AI 临床记录的隐私问题
2026 年更新版
医院和诊所正在使用 AI 撰写临床记录：AI 转录语音、起草文本。但这在 HIPAA 合规上产生了人工审核无法弥合的漏洞。
AI 生成的记录以三种方式暴露患者信息：
- 交叉污染：AI 可能将一位患者的信息带入另一位患者的病历，医疗 AI 相关研究已证实了这一风险。
- 上下文溢出：患者信息落入错误字段——账单备注、研究字段或转诊表格。AI 根据上下文填写字段，而非根据字段用途填写。
- 供应商数据使用：许多 AI 供应商会将记录回传用于模型优化，除非主动选择退出。这将患者信息发送至第三方服务器，而这些服务器可能未签署业务伙伴协议（BAA）。
2025 年 HHS 发布的拟议规则规定，使用 AI 工具的受覆盖实体必须将这些工具纳入风险分析范围，为 AI 辅助临床工作建立了正式规则。
2025 年 HHS AI 风险分析规则
HHS 针对使用 AI 的受覆盖实体提出了新规则，每一个接触患者记录的 AI 系统都必须纳入实体的风险分析。
该规则包含三个部分：
技术保障措施：审查每个 AI 工具，需要回答：
- 它是否将患者记录发送至外部系统之外？
- 使用后是否将患者记录存储在自身服务器上？
- 是否将患者信息写入了错误的病历？
员工培训：培训必须涵盖 AI 特有风险，包括病历混淆案例。
实体控制：运行 AI 工具的工作站必须纳入物理访问控制体系。
AI 临床工具包括：语音转文字服务、AI 记录起草工具和编码辅助工具。
为何预保存检测最有效
最有效的技术控制措施是：在记录保存至 EHR 之前进行 PHI 检测。
没有预保存检测的情况下：
- AI 生成记录草稿
- 员工在时间压力下人工审核
- 记录保存至 EHR
- PHI 错误已进入永久记录
- 修正需要审计条目和泄露审查
有预保存检测的情况下：
- AI 生成记录草稿
- PHI 扫描在记录保存前运行
- 标记项目发送给员工审核
- 员工在保存前修正错误
- EHR 记录从一开始就是干净的
预保存检测符合 HIPAA 安全规则第 164.312(b) 条，该条款要求系统记录并审查活动，预保存扫描为每份被审核的记录创建了审计记录。
AI 记录中的 18 类 PHI
HIPAA 安全港要求删除 45 CFR 164.514(b) 中规定的 18 类 PHI。AI 记录可能以出乎意料的方式产生所有 18 类 PHI：
- 姓名 — 患者在症状描述中提及家庭成员
- 位置 — 社会史中的家庭地址
- 日期 — 出生日期、入院日期、手术日期
- 电话和传真号码 — 转诊备注中的联系信息
- 电子邮件地址 — 患者提供的联系信息
- 社会安全号 — 保险相关背景
- 病历号 — AI 摘要中的交叉引用
- 健康计划号码 — 保险相关背景
- 账户号码 — 账单相关背景
- 许可证号码 — 转诊记录中的医生执照信息
- 车辆 ID — 创伤记录中的事故背景
- 设备 ID — 植入物记录
- URL — 患者提交的健康记录链接
- IP 地址 — 远程会话日志
- 生物特征 ID — 指纹或声纹数据
- 照片 — AI 系统中的关联媒体
- 任何其他唯一 ID — 机构自定义标识符
AI 模型可以从上下文中生成上述任何一类信息，检测必须覆盖全部 18 类，而不仅仅是社会安全号和日期。
如何构建预保存检测
预保存 PHI 检测遵循五个步骤：
- AI 生成记录草稿
- 在员工看到之前，记录文本发送至检测 API
- 标记项目在草稿视图中高亮显示
- 员工在正常记录审核过程中审查标记项目
- 员工保存记录——无标记项目，或附带已记录的原因
系统技术要求：
- 速度：低于 200 毫秒，不影响工作流程
- 覆盖范围：全部 18 类 HIPAA 标识符，以及机构专属模式（如 MRN 格式）
- 置信度评分：85% 以上自动标记，50% 至 85% 需员工审核，低于 50% 仅作参考
- 审计日志：记录每个标记项目、其置信度分数和审核人员的决定
审计日志为 HHS 风险分析提供了直接证明，表明对 AI 生成的 PHI 存在有效控制措施。
应用场景：某医学中心的预保存检测
一家学术医学中心使用 AI 环境系统辅助医生撰写记录，90 天审计发现了两起混淆案例：一条记录包含另一位患者的出生日期，另一条在社会史中包含家庭成员的姓名和社会安全号。
添加预保存 PHI 检测后：
- 所有 AI 草稿在医生审核前均经过扫描
- 平均扫描时间：47 毫秒——在工作流程中感知不到
- 90 天内，8,400 份记录中共标记了 1,247 个项目
- 员工审核并处置了 94% 的标记项目
- 上线后零起病历混淆事件
该系统每月生成一份报告，显示检测率、审核率和实体类型，该报告可作为 HIPAA 安全规则第 164.312(b) 条下的审计控制证明材料。
构建此工作流程的团队可使用 anonym.legal 的 PHI 检测 API，它覆盖全部 18 类 HIPAA 标识符，延迟低于 200 毫秒。集成步骤请参阅 PHI 检测集成指南，完整背景信息请访问医疗行业解决方案页面。