क्या AI डॉक्टर सुरक्षित है? HIPAA असल में क्या कवर करता है और अपने डेटा की सुरक्षा कैसे करें

इससे पहले कि आप अपने लक्षण किसी AI डॉक्टर में टाइप करें, यह पूछना जायज़ है कि उस डेटा को कौन देखता है और क्या HIPAA उसकी सुरक्षा करता है। HHS के अनुसार, सामान्य जानकारी के लिए किसी AI डॉक्टर का इस्तेमाल सुरक्षित हो सकता है — पर अधिकांश उपभोक्ता AI स्वास्थ्य ऐप HIPAA के दायरे में नहीं आते, इसलिए आपके डेटा की असल में सुरक्षा कंपनी की अपनी गोपनीयता नीति करती है, न कि संघीय क़ानून।

एक AI डॉक्टर किसी लाइसेंस-प्राप्त चिकित्सक का विकल्प नहीं है और न ही निदान करता है। किसी चिकित्सा आपात स्थिति में 911 पर कॉल करें। यह मार्गदर्शिका गोपनीयता के बारे में है, चिकित्सा के बारे में नहीं — निदान और उपचार के लिए हमेशा किसी असली डॉक्टर से सलाह लें।

संक्षिप्त जवाब: आमतौर पर HIPAA के दायरे में नहीं — और यह क्यों मायने रखता है

HIPAA “कवर्ड एंटिटीज़” को बाध्य करता है — डॉक्टर, अस्पताल, स्वास्थ्य योजनाएँ, और क्लियरिंगहाउस — साथ ही उनके व्यावसायिक सहयोगियों को, यानी वे वेंडर जो उनकी ओर से संरक्षित स्वास्थ्य जानकारी संभालते हैं। एक स्वतंत्र उपभोक्ता AI स्वास्थ्य ऐप आमतौर पर इनमें से कोई नहीं होता, इसलिए उसे क़ानूनी तौर पर HIPAA का पालन करना ज़रूरी ही नहीं है। इससे वह अपने आप असुरक्षित नहीं हो जाता — यह AI डॉक्टर बनाम असली डॉक्टर से अलग सवाल है और दोनों की क्षमता में जहाँ फ़र्क़ है वहाँ से भी अलग — पर इसका मतलब है कि आपकी सुरक्षा पूरी तरह ऐप के पीछे खड़ी कंपनी पर निर्भर करती है, न कि किसी संघीय क़ानून पर, इसलिए जाँच-पड़ताल आपकी ज़िम्मेदारी है, कोई औपचारिकता नहीं।

यह अंतर तकनीकी लगता है, पर इससे बदल जाता है कि आपके डेटा के साथ क्या होगा। एक HIPAA कवर्ड एंटिटी क़ानूनी तौर पर Privacy Rule और Security Rule से बँधी होती है और Protected Health Information (PHI) के ग़लत इस्तेमाल पर उसे असली दंड झेलना पड़ता है। ऐसी कोई हैसियत न रखने वाला उपभोक्ता ऐप केवल अपनी सेवा-शर्तों के प्रति जवाबदेह होता है — और वे शर्तें कभी भी दोबारा लिखी जा सकती हैं।

एक AI डॉक्टर कब HIPAA के दायरे में आता है — और कब नहीं

कोई AI टूल HIPAA के अंतर्गत आता है या नहीं, यह इस बात पर उतना निर्भर नहीं करता कि वह क्या करता है, बल्कि इस पर कि उसे किसने और किस समझौते के तहत तैनात किया। वही अंतर्निहित मॉडल एक परिवेश में HIPAA के दायरे में हो सकता है और दूसरे में पूरी तरह बाहर।

दायरे में: लाइसेंस-प्राप्त देखभाल के भीतर AI

कोई AI टूल आमतौर पर HIPAA के दायरे में तब आता है जब निम्न में से कोई भी बात सही हो:

• कोई लाइसेंस-प्राप्त चिकित्सक या देखभाल टीम आपकी विज़िट या उपचार के दौरान उस टूल का इस्तेमाल करती है।
• कोई टेलीहेल्थ प्लेटफ़ॉर्म किसी लाइसेंस-प्राप्त प्रदाता के बुनियादी ढाँचे पर चलता है और आपके रिकॉर्ड संभालता है।
• AI वेंडर ने किसी कवर्ड एंटिटी के साथ business associate agreement (BAA) पर हस्ताक्षर किए हों।

BAA एक क़ानूनी रूप से बाध्यकारी अनुबंध है जो HIPAA की बाध्यताओं को वेंडर तक बढ़ा देता है। इसके बिना ऐसी कोई बाध्यता नहीं होती, चाहे मार्केटिंग कुछ भी कहे। इनमें से कोई एक शर्त लागू होते ही, आप जो डेटा साझा करते हैं उसे PHI माना जाता है और वह HIPAA के Privacy और Security Rules के अंतर्गत आ जाता है।

दायरे से बाहर: स्वतंत्र उपभोक्ता ऐप

कोई अलग वेलनेस या स्वास्थ्य ऐप जिसे आप ख़ुद डाउनलोड करके इस्तेमाल करते हैं — जहाँ आप लक्षण सीधे किसी चैट विंडो में टाइप करते हैं — आमतौर पर HIPAA की पहुँच से बाहर एक उपभोक्ता टूल के रूप में वर्गीकृत होता है। कंपनी अपने ख़ुद के नियम बनाती है कि वह आपकी बताई बातों को कैसे इकट्ठा, संग्रहीत और साझा करेगी, और वे नियम एक गोपनीयता नीति में रहते हैं जिसे आप एक भी लक्षण टाइप करने से पहले पढ़ सकते हैं।

HIPAA असल में किसकी सुरक्षा करता है — और किसकी नहीं

HIPAA तीन नियमों से बना है जो मिलकर काम करते हैं:

• Privacy Rule — यह नियंत्रित करता है कि Protected Health Information (PHI) का इस्तेमाल और खुलासा कैसे किया जा सकता है।
• Security Rule — इलेक्ट्रॉनिक PHI के लिए प्रशासनिक, भौतिक और तकनीकी सुरक्षा उपाय अनिवार्य करता है।
• Breach Notification Rule — किसी डेटा उल्लंघन के बाद कवर्ड एंटिटीज़ को प्रभावित व्यक्तियों को सूचित करना अनिवार्य करता है।

हर नियम मायने रखता है — पर इनमें से हर एक केवल कवर्ड एंटिटीज़ और उनके व्यावसायिक सहयोगियों पर लागू होता है।

आप किसी उपभोक्ता ऐप को स्वेच्छा से जो डेटा देते हैं वह डिफ़ॉल्ट रूप से इस पूरे ढाँचे के बाहर रहता है। आपने उसे ख़ुद जोड़ा, कंपनी कोई कवर्ड एंटिटी नहीं है, और ऊपर बताए तीनों नियमों में से कोई कभी सक्रिय नहीं होता। यही वह खाई है जिसकी वजह से FTC ने कुछ स्वास्थ्य-ऐप डेटा प्रथाओं को इसके बजाय एक भ्रामक-व्यापार-प्रथा मामले के रूप में देखना शुरू किया है, यानी वहाँ भरना जहाँ HIPAA नहीं पहुँचता।

आमतौर पर HIPAA की सुरक्षा से बाहर रहने वाले स्वास्थ्य डेटा में शामिल हैं:

• लक्षण-जाँचकर्ता और सामान्य AI स्वास्थ्य सहायक की बातचीत
• फ़िटनेस-ट्रैकर और पहनने योग्य उपकरण का डेटा
• सीधे-उपभोक्ता को दिए जाने वाले आनुवंशिक परीक्षण के परिणाम
• वेलनेस-ऐप के मूड, नींद या पोषण के रिकॉर्ड

असल गोपनीयता जोखिम जो आपको जानने चाहिए

HIPAA की सीमा से बाहर, सुरक्षा का एक छोटा और कम परिचित समूह लागू होता है — और खाइयाँ इतनी असली हैं कि कुछ भी संवेदनशील साझा करने से पहले मायने रखें। ख़ासकर इन चेतावनी संकेतों पर नज़र रखें:

