Die Spracherkennungssoftware Dragon Medical One wird in vielen Kliniken und Praxen eingesetzt, um Arbeitsprozesse zu beschleunigen.
Doch aus datenschutzrechtlicher und regulatorischer Sicht bestehen erhebliche Zweifel an der rechtssicheren Nutzung. Verantwortliche sollten genau prüfen, bevor sie die Software in sensiblen Bereichen einsetzen..
Die DSGVO stellt besonders hohe Anforderungen an die Verarbeitung von Gesundheitsdaten (Art. 9 DSGVO). Beim Einsatz von Dragon Medical One ergeben sich insbesondere folgende Problemfelder:
Verarbeitung hochsensibler Daten: Unklar ist, ob die Daten ausschließlich innerhalb der EU verarbeitet werden oder ob Übermittlungen in Drittländer stattfinden.
Auftragsverarbeitung: Nach Art. 28 DSGVO ist ein Vertrag erforderlich. Es bestehen Zweifel, ob die vom Anbieter bereitgestellten Vertragsunterlagen den gesetzlichen Vorgaben entsprechen.
Transparenz & Kontrolle: Speicherorte, Unterauftragsverarbeiter und Löschkonzepte sind für Verantwortliche häufig nicht nachvollziehbar.
Datenschutz-Folgenabschätzung: Für den Einsatz in einer medizinischen Einrichtung ist eine DSFA nach Art. 35 DSGVO zwingend vorgeschrieben.
Mit der neuen EU-KI-Verordnung (AI Act) gelten zusätzliche Pflichten:
Hochrisiko-KI-System: Anwendungen im medizinischen Bereich, die Patientendaten verarbeiten, fallen in die Hochrisiko-Kategorie.
Pflichten des Anbieters: Dragon Medical One müsste u. a. ein Risikomanagement, technische Dokumentation sowie Nachweise zur Qualität der Trainings- und Testdaten vorlegen.
Pflichten der Anwender: Auch Kliniken und Praxen sind verpflichtet, nur konforme KI-Systeme einzusetzen. Ohne vollständige Unterlagen können sie ihren Pflichten nicht nachkommen.
Fehlende Konformitätsnachweise: Derzeit sind keine vollständigen AI-Act-Unterlagen des Herstellers öffentlich zugänglich.
Der Einsatz von Dragon Medical One ist mit erheblichen rechtlichen Risiken verbunden. Verantwortliche Einrichtungen sollten:
Konformitätsunterlagen nach DSGVO und AI Act einfordern
Verarbeitungsketten und Unterauftragsverarbeiter prüfen
Eine Datenschutz-Folgenabschätzung durchführen
Juristische und datenschutzfachliche Beratung einholen, bevor das System produktiv genutzt wird
⚖️ Hinweis: Dieser Beitrag stellt keine Rechtsberatung im Einzelfall dar, sondern eine fachliche Einschätzung auf Grundlage der DSGVO und der EU-KI-Verordnung.
Für jede Anfrage können Sie uns gerne eine Nachricht senden und wir werden so schnell wie möglich antworten.