کیا AI ڈاکٹر محفوظ ہے؟ HIPAA اصل میں کیا احاطہ کرتا ہے اور اپنے ڈیٹا کی حفاظت کیسے کریں

اس سے پہلے کہ آپ اپنی علامات کسی AI ڈاکٹر میں ٹائپ کریں، یہ پوچھنا مناسب ہے کہ اس ڈیٹا کو کون دیکھتا ہے اور کیا HIPAA اس کی حفاظت کرتا ہے۔ HHS کے مطابق، ایک AI ڈاکٹر عمومی معلومات کے لیے استعمال کرنا محفوظ ہو سکتا ہے — لیکن زیادہ تر صارفی AI ہیلتھ ایپس HIPAA کے احاطے میں نہیں آتیں، لہٰذا جو چیز حقیقتاً آپ کے ڈیٹا کی حفاظت کرتی ہے وہ کمپنی کی اپنی پرائیویسی پالیسی ہے، وفاقی قانون نہیں۔

ایک AI ڈاکٹر لائسنس یافتہ فزیشن کا متبادل نہیں ہے اور تشخیص فراہم نہیں کرتا۔ طبی ہنگامی صورتحال میں 911 پر کال کریں۔ یہ گائیڈ پرائیویسی کا احاطہ کرتی ہے، طب کا نہیں — تشخیص اور علاج کے لیے ہمیشہ ایک حقیقی ڈاکٹر سے رجوع کریں۔

مختصر جواب: عموماً HIPAA کے احاطے میں نہیں — یہ کیوں اہمیت رکھتا ہے

HIPAA “احاطہ شدہ اداروں” (covered entities) کو پابند کرتا ہے — ڈاکٹرز، ہسپتال، ہیلتھ پلانز، اور کلیئرنگ ہاؤسز — اُن کے کاروباری شراکت داروں (business associates) کے ساتھ، یعنی وہ وینڈرز جو اُن کی جانب سے محفوظ صحت معلومات (protected health information) کو ہینڈل کرتے ہیں۔ ایک الگ صارفی AI ہیلتھ ایپ عموماً اِن میں سے نہیں ہوتی، لہٰذا اس پر HIPAA کی پیروی کرنا قانونی طور پر لازم ہی نہیں۔ یہ خود بخود اسے غیر محفوظ نہیں بنا دیتا — یہ ایک AI ڈاکٹر بمقابلہ ایک حقیقی ڈاکٹر اور دونوں کی صلاحیت میں فرق سے جدا سوال ہے — لیکن اس کا مطلب یہ ہے کہ آپ کی حفاظت مکمل طور پر ایپ کے پیچھے موجود کمپنی پر منحصر ہے، نہ کہ کسی وفاقی قانون پر، لہٰذا جانچ پڑتال کرنا آپ کی ذمہ داری ہے، محض ایک رسمی کارروائی نہیں۔

یہ فرق تکنیکی لگتا ہے، لیکن یہ اس بارے میں سب کچھ بدل دیتا ہے کہ آپ کے ڈیٹا کے ساتھ کیا ہوتا ہے۔ ایک HIPAA احاطہ شدہ ادارہ Privacy Rule اور Security Rule کا قانونی طور پر پابند ہے اور محفوظ صحت معلومات (PHI) کے غلط استعمال پر حقیقی جرمانوں کا سامنا کرتا ہے۔ ایسے کسی درجے کے بغیر ایک صارفی ایپ صرف اپنی سروس کی شرائط (terms of service) کے سامنے جوابدہ ہے — اور اُن شرائط کو کسی بھی وقت دوبارہ لکھا جا سکتا ہے۔

AI ڈاکٹر HIPAA کے احاطے میں کب ہوتا ہے — اور کب نہیں

آیا کوئی AI ٹول HIPAA کے تحت آتا ہے یا نہیں، اس کا انحصار اِس بات پر کم ہے کہ وہ کیا کرتا ہے اور اِس بات پر زیادہ کہ اسے کس نے اور کس معاہدے کے تحت تعینات کیا ہے۔ وہی بنیادی ماڈل ایک ماحول میں HIPAA کے احاطے میں ہو سکتا ہے اور دوسرے میں مکمل طور پر بغیر احاطے کے۔

احاطہ شدہ: لائسنس یافتہ نگہداشت کے اندر AI

ایک AI ٹول عموماً HIPAA کے احاطے میں تب ہوتا ہے جب مندرجہ ذیل میں سے کوئی بھی درست ہو:

• کوئی لائسنس یافتہ فزیشن یا کیئر ٹیم آپ کے وزٹ یا علاج کے دوران ٹول استعمال کرتی ہے۔
• کوئی ٹیلی ہیلتھ پلیٹ فارم کسی لائسنس یافتہ فراہم کنندہ کے انفراسٹرکچر پر چلتا ہے اور آپ کے ریکارڈز ہینڈل کرتا ہے۔
• AI وینڈر نے کسی احاطہ شدہ ادارے کے ساتھ ایک کاروباری شراکت دار معاہدہ (business associate agreement, BAA) دستخط کیا ہوا ہے۔

