AI w rejestracji medycznej: RODO, AI Act i granice tego, co asystent może powiedzieć

Uwaga wstępna: poniższy tekst ma charakter informacyjny i nie stanowi porady prawnej. Ocena konkretnego wdrożenia zależy od zakresu przetwarzanych danych, roli placówki i przyjętej dokumentacji, dlatego przed uruchomieniem asystenta w rejestracji medycznej należy skonsultować rozwiązanie z inspektorem ochrony danych lub prawnikiem.

Rejestracja telefoniczna jest jednym z najbardziej oczywistych kandydatów do automatyzacji, ponieważ rozmowy są powtarzalne, a kolejki do rejestratorek długie. Jednocześnie jest to obszar, w którym wdrożenie bez uporządkowanej warstwy zgodności jest ryzykiem, a nie oszczędnością.

Kiedy rozmowa jest przetwarzaniem danych o zdrowiu

Wystarczy mniej, niż zwykle się zakłada. Informacja, że pacjent zapisuje się do konkretnego specjalisty, może wskazywać na stan zdrowia, podobnie jak nazwa badania czy wzmianka o objawach podana przez pacjenta z własnej inicjatywy. W praktyce należy przyjąć, że rozmowa rejestracyjna dotyczy szczególnej kategorii danych w rozumieniu RODO i wymaga odpowiednio wyższego standardu ochrony.

Konsekwencje są trzy: potrzebna jest wyraźna podstawa prawna przetwarzania, konieczna jest ocena skutków dla ochrony danych w przypadku przetwarzania na dużą skalę, a dostęp do nagrań i transkrypcji musi być ograniczony do osób, które faktycznie ich potrzebują. Nie jest to argument przeciw automatyzacji, lecz opis warunków, w jakich ona działa.

Obowiązek przejrzystości: pacjent musi wiedzieć, że rozmawia z AI

To pierwsza rzecz, którą warto ustawić, i najprostsza do wdrożenia. Asystent informuje o swojej naturze na początku rozmowy, w jednym krótkim zdaniu, bez ukrywania się za imieniem i naturalnym głosem. Nie chodzi tylko o wymogi formalne. Pacjent poinformowany zachowuje się inaczej: mówi zwięźlej, chętniej powtarza dane i rzadziej oczekuje oceny medycznej.

W obszarze regulacyjnym kierunek jest jednoznaczny. Rozporządzenie o sztucznej inteligencji, znane jako AI Act, przewiduje dla systemów wchodzących w bezpośrednią interakcję z człowiekiem obowiązek poinformowania, że rozmówcą jest system AI, chyba że jest to oczywiste dla przeciętnego odbiorcy. Do tego dochodzą obowiązki związane z kompetencjami osób obsługujących system oraz z nadzorem człowieka nad jego działaniem. Niezależnie od szczegółowej kwalifikacji konkretnego wdrożenia, praktyczny wniosek jest ten sam: informowanie wprost, dokumentowanie działania systemu i utrzymanie ścieżki kontaktu z człowiekiem.

Osobno należy uregulować nagrywanie. Jeżeli rozmowy są nagrywane, pacjent musi zostać o tym poinformowany wraz z celem i okresem przechowywania, a informacja powinna znaleźć się także w polityce prywatności placówki.

Minimalizacja danych w praktyce

Minimalizacja jest zasadą, którą najłatwiej naruszyć przez wygodę. Asystent nie powinien pytać o nic, co nie jest potrzebne do wykonania zadania, a zadaniem rejestracji jest umówienie wizyty, nie zebranie wywiadu.

• Do rezerwacji zwykle wystarczą imię, nazwisko, numer telefonu oraz wybrana usługa i termin.
• Numer PESEL zbierać tylko wtedy, gdy jest niezbędny do konkretnego procesu i gdy istnieje ku temu podstawa. Jeśli można go potwierdzić na miejscu, lepiej nie zbierać go telefonicznie.
• Nie zachęcać pacjenta do opisywania objawów. Asystent nie potrzebuje tej informacji, a jej zapis podnosi kategorię danych w nagraniu.
• Transkrypcje pozbawiać nadmiarowych fragmentów, a dane wrażliwe w podsumowaniach dla zespołu ograniczać do niezbędnego minimum.
• Nie zapisywać w podsumowaniu rozmowy treści, które nie mają wpływu na obsługę wizyty.

Warto również rozdzielić dwie rzeczy: dane potrzebne do rezerwacji i nagranie rozmowy. Pierwsze trafiają do systemu placówki i podlegają jej regułom. Drugie jest materiałem technicznym o krótszym uzasadnionym okresie przechowywania.

