একটি AI ডাক্তার কি নিরাপদ? HIPAA আসলে কী কভার করে এবং কীভাবে আপনার ডেটা রক্ষা করবেন

আপনি কোনো AI ডাক্তার-এর কাছে আপনার উপসর্গ টাইপ করার আগে, এটা জিজ্ঞাসা করা ন্যায্য যে সেই ডেটা কে দেখে এবং HIPAA কি তা রক্ষা করে। HHS অনুসারে, সাধারণ তথ্যের জন্য একটি AI ডাক্তার ব্যবহার করা নিরাপদ হতে পারে — কিন্তু বেশিরভাগ কনজিউমার AI স্বাস্থ্য অ্যাপ HIPAA দ্বারা কভার করা নয়, তাই আসলে যা আপনার ডেটা রক্ষা করে তা হলো কোম্পানির নিজস্ব প্রাইভেসি পলিসি, ফেডারেল আইন নয়।

একটি AI ডাক্তার একজন লাইসেন্সপ্রাপ্ত চিকিৎসকের বিকল্প নয় এবং কোনো রোগ নির্ণয় প্রদান করে না। মেডিকেল জরুরি অবস্থার জন্য 911-এ কল করুন। এই গাইডটি প্রাইভেসি নিয়ে, চিকিৎসা নিয়ে নয় — রোগ নির্ণয় ও চিকিৎসার জন্য সবসময় একজন প্রকৃত ডাক্তারের পরামর্শ নিন।

সংক্ষিপ্ত উত্তর: সাধারণত HIPAA-কভার করা নয় — কেন এটি গুরুত্বপূর্ণ

HIPAA “কভার্ড এন্টিটি”-দের বাঁধে — ডাক্তার, হাসপাতাল, স্বাস্থ্য প্ল্যান এবং ক্লিয়ারিংহাউস — এদের সাথে এদের বিজনেস অ্যাসোসিয়েটদেরও, অর্থাৎ সেই ভেন্ডরদের যারা এদের পক্ষে সুরক্ষিত স্বাস্থ্য তথ্য পরিচালনা করে। একটি স্বতন্ত্র কনজিউমার AI স্বাস্থ্য অ্যাপ সাধারণত এদের একটি নয়, তাই এটি আইনগতভাবে HIPAA অনুসরণ করতে মোটেই বাধ্য নয়। এটি স্বয়ংক্রিয়ভাবে অ্যাপটিকে অনিরাপদ করে তোলে না — এটি একটি AI ডাক্তার বনাম একজন প্রকৃত ডাক্তার এবং দুইয়ের সক্ষমতা কোথায় ভিন্ন, তার থেকে আলাদা একটি প্রশ্ন — কিন্তু এর অর্থ হলো আপনার সুরক্ষা সম্পূর্ণভাবে অ্যাপের পেছনের কোম্পানির উপর নির্ভর করে, কোনো ফেডারেল আইনের উপর নয়, তাই যাচাই করা আপনার দায়িত্ব, কোনো আনুষ্ঠানিকতা নয়।

পার্থক্যটি প্রযুক্তিগত শোনায়, কিন্তু এটি আপনার ডেটার সাথে কী ঘটে তার সবকিছু বদলে দেয়। একটি HIPAA কভার্ড এন্টিটি প্রাইভেসি রুল ও সিকিউরিটি রুল দ্বারা আইনগতভাবে বাঁধা এবং সুরক্ষিত স্বাস্থ্য তথ্য (PHI) অপব্যবস্থাপনার জন্য প্রকৃত জরিমানার সম্মুখীন হয়। এমন কোনো মর্যাদা ছাড়া একটি কনজিউমার অ্যাপ কেবল তার নিজস্ব সেবার শর্তাবলীর কাছেই দায়বদ্ধ — এবং সেই শর্তাবলী যেকোনো সময় নতুন করে লেখা যেতে পারে।

কখন একটি AI ডাক্তার HIPAA দ্বারা কভার করা হয় — এবং কখন নয়

একটি AI টুল HIPAA-এর আওতায় পড়ে কি না তা এটি কী করে তার চেয়ে বরং কে এটি স্থাপন করেছে এবং কোন চুক্তির অধীনে তার উপর কম নির্ভর করে। একই অন্তর্নিহিত মডেল একটি পরিবেশে HIPAA-কভার্ড হতে পারে এবং অন্যটিতে সম্পূর্ণ অকভার্ড হতে পারে।