• ऐसी गोपनीयता नीति जो “साझेदारों के साथ डेटा साझा करने” का अधिकार बिना उनके नाम बताए सुरक्षित रखती हो
• अपना खाता या चैट इतिहास मिटाने का कोई दिखाई देने वाला विकल्प न हो
• ऐप के दस्तावेज़ों में कहीं भी एन्क्रिप्शन मानकों का कोई ज़िक्र न हो
• ऐसी मार्केटिंग भाषा जो हस्ताक्षरित BAA का ज़िक्र किए बिना “HIPAA-compliant” कहती हो

आपका डेटा बेचा या साझा किया जा सकता है। संघीय स्तर पर, ग़ैर-HIPAA स्वास्थ्य डेटा को तीसरे पक्षों या डेटा दलालों को बेचने पर रोक लगाने वाला कोई व्यापक क़ानून नहीं है। आनुवंशिक-परीक्षण कंपनी 23andMe के 2023 के डेटा उल्लंघन और उसके बाद के दिवालियापन ने इस जोखिम को ठोस बना दिया: लाखों उपयोगकर्ताओं का आनुवंशिक और स्वास्थ्य डेटा एक कॉर्पोरेट कार्यवाही में एक संपत्ति बन गया, न कि HIPAA द्वारा सुरक्षित कोई संरक्षित रिकॉर्ड।

“एनॉनिमस” हमेशा एनॉनिमस नहीं होता। कंपनियाँ आमतौर पर साझा या बेचे गए डेटा को “de-identified” बताती हैं, पर de-identification को उलटना उतना दुर्लभ नहीं है जितना लोग मानते हैं। Nature Communications में प्रकाशित 2019 के एक अध्ययन में पाया गया कि केवल 15 जनसांख्यिकीय विशेषताएँ — जैसे उम्र, लिंग और ज़िप कोड — किसी “एनॉनिमाइज़्ड” डेटासेट के भीतर 99.98% अमेरिकियों की सही तरीक़े से दोबारा पहचान करने के लिए काफ़ी थीं, एक ऐसी सीमा जिसे अधिकांश ऐप के डेटा-साझाकरण समझौते बिना ख़ास मशक़्क़त के पार कर लेते हैं।

हमारे नतीजे बताते हैं कि भारी रूप से सैंपल किए गए एनॉनिमाइज़्ड डेटासेट भी GDPR द्वारा तय एनॉनिमाइज़ेशन के आधुनिक मानकों को संतुष्ट करने की संभावना नहीं रखते और de-identification के रिलीज़-और-भूल जाओ मॉडल की तकनीकी व क़ानूनी पर्याप्तता को गंभीर रूप से चुनौती देते हैं। — Rocher, Hendrickx & de Montjoye, Nature Communications

मुफ़्त और सार्वजनिक चैटबॉट आपके इनपुट पर प्रशिक्षण ले सकते हैं। सामान्य-प्रयोजन मॉडलों पर बने उपभोक्ता-केंद्रित AI स्वास्थ्य टूल में अक्सर business associate agreement नहीं होता, यानी किसी मुफ़्त चैटबॉट सत्र में टाइप की गई कोई भी चीज़ — जिसमें मुफ़्त AI डॉक्टर ऑनलाइन के रूप में विपणित कई सेवाएँ शामिल हैं — का इस्तेमाल अंतर्निहित मॉडल को बेहतर बनाने के लिए किया जा सकता है। FTC ने स्वास्थ्य-ऐप बनाने वालों को आगाह किया है कि जो डेटा-साझाकरण प्रथाएँ किसी गोपनीयता नीति के अपने ही वादों के विपरीत हों, उन्हें भ्रामक व्यापार प्रथा माना जा सकता है — एक कंपनी जो ख़ुद को हस्ताक्षरित BAA के बिना “HIPAA-compliant” बताकर विज्ञापित करती है, वह एक स्वैच्छिक मार्केटिंग दावा कर रही है, कोई क़ानूनी तथ्य नहीं बता रही।

एक भरोसेमंद AI डॉक्टर कैसा दिखता है

हर उपभोक्ता AI स्वास्थ्य ऐप आपके डेटा के साथ एक जैसा व्यवहार नहीं करता, और कुछ ठोस संकेत भरोसेमंद ऐप्स को बाक़ी से अलग करते हैं।

