Ein Anbieter präsentiert ein Tool für die ambulante Dokumentation. Es zeichnet die Gespräche im Behandlungszimmer auf und erstellt automatisch den klinischen Bericht. Die Demonstration ist beeindruckend und die Ärzte sind begeistert. Der Vorschlag enthält jedoch kaum Angaben zur Speicherdauer der Aufnahmen und Transkripte oder dazu, wer diese zur Produktverbesserung nutzen darf. Die zuständige Verwaltungskraft muss daher entscheiden, ob und wen sie befragen soll und ob die Antwort ausreichend ist.
Dies ist ein beispielhaftes Szenario, kein dokumentierter Fall. Es verdeutlicht die Lücke, die KI-gestützte Schulungen zum Datenschutz schließen sollen: die Kluft zwischen der Bewunderung für einen Arbeitsablauf und der Fähigkeit, diesen zu hinterfragen.
Dieser Leitfaden richtet sich an Leiter der Personalentwicklung in Krankenhäusern sowie an die zuständigen IT- oder Compliance-Beauftragten. Er beschreibt, wie Leistungsprobleme beschrieben, Lern- und Kontextlücken diagnostiziert, Vorbereitung und Übung gestaltet, ein Fallbeispiel bearbeitet und der Lerntransfer bewertet werden. Es geht um Trainingskonzeption, nicht um Rechtsberatung. Da Datenschutzgesetze je nach Zuständigkeit variieren, müssen Ihr Datenschutzbeauftragter und Ihre Rechtsabteilung die für Ihre Lernenden geltenden Regeln festlegen.
Was ist eine Schulung zum Datenschutz in KI-Dokumentationen?
Die Schulung zum Datenschutz in der KI-Dokumentation bereitet Führungskräfte darauf vor, KI-Dokumentationsprozesse zu bewerten und Datenschutzfragen vor der Einführung eines Tools zu klären. Die Aufgabe besteht in der Bewertung. Die Teilnehmenden lesen einen Vorschlag, ermitteln, wohin Patientendaten fließen, vergleichen dies mit den Verpflichtungen der Organisation und entscheiden, welche Fragen gestellt, welche Fälle eskaliert und welche Genehmigungen verweigert werden.
Schnelle Fakten
| Frage | Kurze Antwort |
|---|---|
| Was ist die Aufgabe? | Evaluieren Sie die Arbeitsabläufe der KI-Dokumentation und werfen Sie Fragen zum Datenschutz auf. |
| Welche Punktzahl erreichst du? | Vollständigkeit der Risikobewertung und Frage, ob eine Eskalation gerechtfertigt ist. |
| Reicht eine Auffrischung der HIPAA-Kenntnisse aus? | Nein. Es vermittelt Kenntnisse über die Regeln, nicht die Gewohnheit, den Arbeitsablauf eines bestimmten Anbieters in Frage zu stellen. |
| Wer prüft die Inhalte? | Ein Informatik- oder Compliance-Beauftragter arbeitet mit Ihrem Datenschutzbeauftragten zusammen und verwendet erfundene oder anonymisierte Vorschläge. |
| Was kann Training nicht beheben? | Unveränderliche Lieferantenbedingungen, fehlende Befugnis, Nein zu sagen, und zu wenig Zeit für die Bewertung. |
| Woran erkennt man, dass es funktioniert hat? | Ein neuer, bisher unbekannter Vorschlag, bewertet anhand vereinbarter Kriterien, plus eine Nachbesprechung am Arbeitsplatz. |
1. Beschreiben Sie das Leistungsproblem
Beginnen Sie mit der Aufgabe: Bewerten Sie die Dokumentationsworkflows für KI-Systeme und klären Sie Datenschutzfragen auf. Zwei Aspekte sind dabei entscheidend. Bewerten bedeutet, einen konkreten Vorschlag zu lesen, nicht nur eine Richtlinie wiederzugeben. Fragen aufwerfen bedeutet, dass das Ergebnis aus spezifischen, beantwortbaren Fragen und einer klaren Eskalation besteht, nicht aus einem Urteil, dass das Tool sicher ist.
