Wie sollte eine KI-Patientenassistenz die Identität vor einer Terminänderung prüfen?
Ein praktisches Modell für Patientenabgleich, zusätzliche Prüfung und sichere Fehlerwege ohne Offenlegung von Patientendaten.
Die kurze Antwort
Eine KI-Patientenassistenz sollte die Identität passend zur gewünschten Handlung prüfen. Für Öffnungszeiten ist meist keine Identitätsprüfung nötig. Wer Termindaten hören, einen Besuch absagen oder einen neuen Zeitpunkt wählen möchte, muss zuerst dem richtigen Patientendatensatz zugeordnet werden, bevor persönliche Informationen offengelegt oder geändert werden.
Ein sicheres Design nutzt freigegebene Abgleichfragen für die erste Prüfung und einen stärkeren Schritt bei folgenreicheren Handlungen. Scheitert die Prüfung oder kann der Patient die Methode nicht nutzen, stoppt die Transaktion und bietet einen kontrollierten Weg zu einem Mitarbeiter. Die Assistenz darf nicht raten, den Anrufer als Betrüger einstufen oder über den Zugang zur Versorgung entscheiden.
Richten Sie die Prüfung an der Handlung aus
Listen Sie jede Handlung des Telefondienstes auf und ordnen Sie ihr eine Prüfstufe zu. Allgemeine Angaben zu Parkplätzen oder Öffnungszeiten können meist öffentlich bleiben. Einen Datensatz suchen, einen Termin vorlesen, eine Buchung ändern, eine klinische Nachricht mitteilen und einer anderen Person Zugriff geben haben unterschiedliche Folgen. Jede Handlung braucht eine eigene freigegebene Prüfung und einen Ausweichweg.
Das verhindert zwei Fehler. Eine zu schwache Prüfung kann den falschen Datensatz offenlegen oder ändern. Eine übertriebene Prüfung kann Patienten von einem einfachen Verwaltungsdienst ausschließen und mehr Daten als nötig erheben. Die DSGVO-Erläuterungen der Europäischen Kommission verbinden Datenminimierung, Richtigkeit und Vertraulichkeit mit dem konkreten Zweck. Datenschutz, Sicherheit und Betrieb sollten die Stufen vor dem Start dokumentieren.
Gleichen Sie den Anrufer ab, ohne private Angaben als starkes Geheimnis zu behandeln
Die aktuelle Telefonleitlinie von NHS England nennt als Praxisbeispiel zwei oder drei Merkmale wie Geburtsdatum, Postleitzahl und erste Adresszeile. Das ist eine hilfreiche Referenz, aber keine Regel für jede europäische Einrichtung. Der Anrufer sollte die Angaben selbst nennen. Die Assistenz darf keinen Wert vorlesen und nur um Bestätigung bitten, weil sie damit der falschen Person Informationen geben könnte.
Demografische Angaben können einen Datensatz abgleichen, sind aber oft auffindbar oder im Haushalt bekannt. Behandeln Sie sie als Nachweis für eine bestimmte Handlung, nicht als allgemeines Passwort. Begrenzen Sie Versuche, nennen Sie nicht die fehlerhafte Antwort und bestätigen Sie nicht, dass eine Person im System steht. Der Abgleich erfolgt mit dem führenden Patientensystem statt mit einer separaten Kopie des Sprachdienstes.
Verstärken Sie die Prüfung vor Offenlegung oder Schreibvorgang
Eine Handlung mit größerer Auswirkung kann einen zusätzlichen Faktor benötigen. Je nach freigegebenem Design kann dies ein Einmalcode an einen bereits im Patientensystem hinterlegten Kanal, ein angemeldetes Patientenportal oder ein Rückruf durch Mitarbeiter über eine bekannte Nummer sein. Eine im selben ungeprüften Gespräch neu genannte Nummer darf nicht unbemerkt zum vertrauenswürdigen Ziel für Codes oder Nachrichten werden.
Die Identitätsprüfung ist nur ein Teil einer sicheren Terminänderung. Die Assistenz muss auch den richtigen Termin wählen, genau einen wiederholungssicheren Schreibvorgang senden und die Bestätigung des Terminsystems abwarten. Bricht die Verbindung nach dem Senden ab, bleibt das Ergebnis bis zum Abgleich unklar. Der Patient hört einen ehrlichen Hinweis auf den offenen Status statt einer sicheren Bestätigung, die falsch sein könnte.
Behandeln Sie eingehende Anrufe, ausgehende Anrufe und Mailbox getrennt
Bei einem eingehenden Anruf kann die Assistenz die Einrichtung nennen und auf KI hinweisen. Danach folgen die freigegebenen Abgleichdaten, bevor der Patientendatensatz besprochen wird. Bei einem ausgehenden Anruf ist mehr Zurückhaltung nötig, weil jemand anderes abheben kann. NHS England empfiehlt, die Person vor Nennung des Dienstes oder Zwecks eines medizinischen Anrufs zu prüfen und keine vertraulichen Angaben auf der Mailbox zu hinterlassen.
Legen Sie für jede Kampagne fest, was vor der Prüfung gesagt werden darf. Eine neutrale Bitte um Rückruf über eine offizielle Nummer kann besser sein, wenn die Nennung einer Fachabteilung, Untersuchung oder Behandlung bereits sensible Informationen verrät. Der Empfänger braucht zudem einen Weg, die Einrichtung zu prüfen, etwa durch Auflegen und Anruf über die auf der eigenen Website veröffentlichte Nummer.
