KI in der Therapie: Was ist erlaubt und was nicht?

Die kurze Antwort vorweg

Künstliche Intelligenz darf in der psychotherapeutischen Versorgung unterstützen. Eigenständig behandeln oder diagnostizieren darf sie nicht. An dieser einen Linie entscheidet sich fast alles, was erlaubt oder verboten ist. Solange die fachliche Verantwortung bei Ihnen bleibt und sensible Daten geschützt sind, ist der Einsatz möglich. Sobald ein System anfängt, klinische Entscheidungen selbst zu treffen oder Gesundheitsdaten ungesichert zu verarbeiten, ist die Grenze überschritten. So einfach ist der Kern.

Dieser Beitrag ordnet die Rechtslage für Psychotherapeut:innen und Heilpraktiker:innen für Psychotherapie ein, ohne Marketingversprechen, Stand 25. August 2026. Er ersetzt keine Rechtsberatung im Einzelfall. Drei Regelwerke geben den Rahmen vor: die DSGVO mit dem besonderen Schutz von Gesundheitsdaten, die Schweigepflicht nach Paragraf 203 StGB und der EU AI Act. Wer diese drei kennt, kann die meisten Einzelfragen selbst beantworten.

Kurz zusammengefasst:

Regelwerk	Worum es geht	Kernpflicht für die Praxis
DSGVO Art. 9	Gesundheitsdaten als besonders geschützte Kategorie	Rechtsgrundlage, Auftragsverarbeitungsvertrag, Transparenz sowie sichere Übertragung, Speicherung und Löschkonzept
Schweigepflicht § 203 StGB	Vertraulichkeit von Patient:innendaten	Gilt unabhängig davon, wie nützlich ein Tool gerade ist
EU AI Act, Verordnung (EU) 2024/1689	Risikobasierte Einstufung von KI-Systemen	Medizinprodukt-KI gilt meist als Hochrisiko-Anwendung, mit Pflichten gestaffelt bis Dezember 2027 und August 2028

Erlaubt: KI als Werkzeug, nicht als Behandler

Im erlaubten Rahmen ist KI ein Werkzeug, das vorbereitet, strukturiert und entlastet. Sie darf einen Befund zusammenfassen, einen Termin organisieren oder einen Entwurf für die Dokumentation liefern. Was sie nicht darf, ist die therapeutische oder ärztliche Leistung ersetzen. Die inhaltliche und klinische Entscheidung trifft eine approbierte Person, nicht das Modell. Die Verantwortung lässt sich nicht auslagern. Wer überhaupt behandeln darf, regelt die Approbation, die wir im Beitrag Nach dem Studium direkt therapieren? Approbation 2026 genauer beschreiben.

Sinnvoll beginnt der Einsatz dort, wo die Aufgaben klar umrissen sind und das Risiko gering ist, also in der Verwaltung und nicht im Behandlungszimmer. Überall, wo KI Patient:innen betrifft, gilt zudem Transparenz. Sie müssen wissen, dass ein System beteiligt ist. Das ist keine Höflichkeit, sondern Teil der informierten Einwilligung.

Nicht erlaubt: die roten Linien

Genauso deutlich wie der erlaubte Rahmen sind die Grenzen. Ein System, das ohne menschliche Beteiligung behandelt, also ein eigenständiger Therapie-Chatbot, ist in der Versorgung nicht zulässig. Eine valide klinische Diagnose allein aus einem Sprachmodell ist es ebenso wenig, denn Diagnostik ist Aufgabe der behandelnden Person. Und KI darf keine Behandlungsentscheidung treffen, die anschließend niemand mehr kontrolliert.

Der gemeinsame Nenner ist einfach. Die Verantwortung in der Versorgung bleibt beim Menschen. Diese Grenze ist nicht nur ethischer Konsens, sie steht so im Berufs- und Datenschutzrecht. Ein Modell trägt für seine Ausgaben keine rechtliche Verantwortung. Also kann es auch nicht die Stelle einnehmen, die sie trägt.

Zur Orientierung:

Anwendungsfall	Status	Warum
Befund zusammenfassen, Termin organisieren, Dokumentationsentwurf liefern	Erlaubt	Verwaltungsaufgabe ohne klinische Entscheidung
Therapeutische oder ärztliche Leistung ersetzen	Nicht erlaubt	Klinische Entscheidung bleibt bei der approbierten Person
Eigenständiger Therapie-Chatbot ohne menschliche Beteiligung	Nicht erlaubt	Fachliche Verantwortung bleibt beim Menschen
Klinische Diagnose allein aus einem Sprachmodell	Nicht erlaubt	Diagnostik ist Aufgabe der behandelnden Person
Behandlungsentscheidung ohne menschliche Kontrolle	Nicht erlaubt	Niemand kontrolliert die Entscheidung nachträglich

DSGVO und Schweigepflicht: die Pflichten, die immer gelten

Gesundheitsdaten zählen nach Artikel 9 DSGVO zu den besonders geschützten Kategorien, und über allem steht die Schweigepflicht nach Paragraf 203 StGB. Beide gelten unabhängig davon, wie nützlich ein Tool gerade ist. Für jeden KI-Einsatz, der personenbezogene Daten berührt, ergeben sich daraus konkrete Pflichten:

eine tragfähige Rechtsgrundlage für die Verarbeitung,
ein Auftragsverarbeitungsvertrag mit dem Anbieter,
transparente Information darüber, was mit den Daten geschieht, sowie eine sichere Übertragung, Speicherung und ein Löschkonzept.