কভার্ড: লাইসেন্সপ্রাপ্ত পরিচর্যার ভেতরে AI

একটি AI টুল সাধারণত HIPAA দ্বারা কভার্ড হয় যখন নিম্নোক্ত যেকোনো একটি সত্য হয়:

• একজন লাইসেন্সপ্রাপ্ত চিকিৎসক বা কেয়ার টিম আপনার ভিজিট বা চিকিৎসার সময় টুলটি ব্যবহার করেন।
• একটি টেলিহেলথ প্ল্যাটফর্ম একজন লাইসেন্সপ্রাপ্ত প্রদানকারীর অবকাঠামোতে চলে এবং আপনার রেকর্ড পরিচালনা করে।
• AI ভেন্ডর একটি কভার্ড এন্টিটির সাথে একটি বিজনেস অ্যাসোসিয়েট এগ্রিমেন্ট (BAA) স্বাক্ষর করেছে।

একটি BAA হলো একটি আইনগতভাবে বাধ্যতামূলক চুক্তি যা HIPAA-এর বাধ্যবাধকতাগুলো ভেন্ডরের উপর প্রসারিত করে। এটি ছাড়া, বিপণন যা-ই বলুক না কেন, এমন কোনো বাধ্যবাধকতা নেই। এই শর্তগুলোর যেকোনো একটি প্রযোজ্য হলে, আপনি যে ডেটা শেয়ার করেন তা PHI হিসেবে গণ্য হয় এবং HIPAA-এর প্রাইভেসি ও সিকিউরিটি রুলের আওতায় পড়ে।

কভার্ড নয়: স্বতন্ত্র কনজিউমার অ্যাপ

একটি আলাদা ওয়েলনেস বা স্বাস্থ্য অ্যাপ যা আপনি ডাউনলোড করেন এবং নিজে থেকে ব্যবহার করেন — যেখানে আপনি সরাসরি একটি চ্যাট উইন্ডোতে উপসর্গ টাইপ করেন — সাধারণত HIPAA-এর নাগালের বাইরে একটি কনজিউমার টুল হিসেবে শ্রেণিবদ্ধ হয়। আপনি যা বলেন তা কীভাবে সংগ্রহ, সংরক্ষণ এবং শেয়ার করা হবে তার জন্য কোম্পানি নিজস্ব নিয়ম লেখে, এবং সেই নিয়মগুলো একটি প্রাইভেসি পলিসিতে থাকে যা আপনি একটি উপসর্গ টাইপ করার আগেই পড়তে পারেন।

HIPAA আসলে কী রক্ষা করে — এবং কী করে না

HIPAA তিনটি রুল থেকে গঠিত যা একসাথে কাজ করে:

• প্রাইভেসি রুল — নিয়ন্ত্রণ করে যে সুরক্ষিত স্বাস্থ্য তথ্য (PHI) কীভাবে ব্যবহার ও প্রকাশ করা যায়।
• সিকিউরিটি রুল — ইলেকট্রনিক PHI-এর জন্য প্রশাসনিক, শারীরিক এবং প্রযুক্তিগত সুরক্ষা ব্যবস্থা প্রয়োজন করে।
• ব্রিচ নোটিফিকেশন রুল — একটি ডেটা লঙ্ঘনের পর ক্ষতিগ্রস্ত ব্যক্তিদের অবহিত করতে কভার্ড এন্টিটিদের বাধ্য করে।

প্রতিটি রুলই গুরুত্বপূর্ণ — কিন্তু এদের প্রত্যেকটি কেবল কভার্ড এন্টিটি ও তাদের বিজনেস অ্যাসোসিয়েটদের ক্ষেত্রেই প্রযোজ্য।

