آیا پزشک هوش مصنوعی ایمن است؟ HIPAA واقعاً چه چیزی را پوشش می‌دهد و چگونه از داده‌های خود محافظت کنید

پیش از آنکه علائم خود را در یک پزشک هوش مصنوعی تایپ کنید، منصفانه است بپرسید چه کسی آن داده‌ها را می‌بیند و آیا HIPAA از آن محافظت می‌کند. طبق گفتهٔ HHS، یک پزشک هوش مصنوعی می‌تواند برای اطلاعات عمومی ایمن باشد — اما بیشتر اپلیکیشن‌های سلامت هوش مصنوعی مصرفی تحت پوشش HIPAA نیستند، بنابراین آنچه واقعاً از داده‌های شما محافظت می‌کند، سیاست حریم خصوصی خودِ شرکت است، نه قانون فدرال.

پزشک هوش مصنوعی جایگزین پزشک دارای مجوز نیست و تشخیص ارائه نمی‌دهد. در مواقع اورژانس پزشکی با ۹۱۱ تماس بگیرید. این راهنما به حریم خصوصی می‌پردازد، نه پزشکی — همیشه برای تشخیص و درمان با یک پزشک واقعی مشورت کنید.

پاسخ کوتاه: معمولاً تحت پوشش HIPAA نیست — و دلیل اهمیت آن

HIPAA «نهادهای تحت پوشش» را ملزم می‌کند — پزشکان، بیمارستان‌ها، طرح‌های سلامت و مراکز تسویه — به همراه شرکای تجاری آن‌ها، یعنی فروشندگانی که اطلاعات سلامت محافظت‌شده را از طرف آن‌ها مدیریت می‌کنند. یک اپلیکیشن سلامت هوش مصنوعی مصرفی مستقل معمولاً یکی از این‌ها نیست، بنابراین اصلاً از نظر قانونی ملزم به پیروی از HIPAA نیست. این موضوع به‌طور خودکار آن را ناامن نمی‌کند — که پرسشی جداست از پزشک هوش مصنوعی در برابر پزشک واقعی و اینکه این دو در توانمندی کجا با هم فرق دارند — اما به این معناست که محافظت شما کاملاً به شرکت پشت اپلیکیشن بستگی دارد، نه به یک قانون فدرال، پس بررسی کردن مسئولیت شماست، نه یک تشریفات.

این تمایز فنی به نظر می‌رسد، اما همه‌چیز را دربارهٔ آنچه بر سر داده‌های شما می‌آید تغییر می‌دهد. یک نهاد تحت پوشش HIPAA از نظر قانونی به قاعدهٔ حریم خصوصی و قاعدهٔ امنیت پایبند است و در صورت مدیریت نادرست اطلاعات سلامت محافظت‌شده (PHI) با جریمه‌های واقعی روبه‌رو می‌شود. اپلیکیشنی مصرفی که چنین وضعیتی ندارد، تنها به شرایط خدمات خودش پاسخگوست — و آن شرایط می‌توانند در هر زمان بازنویسی شوند.

چه زمانی پزشک هوش مصنوعی تحت پوشش HIPAA هست — و چه زمانی نیست

اینکه آیا یک ابزار هوش مصنوعی مشمول HIPAA می‌شود یا نه، کمتر به آنچه انجام می‌دهد بستگی دارد و بیشتر به اینکه چه کسی و تحت چه توافقی آن را به‌کار گرفته است. همان مدل زیربنایی می‌تواند در یک محیط تحت پوشش HIPAA باشد و در محیطی دیگر کاملاً بدون پوشش.

تحت پوشش: هوش مصنوعی درون مراقبت دارای مجوز

یک ابزار هوش مصنوعی معمولاً زمانی تحت پوشش HIPAA است که هر یک از موارد زیر درست باشد:

• یک پزشک دارای مجوز یا تیم مراقبت از این ابزار در طول ویزیت یا درمان شما استفاده می‌کند.
• یک پلتفرم سلامت از راه دور روی زیرساخت یک ارائه‌دهندهٔ دارای مجوز اجرا می‌شود و سوابق شما را مدیریت می‌کند.
• فروشندهٔ هوش مصنوعی یک توافق‌نامهٔ شریک تجاری (BAA) با یک نهاد تحت پوشش امضا کرده است.

