Проблема конфиденциальности при ИИ-генерации клинических записей
Актуально на 2026 год.
Больницы и клиники используют ИИ для составления клинических записей. ИИ транскрибирует речь и формирует текст. Однако это создаёт пробел в соблюдении HIPAA, который ручная проверка не способна устранить.
ИИ-сгенерированные записи раскрывают данные пациентов тремя способами:
- Перекрёстное загрязнение: ИИ может переносить данные одного пациента в карту другого. Медицинские исследования ИИ подтвердили этот риск.
- Контекстный перетёк: данные пациента попадают в неправильное поле — в расчётную пометку, исследовательское поле или направление. ИИ заполняет поля по контексту, а не по назначению поля.
- Использование данных вендором: многие ИИ-вендоры отправляют записи на проверку модели, если вы не отказались от этой опции. Это передаёт данные пациентов на сторонние серверы. На этих серверах может не быть подписанного BAA.
В 2025 году HHS опубликовало предложение о новых правилах. В них указано, что организации, использующие ИИ-инструменты, должны включить их в анализ рисков. Это создаёт формальное требование для клинической работы с ИИ.
Правило HHS 2025 года об анализе рисков ИИ
HHS предложило новые правила для подпадающих под действие HIPAA субъектов, использующих ИИ. Каждая ИИ-система, работающая с медицинскими картами, должна фигурировать в анализе рисков субъекта.
Правило состоит из трёх частей:
Технические гарантии: проверьте каждый ИИ-инструмент. Задайте вопросы:
- Передаёт ли он медицинские карты за пределы ваших систем?
- Хранит ли он медицинские карты на своих серверах после использования?
- Записывает ли он данные пациента в неправильную карту?
Обучение персонала: обучение должно охватывать риски, специфичные для ИИ. Включая случаи перепутывания карт.
Физические меры контроля: рабочие места с ИИ-инструментами должны быть включены в систему физического контроля доступа.
К клиническим ИИ-инструментам относятся сервисы преобразования речи в текст, инструменты ИИ-составления записей и инструменты кодирования.
Почему обнаружение до сохранения работает
Лучший технический контроль — выявление PHI до сохранения записи в МИС.
Без обнаружения до сохранения:
- ИИ пишет черновик
- Врач проверяет вручную, в условиях временного давления
- Запись сохраняется в МИС
- Ошибки PHI теперь в постоянной записи
- Их исправление требует аудиторских записей и проверки на предмет нарушения
С обнаружением до сохранения:
- ИИ пишет черновик
- Перед сохранением запускается сканирование на PHI
- Отмеченные элементы поступают на проверку врачу
- Врач устраняет ошибки до сохранения
- Запись в МИС чиста с самого начала
Обнаружение до сохранения соответствует Правилу безопасности HIPAA 164.312(b). Это правило требует систем, регистрирующих и проверяющих активность. Сканирование до сохранения создаёт аудиторскую запись для каждой проверенной записи.
18 категорий PHI в ИИ-записях
Безопасная гавань HIPAA требует удаления 18 категорий PHI (45 CFR 164.514(b)). ИИ-записи могут содержать все 18 в неожиданных формах:
- Имена — пациент называет члена семьи в анамнезе симптомов
- Местоположение — домашний адрес в социальном анамнезе
- Даты — дата рождения, даты поступления, даты процедур
- Номера телефонов и факсов — контактная информация в направлениях
- Адреса электронной почты — контактные данные, предоставленные пациентом
- СНИЛС — в контексте страхования
- Номера медицинских карт — перекрёстные ссылки в ИИ-резюме
- Номера медицинских планов — в контексте страхования
- Номера счетов — в контексте выставления счетов
- Номера лицензий — данные о лицензии врача в направлениях
- Идентификаторы транспортных средств — в контексте аварии в записях о травмах
- Идентификаторы устройств — в записях об имплантатах
- URL-адреса — ссылки на медицинские записи, предоставленные пациентом
- IP-адреса — журналы удалённых сессий
- Биометрические идентификаторы — данные об отпечатках пальцев или голосе
- Фотографии — связанные медиаматериалы в ИИ-системах
- Любые другие уникальные идентификаторы — собственные идентификаторы учреждений
ИИ-модели могут генерировать любую из этих категорий из контекста. Обнаружение должно охватывать все 18 — не только СНИЛС и даты.
Как внедрить обнаружение до сохранения
Проверка PHI до сохранения включает пять шагов:
- ИИ составляет черновик записи
- Текст записи передаётся в API обнаружения до того, как врач его увидит
- Отмеченные элементы отображаются в режиме просмотра черновика
- Врач проверяет пометки в ходе обычной проверки записи
- Врач сохраняет запись — без отмеченных элементов или с задокументированным обоснованием
Требования к системе:
- Скорость: менее 200 мс, чтобы не замедлять рабочий процесс
- Охват: все 18 категорий HIPAA плюс локальные паттерны (например, формат вашего MRN)
- Оценка: элементы с вероятностью выше 85% — автоматическая пометка; 50–85% — проверка врачом; ниже 50% — справочный показ
- Журнал аудита: фиксируется каждый помеченный элемент, его оценка и решение проверяющего
Журнал аудита служит прямым доказательством для анализа рисков HHS. Он подтверждает наличие контроля за PHI, генерируемой ИИ.
Кейс: обнаружение до сохранения в медицинском центре
Один университетский медицинский центр использовал ИИ-систему эмбиентной записи для врачебных заметок. Аудит за 90 дней выявил два случая перепутывания. В одной записи оказалась дата рождения другого пациента. Во второй — имя и SSN члена семьи из социального анамнеза.
После внедрения обнаружения PHI до сохранения:
- Все ИИ-черновики проходили сканирование до проверки врачом
- Среднее время сканирования: 47 мс — не ощущается в рабочем процессе
- За 90 дней: 1 247 элементов отмечено в 8 400 записях
- Врачи рассмотрели и разрешили 94% отмеченных элементов
- Ноль инцидентов с перепутыванием карт после запуска
Система формирует ежемесячный отчёт. Он показывает показатели обнаружения, проверки и типы сущностей. Этот отчёт служит доказательством мер контроля аудита в соответствии с Правилом безопасности HIPAA 164.312(b).
Команды, создающие этот рабочий процесс, могут использовать API обнаружения PHI от anonym.legal. Он охватывает все 18 категорий HIPAA при задержке менее 200 мс. Инструкции по интеграции — в руководстве по интеграции PHI. Общий контекст — на странице сценариев использования в здравоохранении.