Дали ИИ-лекарот е безбеден? Што навистина покрива HIPAA и како да ги заштитите вашите податоци

Пред да ги внесете вашите симптоми во ИИ-лекар, разумно е да прашате кој ги гледа тие податоци и дали HIPAA ги штити. Според HHS, ИИ-лекарот може да биде безбеден за користење за општи информации — но повеќето потрошувачки ИИ-апликации за здравје не се покриени со HIPAA, така што она што навистина ги штити вашите податоци е сопствената политика за приватност на компанијата, а не федералниот закон.

ИИ-лекарот не е замена за лиценциран лекар и не поставува дијагноза. За медицински итни случаи повикајте 911. Овој водич се однесува на приватноста, а не на медицината — секогаш консултирајте вистински лекар за дијагноза и лекување.

Краткиот одговор: обично не е покриен со HIPAA — еве зошто тоа е важно

HIPAA ги обврзува „покриените субјекти“ — лекарите, болниците, здравствените планови и клириншките куќи — заедно со нивните деловни соработници, добавувачите што ракуваат со заштитени здравствени информации во нивно име. Самостојна потрошувачка ИИ-апликација за здравје обично не е една од тие, па воопшто не е законски обврзана да ја следи HIPAA. Тоа не ја прави автоматски небезбедна — тоа е одделно прашање од ИИ-лекар наспроти вистински лекар и каде двете се разликуваат по способности — но значи дека вашата заштита зависи целосно од компанијата зад апликацијата, а не од федерален закон, така што проверката е ваша одговорност, а не формалност.

Разликата звучи технички, но менува сè околу тоа што се случува со вашите податоци. Покриениот субјект според HIPAA е законски обврзан со Правилото за приватност и Правилото за безбедност и се соочува со реални казни за неправилно ракување со заштитените здравствени информации (PHI). Потрошувачка апликација без таков статус одговара само на сопствените услови за користење — а тие услови можат да се препишат во кое било време.

Кога ИИ-лекарот Е покриен со HIPAA — и кога не е

Дали една ИИ-алатка потпаѓа под HIPAA зависи помалку од тоа што прави, а повеќе од тоа кој ја применил и под каков договор. Истиот основен модел може да биде покриен со HIPAA во една средина и целосно непокриен во друга.

Покриено: ИИ во рамките на лиценцирана нега

Една ИИ-алатка обично е покриена со HIPAA кога е точно кое било од следново:

• Лиценциран лекар или тим за нега ја користи алатката за време на вашата посета или лекување.
• Телездравствена платформа работи на инфраструктурата на лиценциран давател и ракува со вашите картони.
• ИИ-добавувачот потпишал договор за деловно соработништво (BAA) со покриен субјект.

BAA е законски обврзувачки договор што ги проширува обврските од HIPAA на добавувачот. Без него, таква обврска не постои, без разлика како гласи маркетингот. Штом важи кое било од овие услови, податоците што ги споделувате се третираат како PHI и потпаѓаат под Правилата за приватност и безбедност на HIPAA.

Непокриено: самостојни потрошувачки апликации

Одделна апликација за благосостојба или здравје што ја преземате и ја користите сами — каде што внесувате симптоми директно во прозорец за разговор — обично се класифицира како потрошувачка алатка надвор од дофатот на HIPAA. Компанијата ги пишува сопствените правила за тоа како собира, складира и споделува она што ѝ го кажувате, а тие правила се наоѓаат во политика за приватност што можете да ја прочитате пред да внесете и еден единствен симптом.

Што навистина штити HIPAA — и што не

HIPAA е изградена од три правила што работат заедно:

• Правило за приватност — управува со тоа како можат да се користат и обелоденуваат заштитените здравствени информации (PHI).
• Правило за безбедност — бара административни, физички и технички заштитни мерки за електронските PHI.
• Правило за известување за прекршување — бара покриените субјекти да ги известат засегнатите лица по прекршување на податоците.

Секое правило е важно — но секое од нив важи само за покриените субјекти и нивните деловни соработници.

Податоците што доброволно ги давате на потрошувачка апликација стојат надвор од целата таа рамка стандардно. Ги внесовте слободно, компанијата не е покриен субјект, и ниту едно од трите правила погоре никогаш не се активира. Токму таа празнина е причината зошто FTC почна да третира некои практики со податоци на здравствените апликации како прашање на измамнички трговски практики наместо тоа, пополнувајќи го она до кое HIPAA не допира.

Здравствените податоци што најчесто паѓаат надвор од заштитата на HIPAA вклучуваат:

• Разговори со проверувачи на симптоми и општи ИИ-помошници за здравје
• Податоци од фитнес-тракери и носливи уреди
• Резултати од генетско тестирање директно до потрошувачите
• Записи за расположение, сон или исхрана од апликации за благосостојба

Вистинските ризици по приватноста што треба да ги знаете

Надвор од границата на HIPAA, важи помал и помалку познат сет на заштити — а празнините се доволно реални за да имаат значење пред да споделите нешто чувствително. Внимавајте особено на овие предупредувачки знаци:

• Политика за приватност што го задржува правото да „споделува податоци со партнери“ без да ги именува
• Нема видлива опција за бришење на вашата сметка или историја на разговори
• Нема спомнување на стандарди за криптирање никаде во документацијата на апликацијата
• Маркетиншки јазик што вели „усогласено со HIPAA“ без воопшто да спомене потпишан BAA

Вашите податоци може да се продадат или споделат. На федерално ниво, не постои сеопфатен закон што ја забранува продажбата на здравствени податоци што не се под HIPAA на трети страни или брокери на податоци. Прекршувањето од 2023 година и последователниот стечај на компанијата за генетско тестирање 23andMe го направија овој ризик конкретен: генетските и здравствените податоци на милиони корисници станаа средство во корпоративна постапка, а не заштитен запис заштитен со HIPAA.

