne Namen kann die Person erkennbar sein. Prüfen Sie, ob die Anonymisierung ausreicht und ob das Werkzeug zugelassen ist.

Was ist mit Gesundheitsdaten meiner Mitarbeitenden?

Auch sie sind besonders schützenswert, etwa Arztzeugnisse. Dieselben Vorsichtsregeln gelten. Mehr zu Personendaten im Betrieb: Personendaten erkennen.

Wen frage ich im Zweifel?

Zuerst die interne Datenschutzverantwortliche oder die Geschäftsleitung. Für grundsätzliche Fragen können externe Datenschutzfachleute oder die Datenschutzbehörden Auskunft geben, siehe Quellen in den Kopfdaten.