Biztonságos az AI orvos? Mit fed le valójában a HIPAA, és hogyan védd meg az adataidat

Mielőtt beírnád a tüneteidet egy AI orvosba, jogos megkérdezni, ki látja ezeket az adatokat, és hogy védi-e őket a HIPAA. A HHS szerint egy AI orvos biztonságosan használható általános tájékozódásra — de a legtöbb fogyasztói AI egészségügyi alkalmazásra nem terjed ki a HIPAA, így az adataidat valójában a vállalat saját adatvédelmi szabályzata védi, nem a szövetségi törvény.

Az AI orvos nem helyettesíti a szakképzett orvost, és nem állít fel diagnózist. Orvosi vészhelyzet esetén hívd a 112-t. Ez az útmutató az adatvédelemről szól, nem az orvoslásról — diagnózisért és kezelésért mindig fordulj valódi orvoshoz.

A rövid válasz: általában nem HIPAA-védett — és ez miért számít

A HIPAA a „fedett entitásokat” — orvosokat, kórházakat, egészségbiztosítási terveket és klíringházakat — kötelezi, valamint az üzleti partnereiket, azokat a szolgáltatókat, amelyek a nevükben kezelik a védett egészségügyi információkat. Egy önálló fogyasztói AI egészségügyi alkalmazás rendszerint nem tartozik ezek közé, így jogilag egyáltalán nem köteles betartani a HIPAA-t. Ez önmagában nem teszi automatikusan veszélyessé — ez külön kérdés attól, hogy az AI orvos hogyan viszonyul egy valódi orvoshoz, és hol tér el a kettő a képességekben —, de azt jelenti, hogy a védelmed teljes egészében az alkalmazás mögött álló vállalattól függ, nem pedig egy szövetségi törvénytől, így az ellenőrzés a te felelősséged, nem formalitás.

A megkülönböztetés technikainak hangzik, de mindent megváltoztat abban, ami az adataiddal történik. Egy HIPAA fedett entitást jogilag köti az Adatvédelmi Szabály és a Biztonsági Szabály, és valós szankciókkal néz szembe a védett egészségügyi információ (PHI) helytelen kezeléséért. Egy ilyen státusszal nem rendelkező fogyasztói alkalmazás csak a saját felhasználási feltételeinek felel — és azok a feltételek bármikor átírhatók.

Mikor esik egy AI orvos a HIPAA hatálya alá — és mikor nem

Az, hogy egy AI eszköz a HIPAA hatálya alá esik-e, kevésbé attól függ, hogy mit csinál, inkább attól, hogy ki vetette be és milyen megállapodás keretében. Ugyanaz az alapmodell az egyik környezetben HIPAA-védett lehet, egy másikban pedig teljesen védtelen.

Fedett: AI a szakképzett ellátáson belül

Egy AI eszköz jellemzően a HIPAA hatálya alá esik, ha az alábbiak bármelyike igaz:

• Egy szakképzett orvos vagy ellátó csapat használja az eszközt a vizsgálatod vagy kezelésed során.
• Egy távgyógyászati platform egy szakképzett szolgáltató infrastruktúráján fut, és kezeli a nyilvántartásaidat.
• Az AI szolgáltató üzleti partneri megállapodást (BAA) írt alá egy fedett entitással.

A BAA egy jogilag kötelező érvényű szerződés, amely kiterjeszti a HIPAA kötelezettségeit a szolgáltatóra. Ilyen szerződés nélkül nem áll fenn ilyen kötelezettség, bárhogy is szól a marketing. Amint ezen feltételek bármelyike érvényesül, az általad megosztott adatokat PHI-ként kezelik, és a HIPAA Adatvédelmi és Biztonsági Szabályai alá esnek.

Nem fedett: önálló fogyasztói alkalmazások

Egy különálló wellness- vagy egészségügyi alkalmazás, amelyet letöltesz és önállóan használsz — ahol közvetlenül egy csevegőablakba gépeled a tüneteket — jellemzően a HIPAA hatókörén kívül eső fogyasztói eszköznek minősül. A vállalat maga írja meg a szabályait arról, hogyan gyűjti, tárolja és osztja meg azt, amit elmondasz neki, és ezek a szabályok egy adatvédelmi szabályzatban élnek, amelyet elolvashatsz, mielőtt akár egyetlen tünetet is beírnál.

