Selbstgehostete Dokumenten-KI im Gesundheitswesen

Die sensibelsten Daten einer Klinik: auf dem Rechner eines anderen

Das Gesundheitswesen läuft auf Dokumenten. Arztbriefe, Laborbefunde, Bildgebungsbefunde, Einwilligungserklärungen, Forschungsdatensätze: die sensibelsten Unterlagen, die eine Organisation halten kann, und genau die, bei denen ein KI-Assistent am nützlichsten wäre. Der Haken ist struktureller Natur: Die meisten KI-Assistenten sind Cloud-Dienste, „die KI das lesen lassen" heißt also, dass die Patientenakte das Haus verlässt. Bei Gesundheitsdaten liegt genau in diesem einen Schritt das ganze rechtliche Gewicht.

Dieser Artikel handelt davon, warum dieser Schritt so schwer wiegt, warum On-Premise- oder lokale Dokumenten-KI meist die sauberste Antwort ist, und warum sie den Rest des Rechts nicht verschwinden lässt.

Gesundheitsdaten sind eine besondere Kategorie: Art. 9 DSGVO

Nach der DSGVO werden die meisten personenbezogenen Daten auf einer gewöhnlichen Rechtsgrundlage verarbeitet. Gesundheitsdaten sind nicht gewöhnlich. Gesundheitsdaten sind eine besondere Kategorie nach Artikel 9 DSGVO, und ihre Verarbeitung ist standardmäßig verboten, es sei denn, eine der spezifischen Bedingungen aus Art. 9 Abs. 2 greift: ausdrückliche Einwilligung, die Erbringung von Gesundheitsleistungen, wissenschaftliche Forschung unter Garantien und so weiter.

Dieses Regel-Ausnahme-Verhältnis verändert die Ausgangslage. Du fragst nicht nur „habe ich eine Rechtsgrundlage?", sondern „welche enge Ausnahme erlaubt mir die Verarbeitung überhaupt, und habe ich die daran geknüpften Bedingungen erfüllt?" Die Verarbeitung besonderer Kategorien löst außerdem verschärfte Pflichten aus: angemessene technische und organisatorische Maßnahmen (TOMs) im Verhältnis zum Risiko und häufig eine Datenschutz-Folgenabschätzung (DSFA), bevor du beginnst.

Nichts davon ist ein Grund, KI zu meiden. Es ist ein Grund, bewusst zu entscheiden, wo die Verarbeitung stattfindet.

§203 StGB: Verschwiegenheit ist auch Strafrecht

In Deutschland liegt über der DSGVO eine zweite Schicht. §203 StGB macht es für Ärzte und andere Berufsgeheimnisträger strafbar, Privatgeheimnisse eines Patienten unbefugt zu offenbaren. Dieselbe Logik, die Anwälte und Steuerberater bindet, bindet die Heilberufe.

Hier die Nuance, die Verkaufsversprechen gern verzerren: Das macht Cloud-KI nicht illegal. Eine Reform des §203 aus dem Jahr 2017 erlaubt ausdrücklich, externe Dienstleister (sogenannte „mitwirkende Personen") einzubeziehen, darunter IT- und Cloud-Anbieter, sofern sie ordnungsgemäß verpflichtet werden und die Offenbarung auf das beschränkt bleibt, was die Zusammenarbeit erfordert. Einen Auftragsverarbeiter zu nutzen ist also im Grundsatz zulässig. Was §203 tut, ist die Einsätze zu erhöhen: Eine unzureichend verpflichtete oder zu weit reichende Cloud-Konstellation ist nicht bloß ein Datenschutzbefund, sondern eine mögliche strafrechtliche Verantwortung für die behandelnde Person. Das macht Cloud zu einer zu steuernden Risikofrage, nicht zu einem feststehenden Verbot, und es macht „die Daten sind nie gegangen" zu einer ungewöhnlich attraktiven Position.

Warum On-Premise / lokal die saubere Antwort ist

Der sauberste Weg, ein Risiko zu steuern, ist, seine Ursache zu beseitigen. Läuft die Inferenz auf Hardware, die du kontrollierst, On-Device-KI oder gegen deinen eigenen Schlüssel (BYOK), verlässt die Patientenakte nie deine Rechtshoheit, erreicht nie einen externen Auftragsverarbeiter und wird nie zur Drittlandübermittlung.

