KI im Krankenhaus einsetzen — ohne Offenlegung von Patientendaten

Die Hürde bei der KI-Einführung im klinischen Betrieb

Der Dokumentationsaufwand ist in nahezu jedem Krankenhaus ein anerkanntes Problem. Radiologierückstände, klinische Notizen, Entlassungsberichte, Abrechnungskodierung — zeitintensiv, fehleranfällig und vollständig auf Patientendaten angewiesen. Studien belegen eine Zeitersparnis von 30 bis 50 % bei der klinischen Dokumentation, wenn KI unterstützend eingesetzt wird.

Patientendaten (PHI) dürfen das Krankenhausnetzwerk jedoch nicht verlassen. HIPAA, regionale Datenschutzgesetze — darunter die DSGVO (GDPR) in europäischen Einrichtungen — sowie die hausinterne Daten-Governance untersagen die Übermittlung von Patientenkennungen an externe LLM-Endpunkte. PII-Schutzmaßnahmen erkennen Namen, erfassen jedoch nicht die operativen Daten, die klinische KI-Zusammenfassungen tatsächlich benötigen: Workflow-Kontext, Laborbefundsequenzen, Medikationsverläufe und Versorgungspfade.

Die meisten Einrichtungen kommen über die Pilotphase nicht hinaus. KI-Anbieter versprechen zu viel, Sicherheitsteams blockieren den Rollout, und Ärzte greifen auf private Geräte und nicht freigegebene KI-Dienste zurück. Das Pilotprojekt erreicht das EHR nie.

Was die KI-Datenschicht verändert

Eine KI-Datenschicht wie LLM Capsule positioniert sich zwischen dem EHR (Epic, Cerner oder einem internen KIS) und dem LLM. PHI wird lokal kapsuliert — Patientenname wird zu ⟨P_xxxx⟩, MRN zu ⟨MR_yyyy⟩, die Dokumentstruktur bleibt erhalten. Das LLM erstellt die Radiologiezusammenfassung auf Basis der Kapsel. Die Ausgabe wird lokal, innerhalb des Krankenhausnetzwerks, wiederhergestellt und in den EHR-Datensatz zurückgeführt. Der LLM-Anbieter erhält zu keinem Zeitpunkt Zugriff auf PHI.

Fünf klinische Datenkategorien unter dem Schutz der Datenschicht

• Direkte Identifikatoren — Patientenname, MRN, Geburtsdatum, Sozialversicherungsnummer, Telefon, Adresse, Fotoangaben
• Klinische Identifikatoren — Diagnosen, Laborbefund-IDs, Verordnungs-IDs, Prozedurkodes, Auftragsnummern
• Workflow-Kontext — Aufnahmeablauf, Versorgungspfad, Station/Einheit, behandelnder Arzt, Konsilkette
• Freitext-PHI — klinische Notizen, Entlassungsberichte, radiologische Befundeinschätzungen, Pflegebeobachtungen
• Abrechnungs-PHI — Prüfungsnachweise zu Leistungsansprüchen, Versicherungsreferenzen, Vorautorisierungskontext

Fünfstufiges Einführungsmuster

Schritt 1 — EHR-Connector und Umfangsdefinition

Der Integrationspunkt wird festgelegt. Die meisten Einrichtungen beginnen mit einem einzelnen Workflow — etwa der Erstellung von Radiologieberichten oder Entlassungsberichten — bevor sie den Einsatz ausweiten. LLM Capsule bindet Epic, Cerner oder ein internes KIS über die FHIR-API oder HL7-Messaging an. Der Pilot wird auf eine Fachabteilung (Radiologie, Onkologie, Notaufnahme) und einen Workflow (Berichtsentwurf, Zusammenfassung, Kodierung) begrenzt.

Schritt 2 — HIPAA-konforme Richtliniendefinition

Die Marker orientieren sich an den 18 PHI-Identifikatoren nach HIPAA sowie der hausinternen Datenschutzrichtlinie. Einrichtungsspezifische Ergänzungen umfassen interne Patientenklassifikationskodes, klinische Forschungs-Workflow-Tags und studienspezifische Kennungen. Die Richtlinienversion wird gemeinsam mit dem Datenschutzbeauftragten dokumentiert und fließt in die HIPAA-Risikoabschätzung ein.