Datenschutz ergibt sich bei KI nicht von selbst, weil solche Systeme von Natur aus auf Daten angewiesen sind. Er muss von der Architektur des Tools her gedacht sein. Ein Anbieter, der nicht klar sagen kann, wo verarbeitet wird und auf welcher Grundlage, ist für Patient:innendaten schlicht ungeeignet. Das ist die Mindestanforderung. Was Schweigepflicht und DSGVO von digitalen Werkzeugen im Einzelnen verlangen, inklusive der Punkte für den Auftragsverarbeitungsvertrag, vertiefen wir im Beitrag DSGVO und Schweigepflicht bei digitalen Tools.

Der EU AI Act: warum medizinische KI streng reguliert ist

Seit 2024 sortiert der EU AI Act künstliche Intelligenz nach Risiko. Die meisten Werkzeuge des Praxisalltags fallen in die unteren Stufen mit geringen oder reinen Transparenzanforderungen. Anders liegt der Fall, sobald ein System als Medizinprodukt in die Versorgung hineinwirkt. Dann gilt es in der Regel als Hochrisiko-Anwendung und unterliegt strengen Pflichten, von der technischen Dokumentation über Konformitätsbewertungen bis zur Beobachtung nach Markteinführung.

Ursprünglich sollten diese Hochrisiko-Pflichten ab dem 2. August 2026 greifen. Mit der Digital-Omnibus-Verordnung zur KI hat die EU die Fristen verschoben. Die Verordnung (EU) 2026/1744 wurde am 24. Juli 2026 im Amtsblatt veröffentlicht und trat am 27. Juli 2026 in Kraft. Für eigenständige Hochrisiko-Systeme nach Anhang III gilt jetzt der 2. Dezember 2027, für KI in bereits regulierten Produkten wie Medizinprodukten nach Anhang I der 2. August 2028 (Europäische Kommission, 27.07.2026). Die Transparenzpflichten aus Artikel 50 der KI-Verordnung hat der Omnibus nicht verschoben. Sie gelten seit dem 2. August 2026.

Für die eigene Praxis ist das weniger Bürokratie als Orientierung. Die verschobenen Fristen ändern nichts an der Grundregel, dass ein Medizinprodukt mit KI-Funktion CE-gekennzeichnet und konformitätsbewertet sein muss. Sie zeigen aber, wie hoch die Hürden für seriöse therapeutische KI liegen, und erklären, warum geprüfte Anwendungen wie DiGAs eine Sonderstellung genießen.

DiGAs: der geprüfte Sonderweg

Digitale Gesundheitsanwendungen, kurz DiGAs, sind der Teil des Marktes, der bereits klar reguliert ist. Sie werden vom BfArM geprüft und in ein offizielles Verzeichnis aufgenommen, sie müssen einen Nutzen belegen, feste Datenschutzanforderungen erfüllen und sind erstattungsfähig. Sie lassen sich also auf Rezept verordnen und werden von den Kassen getragen.

Damit unterscheiden sie sich grundlegend von einem frei verfügbaren Chatbot. Im DiGA-Verzeichnis des BfArM stehen mehrere Dutzend Anwendungen, ein erheblicher Teil davon im Bereich psychische Gesundheit. Für Patient:innen, die Wartezeiten überbrücken oder zwischen den Sitzungen weiterarbeiten wollen, sind sie die belastbarere Option. Geprüft schlägt frei verfügbar.

Was sagt die Bundespsychotherapeutenkammer zu KI in der Versorgung?

Seit dem 20. Juli 2026 können sich Psychotherapeut:innen für Modul 5 des BPtK-Curriculums „Digitalisierung und ihre Anwendungen in der Psychotherapie" anmelden. Das neue Modul trägt den Titel „Künstliche Intelligenz und psychotherapeutische Versorgung" (BPtK, 20.07.2026). Vermittelt werden laut Bundespsychotherapeutenkammer der aktuelle Forschungsstand zu KI-Anwendungen in der psychotherapeutischen Versorgung, die rechtlichen Rahmenbedingungen sowie Chancen und Risiken aus ethischer Sicht.