गोपनीयता के प्रति सजग एक ऐप को डेटा को संग्रहीत रहते समय AES-256 से और पारगमन में रहते समय TLS (SSL का आधुनिक उत्तराधिकारी) से एन्क्रिप्ट करना चाहिए, यह सीमित करने के लिए multi-factor authentication और भूमिका-आधारित एक्सेस नियंत्रण का इस्तेमाल करना चाहिए कि आंतरिक रूप से आपकी जानकारी कौन देख सकता है, और यह ऑडिट ट्रेल रखनी चाहिए कि किसने कब क्या एक्सेस किया। इसे अपनी गोपनीयता नीति घनी क़ानूनी भाषा के बजाय आसान भाषा में लिखनी चाहिए, आपको अपना डेटा देखने, डाउनलोड करने और मिटाने का स्पष्ट रास्ता देना चाहिए, और — किसी क़ानूनी HIPAA आवश्यकता के बिना भी — स्वेच्छा से अपनी प्रथाओं को HIPAA-शैली के मानकों के अनुरूप ढालना चाहिए और स्वतंत्र तीसरे-पक्ष की सुरक्षा ऑडिट के लिए तैयार रहना चाहिए। कुछ अधिक उन्नत प्लेटफ़ॉर्म federated learning या differential privacy जैसी तकनीकों का भी इस्तेमाल करते हैं, जो आपके कच्चे, पहचान-योग्य रिकॉर्ड को कभी केंद्रीकृत किए बिना डेटा से अंतर्दृष्टि निकालने के लिए बनाई गई हैं।

एक भरोसे के लायक़ मुफ़्त AI डॉक्टर को अपनी ही साइट पर, आसान शब्दों में, ठीक-ठीक यह बता पाना चाहिए कि वह क्या इकट्ठा करता है और आप उसे कैसे मिटा सकते हैं।

AI डॉक्टर से पूछते समय अपनी सुरक्षा कैसे करें

सुरक्षित रहने के लिए आपको AI स्वास्थ्य टूल से बचने की ज़रूरत नहीं है — आपको बस उनमें कुछ भी संवेदनशील टाइप करने से पहले एक छोटी, दोहराने योग्य आदत की ज़रूरत है।

1. कुछ भी साझा करने से पहले गोपनीयता नीति पढ़ें, ख़ासकर वह हिस्सा जहाँ बताया गया हो कि डेटा तीसरे पक्षों को बेचा या साझा किया जाता है या नहीं।
2. उपयोगी जवाब पाने के लिए ज़रूरी न्यूनतम जानकारी ही साझा करें — लक्षण और संदर्भ, न कि अपना पूरा चिकित्सा इतिहास।
3. पूरे चिकित्सा रिकॉर्ड, इमेजिंग फ़ाइलें, या लैब रिपोर्ट अपलोड करने से बचें, जब तक कि ऐप स्पष्ट रूप से यह न बताए कि उस डेटा की सुरक्षा कैसे की जाती है।
4. उपलब्ध कोई भी चैट-मिटाने या डेटा-मिटाने वाले नियंत्रण चालू करें, और उन्हें नियमित रूप से इस्तेमाल करें।
5. अगर ऐप में सुविधा हो तो खाते पर multi-factor authentication सक्षम करें।
6. जहाँ टूल आपके असली नाम के बिना भी काम करता हो, वहाँ छद्म नाम इस्तेमाल करें या पहचान करने वाले विवरण छोड़ दें।
7. ऐप के सहायता चैनल या FAQ में सीधे पूछें कि आपका डेटा कभी बेचा जाता है या नहीं — कोई अस्पष्ट या ग़ैरमौजूद जवाब ख़ुद में एक उपयोगी जानकारी है।

जब आप किसी AI डॉक्टर से पूछें, तो इसे एक ऐसी बातचीत की तरह लें जिसकी सुरक्षा ज़रूरी है — वही सतर्कता जो आप अपने बारे में संवेदनशील जानकारी रखने वाले किसी भी खाते के साथ बरतेंगे।

FAQ