Die NHS-Beschaffung wird genau fragen, wohin Patientendaten gelangen.
HealthTech-KI-Gründer stehen vor dem komplexesten regulatorischen Umfeld aller KI-Branchen. Patientendaten sind gleichzeitig besondere Kategorien personenbezogener Daten nach Artikel 9 DSGVO, unterliegen nationalen Gesundheitsvorschriften und werden unter der EU-KI-Verordnung geprüft. Wenn eine Krankenhausgruppe, ein NHS-Trust oder ein privater Kostenträger nach Ihrer Sicherheitslage fragt, kosten vage Antworten den Vertrag.
Wenn Ihr KI-Gesundheitsprodukt auf die NHS-Information-Governance trifft
Das klinische Team erkennt den Wert sofort. Die Demo ist überzeugend. Dann geht es an den IG- und Beschaffungsausschuss.
Sie: Unsere KI analysiert Patientenhistorie und Bilddaten, um die klinische Entscheidungsfindung zu unterstützen und die Diagnosezeit um 60 % zu reduzieren.
IG-Team: Patientendaten sind besondere Kategorien nach Artikel 9. Was ist Ihre Rechtsgrundlage für die Verarbeitung und wo werden sie gespeichert?
IG-Team: Wurde Ihr KI-System unter der EU-KI-Verordnung bewertet? Ist es nach der MDR als Medizinprodukt eingestuft?
IG-Team: Können Sie bestätigen, dass alle Patientendaten innerhalb einer vom NHS genehmigten Infrastruktur verarbeitet werden und niemals das Vereinigte Königreich verlassen?
Sie: Wir arbeiten an der DTAC-Bewertung. Wir können in einigen Wochen weitere Details liefern.
IG-Team: Wir können die Beschaffung nicht fortsetzen, bis die DTAC abgeschlossen und die Nachweise des IG-Toolkits eingereicht sind.
Patientendaten als DSGVO-Artikel 9
Gesundheitsdaten sind besondere Kategorien personenbezogener Daten nach der DSGVO. Sie an eine LLM-API zu senden, ohne ausdrückliche Rechtsgrundlage, Auftragsverarbeitungsvertrag und dokumentiertes Einwilligungsmanagement, ist sofort nicht konform.
Doppelte Einstufung nach EU-KI-Verordnung und MDR
KI-Systeme zur klinischen Entscheidungsunterstützung können nach der MDR als Medizinprodukt UND nach der EU-KI-Verordnung als hochriskant gelten — was doppelte regulatorische Pflichten auslöst, die die meisten Gründer nicht bewertet haben.
Datenresidenz für NHS- und EU-Systeme
NHS-Trusts und EU-Krankenhausgruppen verlangen, dass Patientendaten innerhalb der nationalen Grenzen bleiben. Standardmäßige LLM-API-Aufrufe laufen über US-Infrastruktur, was dies automatisch nicht konform macht.
Angriffsfläche der Integration klinischer Systeme
Integrationen mit EPIC, EMIS oder SystmOne, die mit einer LLM-Pipeline verbunden sind, schaffen OAuth- und API-Angriffsflächen, die NHS-Sicherheitsteams im Detail auditieren werden.
Sechs Fragen, die HealthTech-KI-Deals blockieren
Dies sind die genauen Fragen, die NHS-IG-Teams und Krankenhaus-Beschaffungsausschüsse HealthTech-KI-Anbietern stellen. Die meisten Gründer können sie ohne Fachunterstützung nicht beantworten. Wir sorgen dafür, dass Sie es können.
“Ist Ihr KI-System nach der MDR als Medizinprodukt oder nach der EU-KI-Verordnung als hochriskant eingestuft?”
KI zur klinischen Entscheidungsunterstützung kann gleichzeitig unter beide Rahmenwerke fallen. Vor Eintritt in die NHS-Beschaffung fast nie bewertet.
“Was ist Ihre Rechtsgrundlage für die Verarbeitung von Patientendaten nach Artikel 9 DSGVO?”
Besondere Kategorien erfordern eine ausdrückliche Rechtsgrundlage über die Standardeinwilligung hinaus. Häufig fehlend oder falsch dokumentiert.
“Können Sie bestätigen, dass Patientendaten niemals den NHS oder die Gerichtsbarkeit des Vereinigten Königreichs verlassen?”
Erfordert Datenresidenzkontrollen und technische Nachweise. Standardmäßige LLM-APIs verarbeiten Daten in den USA.