Schritt 3 — On-Premise-Pfad für hochsensible Workflows

Für Workflows mit Bezug zu psychischer Gesundheit, Suchterkrankungen, HIV/AIDS, reproduktiver Gesundheit oder Kinderheilkunde wird Pfad B genutzt: ein lokal ausgeführtes Leichtgewichtmodell ohne externe Übertragung. Für weniger sensible Workflows — etwa die Zusammenfassung radiologischer Messwerte oder die Abrechnungsunterstützung — ist Pfad A (zugelassenes externes LLM, ausschließlich mit Kapseldaten) gemäß Krankenhausrichtlinie zulässig. Beide Pfade nutzen dieselbe Capsule-Instanz.

Schritt 4 — Integration in den klinischen Arbeitsablauf

Die wiederhergestellte KI-Ausgabe erscheint direkt im EHR: im PACS des Radiologen, im Notizbereich des behandelnden Arztes oder in der Abrechnungsoberfläche. Es ist kein neues Werkzeug zu erlernen. Der Prüfvermerk „Restored · LLM Capsule · Policy hospital-rad-v3" ist auf dem KI-generierten Inhalt sichtbar und schafft Nachvollziehbarkeit.

Schritt 5 — Prüfprotokoll und ethische Aufsicht

Die Prüfprotokolle werden so konfiguriert, dass sie das Compliance-Dashboard der Einrichtung speisen. Bei forschungsbezogenen Deployments unterstützt das Prüfprotokoll die Überprüfung durch die Ethikkommission (IRB) und die HIPAA-Risikoabschätzung. Monatliche Überprüfung mit dem Datenschutzbeauftragten.

Ergebnis aus der Praxis

Das Ewha Womans University Medical Center (EUMC) setzt LLM Capsule für die Zusammenfassung klinischer Workflows ein. PHI verlässt die EUMC-Netzwerkgrenze zu keinem Zeitpunkt in Rohform. Die lokale Wiederherstellung stellt sicher, dass ausschließlich autorisierte Krankenhaussysteme auf die originalen Patientenkennungen zugreifen. Ein vollständiger Prüfpfad unterstützt die HIPAA-konforme Compliance-Berichterstattung.

Häufige Fehler bei der Einführung

• Freitext-PHI unterschätzt. Unstrukturierte klinische Notizen sind die schwierigsten Daten zu schützen. Die Datenschicht muss Freitext-NER-Maskierung umfassen — nicht nur die Erkennung strukturierter Felder.
• Datenschutzbeauftragten übergangen. Die HIPAA-Risikoabschätzung muss vor dem Deployment erfolgen. Nachträgliche Genehmigungen sind kein akzeptabler Ansatz.
• Einheitsrichtlinie für alle Workflows. Workflows in der Psychiatrie, der Suchtmedizin und der Kinderheilkunde erfordern strengere Richtlinien als die Allgemeinmedizin. Der Umfang wird workflowspezifisch definiert.
• Abrechnung außer Acht gelassen. Abrechnungsbezogene KI-Workflows überraschen Datenschutzprüfer häufig — auch Leistungsabrechnungsdaten enthalten PHI. Die Abrechnung wird in die initiale Richtliniendefinition einbezogen.

Einstieg

Bringen Sie eine reale Radiologiestudie, eine Entlassungsberichtsvorlage und die Datenschutzrichtlinie Ihrer Einrichtung mit. LLM Capsule wird innerhalb von 30 Minuten auf einem Beispiel-Workflow eingerichtet. Wir erstellen einen Evaluationsbericht auf Basis Ihrer Datenschutzrichtlinie.

Demo anfordern

Verwandte Artikel

• Differential Privacy für den LLM-Einsatz im Unternehmen
• On-Premise-Ausführungspfad für LLMs
• Glossar: Operative Daten
• Lösungen: Gesundheitswesen