Mit véd valójában a HIPAA — és mit nem

A HIPAA három, együtt működő szabályból épül fel:

• Adatvédelmi Szabály — azt szabályozza, hogyan használható fel és tehető közzé a védett egészségügyi információ (PHI).
• Biztonsági Szabály — adminisztratív, fizikai és technikai biztosítékokat ír elő az elektronikus PHI számára.
• Adatsértés-értesítési Szabály — előírja a fedett entitások számára, hogy adatvédelmi incidens után értesítsék az érintett személyeket.

Mindegyik szabály fontos — de mindegyik kizárólag a fedett entitásokra és üzleti partnereikre vonatkozik.

Az adatok, amelyeket önként adsz meg egy fogyasztói alkalmazásnak, alapértelmezés szerint ezen az egész kereten kívül esnek. Te magad gépelted be szabadon, a vállalat nem fedett entitás, és a fenti három szabály egyike sem lép soha érvénybe. Pontosan ez a hézag az oka annak, hogy az FTC egyes egészségügyi alkalmazások adatkezelési gyakorlatát ehelyett megtévesztő kereskedelmi gyakorlatként kezdte kezelni, betöltve azt, ahová a HIPAA nem ér el.

A HIPAA védelmén kívül eső egészségügyi adatok közé jellemzően a következők tartoznak:

• Tünetellenőrző és általános AI egészségügyi asszisztens beszélgetések
• Fitneszkövetők és viselhető eszközök adatai
• Közvetlenül a fogyasztónak értékesített genetikai tesztek eredményei
• Wellness-alkalmazások hangulat-, alvás- vagy táplálkozási naplói

A valódi adatvédelmi kockázatok, amelyeket ismerned kell

A HIPAA határán kívül egy kisebb és kevésbé ismert védelmi rendszer érvényesül — és a hézagok elég valósak ahhoz, hogy számítsanak, mielőtt bármi érzékenyet megosztanál. Különösen az alábbi figyelmeztető jelekre figyelj:

• Egy adatvédelmi szabályzat, amely fenntartja a jogot, hogy „megossza az adatokat partnerekkel”, anélkül, hogy megnevezné őket
• Nincs látható lehetőség a fiókod vagy csevegési előzményeid törlésére
• Az alkalmazás dokumentációjában sehol nem esik szó titkosítási szabványokról
• Olyan marketingszöveg, amely „HIPAA-kompatibilisnek” mondja magát, anélkül, hogy valaha is említene egy aláírt BAA-t

Az adataidat eladhatják vagy megoszthatják. Szövetségi szinten nincs átfogó törvény, amely megtiltaná a nem HIPAA hatálya alá tartozó egészségügyi adatok harmadik feleknek vagy adatkereskedőknek történő eladását. A genetikai tesztelő 23andMe vállalat 2023-as adatszivárgása és az azt követő csődje kézzelfoghatóvá tette ezt a kockázatot: felhasználók millióinak genetikai és egészségügyi adatai egy vállalati eljárás vagyontárgyává váltak, nem pedig a HIPAA által védett nyilvántartássá.

Az „anonim” nem mindig anonim. A vállalatok rutinszerűen írják le a megosztott vagy eladott adatokat „de-identifikáltként”, de a de-identifikáció gyakrabban visszafordítható, mint azt az emberek feltételezik. A Nature Communications folyóiratban megjelent 2019-es tanulmány megállapította, hogy mindössze 15 demográfiai attribútum — például az életkor, a nem és az irányítószám — elegendő volt ahhoz, hogy egy „anonimizált” adathalmazban helyesen újraazonosítsák az amerikaiak 99,98%-át, amely küszöböt a legtöbb alkalmazás adatmegosztási megállapodása különösebb erőfeszítés nélkül átlép.

Eredményeink arra utalnak, hogy még az erősen mintavételezett anonimizált adathalmazok is valószínűtlenül felelnek meg a GDPR által lefektetett modern anonimizálási szabványoknak, és komolyan megkérdőjelezik a de-identifikációs „kiadd-és-felejtsd” modell technikai és jogi megfelelőségét.

