Transparenzpflichten für die Nutzung von KI: Das müssen Zahnarztpraxen beachten
Judith Meister und Marzena SickingNutzen Zahnarztpraxen KI-Systeme in eigener Verantwortung, gelten sie rechtlich in der Regel als deren Betreiber. Welche Pflichten damit verbunden sind, hängt vom Einsatz ab – etwa davon, ob Patienten mit einem KI-Assistenten sprechen oder die Praxis Patientendaten verarbeitet.
KI-Systeme können Praxisteams bei wiederkehrenden Aufgaben unterstützen und Abläufe erleichtern: KI-gestützte Sprachassistenten können das Praxisteam bei wiederkehrenden Aufgaben entlasten, etwa bei der Behandlungsdokumentation. Telefonassistenten nehmen Anrufe entgegen und bearbeiten – je nach System – Terminwünsche oder andere Patientenanfragen. Auch in der zahnmedizinischen Behandlung lassen sich KI-Anwendungen nutzen: Sie können beispielsweise Röntgenbilder analysieren und auf auffällige Bereiche hinweisen. Bei digitalen Modellen unterstützen sie unter anderem die Planung von Restaurationen. Die fachliche Verantwortung für die Behandlung bleibt dabei aber weiterhin bei der Zahnärztin oder dem Zahnarzt.
Die fachliche Verantwortung für die Behandlung bleibt dabei aber weiterhin bei der Zahnärztin oder dem Zahnarzt. Mit den neuen Möglichkeiten stellen sich außerdem auch neue rechtliche Fragen. Muss die Praxis Patienten informieren, wenn sie mit einem KI-Telefonassistenten sprechen? Wie dürfen Patientendaten verarbeitet werden? Und welche Vorgaben gelten, wenn eine KI bei der Behandlung unterstützt? Die Antworten hängen davon ab, welches System die Praxis einsetzt und wofür sie es nutzt.
EU-KI-Verordnung: Welche Regeln gelten für Zahnarztpraxen?
Für den Einsatz künstlicher Intelligenz hat die EU einen eigenen Rechtsrahmen geschaffen: Die KI-Verordnung (EU 2024/1689) wurde 2024 vom Europäischen Parlament und vom Rat verabschiedet. Sie ist am 1. August 2024 in Kraft getreten; ihre Vorschriften werden schrittweise anwendbar. Welche Anforderungen eine Zahnarztpraxis erfüllen muss, richtet sich unter anderem nach dem eingesetzten System und dem jeweiligen Anwendungsfall.
Hochrisiko-KI und neue Fristen
Einige KI-Anwendungen in der Zahnmedizin können als Hochrisiko-Systeme eingestuft werden. Das gilt aber nicht automatisch für jede Software, die medizinisch genutzt wird oder Gesundheitsdaten verarbeitet. Bei KI-basierten Medizinprodukten kommt es unter anderem darauf an, ob das System selbst ein Medizinprodukt oder dessen Sicherheitsbauteil ist und ob eine unabhängige Stelle das Produkt im Rahmen der Konformitätsbewertung prüfen muss.
Die Transparenzpflichten der KI-Verordnung gelten grundsätzlich seit dem 2. August 2026. Für die zentralen Hochrisiko-Regeln gelten spätere Fristen: Bei Systemen nach Anhang I, zu denen auch bestimmte KI-basierte Medizinprodukte gehören, ist dies grundsätzlich ebenfalls der 2. August 2028. Die Vorschriften zum Datenschutz und zum sicheren Betrieb von Medizinprodukten bleiben davon unberührt.
Wann müssen Patienten erkennen, dass sie mit KI sprechen?
Setzt eine Zahnarztpraxis einen KI-Chatbot auf ihrer Website oder einen KI-Telefonassistenten ein, sollen Patienten erkennen können, dass sie mit einem KI-System sprechen. Dafür muss grundsätzlich der Anbieter sorgen: Er muss das System so gestalten, dass es die Nutzer entsprechend informiert. Eine Ausnahme gilt, wenn die KI-Interaktion aus den Umständen offensichtlich ist. Für die Praxis empfiehlt es sich, den Hinweis vor der Inbetriebnahme zu prüfen. Er muss spätestens bei der ersten Interaktion klar erkennbar oder hörbar sein. Am Telefon könnte die Ansage beispielsweise lauten: „Sie sprechen mit dem KI-gestützten Telefonassistenten unserer Zahnarztpraxis.“
Wann müssen KI-generierte Inhalte gekennzeichnet werden?
Erstellt eine Praxis mithilfe von KI Inhalte für ihre Website oder ihren Newsletter, muss sie nicht jedes Bild und nicht jeden Text automatisch kennzeichnen. Für Bilder, Audios und Videos gilt eine Offenlegungspflicht nach der KI-Verordnung insbesondere dann, wenn es sich um einen sogenannten Deepfake handelt. Gemeint sind künstlich erzeugte oder veränderte Inhalte, die so echt wirken, dass sie fälschlich für authentisch gehalten werden könnten.