Datenspeicherung und Datenaustausch sind gute Anhaltspunkte, da ein Angebot genau in diesen Punkten oft ungenau ist. Fragen Sie, wo Audio- und Transkriptdateien gespeichert werden, wie lange, wer darauf zugreifen kann und ob sie zur Verbesserung des Produkts des Anbieters verwendet werden. Solche Fragen sind nur dann hilfreich, wenn der Lernende versteht, warum sie wichtig sind.
Ein hilfreicher Anhaltspunkt sind die Richtlinien des US-amerikanischen Ministeriums für Gesundheit und Soziale Dienste (HHS), genauer gesagt des Büros für Bürgerrechte, zum Thema Cloud Computing. Darin heißt es, dass eine Einrichtung, die unter die Richtlinien fällt, einen Cloud-Dienst zur Speicherung oder Verarbeitung elektronischer geschützter Gesundheitsdaten nur dann nutzen darf, wenn sie mit dem Anbieter eine Vereinbarung zur Auftragsverarbeitung (Business Associate Agreement) abgeschlossen hat. Dieser Vertrag regelt die zulässigen Nutzungen und die erforderlichen Sicherheitsvorkehrungen. Weiterhin wird klargestellt, dass ein Anbieter, der verschlüsselte Daten ohne den Entschlüsselungsschlüssel speichert, dennoch als Auftragsverarbeiter gilt. Auch der Kunde behält seine Pflichten: Er muss eine eigene Risikoanalyse durchführen und darf sich nicht allein auf den Vertrag verlassen.HHS-Leitfaden zu HIPAA und Cloud ComputingDiese Richtlinie stammt aus der Zeit vor Ambient-AI-Tools und ist nicht spezifisch für diese. Verwenden Sie sie daher als Ausgangspunkt und lassen Sie Ihren Datenschutzbeauftragten die Anwendungsbereiche erläutern.
Verfassen Sie die Leistungsbeschreibung in einem Satz und lassen Sie sie von einem Compliance-Verantwortlichen überprüfen: „Angesichts eines Angebots eines Anbieters für ein KI-Dokumentationstool erfasst der Verantwortliche, wo Patientendaten fließen, listet die im Angebot offenen Fragen zur Aufbewahrung und Weitergabe auf und eskaliert die nicht zu klärenden Fälle an die zuständige Person.“
2. Lern- und Kontextlücken diagnostizieren
Bevor Sie etwas entwickeln, vergleichen Sie die Aufgabe mit den Inhalten und Prüfungsformaten Ihres aktuellen Programms. Drei Fragen helfen in der Regel, eine Schulungslücke von anderen Problemen zu unterscheiden:
- Wird in der aktuellen Praxis die reale Aufgabe berücksichtigt? Wenn Datenschutzschulungen als jährliches Modul zu allgemeinen Regeln angeboten werden, üben die Teilnehmer zwar das Erkennen der Regeln, aber nicht deren Anwendung auf ein Angebot eines Anbieters. Ein Quiz zu Definitionen misst das Erinnerungsvermögen, nicht die Bewertung.
- Welche kognitiven Anforderungen werden gestellt? In Blooms überarbeiteter Taxonomie geht es darum, eine Regel auf einen neuen Vorschlag anzuwenden und zu analysieren, wo Informationsflüsse über dem Abruf angesiedelt sind. Die Zuordnung von Aktivitäten zu diesen Ebenen wird in unserem Leitfaden behandelt. Zuordnung von Lernaktivitäten zu Blooms Taxonomie.
- Steht da etwas anderes als Können im Weg? Überprüfen Sie Personal, Tools und Abläufe. Eine Führungskraft, die nur zwei Tage Zeit hat, ein Angebot zu prüfen, keine Vorlage für Lieferantenfragen besitzt oder keine Befugnis hat, einen Kauf zu stoppen, wird Schwierigkeiten haben, egal wie gut sie geschult ist. Melden Sie diese Probleme denjenigen, die sie beheben können.
3. Entwurfsvorbereitung und -durchführung
Sobald Sie wissen, welche Lücken durch Schulungen geschlossen werden können, weisen Sie jeder Phase eine klar definierte Aufgabe zu.
Vorbereitung. Prüfen Sie die Voraussetzungen mit einer kurzen Diagnose: Welche Datenschutzbegriffe verwendet Ihre Organisation? Was gilt als Patienteninformation? Was ist eine Vereinbarung mit einem Geschäftspartner? Wer ist für Datenschutzentscheidungen zuständig? Selbststudium eignet sich für diese Phase. Eine Wissensüberprüfung bestätigt lediglich die Kenntnis der Voraussetzungen.