আপনি স্বেচ্ছায় একটি কনজিউমার অ্যাপকে যে ডেটা দেন তা ডিফল্টভাবে সেই পুরো কাঠামোর বাইরে অবস্থান করে। আপনি এটি অবাধে টাইপ করেছেন, কোম্পানিটি একটি কভার্ড এন্টিটি নয়, এবং উপরের তিনটি রুলের কোনোটিই কখনো সক্রিয় হয় না। ঠিক সেই ফাঁকটির কারণেই FTC কিছু স্বাস্থ্য-অ্যাপের ডেটা চর্চাকে বরং একটি প্রতারণামূলক-বাণিজ্য-চর্চার সমস্যা হিসেবে গণ্য করতে শুরু করেছে, HIPAA যেখানে পৌঁছায় না সেখানে ঘাটতি পূরণ করছে।

স্বাস্থ্য ডেটা যা সাধারণত HIPAA-এর সুরক্ষার বাইরে পড়ে তার মধ্যে রয়েছে:

• সিম্পটম-চেকার এবং সাধারণ AI স্বাস্থ্য সহায়কের কথোপকথন
• ফিটনেস-ট্র্যাকার এবং পরিধানযোগ্য-ডিভাইসের ডেটা
• সরাসরি-কনজিউমার জেনেটিক পরীক্ষার ফলাফল
• ওয়েলনেস-অ্যাপের মুড, ঘুম বা পুষ্টির লগ

আপনার যে প্রকৃত প্রাইভেসি ঝুঁকিগুলো জানা উচিত

HIPAA-এর সীমানার বাইরে, একটি ছোট এবং কম পরিচিত সুরক্ষার সেট প্রযোজ্য হয় — এবং ফাঁকগুলো সংবেদনশীল কিছু শেয়ার করার আগে গুরুত্ব পাওয়ার মতো যথেষ্ট বাস্তব। বিশেষত এই সতর্কতা-সংকেতগুলোর দিকে খেয়াল রাখুন:

• একটি প্রাইভেসি পলিসি যা কারও নাম উল্লেখ না করেই “পার্টনারদের সাথে ডেটা শেয়ার করার” অধিকার সংরক্ষণ করে
• আপনার অ্যাকাউন্ট বা চ্যাট ইতিহাস মুছে ফেলার কোনো দৃশ্যমান অপশন নেই
• অ্যাপের ডকুমেন্টেশনের কোথাও এনক্রিপশন স্ট্যান্ডার্ডের কোনো উল্লেখ নেই
• বিপণন ভাষা যা কোনো স্বাক্ষরিত BAA উল্লেখ না করেই “HIPAA-compliant” বলে

আপনার ডেটা বিক্রি বা শেয়ার করা যেতে পারে। ফেডারেল স্তরে, তৃতীয় পক্ষ বা ডেটা ব্রোকারদের কাছে নন-HIPAA স্বাস্থ্য ডেটা বিক্রি নিষিদ্ধ করার কোনো সামগ্রিক আইন নেই। জেনেটিক-টেস্টিং কোম্পানি 23andMe-এর ২০২৩ সালের লঙ্ঘন এবং পরবর্তী দেউলিয়াত্ব এই ঝুঁকিকে বাস্তব করে তুলেছে: লক্ষ লক্ষ ব্যবহারকারীর জেনেটিক ও স্বাস্থ্য ডেটা একটি কর্পোরেট কার্যধারায় একটি সম্পদে পরিণত হয়েছিল, HIPAA দ্বারা রক্ষিত একটি সুরক্ষিত রেকর্ড নয়।

“অ্যানোনিমাস” সবসময় অ্যানোনিমাস নয়। কোম্পানিগুলো নিয়মিতভাবে শেয়ার বা বিক্রি করা ডেটাকে “de-identified” হিসেবে বর্ণনা করে, কিন্তু ডি-আইডেন্টিফিকেশন মানুষ যা ধরে নেয় তার চেয়ে বেশিবার প্রত্যাবর্তনযোগ্য। Nature Communications-এ প্রকাশিত একটি ২০১৯ সালের গবেষণায় দেখা গেছে যে মাত্র ১৫টি ডেমোগ্রাফিক বৈশিষ্ট্য — যেমন বয়স, লিঙ্গ এবং জিপ কোড — একটি “অ্যানোনিমাইজড” ডেটাসেটের ভেতরে ৯৯.৯৮% আমেরিকানকে সঠিকভাবে পুনঃশনাক্ত করতে যথেষ্ট ছিল, এমন একটি সীমা যা বেশিরভাগ অ্যাপের ডেটা-শেয়ারিং চুক্তি খুব একটা চেষ্টা ছাড়াই অতিক্রম করে।

