Gesundheitswesen · NRW & bundesweit
Institut für Datenschutz im GesundheitswesenDavid Dörmann

Datenschutz im Gesundheitswesen · KI & Innovation

KI-Reallabore in NRW: Wie Gesundheitsunternehmen neue Anwendungen vorbereiten

Medizinische Einrichtungen und Softwareanbieter haben viele Ideen für KI: Dokumente strukturieren, Informationen leichter finden oder neue Anwendungen für die Versorgung entwickeln. Sobald dafür Gesundheitsdaten genutzt werden, müssen technischer Nutzen, Datenschutz und fachliche Verantwortung zusammenpassen.

Von David Dörmann · DatenschutzberatungStand: 7 Minuten Lesezeit
In diesem Ratgeber

Was ist ein KI-Reallabor?

Ein Reallabor nach der KI-Verordnung bietet einen von einer zuständigen Behörde geschaffenen Rahmen. Unternehmen vereinbaren mit dieser Behörde einen Plan und können darin innovative KI-Systeme für einen begrenzten Zeitraum entwickeln, trainieren und testen. Die behördliche Begleitung soll helfen, regulatorische Fragen vor dem Markteintritt zu klären.

Ein abgeschotteter Testserver in einer Praxis kann für die eigene Erprobung sinnvoll sein. Durch seine technische Trennung wird er jedoch noch nicht zu einem Reallabor im rechtlichen Sinne. Entscheidend sind der behördliche Rahmen und die vereinbarten Bedingungen.

Welchen Stand haben Bund und NRW erreicht?

Die Bundesnetzagentur übernimmt nach dem am 29. Juli 2026 in Kraft getretenen KI-MIG eine zentrale Rolle bei der Umsetzung der KI-Verordnung. Zu ihren Aufgaben gehört die Einrichtung eines KI-Reallabors. Auf EU-Ebene wurde die Frist für mindestens ein einsatzbereites nationales Reallabor je Mitgliedstaat auf den 2. August 2027 verschoben.

Nordrhein-Westfalen arbeitet ebenfalls an einem gesetzlichen Rahmen. Eine Landtagsvorlage vom Juli 2026 dokumentiert einen Gesetzentwurf für KI-Reallabore. Auch der Bericht der Landesinitiative Digi-Sandbox.NRW zum Netzwerktreffen vom September 2026 bezeichnet das Gesetz als geplant.

Welche Chancen bestehen für das Gesundheitswesen?

Ein Reallabor kann insbesondere interessant sein, wenn ein Unternehmen eine innovative KI-Anwendung entwickelt und dabei komplexe regulatorische Fragen klären muss. Für den bloßen Einkauf einer bestehenden Standardsoftware ist häufig zunächst eine strukturierte Auswahl- und Einsatzprüfung erforderlich.

Daneben fördert das Bundesgesundheitsministerium unter dem Begriff „KI-Reallabore für das Gesundheitswesen“ verschiedene Maßnahmen, etwa sichere Erprobungsumgebungen und Hilfen für die Entwicklung. Das Ministerium weist ausdrücklich darauf hin, dass diese Maßnahmen selbst noch keine KI-Reallabore im Sinne der KI-Verordnung darstellen. Prüfen Sie deshalb bei jedem Angebot, welches konkrete Verfahren gemeint ist.

Dürfen Patientendaten im Reallabor frei genutzt werden?

Die Teilnahme schafft keine pauschale Ausnahme vom Datenschutz. Artikel 59 beschreibt eine begrenzte Möglichkeit zur Weiterverarbeitung bereits rechtmäßig erhobener Daten für bestimmte KI-Systeme im erheblichen öffentlichen Interesse. Dafür müssen sämtliche gesetzlichen Bedingungen erfüllt sein.

Dazu gehören beispielsweise eine geschützte, getrennte Verarbeitungsumgebung, beschränkte Zugriffe, dokumentierte Verarbeitungsschritte und eine wirksame Kontrolle von Risiken. Die Regelung ist keine allgemeine Erlaubnis, Behandlungsakten für beliebige Entwicklungsprojekte einzusetzen. Die Voraussetzungen sind vor Beginn für den konkreten Anwendungsfall zu prüfen.

Anonymisiert und pseudonymisiert sind unterschiedliche Dinge

Ein entfernter Name macht eine Patientenakte nicht automatisch anonym. Seltene Erkrankungen, genaue Zeitangaben oder andere Merkmalskombinationen können weiterhin Rückschlüsse ermöglichen.