Wichtig für die Einordnung: Das Modul ist ein Fortbildungsangebot der Kammer, kein Gesetz und keine Freigabe oder Empfehlung einzelner KI-Werkzeuge. Es zeigt trotzdem, dass die berufsständische Selbstverwaltung KI-Kompetenz inzwischen als Teil der fachlichen Qualifikation begreift, nicht als Randthema. Wer sich beruflich vertiefen will, findet hier einen fachlichen Einstieg, zusätzlich zu den rechtlichen Grundlagen aus diesem Beitrag.

Woran erkenne ich verantwortungsvolle KI-Unterstützung in der Praxissoftware?

Nicht jede KI-Funktion in einer Praxissoftware ist gleich vertrauenswürdig aufgebaut. Acht Merkmale zeigen, ob ein Anbieter KI verantwortungsvoll integriert hat.

Pseudonymisierung vor dem Modellaufruf. Namen und andere identifizierende Angaben werden entfernt, bevor Inhalte das KI-Modell erreichen. § 203 Abs. 3 StGB erlaubt das Offenbaren gegenüber mitwirkenden Personen nur, soweit es für deren Tätigkeit erforderlich ist, und Absatz 4 verlangt, dass Sie diese zur Geheimhaltung verpflichten. Pseudonymisierung senkt, was der Anbieter überhaupt zu sehen bekommt.
Serverstandort in Deutschland oder der EU. Er erleichtert den Nachweis eines angemessenen Schutzniveaus im Sinn der DSGVO und vermeidet Fragen zur Übermittlung in Drittländer.
Auftragsverarbeitungsvertrag. Der Anbieter darf Gesundheitsdaten nur weisungsgebunden verarbeiten, das schreibt Art. 28 DSGVO vor. Ohne diesen Vertrag fehlt die Rechtsgrundlage für den gesamten KI-Einsatz.
KI als Opt-in, nicht als Zwang. Die Funktion lässt sich pro Praxis oder pro Fall abschalten. Das trägt die ausdrückliche Einwilligung nach Art. 9 Abs. 2 lit. a DSGVO, auf die sich der KI-Einsatz in der Praxis üblicherweise stützt. Sie ist eine von mehreren Ausnahmen vom grundsätzlichen Verarbeitungsverbot für Gesundheitsdaten.
Menschliche Freigabe jedes Entwurfs. Kein von KI erzeugter Text landet ungeprüft in der Akte. Diese Kontrolle ist der Kern der fachlichen Verantwortung, die auch nach dem EU AI Act beim Menschen bleiben muss.
Transparenz gegenüber Patient:innen. Wer weiß, dass ein KI-Werkzeug mitwirkt, kann informiert einwilligen. Die Informationspflicht folgt aus Art. 13 DSGVO, und eine Einwilligung ist nur wirksam, wenn sie informiert erteilt wurde.
Keine Diagnose oder Therapieentscheidung durch die KI. Das System schlägt Text vor, es bewertet nicht. Eigenständige klinische Entscheidungen durch KI sind in der Versorgung nicht zulässig, wie der Abschnitt zu den roten Linien oben zeigt.
Protokollierung. Ein nachvollziehbares Log hält fest, wann welcher Inhalt an das Modell ging und wer den Entwurf freigegeben hat. Das stützt die Dokumentationspflicht aus § 630f BGB und die Nachweispflichten, die der EU AI Act für risikonahe Anwendungen vorsieht.

So haben wir clarathy gebaut: Pseudonymisierung vor jedem Modellaufruf, Server in Deutschland, ein Auftragsverarbeitungsvertrag, KI als abschaltbare Option und die fachliche Freigabe bei Ihnen. Die Verarbeitung selbst läuft cloudbasiert, nicht lokal in der Praxis. Kann ein Anbieter eines dieser acht Merkmale nicht klar beantworten, gehört das Werkzeug vor dem Einsatz auf den Prüfstand.

Wo KI die Praxis heute schon entlastet

Der pragmatischste Einsatz liegt nicht im Gespräch, sondern in der Verwaltung. Dokumentation, Vor- und Nachbereitung, Terminorganisation: Das kostet Woche für Woche Zeit, ohne dass eine therapeutische Entscheidung berührt wird. Wie groß allein der Dokumentationsaufwand ist, haben wir im Beitrag Therapiedokumentation: Pflicht, Umfang und Zeitaufwand aufgeschlüsselt. Wie KI bei genau dieser Dokumentation helfen kann und wo ihre Grenzen liegen, vertiefen wir im Beitrag Kann KI bei der Therapiedokumentation helfen?.

Genau hier setzt clarathy an, gebaut nach den acht Merkmalen oben: KI zuschaltbar, Namen raus vor dem Modellaufruf, fachliche Freigabe bei Ihnen. Wer eine Praxis neu aufbaut, findet im Leitfaden zur Praxisgründung 2026 den größeren Rahmen.