• Keine Offenbarung an Dritte. Es gibt keinen externen Betreiber, der nach §203 zu verpflichten wäre, und keine Auftragsverarbeiter-Kette, die nach Art. 28 zu prüfen wäre. Du bleibst der alleinige Verantwortliche.
• Kein Übermittlungsproblem. Nichts überschreitet eine Grenze, also stellt sich die gesamte Drittland-Prüfung nach Kapitel V (der Teil, der US-Clouds in Schwierigkeiten bringt) gar nicht erst. Das ist dasselbe strukturelle Argument wie bei DSGVO-konformer KI und, breiter, bei On-Premise vs. deutsche Cloud.
• Echte Datenhoheit. Speicherort, Rechtshoheit und Kontrolle über den Stack fallen in eine einzige einfache Antwort zusammen, weil die Daten auf deiner Festplatte liegen.

Für ein Krankenhaus, eine Praxis oder eine medizinische Forschungsgruppe ist das der Unterschied zwischen einer komplizierten Vertrauensgeschichte über einen ausländischen Anbieter und einer Antwort in einem Satz: Die Akten sind im Haus geblieben.

Was Self-Hosting nicht tut

Sei hier präzise, denn Übertreibung ist ein eigenes Risiko. Self-Hosting befreit dich nicht von der DSGVO. Es beseitigt die Drittübermittlung, nicht die Pflichten. Du bleibst der Verantwortliche, und die Mechanik für besondere Kategorien läuft weiter:

• Du brauchst weiterhin eine gültige Bedingung nach Art. 9 Abs. 2, um Gesundheitsdaten überhaupt zu verarbeiten.
• Du schuldest weiterhin angemessene TOMs, und die meisten KI-Workflows mit Patientendaten erfordern weiterhin eine DSFA.
• Betroffenenrechte, Richtigkeit, Aufbewahrung und Zugriffskontrolle bleiben deine Pflicht, nun für ein System, das du selbst betreibst.

Auch der EU AI Act bleibt im Blick zu behalten. Er ist risikobasiert und gestuft, und manche medizinischen Anwendungen können in die Hochrisiko-Stufe fallen; als Betreiber eines selbstgehosteten Systems bist du von den Betreiberpflichten nicht befreit. Self-Hosting vereinfacht die Datenschutz- und Verschwiegenheitsgeschichte; es löscht die AI-Act-Geschichte nicht. Die Details stehen in EU AI Act und Self-Hosting.

Kurz: Lokale Inferenz gibt dir eine deutlich stärkere Ausgangsposition. Es sind nicht null Pflichten.

Wo pdf2okf ins Bild kommt

pdf2okf ist genau für dieses Ende des Spektrums gebaut. Es verwandelt ein PDF in OKF-kompatible Markdown-Konzeptdateien samt extrahierter Abbildungen, gebündelt als portablen OKFZ-Arbeitsbereich, auf deiner eigenen Hardware oder gegen deinen eigenen Schlüssel. (OKF ist der offene Standard von Google; pdf2okf ist dazu kompatibel, nicht dessen Urheber.)

Ein Agent liest diese einfachen Dateien dann direkt, indem er sie durchsucht. Es gibt keine Vektordatenbank, keinen Embedding-Dienst und nichts, was zu Dritten hochgeladen wird. Weil die Antwort aus dem Durchsuchen des tatsächlichen Textes stammt, ist sie deterministisch und belegt zurück bis zum Quellkonzept, was zählt, wenn eine Ausgabe über einen realen Patienten belastbar sein muss.

Für ein Team im Gesundheitswesen ist das Ergebnis genau die strukturelle Antwort, die Art. 9 und §203 belohnen: Die Patientenakte hat nie deine Kontrolle verlassen, also stellen sich das Übermittlungs- und das Offenbarungsproblem gar nicht erst. Die verbleibenden DSGVO-Pflichten (die Rechtsgrundlage, die TOMs, die DSFA) ruhen dann auf einem sauberen, in sich geschlossenen Fundament statt auf einem ausländischen Auftragsverarbeiter, dem du fortlaufend vertrauen musst.