Bei einer Pseudonymisierung wird die direkte Zuordnung erschwert, bleibt aber mithilfe zusätzlicher Informationen möglich. Wenn Ihre Einrichtung diese Zuordnung weiterhin herstellen kann, bleiben die Daten bei ihr personenbezogen. Auch eine Anonymisierung muss fachlich geprüft werden; gerade Gesundheitsinformationen sind häufig sehr individuell. Das gilt ebenso, wenn Testdaten aus echten Behandlungsunterlagen abgeleitet werden.

So bereiten Sie ein überschaubares Pilotprojekt vor

Unabhängig von einer möglichen Reallabor-Teilnahme empfiehlt sich ein klar begrenzter Projektstart. Beschreiben Sie zunächst einen einzelnen Prozess, dessen Ergebnis sich nachvollziehbar bewerten lässt.

Sechs Schritte für die Vorbereitung

  • Anwendungsfall beschreiben: Welche konkrete Aufgabe soll die KI bearbeiten, und welchen Nutzen erwarten Sie?
  • Testdaten festlegen: Prüfen Sie zuerst, ob vollständig synthetische oder belastbar anonymisierte Daten ausreichen.
  • Verarbeitung abbilden: Wo entstehen Daten, wer erhält Zugriff, und welche externen Dienste sind beteiligt?
  • Schutz und Verantwortlichkeit klären: Legen Sie Zugriffsrechte, Speicherfristen, Freigaben und Ansprechpartner fest.
  • Qualität bewerten: Definieren Sie vor dem Test, welche Ergebnisse akzeptabel sind und wann der Versuch beendet wird.
  • Über den nächsten Schritt entscheiden: Erst nach Auswertung folgt die Entscheidung über Anpassung, weiteren Test oder einen möglichen produktiven Einsatz.

Ob zusätzlich eine Datenschutz-Folgenabschätzung, eine medizinprodukterechtliche Prüfung oder behördliche Beteiligung notwendig ist, hängt vom konkreten Projekt ab. Die Datenschutzkonferenz empfiehlt, Datenschutzfragen bereits bei der Konzeption und Auswahl von KI-Anwendungen einzubeziehen.

Quellen & Rechtsgrundlagen

Grundlagen dieses Beitrags, geprüft zum angegebenen Stand. Gesetze und behördliche Hinweise können sich ändern; maßgeblich bleibt Ihre konkrete Verarbeitung.

Dieser Ratgeber dient der datenschutzfachlichen und organisatorischen Orientierung. Er ersetzt keine anwaltliche Rechtsberatung im Einzelfall. Die Verantwortung für die Verarbeitung bleibt bei der Einrichtung. Für eine erste Beratungsanfrage genügen Angaben zum Anliegen; bitte keine Patientenakten über das öffentliche Kontaktformular senden.

Aus dem Praxisalltag

Häufige Fragen zu diesem Thema

Ist mein eigener KI-Testserver bereits ein Reallabor?
Ein Reallabor nach der KI-Verordnung setzt einen behördlich geschaffenen und beaufsichtigten Rahmen voraus. Ein internes Pilotprojekt erfüllt diese Voraussetzung nicht automatisch, auch wenn es technisch vom laufenden Betrieb getrennt ist.
Brauche ich für jeden KI-Einsatz ein Reallabor?
Nein. Zunächst kommt es auf Anwendung, Rolle des Unternehmens und Datenverarbeitung an. Auch ohne Reallabor müssen die für das konkrete Projekt einschlägigen Anforderungen erfüllt werden.
Bedeutet eine Reallabor-Teilnahme automatisch eine Freigabe für den späteren Betrieb?
Nein. Die Anforderungen an den späteren Einsatz und gegebenenfalls an das Inverkehrbringen müssen weiterhin erfüllt werden. Eine Teilnahme ersetzt keine allgemein erforderliche Zulassung oder Konformitätsbewertung.

Weiterlesen

Diese Fragen hängen damit zusammen.

KI-Verordnung 2026

Digital-Omnibus zur KI: Welche Änderungen Praxen und MVZ jetzt einordnen sollten

Zum Ratgeber Praxisorganisation

Datenschutz-Folgenabschätzung in der Arztpraxis: Wann sie nötig ist

Zum Ratgeber KI & Transparenz

KI-Kennzeichnung in Arztpraxis und MVZ: Was müssen Sie offenlegen?

Zum Ratgeber
Alle Datenschutz-Ratgeber ansehen