Was KI nicht kann, und warum die Kontrolle bei Ihnen bleibt

Dass die fachliche Kontrolle nicht delegierbar ist, liegt an den typischen Schwächen heutiger Modelle. Sprachmodelle neigen dazu, Aussagen zu bestätigen, statt sie zu hinterfragen. Sagt eine Person mit Essstörung, sie sei zu dick, kann ein schlecht ausgelegtes System das bestärken, statt es therapeutisch einzuordnen. Bei wahnhaften Überzeugungen droht dieselbe Dynamik in gefährlicherer Form.

Dazu kommt: Allgemeine Chatbots erkennen akute Krisen nicht zuverlässig und eskalieren sie nicht. In suizidalen Situationen ist die menschliche Einschätzung unverzichtbar. Und Modelle erfinden gelegentlich Fakten, führen nicht existierende Studien an oder übersehen Kontraindikationen, ohne dass man es ihnen ansieht. Im Alltag fällt das kaum auf.

Ersetzt KI deshalb Psychotherapeut:innen? Nein. Sie kann Aufgaben abnehmen, den Zugang erleichtern und zwischen den Sitzungen begleiten. Aber die therapeutische Beziehung, das Verstehen im Kontext und das Urteil in schwierigen Lagen bleiben menschlich. Mimik, Gestik und Tonfall tragen eine Bedeutung, die ein Textmodell nicht erfasst. Das wahrscheinliche Modell der nächsten Jahre ist deshalb kein Ersatz, sondern eine Ergänzung: menschliche Therapie im Kern, digital entlastet an den Rändern.

Worauf Sie bei der Auswahl achten sollten

Die acht Merkmale oben decken Datenschutz und Verantwortung ab. Zwei Fragen kommen bei der Auswahl hinzu. Erstens der Zuschnitt: Bei versorgungsnahem Einsatz wird der Medizinprodukt-Status oder eine DiGA-Zulassung entscheidend, bei reiner Verwaltung tritt diese Frage zurück. Zweitens die Belege: Wer mit Wirksamkeit wirbt, ohne sie zu belegen, hat seine Beweislast nicht erfüllt. Dann lieber weitersuchen.

Häufige Fragen

Darf ich ChatGPT für therapeutische Zwecke nutzen?

ChatGPT ist kein zugelassenes Medizinprodukt und kein Therapieinstrument. Für allgemeine Recherche kann es taugen. Für klinische Entscheidungen oder die Verarbeitung von Patient:innendaten ist es ungeeignet, schon weil Datenschutz und Schweigepflicht nicht gesichert sind.

Werden KI-Anwendungen von der Krankenkasse bezahlt?

Erstattungsfähig sind zugelassene DiGAs, die sich auf Rezept verordnen lassen. Allgemeine KI-Tools werden nicht erstattet.

Wer haftet, wenn etwas schiefgeht?

Die fachliche Verantwortung bleibt bei der behandelnden Person. Ein KI-System trägt für seine Ausgaben keine rechtliche Verantwortung. Genau deshalb darf es nur unterstützend eingesetzt werden.

Was ist das BPtK-Curriculum zu KI in der Psychotherapie?

Die Bundespsychotherapeutenkammer hat mit Modul 5 „Künstliche Intelligenz und psychotherapeutische Versorgung" eine Fortbildung zum Forschungsstand, den rechtlichen Rahmenbedingungen und den ethischen Chancen und Risiken von KI geschaffen. Die Anmeldung ist seit dem 20. Juli 2026 möglich. Es handelt sich um ein Fortbildungsangebot der Kammer, nicht um ein Gesetz oder die Freigabe bestimmter Werkzeuge.

Fazit

KI in der Therapie ist kein Zukunftsthema mehr, sondern eine Frage des verantwortungsvollen Umgangs im Jetzt. Der rechtliche Rahmen ist dabei klarer, als die Debatte oft vermuten lässt: unterstützen ja, ersetzen nein. DSGVO und Schweigepflicht gelten ohne Ausnahme, medizinische KI wird im EU AI Act streng reguliert, und geprüfte DiGAs sind der regulierte Sonderweg. Der sinnvollste Einstieg liegt nicht am Patient:innen-Kontakt, sondern bei der Entlastung von Verwaltung und Dokumentation, mit Werkzeugen, die transparent sind, die Daten schützen und die Kontrolle bei Ihnen lassen.

Über den Autor

Yunus Demirel ist Mitgründer von clarathy, einer Praxissoftware für Psychotherapeut:innen. Sein Schwerpunkt liegt auf sicherer, datenschutzkonformer Software im Gesundheitswesen und auf der Frage, wie digitale Werkzeuge Behandler:innen entlasten, ohne die Anforderungen von Datenschutz und Schweigepflicht zu verletzen.