২০২৬ সালের জন্য আপডেট করা হয়েছে
অডিটের প্রশ্ন যা AI উত্তর দিতে পারে না
একজন HIPAA অডিটর জিজ্ঞেস করেন: "এই ক্লিনিক্যাল নোটটি কেন de-identify করা হয়েছিল?"
"অ্যালগরিদম এটি প্রক্রিয়া করেছে" কোনো উত্তর নয়।
HIPAA-র Expert Determination পদ্ধতি একটি স্পষ্ট মানদণ্ড নির্ধারণ করে। একজন যোগ্য ব্যক্তিকে পরিসংখ্যানগত ও বৈজ্ঞানিক নীতি প্রয়োগ করতে হবে। সেই ব্যক্তিকে দেখাতে হবে যে পুনঃশনাক্তকরণের ঝুঁকি অত্যন্ত ছোট। মানদণ্ডে রেকর্ডে স্পষ্ট পদ্ধতি প্রয়োজন — black-box আউটপুট নয়।
আইনি discovery একই মানদণ্ড নির্ধারণ করে। একজন special master জিজ্ঞেস করেন: "এই অনুচ্ছেদটি কেন রিডাক্ট করা হয়েছিল?" উত্তরে privilege ভিত্তির নাম দিতে হবে। এটি FRCP Rule 26(b)(5)-এর অধীনে রোধকৃত উপাদান বর্ণনা করতে হবে। "টুল এটি ফ্ল্যাগ করেছে" সেই নিয়ম পূরণ করে না।
২০২৫ সালের IAPP গবেষণা খুঁজে পেয়েছে যে ৩৪% DPO স্বয়ংক্রিয় অনামিকরণ কমপ্লায়েন্স ডকুমেন্টেশনের জন্য অপর্যাপ্ত টুল রিপোর্ট করেছেন। ফাঁকটি শনাক্তকরণে নয়। এটি কী পাওয়া গেছে এবং কেন তা ডকুমেন্ট করতে।
HIPAA কী দাবি করে
HIPAA 45 CFR 164.514-এর অধীনে দুটি পথ দেয়।
Safe Harbor: সমস্ত ১৮টি নির্দিষ্ট PHI শনাক্তকারী সরিয়ে দিন। অডিটররা পরীক্ষা করেন কোন entity type টুল খুঁজেছে এবং প্রতিটি কীভাবে পরিচালনা করা হয়েছে।
Expert Determination: একজন যোগ্য ব্যক্তি পরিসংখ্যানগত নীতি প্রয়োগ করেন। তারা পদ্ধতি, ঝুঁকি বিশ্লেষণ এবং তাদের নিজস্ব যোগ্যতা ডকুমেন্ট করেন।
উভয় পথ একটি মূল দাবি ভাগ করে। অডিটরদের বুঝতে হবে কী করা হয়েছে। তাদের শুধু বলা যায় না যে এটি হয়েছে। এমন একটি সিস্টেম যা কোনো পদ্ধতির রেকর্ড ছাড়া de-identified আউটপুট দেয় উভয় পথেই ব্যর্থ হয়।
GDPR কী যোগ করে
GDPR প্রয়োগ বাড়ছে। EDPB ২০২৪ সালে ৯০০+ প্রয়োগ সিদ্ধান্ত জারি করেছে। GDPR জরিমানা সেই বছর €১.২ বিলিয়ন পৌঁছেছে — একটি রেকর্ড।
GDPR Article 5(2) জবাবদিহিতার নিয়ম নির্ধারণ করে। controllers-দের কমপ্লায়েন্স প্রদর্শন করতে সক্ষম হতে হবে — শুধু অর্জন করলেই চলবে না। দায়িত্বটি সক্রিয় প্রমাণ, নিষ্ক্রিয় কমপ্লায়েন্স নয়।
স্বয়ংক্রিয় অনামিকরণ টুল ব্যবহারকারী দলগুলোর জন্য, এই নিয়ম সরঞ্জামগুলোকেও কভার করে। একজন DPO-কে প্রযুক্তিগত ব্যবস্থা ডকুমেন্ট করতে হবে। তাদের টুল কী খুঁজে পায় তার নাম দিতে হবে। তাদের বলতে হবে কীভাবে এটি খুঁজে পায়। তাদের বলতে হবে কোন আত্মবিশ্বাস প্রয়োজন এবং কোন পদক্ষেপ নেওয়া হয়। এর কিছুই না দেওয়া একটি টুল অডিটের দায়িত্ব বাধাগ্রস্ত করে।
চারটি ক্ষেত্র যা অডিট ট্রেইল তৈরি করে
একটি ব্যাখ্যাযোগ্য রিডাকশন সিস্টেমকে প্রতিটি রিডাকশনের জন্য চারটি আইটেম রেকর্ড করতে হবে।
Entity type: "PERSON" বা "SSN" বা "DATE_OF_BIRTH" — পাওয়া ডেটার শ্রেণী। প্রতিটি শ্রেণী একটি HIPAA PHI টাইপ বা একটি GDPR ব্যক্তিগত ডেটা টাইপের সাথে মানচিত্র করে।
শনাক্তকরণ পদ্ধতি: এটি কি একটি নির্দিষ্ট প্যাটার্নে regex match ছিল? নাকি প্রসঙ্গের উপর ভিত্তি করে NLP মডেল match? Regex match পুরোপুরি পুনরাবৃত্তিযোগ্য। NLP match আত্মবিশ্বাসের মাত্রা বহন করে। অডিট রেকর্ডের জন্য সেই পার্থক্যটি গুরুত্বপূর্ণ।
আত্মবিশ্বাস স্কোর: NLP match-এর জন্য, এটি হলো স্প্যানটি দাবিকৃত entity type হওয়ার সম্ভাবনা। একটি ব্যক্তির নামের জন্য 0.94 স্কোর ডকুমেন্টযোগ্য। একটি binary "flagged/not flagged" নয়।
প্রয়োগ করা operator: entity-কে কি একটি token দিয়ে প্রতিস্থাপন করা হয়েছিল, hashed করা হয়েছিল, redacted করা হয়েছিল, নাকি suppressed করা হয়েছিল? operator-এর নাম দেওয়া অডিট পর্যালোচনা সমর্থন করে।
এই চারটি ক্ষেত্র হলো অডিট ট্রেইল। HIPAA Expert Determination-এ এটি প্রয়োজন। আইনি discovery privilege log-এ এটি প্রয়োজন। GDPR জবাবদিহিতার রেকর্ডে এটি প্রয়োজন। এটি ছাড়া, স্বয়ংক্রিয় রিডাকশন অডিটর, আদালত বা নিয়ন্ত্রক কর্তৃপক্ষের কাছে রক্ষা করা যায় না।
anonym.legal কীভাবে এটি ক্যাপচার করে তা দেখুন compliance overview এবং security practices পৃষ্ঠায়। HIPAA Safe Harbor প্রক্রিয়াকরণের walkthrough-এর জন্য, দেখুন batch HIPAA clinical notes guide।