„Анонимно“ не е секогаш анонимно. Компаниите редовно ги опишуваат споделените или продадените податоци како „де-идентификувани“, но де-идентификацијата е реверзибилна почесто отколку што луѓето претпоставуваат. Студија од 2019 година објавена во Nature Communications откри дека само 15 демографски атрибути — работи како возраст, пол и поштенски код — биле доволни за правилно да се реидентификуваат 99,98% од Американците во еден „анонимизиран“ сет на податоци, праг што повеќето договори за споделување податоци на апликациите го преминуваат без многу напор.

Нашите резултати сугерираат дека дури и силно земените примероци на анонимизирани сетови на податоци веројатно нема да ги задоволат современите стандарди за анонимизација утврдени со GDPR и сериозно ја оспоруваат техничката и правната адекватност на моделот на де-идентификација „објави-и-заборави“.

Rocher, Hendrickx & de Montjoye, Nature Communications

Бесплатните и јавните чатботови може да се тренираат на вашиот внес. ИИ-алатките за здравје насочени кон потрошувачите изградени на модели со општа намена честопати немаат договор за деловно соработништво, што значи дека сè што се внесува во сесија со бесплатен чатбот — вклучувајќи многу услуги пласирани како бесплатен ИИ-лекар онлајн — може да се искористи за подобрување на основниот модел. FTC ги предупреди производителите на здравствени апликации дека практиките за споделување податоци што ги оспоруваат сопствените ветувања на политиката за приватност може да се третираат како измамничка трговска практика — компанија што се рекламира како „усогласена со HIPAA“ без потпишан BAA дава доброволна маркетиншка тврдност, а не изнесува правен факт.

Како изгледа ИИ-лекар од доверба

Не секоја потрошувачка ИИ-апликација за здравје се однесува со вашите податоци на ист начин, а неколку конкретни сигнали ги издвојуваат оние од доверба од останатите.

Апликација што внимава на приватноста треба да ги криптира податоците со AES-256 додека се складирани и со TLS (модерниот наследник на SSL) додека се во транзит, да користи повеќефакторска автентикација и контроли на пристап засновани на улоги за да ограничи кој може да ги види вашите информации внатрешно, и да води ревизорски траги за тоа кој што пристапил и кога. Треба да ја напише својата политика за приватност на едноставен јазик наместо со густ правен жаргон, да ви даде јасен начин да ги видите, преземете и избришете вашите податоци, и — дури и без законска обврска од HIPAA — доброволно да ги усогласи своите практики со стандарди во стилот на HIPAA и да се подложи на независни безбедносни ревизии од трети страни. Некои понапредни платформи исто така користат техники како федеративно учење или диференцијална приватност, кои се дизајнирани да извлекуваат увид од податоците без никогаш да ги централизираат вашите сурови, идентификувачки записи.

Еден бесплатен ИИ-лекар вреден за доверба треба да може да наведе, со едноставни зборови на сопствената страница, точно што собира и како можете да го избришете.

Како да се заштитите кога прашувате ИИ-лекар

Не треба да ги избегнувате ИИ-алатките за здравје за да останете заштитени — треба ви кратка, повторлива навика пред да внесете нешто чувствително во една од нив.

1. Прочитајте ја политиката за приватност пред да споделите нешто, особено делот за тоа дали податоците се продаваат или споделуваат со трети страни.
2. Споделете ги минимумот информации потребни за да добиете корисен одговор — симптоми и контекст, а не целата ваша медицинска историја.
3. Избегнувајте да прикачувате целосни медицински картони, снимки или лабораториски извештаи освен ако апликацијата јасно не наведува како се штитат тие податоци.
4. Вклучете ги сите достапни контроли за бришење на разговори или податоци и користете ги редовно.
5. Овозможете повеќефакторска автентикација на сметката ако апликацијата ја нуди.
6. Користете псевдоним или изоставете идентификувачки детали таму каде што алатката сепак работи без вашето вистинско име.
7. Прашајте директно, во каналот за поддршка или во ЧПП на апликацијата, дали вашите податоци некогаш се продаваат — нејасен или отсутен одговор е сам по себе корисна информација.

Кога прашувате ИИ-лекар прашање, третирајте го како разговор вреден за заштита — истата претпазливост што би ја внеле во која било сметка што чува чувствителни информации за вас.

ЧПП

ИИ-лекарот не е замена за лиценциран лекар и не поставува дијагноза. За медицински итни случаи повикајте 911. Секогаш консултирајте вистински, лиценциран лекар за дијагноза и лекување и заштитете ги вашите податоци читајќи ја политиката за приватност пред да споделите нешто со ИИ-апликација за здравје.