আমাদের ফলাফল থেকে বোঝা যায় যে এমনকি ভারীভাবে নমুনায়িত অ্যানোনিমাইজড ডেটাসেটগুলোও GDPR দ্বারা নির্ধারিত অ্যানোনিমাইজেশনের আধুনিক মানদণ্ড পূরণ করার সম্ভাবনা কম এবং ডি-আইডেন্টিফিকেশন রিলিজ-অ্যান্ড-ফরগেট মডেলের প্রযুক্তিগত ও আইনগত পর্যাপ্ততাকে গুরুতরভাবে চ্যালেঞ্জ করে।Rocher, Hendrickx & de Montjoye, Nature Communications

ফ্রি এবং পাবলিক চ্যাটবটগুলো আপনার ইনপুটের উপর প্রশিক্ষণ নিতে পারে। সাধারণ-উদ্দেশ্যের মডেলের উপর নির্মিত কনজিউমার-মুখী AI স্বাস্থ্য টুলগুলোর প্রায়ই একটি বিজনেস অ্যাসোসিয়েট এগ্রিমেন্ট থাকে না, অর্থাৎ একটি ফ্রি চ্যাটবট সেশনে টাইপ করা যেকোনো কিছু — একটি ফ্রি AI ডাক্তার অনলাইন হিসেবে বিপণন করা অনেক সেবা সহ — অন্তর্নিহিত মডেল উন্নত করতে ব্যবহৃত হতে পারে। FTC স্বাস্থ্য-অ্যাপ নির্মাতাদের সতর্ক করেছে যে ডেটা-শেয়ারিং চর্চা যা একটি প্রাইভেসি পলিসির নিজস্ব প্রতিশ্রুতির বিরোধিতা করে তা একটি প্রতারণামূলক বাণিজ্য চর্চা হিসেবে গণ্য হতে পারে — একটি কোম্পানি যে নিজেকে “HIPAA-compliant” হিসেবে বিজ্ঞাপন দেয় কোনো স্বাক্ষরিত BAA ছাড়া, সে একটি স্বেচ্ছামূলক বিপণন দাবি করছে, কোনো আইনগত সত্য বলছে না।

একটি বিশ্বাসযোগ্য AI ডাক্তার কেমন দেখায়

প্রতিটি কনজিউমার AI স্বাস্থ্য অ্যাপ আপনার ডেটাকে একইভাবে আচরণ করে না, এবং কয়েকটি সুনির্দিষ্ট সংকেত বিশ্বাসযোগ্যগুলোকে বাকিদের থেকে আলাদা করে।

একটি প্রাইভেসি-সচেতন অ্যাপের উচিত ডেটা সংরক্ষিত থাকাকালীন AES-256 দিয়ে এবং ট্রানজিটে থাকাকালীন TLS (SSL-এর আধুনিক উত্তরসূরি) দিয়ে এনক্রিপ্ট করা, অভ্যন্তরীণভাবে কে আপনার তথ্য দেখতে পারবে তা সীমিত করতে মাল্টি-ফ্যাক্টর অথেন্টিকেশন ও রোল-ভিত্তিক অ্যাক্সেস কন্ট্রোল ব্যবহার করা, এবং কে কখন কী অ্যাক্সেস করেছে তার অডিট ট্রেইল রাখা। এটির উচিত তার প্রাইভেসি পলিসি ঘন আইনি ভাষার পরিবর্তে সহজ ভাষায় লেখা, আপনাকে আপনার ডেটা দেখা, ডাউনলোড ও মুছে ফেলার একটি স্পষ্ট উপায় দেওয়া, এবং — এমনকি আইনগত HIPAA প্রয়োজন ছাড়াও — স্বেচ্ছায় তার চর্চাগুলোকে HIPAA-ধাঁচের মানদণ্ডের সাথে সামঞ্জস্য করা এবং স্বাধীন তৃতীয়-পক্ষের নিরাপত্তা অডিটের কাছে জমা দেওয়া। কিছু আরও উন্নত প্ল্যাটফর্ম ফেডারেটেড লার্নিং বা ডিফারেনশিয়াল প্রাইভেসির মতো কৌশলও ব্যবহার করে, যেগুলো আপনার কাঁচা, শনাক্তযোগ্য রেকর্ড কখনো কেন্দ্রীভূত না করেই ডেটা থেকে অন্তর্দৃষ্টি বের করার জন্য ডিজাইন করা হয়েছে।