BAA ایک قانونی طور پر پابند کرنے والا معاہدہ ہے جو HIPAA کی ذمہ داریوں کو وینڈر تک بڑھا دیتا ہے۔ اِس کے بغیر ایسی کوئی ذمہ داری موجود نہیں، خواہ مارکیٹنگ کچھ بھی کہے۔ جیسے ہی اِن شرائط میں سے کوئی لاگو ہوتی ہے، آپ کا شیئر کردہ ڈیٹا PHI کے طور پر شمار ہوتا ہے اور HIPAA کے Privacy اور Security Rules کے تحت آتا ہے۔

احاطہ نہیں: الگ صارفی ایپس

ایک الگ ویلنیس یا ہیلتھ ایپ جسے آپ خود ڈاؤن لوڈ اور استعمال کرتے ہیں — جہاں آپ علامات براہِ راست کسی چیٹ ونڈو میں ٹائپ کرتے ہیں — عموماً HIPAA کی پہنچ سے باہر ایک صارفی ٹول کے طور پر درجہ بند ہوتی ہے۔ کمپنی خود اپنے اصول لکھتی ہے کہ وہ آپ کی بتائی گئی باتوں کو کیسے جمع کرتی، محفوظ کرتی، اور شیئر کرتی ہے، اور وہ اصول ایک پرائیویسی پالیسی میں موجود ہوتے ہیں جسے آپ ایک علامت بھی ٹائپ کرنے سے پہلے پڑھ سکتے ہیں۔

HIPAA اصل میں کس چیز کی حفاظت کرتا ہے — اور کس کی نہیں

HIPAA تین قواعد سے بنا ہے جو مل کر کام کرتے ہیں:

• Privacy Rule — اس بات کو منظم کرتا ہے کہ محفوظ صحت معلومات (PHI) کو کیسے استعمال اور ظاہر کیا جا سکتا ہے۔
• Security Rule — الیکٹرانک PHI کے لیے انتظامی، جسمانی، اور تکنیکی حفاظتی اقدامات کا تقاضا کرتا ہے۔
• Breach Notification Rule — احاطہ شدہ اداروں سے تقاضا کرتا ہے کہ ڈیٹا کی خلاف ورزی (data breach) کے بعد متاثرہ افراد کو مطلع کریں۔

ہر قاعدہ اہمیت رکھتا ہے — لیکن اِن میں سے ہر ایک صرف احاطہ شدہ اداروں اور اُن کے کاروباری شراکت داروں پر لاگو ہوتا ہے۔

جو ڈیٹا آپ رضاکارانہ طور پر کسی صارفی ایپ کو دیتے ہیں وہ بطورِ ڈیفالٹ اُس پورے فریم ورک سے باہر رہتا ہے۔ آپ نے اسے آزادانہ ٹائپ کیا، کمپنی کوئی احاطہ شدہ ادارہ نہیں، اور اوپر دیے گئے تینوں قواعد میں سے کوئی بھی کبھی لاگو نہیں ہوتا۔ یہی خلا ہے جس کی بنا پر FTC نے بعض ہیلتھ ایپ کے ڈیٹا سے متعلق طریقوں کو اِس کے بجائے ایک فریب دہندہ تجارتی عمل (deceptive-trade-practices) کے مسئلے کے طور پر لینا شروع کیا ہے، اُس جگہ کو پُر کرتے ہوئے جہاں HIPAA نہیں پہنچتا۔

صحت کا وہ ڈیٹا جو عام طور پر HIPAA کی حفاظت سے باہر رہتا ہے اس میں شامل ہیں:

• علامات جانچنے والے (symptom-checker) اور عمومی AI ہیلتھ اسسٹنٹ کی گفتگو
• فٹنس ٹریکر اور پہننے کے قابل آلات (wearable-device) کا ڈیٹا
• براہِ راست صارف کو (direct-to-consumer) جینیاتی جانچ کے نتائج
• ویلنیس ایپ کے موڈ، نیند، یا غذائیت کے لاگز

اصل پرائیویسی خطرات جو آپ کو جاننے چاہئیں

HIPAA کی حد سے باہر، تحفظات کا ایک چھوٹا اور کم مانوس مجموعہ لاگو ہوتا ہے — اور یہ خلا اِتنے حقیقی ہیں کہ کوئی حساس چیز شیئر کرنے سے پہلے اہمیت رکھتے ہیں۔ خاص طور پر اِن انتباہی علامات پر نظر رکھیں:

• ایک پرائیویسی پالیسی جو “شراکت داروں کے ساتھ ڈیٹا شیئر کرنے” کا حق محفوظ رکھتی ہے بغیر اُن کے نام بتائے
• آپ کے اکاؤنٹ یا چیٹ ہسٹری کو حذف کرنے کا کوئی نظر آنے والا اختیار نہیں
• ایپ کی دستاویزات میں کہیں بھی انکرپشن معیارات کا کوئی ذکر نہیں
• مارکیٹنگ کی ایسی زبان جو “HIPAA-compliant” کہتی ہے مگر کبھی کسی دستخط شدہ BAA کا ذکر نہیں کرتی

آپ کا ڈیٹا فروخت یا شیئر کیا جا سکتا ہے۔ وفاقی سطح پر، غیر-HIPAA صحت ڈیٹا کی تیسرے فریقوں یا ڈیٹا بروکرز کو فروخت پر پابندی لگانے والا کوئی جامع قانون موجود نہیں۔ جینیاتی جانچ کرنے والی کمپنی 23andMe کی 2023 کی خلاف ورزی اور اس کے بعد کے دیوالیہ پن نے اس خطرے کو ٹھوس بنا دیا: لاکھوں صارفین کا جینیاتی اور صحت ڈیٹا ایک کارپوریٹ کارروائی میں ایک اثاثہ بن گیا، نہ کہ HIPAA کے زیرِ حفاظت ایک محفوظ ریکارڈ۔

“گمنام” ہمیشہ گمنام نہیں ہوتا۔ کمپنیاں معمول کے مطابق شیئر یا فروخت شدہ ڈیٹا کو “de-identified” قرار دیتی ہیں، لیکن de-identification لوگوں کے اندازے سے زیادہ اکثر پلٹنے کے قابل ہوتی ہے۔ Nature Communications میں شائع ہونے والی 2019 کی ایک تحقیق میں پایا گیا کہ محض 15 آبادیاتی خصوصیات — جیسے عمر، جنس، اور زپ کوڈ — ایک “anonymized” ڈیٹا سیٹ کے اندر 99.98% امریکیوں کو درست طور پر دوبارہ شناخت کرنے کے لیے کافی تھیں، ایک ایسی حد جسے زیادہ تر ایپس کے ڈیٹا شیئرنگ معاہدے بغیر زیادہ محنت کے عبور کر لیتے ہیں۔

ہمارے نتائج سے پتہ چلتا ہے کہ حتیٰ کہ بھاری نمونہ سازی والے anonymized ڈیٹا سیٹ بھی GDPR کے مقرر کردہ anonymization کے جدید معیارات کو پورا کرنے کا امکان نہیں رکھتے اور de-identification کے release-and-forget ماڈل کی تکنیکی اور قانونی مناسبت کو سنجیدگی سے چیلنج کرتے ہیں۔ — Rocher, Hendrickx & de Montjoye, Nature Communications

مفت اور عوامی چیٹ بوٹس آپ کے ان پٹ پر ٹرین کر سکتے ہیں۔ عمومی مقصد کے ماڈلز پر بنے صارف کا سامنا کرنے والے AI ہیلتھ ٹولز میں اکثر کاروباری شراکت دار معاہدہ نہیں ہوتا، یعنی کسی مفت چیٹ بوٹ سیشن میں ٹائپ کی گئی کوئی بھی چیز — بشمول بہت سی خدمات جن کی ایک مفت AI ڈاکٹر آن لائن کے طور پر مارکیٹنگ کی جاتی ہے — بنیادی ماڈل کو بہتر بنانے کے لیے استعمال ہو سکتی ہے۔ FTC نے ہیلتھ ایپ بنانے والوں کو خبردار کیا ہے کہ ڈیٹا شیئرنگ کے وہ طریقے جو خود پرائیویسی پالیسی کے وعدوں سے متصادم ہوں انہیں ایک فریب دہندہ تجارتی عمل سمجھا جا سکتا ہے — ایک کمپنی جو دستخط شدہ BAA کے بغیر خود کو “HIPAA-compliant” کے طور پر اشتہار دیتی ہے وہ ایک رضاکارانہ مارکیٹنگ دعویٰ کر رہی ہے، کسی قانونی حقیقت کا بیان نہیں دے رہی۔

قابلِ بھروسہ AI ڈاکٹر کیسا دکھائی دیتا ہے

ہر صارفی AI ہیلتھ ایپ آپ کے ڈیٹا کے ساتھ یکساں سلوک نہیں کرتی، اور چند ٹھوس اشارے قابلِ بھروسہ ایپس کو باقیوں سے الگ کر دیتے ہیں۔