Rocher, Hendrickx & de Montjoye, Nature Communications

Az ingyenes és nyilvános chatbotok betaníthatók a bemenetedből. Az általános célú modellekre épülő, fogyasztóknak szánt AI egészségügyi eszközök gyakran nem rendelkeznek üzleti partneri megállapodással, ami azt jelenti, hogy bármi, amit egy ingyenes chatbot-munkamenetbe gépelsz — beleértve számos, ingyenes online AI orvosként forgalmazott szolgáltatást is — felhasználható az alapmodell javítására. Az FTC figyelmeztette az egészségügyi alkalmazások készítőit, hogy az adatvédelmi szabályzat saját ígéreteinek ellentmondó adatmegosztási gyakorlatok megtévesztő kereskedelmi gyakorlatnak minősülhetnek — egy magát „HIPAA-kompatibilisnek” hirdető vállalat aláírt BAA nélkül önkéntes marketingállítást tesz, nem pedig jogi tényt közöl.

Hogyan néz ki egy megbízható AI orvos

Nem minden fogyasztói AI egészségügyi alkalmazás kezeli ugyanúgy az adataidat, és néhány konkrét jelzés választja el a megbízhatóakat a többitől.

Egy adatvédelemre ügyelő alkalmazásnak AES-256-tal kell titkosítania az adatokat, amíg tárolják, és TLS-sel (az SSL modern utódjával), amíg úton vannak, több tényezős hitelesítést és szerepkör-alapú hozzáférés-vezérlést kell alkalmaznia, hogy korlátozza, ki láthatja belsőleg az információdat, és nyilvántartásokat kell vezetnie arról, ki mihez és mikor fért hozzá. Az adatvédelmi szabályzatát közérthető nyelven kell megírnia a sűrű jogi szaknyelv helyett, világos módot kell adnia arra, hogy megtekintsd, letöltsd és töröld az adataidat, és — még jogi HIPAA-előírás nélkül is — önkéntesen a HIPAA-szintű szabványokhoz kell igazítania a gyakorlatát, valamint alá kell vetnie magát független, harmadik fél általi biztonsági auditoknak. Néhány fejlettebb platform olyan technikákat is használ, mint a szövetségi tanulás (federated learning) vagy a differenciális adatvédelem, amelyeket úgy terveztek, hogy anélkül nyerjenek ki betekintést az adatokból, hogy valaha is központosítanák a nyers, azonosítható nyilvántartásaidat.

Egy bizalomra érdemes ingyenes AI orvos képes kell legyen közérthetően, a saját oldalán kimondani, pontosan mit gyűjt, és hogyan törölheted azt.

Hogyan védd meg magad, amikor AI orvost kérdezel

Nem kell kerülnöd az AI egészségügyi eszközöket ahhoz, hogy védve maradj — egy rövid, ismételhető szokásra van szükséged, mielőtt bármi érzékenyet beírnál egybe.

1. Olvasd el az adatvédelmi szabályzatot, mielőtt bármit megosztanál, különösen azt a részt, amely arról szól, eladják-e vagy megosztják-e az adatokat harmadik felekkel.
2. Oszd meg a hasznos válaszhoz szükséges minimális információt — tüneteket és kontextust, nem a teljes kórtörténetedet.
3. Kerüld a teljes orvosi nyilvántartások, képalkotó fájlok vagy laborleletek feltöltését, hacsak az alkalmazás nem mondja ki világosan, hogyan védi ezeket az adatokat.
4. Kapcsold be az elérhető csevegés- vagy adattörlési vezérlőket, és használd őket rendszeresen.
5. Engedélyezd a több tényezős hitelesítést a fiókon, ha az alkalmazás kínálja.
6. Használj álnevet, vagy hagyd el az azonosító adatokat ott, ahol az eszköz a valódi neved nélkül is működik.
7. Kérdezz rá közvetlenül, az alkalmazás ügyfélszolgálati csatornáján vagy GYIK-jében, hogy eladják-e valaha az adataidat — egy homályos vagy hiányzó válasz önmagában is hasznos információ.

Amikor megkérdezel egy AI orvost, kezeld úgy, mint egy védelemre érdemes beszélgetést — ugyanazzal az óvatossággal, amelyet bármely olyan fiókhoz hoznál, amely érzékeny információt tartalmaz rólad.

GYIK

Az AI orvos nem helyettesíti a szakképzett orvost, és nem állít fel diagnózist. Orvosi vészhelyzet esetén hívd a 112-t. Diagnózisért és kezelésért mindig fordulj valódi, szakképzett orvoshoz, és védd meg az adataidat azzal, hogy elolvasod az adatvédelmi szabályzatot, mielőtt bármit megosztanál egy AI egészségügyi alkalmazással.