Ein Produkt, das an der amerikanischen Grenze endet

Am 23. Juli konnte ein gewöhnlicher ChatGPT-Nutzer in den Vereinigten Staaten erstmals eine Klinikakte und einen Fitness-Tracker in dasselbe Chatfenster legen. OpenAI begann, Health für angemeldete Nutzer ab 18 Jahren im Web und unter iOS auszurollen, über die Stufen Free, Go, Plus und Pro hinweg. Die Funktion verbindet elektronische Patientenakten und Apple Health sowie Dienste wie Function, MyFitnessPal, Weight Watchers, AllTrails, Instacart und Peloton. Sie kann Laborwerte über die Zeit vergleichen, Veränderungen seit einem Termin zusammenfassen und Muster über Schlaf und Aktivität hinweg erkennen.

Warum das zählt: Die Datenschutzbedingungen sind ungewöhnlich deutlich. Unterhaltungen sind bei der Übertragung und im Ruhezustand verschlüsselt, verbundene Gesundheitsinformationen tragen eine zusätzliche Verschlüsselung, und OpenAI erklärt, dass verbundene Patientenakten, Apple-Health-Daten und die Unterhaltungen darüber weder zum Training der Basismodelle noch für die Ausspielung von Werbung genutzt werden, unabhängig davon, welche Trainingseinstellung ein Nutzer gewählt hat. Standardmäßig fragt der Assistent um Erlaubnis, bevor er eine verbundene Akte für eine persönliche Antwort heranzieht.

All das ist nicht der interessante Teil. Der interessante Teil ist die Landkarte. Die Funktion gibt es in den Vereinigten Staaten und sonst nirgends, ohne angekündigten europäischen Termin und ohne Zeitplan für Android. Ein Unternehmen, das sonst in hundert Länder gleichzeitig ausliefert, hat sich hier für eine einzige Rechtsordnung entschieden. Das ist eine Aussage über Recht und nicht über Technik.

Zwei Systeme, die Verschiedenes schützen

Das amerikanische Gesetz zur Vertraulichkeit von Gesundheitsdaten bindet eine definierte Liste von Akteuren: Leistungserbringer, Krankenversicherer, Abrechnungsstellen und die in deren Auftrag tätigen Unternehmen. Es ist eine Regel über Verwahrer. Wenn eine Patientin ihr Recht wahrnimmt, eine Kopie der eigenen Akte zu erhalten, und diese Kopie anderswohin bewegt, verlässt die Kopie den Kreis der regulierten Verwahrer. Das empfangende Unternehmen ist dann an seine eigenen Zusagen gebunden und nicht an das Gesetz. OpenAI ist weder Leistungserbringer noch Versicherer noch ein für sie tätiger Dienstleister und steht damit schon der Bauart nach außerhalb dieses Kreises.

Die europäische Lage ist strukturell anders. Gesundheitsdaten sind besondere Kategorien personenbezogener Daten nach Artikel 9 der Datenschutz-Grundverordnung, und das Verarbeitungsverbot folgt den Daten und nicht der Organisation, die sie hält. Ein Dienstleister in Dublin, ein Start-up in Lissabon und ein Krankenhaus in München unterliegen derselben Ausgangsregel, und jeder von ihnen braucht eine besondere Bedingung, bevor er überhaupt verarbeiten darf. Im amerikanischen Modell ist Schutz eine Eigenschaft des Inhabers. Im europäischen Modell ist Schutz eine Eigenschaft der Akte.

Aber: Die europäische Lage ist für die einzelne Person nicht automatisch die bessere. Eine Patientin in Rotterdam, die ihre eigenen Daten wirklich zusammenführen möchte, stößt auf Reibung, die eine amerikanische Nutzerin nicht kennt, und Reibung hat ihren eigenen Preis in Versorgung und Bequemlichkeit. Es geht nicht darum, welche Ordnung freundlicher ist. Es geht darum, dass sie die Pflicht unterschiedlichen Parteien zuweisen, und ein Eigentümer muss wissen, welche Partei er ist.

Was vor dem Einsatz in der Belegschaft zu klären ist

Entscheiden Sie jetzt, ob Gesundheitsinformationen überhaupt in einen von Ihnen lizenzierten Assistenten gelangen dürfen. Betriebsärztliche Berichte, Fehlzeitenakten, Wiedereingliederungsgespräche, Versicherungsschriftverkehr und Exporte aus Gesundheits-Apps sind im europäischen Sinne allesamt Gesundheitsdaten, und sie erreichen gewöhnliche Bürowerkzeuge weit häufiger, als die meisten Richtlinien einräumen. Benennen Sie die Werkzeuge, die sie empfangen dürfen, und jene, die es nicht dürfen, in einer Sprache, die eine Führungskraft ohne Rückfrage bei der Rechtsabteilung anwenden kann.

Halten Sie eine Bedingung nach Artikel 9 fest und führen Sie die Folgenabschätzung vor der Einführung durch und nicht nach einem Vorfall. Die umfangreiche Verarbeitung besonderer Datenkategorien gehört zu den Fällen, in denen eine Abschätzung erwartet wird, und sie früh zu schreiben ist die günstigste Variante dieser Arbeit. Sie erzeugt zudem genau das Dokument, nach dem eine Aufsichtsbehörde zuerst fragt, und macht aus einem belastenden Vorgang eine Verwaltungsangelegenheit.

Behandeln Sie die Einwilligung von Beschäftigten als nicht verfügbar. Die Datenschutzbehörden der Union vertreten durchgehend die Linie, dass Beschäftigte einem Arbeitgeber nicht frei widersprechen können, weshalb die Einwilligung im Beschäftigungsverhältnis für Gesundheitsthemen eine schwache Grundlage ist. Stützen Sie sich auf eine andere Bedingung, dokumentieren Sie die Wahl und richten Sie das Werkzeug danach ein. Wer das klärt, bevor ein Produkt Europa erreicht, bestimmt die Bedingungen. Wer es danach klärt, übernimmt fremde.

Weiterlesen: Ihre Unternehmensseite bekommt kein Abzeichen  |  Google öffnet dein Konto mit einem Gesichtsvideo