یک BAA قراردادی الزام‌آور از نظر قانونی است که تعهدات HIPAA را به فروشنده گسترش می‌دهد. بدون آن، چنین تعهدی وجود ندارد، مهم نیست بازاریابی چگونه خوانده شود. به‌محض اینکه هر یک از این شرایط برقرار شود، داده‌ای که به اشتراک می‌گذارید به‌عنوان PHI تلقی می‌شود و مشمول قواعد حریم خصوصی و امنیت HIPAA می‌گردد.

بدون پوشش: اپلیکیشن‌های مصرفی مستقل

یک اپلیکیشن سلامت یا تندرستی جداگانه که خودتان آن را دانلود و استفاده می‌کنید — جایی که علائم را مستقیماً در یک پنجرهٔ گفت‌وگو تایپ می‌کنید — معمولاً به‌عنوان ابزاری مصرفی خارج از دسترس HIPAA طبقه‌بندی می‌شود. شرکت قواعد خودش را برای نحوهٔ جمع‌آوری، ذخیره و به اشتراک‌گذاری آنچه به آن می‌گویید می‌نویسد، و آن قواعد در یک سیاست حریم خصوصی قرار دارند که می‌توانید پیش از تایپ حتی یک علامت آن را بخوانید.

HIPAA واقعاً از چه چیزی محافظت می‌کند — و از چه چیزی نمی‌کند

HIPAA از سه قاعده ساخته شده است که با هم کار می‌کنند:

• قاعدهٔ حریم خصوصی — نحوهٔ استفاده و افشای اطلاعات سلامت محافظت‌شده (PHI) را تنظیم می‌کند.
• قاعدهٔ امنیت — تدابیر محافظتی اداری، فیزیکی و فنی را برای PHI الکترونیکی الزامی می‌کند.
• قاعدهٔ اطلاع‌رسانی نقض — نهادهای تحت پوشش را ملزم می‌کند که پس از نقض داده به افراد آسیب‌دیده اطلاع دهند.

هر قاعده اهمیت دارد — اما هر یک از آن‌ها تنها بر نهادهای تحت پوشش و شرکای تجاری‌شان اعمال می‌شود.

داده‌ای که داوطلبانه به یک اپلیکیشن مصرفی می‌دهید، به‌طور پیش‌فرض بیرون از این چارچوب کامل قرار می‌گیرد. شما آن را آزادانه تایپ کردید، شرکت یک نهاد تحت پوشش نیست، و هیچ‌یک از سه قاعدهٔ بالا هرگز درگیر نمی‌شود. این شکاف دقیقاً همان دلیلی است که FTC شروع کرده است به برخورد با برخی از رویه‌های داده‌ای اپلیکیشن‌های سلامت به‌عنوان یک موضوع رویه‌های تجاری فریبنده به‌جای آن، تا جایی را که HIPAA به آن نمی‌رسد پر کند.

داده‌های سلامتی که معمولاً خارج از محافظت HIPAA قرار می‌گیرند عبارت‌اند از:

• گفت‌وگوهای بررسی‌کنندهٔ علائم و دستیار سلامت هوش مصنوعی عمومی
• داده‌های ردیاب تناسب اندام و دستگاه‌های پوشیدنی
• نتایج آزمایش ژنتیکی مستقیم به مصرف‌کننده
• گزارش‌های خلق‌وخو، خواب یا تغذیهٔ اپلیکیشن‌های تندرستی

خطرات واقعی حریم خصوصی که باید بدانید

بیرون از مرز HIPAA، مجموعه‌ای کوچک‌تر و کمتر آشنا از محافظت‌ها اعمال می‌شود — و شکاف‌ها به‌اندازهٔ کافی واقعی هستند که پیش از به اشتراک‌گذاری هر چیز حساسی اهمیت داشته باشند. به‌ویژه مراقب این نشانه‌های هشدار باشید:

• سیاست حریم خصوصی‌ای که حق «به اشتراک‌گذاری داده با شرکا» را بدون نام بردن از آن‌ها برای خود محفوظ می‌دارد
• نبود گزینهٔ آشکار برای حذف حساب یا تاریخچهٔ گفت‌وگوی شما
• نبود هیچ اشاره‌ای به استانداردهای رمزگذاری در هیچ‌جای مستندات اپلیکیشن
• زبان بازاریابی‌ای که می‌گوید «سازگار با HIPAA» بدون آنکه هرگز از یک BAA امضاشده نام ببرد

داده‌های شما می‌توانند فروخته یا به اشتراک گذاشته شوند. در سطح فدرال، هیچ قانون فراگیری وجود ندارد که فروش داده‌های سلامت غیرمشمول HIPAA به اشخاص ثالث یا دلالان داده را ممنوع کند. نقض ۲۰۲۳ و ورشکستگی بعدی شرکت آزمایش ژنتیکی 23andMe این خطر را ملموس کرد: داده‌های ژنتیکی و سلامت میلیون‌ها کاربر به یک دارایی در یک دادرسی شرکتی تبدیل شد، نه یک سابقهٔ محافظت‌شده که HIPAA از آن حفاظت کند.

«ناشناس» همیشه ناشناس نیست. شرکت‌ها معمولاً داده‌های به اشتراک‌گذاشته‌شده یا فروخته‌شده را «شناسه‌زدایی‌شده» توصیف می‌کنند، اما شناسه‌زدایی بیشتر از آنچه مردم تصور می‌کنند برگشت‌پذیر است. یک مطالعهٔ ۲۰۱۹ که در Nature Communications منتشر شد نشان داد که تنها ۱۵ ویژگی جمعیت‌شناختی — چیزهایی مانند سن، جنسیت و کد پستی — کافی بود تا ۹۹٫۹۸٪ آمریکایی‌ها را درون یک مجموعه‌دادهٔ «ناشناس‌شده» به‌درستی دوباره شناسایی کند، آستانه‌ای که توافق‌نامه‌های به اشتراک‌گذاری دادهٔ بیشتر اپلیکیشن‌ها بدون زحمت زیادی از آن عبور می‌کنند.

نتایج ما نشان می‌دهد که حتی مجموعه‌داده‌های ناشناس‌شدهٔ به‌شدت نمونه‌برداری‌شده نیز بعید است استانداردهای مدرن ناشناس‌سازی تعیین‌شده توسط GDPR را برآورده کنند و کفایت فنی و قانونی مدل شناسه‌زدایی «انتشار-و-فراموشی» را به‌طور جدی به چالش می‌کشند.

Rocher, Hendrickx & de Montjoye, Nature Communications

چت‌بات‌های رایگان و عمومی ممکن است روی ورودی شما آموزش ببینند. ابزارهای سلامت هوش مصنوعی رو به مصرف‌کننده که بر مدل‌های همه‌منظوره ساخته شده‌اند، اغلب فاقد توافق‌نامهٔ شریک تجاری هستند، به این معنا که هر چیزی که در یک جلسهٔ چت‌بات رایگان تایپ شود — از جمله بسیاری از خدماتی که به‌عنوان پزشک هوش مصنوعی رایگان آنلاین بازاریابی می‌شوند — می‌تواند برای بهبود مدل زیربنایی استفاده شود. FTC به سازندگان اپلیکیشن‌های سلامت هشدار داده است که رویه‌های به اشتراک‌گذاری داده که با وعده‌های خودِ سیاست حریم خصوصی در تضاد باشند می‌توانند به‌عنوان یک رویهٔ تجاری فریبنده تلقی شوند — شرکتی که خود را «سازگار با HIPAA» تبلیغ می‌کند بدون یک BAA امضاشده، در حال بیان یک ادعای بازاریابی داوطلبانه است، نه بیان یک واقعیت قانونی.

یک پزشک هوش مصنوعی قابل اعتماد چگونه به نظر می‌رسد

هر اپلیکیشن سلامت هوش مصنوعی مصرفی با داده‌های شما به یک شکل رفتار نمی‌کند، و مشتی نشانهٔ ملموس، قابل‌اعتمادها را از بقیه جدا می‌کند.