একটি বিশ্বাস করার মতো ফ্রি AI ডাক্তার-এর নিজস্ব সাইটে সহজ ভাষায় ঠিক কী সংগ্রহ করে এবং আপনি কীভাবে তা মুছতে পারেন তা বলতে সক্ষম হওয়া উচিত।

একটি AI ডাক্তারকে জিজ্ঞাসা করার সময় কীভাবে নিজেকে রক্ষা করবেন

সুরক্ষিত থাকতে আপনাকে AI স্বাস্থ্য টুল এড়িয়ে চলার দরকার নেই — এতে সংবেদনশীল কিছু টাইপ করার আগে আপনার একটি সংক্ষিপ্ত, পুনরাবৃত্তিযোগ্য অভ্যাস দরকার।

1. কিছু শেয়ার করার আগে প্রাইভেসি পলিসি পড়ুন, বিশেষত ডেটা তৃতীয় পক্ষের কাছে বিক্রি বা শেয়ার করা হয় কি না সেই অংশটি।
2. একটি কার্যকর উত্তর পেতে প্রয়োজনীয় ন্যূনতম তথ্য শেয়ার করুন — উপসর্গ ও প্রসঙ্গ, আপনার সম্পূর্ণ চিকিৎসা ইতিহাস নয়।
3. সম্পূর্ণ চিকিৎসা রেকর্ড, ইমেজিং ফাইল বা ল্যাব রিপোর্ট আপলোড করা এড়িয়ে চলুন, যদি না অ্যাপটি স্পষ্টভাবে বলে যে সেই ডেটা কীভাবে সুরক্ষিত।
4. উপলব্ধ যেকোনো চ্যাট-ডিলিশন বা ডেটা-ডিলিশন কন্ট্রোল চালু করুন এবং নিয়মিত সেগুলো ব্যবহার করুন।
5. অ্যাপটি অফার করলে অ্যাকাউন্টে মাল্টি-ফ্যাক্টর অথেন্টিকেশন সক্রিয় করুন।
6. যেখানে টুলটি আপনার আসল নাম ছাড়াও কাজ করে সেখানে একটি ছদ্মনাম ব্যবহার করুন বা শনাক্তকারী বিবরণ বাদ দিন।
7. অ্যাপের সাপোর্ট চ্যানেল বা FAQ-তে সরাসরি জিজ্ঞাসা করুন যে আপনার ডেটা কখনো বিক্রি হয় কি না — একটি অস্পষ্ট বা অনুপস্থিত উত্তর নিজেই একটি কার্যকর তথ্য।

আপনি যখন একটি AI ডাক্তারকে জিজ্ঞাসা করেন, তখন এটিকে সুরক্ষার যোগ্য একটি কথোপকথন হিসেবে বিবেচনা করুন — যে সতর্কতা আপনি এমন যেকোনো অ্যাকাউন্টে আনবেন যা আপনার সম্পর্কে সংবেদনশীল তথ্য ধারণ করে।

FAQ

একটি AI ডাক্তার একজন লাইসেন্সপ্রাপ্ত চিকিৎসকের বিকল্প নয় এবং কোনো রোগ নির্ণয় প্রদান করে না। মেডিকেল জরুরি অবস্থার জন্য 911-এ কল করুন। রোগ নির্ণয় ও চিকিৎসার জন্য সবসময় একজন প্রকৃত, লাইসেন্সপ্রাপ্ত ডাক্তারের পরামর্শ নিন, এবং একটি AI স্বাস্থ্য অ্যাপের সাথে কিছু শেয়ার করার আগে প্রাইভেসি পলিসি পড়ে আপনার ডেটা রক্ষা করুন।