پرائیویسی کے حوالے سے محتاط ایک ایپ کو ذخیرہ کرتے وقت ڈیٹا کو AES-256 سے انکرپٹ کرنا چاہیے اور منتقلی کے دوران TLS (SSL کا جدید جانشین) سے، اندرونی طور پر یہ محدود کرنے کے لیے کہ آپ کی معلومات کون دیکھ سکتا ہے ملٹی فیکٹر توثیق (multi-factor authentication) اور کردار پر مبنی رسائی کے کنٹرول (role-based access controls) استعمال کرنے چاہئیں، اور یہ آڈٹ ٹریلز رکھنی چاہئیں کہ کس نے کیا اور کب رسائی حاصل کی۔ اسے اپنی پرائیویسی پالیسی گھنے قانونی لفظیات کے بجائے سادہ زبان میں لکھنی چاہیے، آپ کو اپنے ڈیٹا کو دیکھنے، ڈاؤن لوڈ کرنے، اور حذف کرنے کا ایک واضح طریقہ دینا چاہیے، اور — HIPAA کے قانونی تقاضے کے بغیر بھی — رضاکارانہ طور پر اپنے طریقوں کو HIPAA طرز کے معیارات کے مطابق ڈھالنا چاہیے اور آزاد تیسرے فریق کی سیکیورٹی آڈٹس سے گزرنا چاہیے۔ کچھ زیادہ جدید پلیٹ فارمز federated learning یا differential privacy جیسی تکنیکیں بھی استعمال کرتے ہیں، جو آپ کے خام، قابلِ شناخت ریکارڈز کو کبھی ایک جگہ مرکوز کیے بغیر ڈیٹا سے بصیرت نکالنے کے لیے تیار کی گئی ہیں۔

ایک مفت AI ڈاکٹر جو بھروسے کے قابل ہو، اسے اپنی سائٹ پر سادہ الفاظ میں بتانے کے قابل ہونا چاہیے کہ وہ بالکل کیا جمع کرتا ہے اور آپ اسے کیسے حذف کر سکتے ہیں۔

جب آپ کسی AI ڈاکٹر سے پوچھیں تو اپنی حفاظت کیسے کریں

محفوظ رہنے کے لیے آپ کو AI ہیلتھ ٹولز سے بچنے کی ضرورت نہیں — آپ کو کسی میں کوئی حساس چیز ٹائپ کرنے سے پہلے ایک مختصر، دُہرائی جانے والی عادت کی ضرورت ہے۔

1. کچھ بھی شیئر کرنے سے پہلے پرائیویسی پالیسی پڑھیں، خاص طور پر وہ حصہ جو بتاتا ہے کہ آیا ڈیٹا تیسرے فریقوں کو فروخت یا شیئر کیا جاتا ہے۔
2. مفید جواب حاصل کرنے کے لیے کم سے کم معلومات شیئر کریں — علامات اور سیاق و سباق، نہ کہ آپ کی مکمل طبی تاریخ۔
3. مکمل طبی ریکارڈز، امیجنگ فائلز، یا لیب رپورٹس اپ لوڈ کرنے سے گریز کریں جب تک کہ ایپ واضح طور پر یہ نہ بتائے کہ اُس ڈیٹا کی حفاظت کیسے کی جاتی ہے۔
4. کوئی بھی دستیاب چیٹ حذف کرنے یا ڈیٹا حذف کرنے کے کنٹرول آن کریں، اور انہیں باقاعدگی سے استعمال کریں۔
5. اگر ایپ پیش کرے تو اکاؤنٹ پر ملٹی فیکٹر توثیق فعال کریں۔
6. جہاں ٹول آپ کے اصل نام کے بغیر بھی کام کرتا ہو وہاں فرضی نام استعمال کریں یا شناختی تفصیلات چھوڑ دیں۔
7. ایپ کے سپورٹ چینل یا FAQ میں براہِ راست پوچھیں کہ آیا آپ کا ڈیٹا کبھی فروخت کیا جاتا ہے — ایک مبہم یا غیر موجود جواب بذاتِ خود مفید معلومات ہے۔

جب آپ کسی AI ڈاکٹر سے پوچھیں کوئی سوال، تو اسے ایک ایسی گفتگو سمجھیں جس کی حفاظت کرنا اہم ہے — وہی احتیاط جو آپ کسی بھی ایسے اکاؤنٹ کے لیے برتیں گے جو آپ کے بارے میں حساس معلومات رکھتا ہو۔

FAQ

ایک AI ڈاکٹر لائسنس یافتہ فزیشن کا متبادل نہیں ہے اور تشخیص فراہم نہیں کرتا۔ طبی ہنگامی صورتحال میں 911 پر کال کریں۔ تشخیص اور علاج کے لیے ہمیشہ ایک حقیقی، لائسنس یافتہ ڈاکٹر سے رجوع کریں، اور کسی AI ہیلتھ ایپ کے ساتھ کچھ بھی شیئر کرنے سے پہلے پرائیویسی پالیسی پڑھ کر اپنے ڈیٹا کی حفاظت کریں۔