Retencja nagrań i transkrypcji

Nagrania i transkrypcje nie mogą być przechowywane bezterminowo „na wypadek potrzeby”. Placówka powinna ustalić okres wynikający z konkretnego celu, na przykład kontroli jakości obsługi lub rozpatrywania reklamacji, i egzekwować automatyczne usuwanie po jego upływie. W praktyce spotyka się okresy od kilkunastu dni do kilku miesięcy dla nagrań, przy dłuższym przechowywaniu samych danych rezerwacyjnych w systemie medycznym. To rozwiązania obserwowane we wdrożeniach, a nie norma prawna: właściwy okres wynika z analizy celu po stronie administratora.

Trzeba też sprawdzić, czy okres retencji jest realnie wykonywany po stronie dostawcy technologii, a nie tylko zapisany w regulaminie. Pytanie kontrolne brzmi: czy usunięcie następuje automatycznie i czy da się je udokumentować.

Umowy powierzenia i podprocesorzy

Dostawca asystenta przetwarza dane w imieniu placówki, więc potrzebna jest umowa powierzenia. Sama umowa jest jednak dopiero początkiem. W łańcuchu przetwarzania występują z reguły kolejne podmioty: dostawca modelu językowego, dostawca rozpoznawania i syntezy mowy, dostawca telefonii, hosting. Każdy z nich jest podprocesorem i placówka ma prawo znać ich listę.

• Umowa powierzenia z jasno określonym zakresem i celem przetwarzania.
• Aktualna lista podprocesorów oraz zasady informowania o jej zmianach.
• Lokalizacja przetwarzania i przechowywania danych, a przy transferach poza Europejski Obszar Gospodarczy podstawa takiego transferu.
• Zobowiązanie, że dane z rozmów nie są wykorzystywane do trenowania modeli.
• Opis środków bezpieczeństwa oraz zasad zgłaszania naruszeń.

Twarda zasada: asystent nie diagnozuje

To najważniejsza granica w całym wdrożeniu i nie może być kwestią stylu wypowiedzi. Asystent nie ocenia objawów, nie sugeruje rozpoznania, nie doradza w sprawie leków, nie interpretuje wyników badań i nie ocenia pilności przypadku. Może podać informacje organizacyjne, czyli jak przygotować się do badania w zakresie, w jakim placówka to zapisała, gdzie znajduje się gabinet i jakie dokumenty zabrać.

Ta zasada musi być wymuszona konstrukcyjnie, nie tylko wpisana do promptu. Jeżeli pacjent zada pytanie medyczne, jedyną poprawną reakcją jest krótka odmowa oceny i przekazanie sprawy do personelu. Warto to testować celowo i regularnie, ponieważ modele bywają nadmiernie uprzejme i skłonne do odpowiadania na wszystko.

Sytuacje pilne

Osobno należy zaprojektować reakcję na sygnały nagłego zagrożenia zdrowia. Asystent nie ocenia stanu pacjenta, ale powinien mieć jednoznaczną instrukcję: wskazać numer alarmowy i zakończyć wątek rejestracyjny. Ta ścieżka musi być przetestowana przed uruchomieniem, a nie po pierwszym takim telefonie.

Ścieżki eskalacji

Zgodność łatwiej utrzymać, gdy przekazanie do człowieka jest normalnym elementem procesu, a nie awarią. Praktyczne reguły są proste: pytanie medyczne, reklamacja, wyraźne żądanie pacjenta, brak danych w systemie oraz każda sytuacja niejednoznaczna to powody do przekazania rozmowy albo do zapowiedzi kontaktu ze strony rejestracji. W godzinach pracy oznacza to przełączenie, poza nimi uporządkowane zgłoszenie z podsumowaniem.

Lista kontrolna przed uruchomieniem

• Ustalona podstawa prawna przetwarzania i zaktualizowana informacja dla pacjentów.
• Komunikat o rozmowie z systemem AI oraz o nagrywaniu, jeśli jest stosowane.
• Zakres zbieranych danych ograniczony do niezbędnego minimum i zapisany w konfiguracji.
• Ustalone i egzekwowane okresy retencji nagrań i transkrypcji.
• Umowa powierzenia i lista podprocesorów, wraz z lokalizacją przetwarzania.
• Zakaz oceny medycznej wymuszony w konfiguracji i przetestowany scenariuszami kontrolnymi.
• Zdefiniowane ścieżki eskalacji w godzinach pracy i poza nimi.
• Ograniczony i rozliczalny dostęp personelu do nagrań i transkrypcji.

Wdrożenie w placówce medycznej różni się od typowej recepcji przede wszystkim tą listą, a nie samą technologią rozmowy. Zakres naszych prac opisujemy na stronie usług, przykłady z branży medycznej w case studies, a szczegóły dotyczące dokumentacji i podprocesorów omawiamy indywidualnie przez kontakt.