Praxis. Nutzen Sie simulierte Audits. Die Teilnehmenden erhalten einen fiktiven Anbietervorschlag und die Datenschutz-Checkliste des Unternehmens und bereiten sich auf ein simuliertes Audit vor, so wie sie es auch für eine echte Inspektion tun würden: Welche Nachweise bräuchten sie, welche Fragen würden sie zuerst stellen und welche Punkte würden sie beanstanden? Fügen Sie Beispiele aus Ihren eigenen früheren Audits hinzu, in denen die Daten anonymisiert sind und von Ihrem Compliance-Beauftragten freigegeben wurden.
Feedback bekommen. Verknüpfen Sie es mit Entscheidungen anstatt mit einer Gesamtpunktzahl. „Sie haben gefragt, wie lange Transkripte aufbewahrt werden, was die richtige Frage ist, aber Sie haben nicht gefragt, ob der Anbieter sie zum Trainieren seiner Modelle verwenden darf“ vermittelt mehr als „6 von 10“.
Live-Eingabe oder asynchrone Überprüfung? Live-Coaching ist besonders wertvoll, wenn ein Vorschlag unklar ist und die Teilnehmenden erfahren möchten, wie eine erfahrene Datenschutzbeauftragte entscheidet, welche Fälle eskaliert werden sollten. Eine asynchrone Überprüfung reicht aus, um die schriftlichen Fragen der Teilnehmenden mit einer kommentierten Musterantwort zu vergleichen. Manche Teams nutzen beides: zunächst selbstständiges Vorbereiten, anschließend eine moderierte Sitzung zu den komplexesten Vorschlägen.
4. Arbeiten Sie ein realistisches Beispiel durch.
Zur Veranschaulichung. Ein Datenschutzbeauftragter oder Informatiker sollte den Anwendungsfall und die Antwortkriterien vor der Verwendung prüfen.
Der Fall. In einem Angebot eines Anbieters für ein Tool zur Umgebungsdokumentation heißt es, dass Daten „sicher gespeichert“ und „zur Verbesserung unserer Dienste verwendet“ werden. Es wird keine Aufbewahrungsfrist genannt, und es wird nicht erwähnt, ob der Anbieter die Vereinbarung zur Auftragsverarbeitung des Unternehmens unterzeichnen wird.
Die Aufgabe. Der Projektleiter prüft den Vorschlag, listet auf, was er in Bezug auf Aufbewahrung und Datenweitergabe aussagt und was nicht, entscheidet, welche Fragen an den Anbieter gestellt werden sollen, und legt fest, welche Informationen von den Datenschutz- oder Rechtsexperten benötigt werden, bevor das Tool weiter eingesetzt wird.
Ein erster Versuch. „Der Anbieter versichert, dass die Daten sicher gespeichert werden, daher denke ich, dass alles in Ordnung ist. Ich werde dem klinischen Team mitteilen, dass es akzeptabel aussieht.“ Damit wird eine allgemeine Aussage akzeptiert, ohne sie zu überprüfen. Außerdem wird eine Entscheidung getroffen, die nicht im Verantwortungsbereich des Lernenden liegt.
Feedback geben und es erneut versuchen. Der Coach weist auf zwei Formulierungen im Vorschlag hin: „Sicher gespeichert“ sagt nichts über die Speicherdauer aus, und „wird zur Verbesserung unserer Dienste verwendet“ lässt offen, ob Aufnahmen oder Transkripte enthalten sind. Im Wiederholungsversuch wird der Lernende aufgefordert, jede Formulierung in eine Frage umzuformulieren.
Ein stärkerer Versuch. „Der Vorschlag sieht keine Aufbewahrungsfrist für Audioaufnahmen oder Transkripte vor. Ich würde beides anfordern. Die ‚Verbesserung unserer Dienstleistungen‘ könnte auch das Training der Modelle des Anbieters anhand der Gespräche unserer Patienten umfassen. Daher würde ich direkt fragen, ob dies vorgesehen ist und ob wir die Möglichkeit haben, dem zu widersprechen. Ich würde außerdem fragen, ob der Anbieter unsere Vereinbarung zur Auftragsverarbeitung unterzeichnet. Da ich die Antworten nicht beurteilen kann, werde ich die Fragen und Antworten an unseren Datenschutzbeauftragten weiterleiten und die Einführung bis zu dessen Prüfung aussetzen.“ Diese Antwort benennt konkrete Lücken, formuliert sie als Fragen und leitet die Entscheidung an die zuständige Person weiter.