یک اپلیکیشن حریم‌خصوصی‌محور باید داده‌ها را هنگام ذخیره‌شدن با AES-256 و هنگام انتقال با TLS (جانشین مدرن SSL) رمزگذاری کند، از احراز هویت چندعاملی و کنترل‌های دسترسی مبتنی بر نقش برای محدود کردن اینکه چه کسی در داخل می‌تواند اطلاعات شما را ببیند استفاده کند، و ردپای ممیزی از اینکه چه کسی به چه چیزی و چه زمانی دسترسی داشته نگه دارد. باید سیاست حریم خصوصی خود را به زبان ساده بنویسد، نه با زبان حقوقی پیچیده، به شما راهی روشن برای مشاهده، دانلود و حذف داده‌هایتان بدهد، و — حتی بدون یک الزام قانونی HIPAA — رویه‌های خود را داوطلبانه با استانداردهای HIPAA-گونه هم‌راستا کند و به ممیزی‌های امنیتی مستقل شخص ثالث تن دهد. برخی پلتفرم‌های پیشرفته‌تر نیز از تکنیک‌هایی مانند یادگیری فدرال یا حریم خصوصی تفاضلی استفاده می‌کنند که برای استخراج بینش از داده‌ها بدون هرگز متمرکز کردن سوابق خام و قابل شناسایی شما طراحی شده‌اند.

یک پزشک هوش مصنوعی رایگان که ارزش اعتماد داشته باشد، باید بتواند به‌روشنی و به زبان ساده در سایت خودش بیان کند که دقیقاً چه چیزی را جمع‌آوری می‌کند و چگونه می‌توانید آن را حذف کنید.

چگونه هنگام پرسیدن از یک پزشک هوش مصنوعی از خود محافظت کنید

برای محافظت‌شدن نیازی نیست از ابزارهای سلامت هوش مصنوعی دوری کنید — به یک عادت کوتاه و تکرارپذیر نیاز دارید پیش از آنکه هر چیز حساسی را در یکی از آن‌ها تایپ کنید.

1. پیش از به اشتراک‌گذاری هر چیزی، سیاست حریم خصوصی را بخوانید، به‌طور خاص بخش مربوط به اینکه آیا داده فروخته یا با اشخاص ثالث به اشتراک گذاشته می‌شود.
2. حداقل اطلاعات لازم برای گرفتن یک پاسخ مفید را به اشتراک بگذارید — علائم و زمینه، نه کل سابقهٔ پزشکی‌تان.
3. از بارگذاری سوابق پزشکی کامل، فایل‌های تصویربرداری یا گزارش‌های آزمایشگاهی خودداری کنید مگر آنکه اپلیکیشن به‌روشنی بیان کند که آن داده چگونه محافظت می‌شود.
4. هر کنترل حذف چت یا حذف دادهٔ در دسترس را روشن کنید و مرتباً از آن‌ها استفاده کنید.
5. در صورتی که اپلیکیشن آن را ارائه می‌دهد، احراز هویت چندعاملی را روی حساب فعال کنید.
6. در جایی که ابزار همچنان بدون نام واقعی شما کار می‌کند، از یک نام مستعار استفاده کنید یا جزئیات شناسایی‌کننده را حذف کنید.
7. مستقیماً، در کانال پشتیبانی یا پرسش‌های متداول اپلیکیشن، بپرسید که آیا داده‌های شما هرگز فروخته می‌شود — یک پاسخ مبهم یا غایب خودش اطلاعات مفیدی است.

وقتی از یک پزشک هوش مصنوعی پرسشی می‌پرسید، با آن مانند گفت‌وگویی که ارزش محافظت دارد رفتار کنید — همان احتیاطی که به هر حسابی که اطلاعات حساسی دربارهٔ شما نگه می‌دارد می‌آورید.

پرسش‌های متداول

پزشک هوش مصنوعی جایگزین پزشک دارای مجوز نیست و تشخیص ارائه نمی‌دهد. در مواقع اورژانس پزشکی با ۹۱۱ تماس بگیرید. همیشه برای تشخیص و درمان با یک پزشک واقعیِ دارای مجوز مشورت کنید، و با خواندن سیاست حریم خصوصی پیش از به اشتراک‌گذاری هر چیزی با یک اپلیکیشن سلامت هوش مصنوعی، از داده‌های خود محافظت کنید.