Geben Sie fehlgeschlagenen Prüfungen einen sicheren und barrierearmen Weg
Eine Abweichung stoppt Offenlegung und Änderung, darf aber keine dauerhafte Sperre oder Entscheidung über den Versorgungsanspruch auslösen. Antworten Sie neutral, begrenzen Sie weitere Versuche und erstellen Sie eine Aufgabe für Mitarbeiter, ohne falsche Antworten in eine breit sichtbare Notiz zu kopieren. Die Nachbearbeitung nutzt einen bereits bekannten Kontaktweg oder verweist auf einen offiziellen Kanal.
Planen Sie Alternativen für Patienten mit neuer Nummer, gemeinsam genutztem Telefon, fehlender Möglichkeit zum Codeempfang, Behinderung oder Bedarf an einer anderen Sprache. Manchmal braucht es eine persönliche Prüfung oder befugte Mitarbeiter mit einem anderen Verfahren. Ruft jemand für den Patienten an, beweist die Identität des Anrufers noch keine Vertretungsbefugnis. Vertretung, Einwilligung, Entscheidungsfähigkeit und Schutzfragen brauchen einen eigenen, menschlich kontrollierten Prozess.
Nutzen Sie Stimmerkennung nicht als bequeme Abkürzung
Gesprochene Wörter zu erkennen ist etwas anderes, als eine Person mit einem Stimmprofil zu identifizieren. Der EDPB erläutert, dass Stimme zur eindeutigen Identifizierung oder Authentifizierung eine biometrische Verarbeitung ist und zusätzliche Anforderungen auslöst. Führen Sie Sprechererkennung nicht nur deshalb ein, weil das Gespräch ohnehin Ton enthält. Nötig sind eine gesonderte rechtliche, Datenschutz- und Sicherheitsprüfung, klare Information und eine nutzbare Alternative.
Die Assistenz sollte aus dem Klang einer Stimme auch keine Krankheit, Emotion, Zuverlässigkeit oder Entscheidungsfähigkeit ableiten. Hintergrundlärm, Akzent, Sprachbehinderung und schlechte Verbindung beeinflussen den Anruf, ohne verlässliche Aussagen über den Patienten zu liefern. Wiederholen oder übergeben Sie die Aufgabe bei unklarem Ton. Machen Sie aus Unsicherheit der Spracherkennung kein Identitäts- oder klinisches Urteil.
Protokollieren Sie das Ergebnis und testen Sie die Grenze
Ein Auditereignis kann angeforderte Handlung, Kategorie der Prüfmethode, Erfolg oder Misserfolg, Datensatzkennung, Schreibbestätigung und Übergabereferenz enthalten. Vollständige Prüfantworten, Einmalcodes und unnötige Gesprächsinhalte gehören nicht ins Protokoll. Begrenzen Sie den Zugriff auf Fehlversuche und leiten Sie die Aufbewahrung aus einem dokumentierten Zweck statt aus einer Plattformvorgabe ab.
Abnahmetests sollten gleiche Namen, falsche Angaben, eine geänderte Nummer, ein gemeinsam genutztes Familiengerät, Gesprächsabbruch nach dem Senden, Hintergrundlärm, Sprachwechsel und einen Anruf für eine andere Person abdecken. Befugte Mitarbeiter verantworten Ausnahmen. Die KI darf die freigegebene Prüfung ausführen und sicher stoppen, aber keinen Fehler übergehen, Betrug feststellen, Vertretungsmacht vergeben, klinische Informationen offenlegen oder über Dringlichkeit und Zugang zur Versorgung entscheiden.
FAQ
Reichen Geburtsdatum und Postleitzahl für eine Terminänderung?
Nicht automatisch. Sie können beim Abgleich mit einem Datensatz helfen, sind aber oft auffindbar und kein starkes Geheimnis. Die Einrichtung sollte für jede Handlung eine angemessene Prüfung festlegen und bei riskanterer Offenlegung oder Änderung einen stärkeren Schritt nutzen.
Darf die Assistenz einen Code an die im Gespräch genannte Nummer senden?
Eine neue Nummer aus einem ungeprüften Gespräch ist nicht vertrauenswürdig. Ein Code sollte nur an einen Kanal gehen, der zuvor in einem freigegebenen Verfahren registriert wurde. Eine Änderung dieses Kanals braucht ein separates Verfahren oder die Prüfung durch Mitarbeiter.
Was geschieht, wenn ein Patient die Prüfung nicht besteht?
Die Assistenz stoppt Offenlegung oder Änderung, erklärt den nächsten Schritt neutral und bietet eine befugte Alternative wie Rückruf über eine bekannte Nummer, die offizielle Praxisnummer oder eine persönliche Prüfung. Ein Fehlschlag darf kein automatisches Betrugsurteil oder eine Entscheidung über Versorgung auslösen.
Quellen und weiterführende Informationen
- European Commission: principles of the GDPR
- European Data Protection Board: Guidelines 02/2021 on virtual voice assistants
- European Data Protection Board: Guidelines 01/2022 on data subject rights and authentication
- NHS England Digital: protecting confidentiality and privacy on the telephone
- NIST: SP 800-63 Revision 4 Digital Identity Guidelines