Warum jede Antwort vertretbar oder unvollständig ist. Beurteilen Sie jeden Versuch anhand festgelegter Kriterien, nicht anhand der Präferenzen eines Trainers. Der erste Versuch ist zwar üblich, beschränkt sich aber auf die reine Beruhigung. Ein erfolgreicherer Versuch umfasst das Behalten, die Weitergabe des Gelernten und die Vereinbarung und bleibt im Rahmen der Kompetenzen des Lernenden.
5. Fähigkeiten einschätzen und Transfer planen
Der Kompetenznachweis erfolgt als Reaktion auf einen Vorschlag, den der Lernende noch nicht gesehen hat. Bewerten Sie die Vollständigkeit der Risikoanalyse und ob die Eskalation gerechtfertigt ist. Ein einfaches Bewertungsraster verwendet eine Skala von 0 bis 2 pro Kriterium:
| Kriterium | Sichtbare Beweise |
|---|---|
| Aufgabenausführung | Bewertet den Arbeitsablauf und dokumentiert die Beweise, die jeder aufgeworfenen Frage zugrunde liegen. |
| Argumentation | Erläutert Einschränkungen, Alternativen und was noch ungewiss ist. |
| Boundaries | Wendet genehmigte Verfahren an und eskaliert, wenn Informationen oder Befugnisse nicht ausreichen. |
Bewertungskriterien: 0 bedeutet fehlend oder nicht begründet, 1 bedeutet teilweise mit relevanten Auslassungen und 2 bedeutet vollständig und anhand der vereinbarten Kriterien begründet. Kritische Fehler, wie beispielsweise die Genehmigung eines Tools zur Verwendung mit Patientendaten vor dessen Prüfung durch die Datenschutzabteilung, sind separat zu definieren, damit eine Gesamtbewertung keinen solchen Fehler verschleiern kann. Diese Bewertungsmatrix ist ein Vorschlag, kein validierter Bereitschaftsstandard: Passen Sie sie gemeinsam mit einem Verantwortlichen für Informatik oder Compliance an und erproben Sie sie. Unser Leitfaden dazu Gestaltung interaktiver Übungen mit hilfreichem Feedback zeigt, wie man Feedback verfasst, das mit Entscheidungen verknüpft ist.
Planen Sie den Transfer gezielt. Fügen Sie eine Nachbereitung hinzu, nachdem die Lernenden ein konkretes Angebot geprüft haben, beispielsweise eine kurze Nachbesprechung, in der jeder Teilnehmer seine Fragen und die Antworten des Anbieters vorträgt.
Wo interaktive Bereitstellung hilft
Interaktive Formate sind hilfreich, wenn sich alle Beteiligten festlegen müssen, bevor sie die Antwort erhalten. In einer Live-Sitzung kann ein Moderator einen fiktiven Angebotsauszug zeigen, jeden Teilnehmer bitten, die erste Frage an den Anbieter zu formulieren, und anschließend die Doppelseite vor der Diskussion präsentieren. Derselbe Fall kann zur Vorbereitung im Selbststudium bearbeitet werden. AhaSlides unterstützt interaktives Lernen und den Wechsel zwischen Live- und Selbststudium. Verwenden Sie keine echten Patientendaten oder echten Anbieterverträge. Überprüfen Sie alle Funktionen zur Erstellung, zum Feedback oder zur Berichterstellung, die Sie nutzen möchten, anhand Ihres eigenen Workflows. Behandeln Sie KI, Simulatoren und Systemintegrationen als extern oder unbestätigt, bis Sie deren Funktionsfähigkeit getestet haben. Hinweise zur Formatauswahl finden Sie in unserem Artikel zu diesem Thema. Wann sollte man adaptives, interaktives und Live-Lernen einsetzen?.
