Die Medizinische Universität (MedUni) Wien führt mit dem Unternehmenspartner Siemens Healthineers und dem Institut für Innovation und Digitalisierung im Recht der Universität Wien im Rahmen des am 06.06.2023 eröffneten „Christian Doppler(CD)-Labors für Maschinelles Lernen zur Präzisionsbildgebung“ ein innovatives Forschungsprojekt durch.
Konkret wird am Einsatz von künstlicher Intelligenz (KI) für Mustererkennung und Vorhersagen zur Erkennung und Behandlung von Lungenkrebs geforscht. Bei Lungenkrebs handelt es sich sowohl um eine der am häufigsten vorkommenden als auch um eine der tödlichsten Krebsarten. Die zur Verfügung stehenden Behandlungsmethoden sind vielzählig und reichen von Bestrahlung über Immuntherapie bis hin zu chirurgischen Eingriffen. Die Auswahl der richtigen Behandlung ist daher für den Erfolg ebendieser entscheidend und gleichwohl schwierig.
Hier soll das CD-Labor[1]Abhilfe schaffen: Durch die Integration von Machine Learning (ML) Algorithmen soll die Behandlung von Lungenkrebs individualisierter und somit auch vielversprechender gestaltet werden.
Für diesen Zweck werden ML-Modelle mit medizinischen Daten darauf trainiert, den Unterschied zwischen erfolgreichen und nicht erfolgreichen Therapien zu erkennen. Die dafür verwendeten Daten sind heterogen: Als Trainingsmaterial werden unter anderem radiologische Bilder (CT, PET-CT), Labordaten und pathologische Daten entfernter Tumore verwendet. Das Potential dieser innovativen Analysemethode ist riesig, die rechtlichen Voraussetzungen sind jedoch mannigfaltig.
Denn über die siebenjährige Laufzeit des Projektes wird nicht nur die übliche Datenschutz-Compliance – die für sich genommen noch immer einige Fragen offen lässt – schlagend. Wir befinden uns mitten in einer Reihe von neuen, teilweise noch höchst unausgegorenen Rechtsakten, die unter dem Begriff „A Europe fit for the digital age“ zusammengefasst werden. Gemein haben diese immer öfter als „Acts“ bezeichneten Gesetzeswerke, dass sie auf dem bestehenden Datenschutz-Rechtsrahmen – allen voran der DSGVO – aufsetzen und diese Bestimmungen scheinbar als sakrosankt betrachten und unberührt lassen. Dies führt zu einigen Schwierigkeiten, die es zu klären gilt.
Ein Beispiel: Der Europäische Raum für Gesundheitsdaten (European Health Data Space, EHDS) ist als Teil der europäischen Datenstrategie eine geplante Verordnung auf EU-Ebene, die den länderübergreifenden Austausch von Gesundheitsdaten und die Nutzung dieser Daten für bestimmte Zwecke, allen voran der Forschung, erleichtern soll. Vor allem in Bezug auf die Entwicklung und das Training von KI-Algorithmen soll dieser Verordnung zentrale Bedeutung zukommen (ErwG 41 EHDS-Entwurf). Diese „sekundäre Nutzung“ wird über Zugangsstellen, die in jedem Mitgliedsstaat der EU eingerichtet werden sollen, laufen. Den Zugangsstellen sollen in Zukunft die Gesundheitsdaten der Patienten übertragen werden und sie sind es auch, die beurteilen werden müssen, wie diese Daten den Datennutzern, allen voran Forschern, zur Verfügung gestellt werden. Um den Rechten der betroffenen Personen Genüge zu tun, sieht der Verordnungsentwurf hierfür primär eine Anonymisierung der Daten vor, in zweiter Linie auch die Bereitstellung in einem pseudonymisierten Format (Art. 44 Abs 3 EHDS-Entwurf). Bei anonymisierten Daten ist grundsätzlich kein Personenbezug mehr herstellbar, bei pseudonymisierten Daten schon. Eine Erstbeurteilung, in welchem Format die Daten übermittelt werden sollen, hat der Datennutzer zu treffen (Art 45 Abs 2 lit c, d EHDS-Entwurf), während die technische Durchführung der Anonymisierung beziehungsweise Pseudonymisierung den Zugangsstellen obliegt.
Es ist nun höchst fraglich, wie diese Entscheidung in der Praxis überhaupt getroffen werden kann, wenn berücksichtigt wird, dass die Grenze zwischen anonymen und pseudonymen Daten ungewiss ist. Gerade bei medizinischen Forschungsdaten wird eine vollständige Anonymisierung kaum möglich sein, ohne die Datensätze dadurch gänzlich unbrauchbar zu machen. Weiters haben die Mitgliedsstaaten und ihre Datenschutzbehörden bereits jetzt völlig verschiedene Vorstellungen, was Anonymisierung eigentlich bedeutet und wie diese rechtssicher hergestellt werden kann. Die Aggregation von anonymisierten Daten, die technische Weiterentwicklung von Re-Identifikationsverfahren und der damit möglicherweise einhergehende Verlust der Anonymisierung werden Datennutzer weiters vor erhebliche Compliance-Probleme stellen. Dies trifft vor allem auf KI-Systeme zu, die laufend mit neuen Daten trainiert werden müssen und daher erhebliche Mengen an Trainingsmaterial benötigen. Durch den Widerwillen, an dem bestehenden Datenschutzregime etwas zu ändern, beispielsweise eine Safe-Harbour-Klausel für Anonymisierung einzuführen, wird bei jetzigem Stand der EHDS-Verordnung große Rechtsunsicherheit in diesem Bereich entstehen.
Da es für die Zukunft auch im Bereich der Forschung jedoch keinen anderen Weg als die digitale Transformation geben wird und sich Rechtsunsicherheit als höchst innovationshemmend erweist, ist es Aufgabe des Instituts für Innovation und Digitalisierung im Recht, auf die anstehenden Gesetzgebungsprozesse gestaltend und erklärend einzuwirken und für die Zukunft, so gut es eben möglich ist, Rechtssicherheit herzustellen und innovative Forschung zu garantieren. Gerade in dieser neuen Ära der Europäischen Datenstrategie mit erhöhter Komplexität auf der einen Seite und erhöhten Sanktionen auf der anderen Seite wird ein Befund immer deutlicher: Interdisziplinäres Denken und Vernetzen zwischen Technik und Recht wird immer bedeutsamer, will man in Zeiten von Big Data wissenschaftlich innovativ und rechtskonform sein.
[1] Das CD-Labor für Maschinelles Lernen zur Präzisionsbildgebung wird von der Christian Doppler Forschungsgesellschaft gefördert. Die Christian Doppler Forschungsgesellschaft fördert die Kooperation von Wissenschaft und Wirtschaft. Dies geschieht in eigens eingerichteten Forschungseinheiten mit fixen Laufzeiten, in denen anwendungsorientierte Grundlagenforschung betrieben wird.
Autor: Michael Schmidbauer, Universität Wien, Institut für Innovation und Digitalisierung im Recht