Ob ein KI-generiertes Video, das das Einsetzen eines Implantats zeigt, darunterfällt, hängt deshalb von seiner konkreten Gestaltung und dem Zusammenhang ab, in dem es erscheint. Eine schematische Darstellung der Kariesentstehung ist nicht allein deshalb kennzeichnungspflichtig, weil sie mit KI erstellt wurde.
Bei KI-generierten Texten greift die Offenlegungspflicht nach Artikel 50 der KI-Verordnung nur unter bestimmten Voraussetzungen: Der Text muss veröffentlicht werden, um die Öffentlichkeit über ein Thema von öffentlichem Interesse zu informieren. Die Pflicht entfällt unter anderem, wenn ein Mensch den Inhalt überprüft oder redaktionell kontrolliert hat und eine natürliche oder juristische Person die redaktionelle Verantwortung für die Veröffentlichung trägt. Eine reine Rechtschreibprüfung genügt dafür nicht.
Was gilt beim KI-Einsatz für Diagnose und Behandlungsplanung?
Nutzt eine Zahnärztin oder ein Zahnarzt KI zur Unterstützung bei Diagnose oder Behandlungsplanung, entsteht daraus nicht automatisch eine allgemeine Kennzeichnungspflicht nach Artikel 50 der KI-Verordnung. Welche Informationen Patientinnen und Patienten erhalten müssen, ist dennoch für den jeweiligen Einsatz zu prüfen. Pflichten können sich insbesondere aus dem Datenschutzrecht sowie aus dem Behandlungs- und Berufsrecht ergeben.
Die Bundeszahnärztekammer empfiehlt Praxen, sich vor dem Einsatz einer KI-Anwendung auch über bestehende Informationspflichten und gegebenenfalls erforderliche Einwilligungen zu informieren. Wird Software als Medizinprodukt eingesetzt, muss die Praxis außerdem auf deren Zweckbestimmung und Gebrauchsanweisung achten. Die zahnärztliche Verantwortung für die Behandlung bleibt bestehen.
Wann ist eine Datenschutz-Folgenabschätzung nötig?
Verarbeitet eine KI-Anwendung personenbezogene Daten, muss die Praxis prüfen, ob dafür eine Datenschutz-Folgenabschätzung erforderlich ist. Sie ist nicht bei jedem KI-Einsatz automatisch vorgeschrieben. Entscheidend ist, ob die konkrete Verarbeitung voraussichtlich ein hohes Risiko für die Rechte und Freiheiten der betroffenen Personen mit sich bringt. Für die Bewertung spielen unter anderem Art, Umfang, Umstände und Zweck der Datenverarbeitung eine Rolle. Praxen sollten dabei auch die Hinweise der zuständigen Datenschutzaufsichtsbehörde berücksichtigen. Ist eine Datenschutz-Folgenabschätzung erforderlich und hat die Praxis eine Datenschutzbeauftragte oder einen Datenschutzbeauftragten benannt, muss sie deren beziehungsweise dessen Rat einholen.
Patientendaten: Was Praxen vor dem KI-Einsatz klären sollten
Unabhängig davon, ob eine Datenschutz-Folgenabschätzung nötig ist, sollten Praxisinhaber vor dem Einsatz eines KI-Systems klären, welche Patientendaten verarbeitet werden und wer darauf zugreifen kann. Dazu gehört auch die Frage, wo die Daten gespeichert werden und ob der Anbieter sie für eigene Zwecke weiterverarbeitet. Bei einem externen Dienstleister ist zu prüfen, ob eine Auftragsverarbeitung vorliegt und welche vertraglichen Regelungen erforderlich sind. Die Praxis muss außerdem sicherstellen, dass die Verarbeitung datenschutzrechtlich zulässig ist und die zahnärztliche Schweigepflicht gewahrt bleibt. Schutzmaßnahmen wie Zugriffsbeschränkungen und Verschlüsselung sollten zum jeweiligen Risiko passen.
Das Praxisteam auf den Umgang mit KI vorbereiten
Auch die Mitarbeitenden müssen wissen, wie sie die eingesetzten KI-Systeme verwenden und wo deren Grenzen liegen. Artikel 4 der KI-Verordnung verpflichtet Anbieter und Betreiber, Maßnahmen zur Förderung der KI-Kompetenz der Personen zu ergreifen, die in ihrem Auftrag mit KI arbeiten. Welche Maßnahmen passen, hängt unter anderem von den Vorkenntnissen des Teams und dem Einsatzbereich ab. Für eine Zahnarztpraxis kann es sinnvoll sein, das Team in die Bedienung einzuweisen und festzulegen, wie mit fehlerhaften oder unplausiblen Ergebnissen umzugehen ist. Die Verordnung verlangt dabei nicht, für jede einzelne Person ein bestimmtes Kompetenzniveau zu garantieren.