Messen Sie, was sich verändert hat
Legen Sie im Vorfeld fest, woran Sie erkennen, dass die Lernenden die Aufgabe bewältigen können. Vergleichen Sie die Vollständigkeit der Risikobewertungen eines unbekannten Angebots mit einer Referenzmenge und prüfen Sie, ob Eskalationen bei der Überprüfung durch einen Datenschutzbeauftragten gerechtfertigt waren. Definieren Sie die Einschlusskriterien, den Nenner und den Zeitraum. Verbessern sich die Ergebnisse, prüfen Sie, welche anderen Änderungen sich im selben Zeitraum ergeben haben, z. B. eine neue Checkliste für Anbieter, eine Richtlinienaktualisierung oder eine Änderung der für die Angebotsprüfung zuständigen Personen, bevor Sie die Schulung anrechnen.
Einschränkungen, die möglicherweise bestehen bleiben
- Lieferantenbedingungen. Ein Anbieter kann Änderungen seiner Standardbedingungen ablehnen. Eine sorgfältige Evaluierung deckt dies frühzeitig auf, Schulungen ändern jedoch nichts am Vertrag.
- Behörde. Ein potenzieller Kunde, der zwar Fragen aufwerfen, aber einen Kauf nicht stoppen kann, hat eine begrenzte Reichweite.
- Zeit. Eine gründliche Überprüfung benötigt Zeit, die möglicherweise nicht im Plan vorgesehen ist.
- Fallabdeckung. Ein Vorschlag zeigt ein bestimmtes Muster. Eine Punktzahl beschreibt nicht das Urteilsvermögen einer Person im Allgemeinen.
- Übertragung. Die Leistung in einem Trainingsfall ist nicht dasselbe wie die Leistung unter Kaufdruck.
Benennen Sie diese Punkte frühzeitig gegenüber den Sponsoren und planen Sie separate Lösungen. Schulungen verbessern die Beurteilungsfähigkeit der Führungskräfte. Sie ändern jedoch nicht die Rahmenbedingungen der Entscheidung.
Häufig gestellte Fragen
Was ist eine Schulung zum Datenschutz in KI-Dokumentationen?
Es bereitet die administrativen Führungskräfte darauf vor, KI-Dokumentationswerkzeuge wie Ambient Notetaking zu bewerten und vor der Einführung spezifische Fragen zum Datenschutz in Bezug auf Aufbewahrung, Zugriff und Datenweitergabe zu stellen.
Regelt eine Vereinbarung mit Geschäftspartnern die Frage des Datenschutzes?
Nein. Es handelt sich um eine notwendige Schutzmaßnahme. Gemäß den Richtlinien des US-Gesundheitsministeriums (HHS) für Cloud Computing führen Kunden weiterhin ihre eigene Risikoanalyse durch, und Ihr Datenschutzbeauftragter entscheidet, was akzeptabel ist.
Wie lässt sich feststellen, ob Leads ein Tool bewerten können?
Unterbreiten Sie dem Lernenden einen Vorschlag, den er noch nicht gesehen hat, und bewerten Sie die Vollständigkeit der Risikoanalyse sowie die Begründung für die Eskalation anhand vereinbarter Kriterien. Ein Definitionsquiz dient lediglich der Bestätigung der Voraussetzungen.
Können im Training echte Lieferantenverträge verwendet werden?
Verwenden Sie fiktive oder anonymisierte Vorschläge und lassen Sie jegliches Material aus echten Bewertungen von Ihrem Compliance-Beauftragten genehmigen. Patientendaten dürfen in Schulungsmaterialien nicht enthalten sein.
Wo soll ich anfangen
Wählen Sie einen Angebotstyp, der in Ihrem Unternehmen häufig vorkommt. Verfassen Sie die Leistungsbeschreibung, lassen Sie einen Informatik- oder Compliance-Verantwortlichen einen fiktiven Fall und die damit verbundenen Fragen prüfen, und erstellen Sie eine dreistufige Bewertungsmatrix mit einer Skala von 0 bis 2 sowie einer Liste kritischer Fehler. Testen Sie das Verfahren zunächst mit einer kleinen Gruppe, bevor Sie es flächendeckend einführen.
Um zu sehen, wie eine Angebotsprüfung live mit Ihrem eigenen Team durchgeführt und anschließend im eigenen Tempo wiederverwendet werden kann, erkunden Sie AhaSlides.