“Haben Sie die DTAC-Bewertung und das NHS-Digital-Toolkit abgeschlossen?”
Die DTAC umfasst klinische Sicherheit, Datenschutz, Interoperabilität und Sicherheit. Ohne Fachunterstützung dauert dies 3–6 Monate.
“Wie sichern Sie die Integration mit EPIC, EMIS oder SystmOne?”
Integrationen klinischer Systeme erfordern eine HL7/FHIR-Sicherheitsprüfung und ein OAuth-Audit. Eine Standardlücke in jedem Audit eines klinischen KI-Tools.
“Wie sind Ihre Verfahren zur Meldung klinischer KI-Vorfälle und zum Audit-Trail?”
Der NHS verlangt vollständige Audit-Trails für jede KI-gestützte klinische Entscheidung. Selten in Produkte der Frühphase eingebaut.
Was wir für HealthTech-Gründer beheben
Jedes Advisory- und Engineering-Engagement deckt die spezifischen Probleme ab, die in dieser Branche NHS- und Krankenhausgruppen-Deals blockieren.
DSGVO-Artikel-9-Konformität für besondere Datenkategorien
Wir legen die korrekte Rechtsgrundlage für die Verarbeitung von Patientendaten fest, implementieren bei Bedarf ein Einwilligungsmanagement und dokumentieren Ihre Datenflüsse in einem Format, das NHS-IG-Teams prüfen und genehmigen können.
Einstufungsbewertung nach EU-KI-Verordnung und MDR
Wir bewerten, ob Ihr klinisches KI-System nach der MDR als Medizinprodukt, nach der EU-KI-Verordnung als hochriskant oder als beides gilt — und erstellen die technische Dokumentation und das Risikoregister, die beide Rahmenwerke erfordern.
NHS-konforme Datenresidenz-Architektur
Wir gestalten Ihre Infrastruktur so um, dass Patientendaten nur innerhalb vom NHS genehmigter oder im Vereinigten Königreich angesiedelter Umgebungen verarbeitet werden, und erstellen die von der IG-Beschaffung geforderten technischen Nachweise.
Sicherheitshärtung der Integration klinischer Systeme
Wir prüfen Ihre EPIC-, EMIS- oder SystmOne-Integrationen, auditieren HL7/FHIR-Schnittstellen und OAuth-Berechtigungen und schließen die Angriffsfläche, bevor der NHS-Penetrationstest sie findet.
Vorbereitung von DTAC und NHS-IG-Toolkit
Wir begleiten Ihr Team durch die vollständige DTAC-Bewertung und das NHS-Digital-Toolkit und erstellen den klinischen Sicherheitsnachweis, die Datenschutznachweise und die Interoperabilitätsdokumentation, die zum Bestehen erforderlich sind.
Drei Wege, mit CYBNODE zusammenzuarbeiten
Wählen Sie den richtigen Einstiegspunkt für den Stand, an dem Sie gerade sind.
Drei Einstiegswege
Three ways to get your AI product enterprise-ready, however far along you are.
Consulting
“We have a team. We just need expert guidance on securing our AI product.”
- AI security architecture review.
- Threat model for your specific stack.
- GDPR & EU AI Act gap analysis.
- Remediation roadmap your team can action.
- Enterprise security questionnaire prep.
From £750
Flexible one-time fee or retainer.
Build With Us
“We need someone to build our AI product securely from the ground up.”
- Full AI product development (all 5 layers).
- Secure agent & LLM pipeline design.
- GDPR-compliant data architecture.
- Stravok™ DevSecOps integrated from day one.
- Compliance docs included at delivery.
- Enterprise security questionnaire ready.
From £15,000
Flexible one-time fee or retainer.
Stravok™ Platform
“We want to run security and compliance ourselves. We just need the right tool.”
- Automated vulnerability scanning on every push.
- Visual security pipeline builder.
- Live compliance score (ISO 27001, GDPR, SOC 2).
- One-click audit-ready reports.
- Hardcoded secrets & drift detection.
From £300/month
Billed monthly based on usage.
Bereit, Ihre HealthTech-KI in NHS-Trusts zu bringen?
Buchen Sie eine kostenlose 30-minütige Sicherheitsprüfung. Wir identifizieren genau, wo Ihr HealthTech-KI-Produkt angreifbar ist, bevor es eine NHS-Information-Governance-Prüfung tut.