医療AIはHIPAA準拠ですか？

それは特定のツールと使い方に完全に依存します。HIPAA 準拠はツールが単に持つ性質ではありません。ベンダーが保護対象保健情報を適切に扱い、あなたの組織と Business Associate Agreement（BAA）に署名するかどうかに依存します。一部の臨床AIツールは BAA を提供し PHI に適しています。多くのエビデンスツールは一般的な臨床的質問のために作られ、患者固有のデータを意図していません。識別可能な情報を入力する前に、必ずベンダーの姿勢を確認してください。

BAA とは何で、なぜAIツールにとって重要なのですか？

Business Associate Agreement は、HIPAA の下で求められる、対象事業者（臨床医や病院など）と、その代理で保護対象保健情報を扱うベンダーとの間の契約です。それはベンダーにそのデータを保護することを法的に義務づけます。医療AIベンダーが BAA に署名しないなら、そのセキュリティのマーケティングにかかわらず、識別可能な患者情報には不適切なツールとして扱うべきです — 例外なく。

ChatGPT や他の汎用チャットボットに患者情報を入力できますか？

一般的にできません。消費者向けの汎用チャットボットは通常 BAA を提供しないため、保護対象保健情報を入力することは HIPAA 準拠ではありません。一部のベンダーは適切なユースケース向けに BAA を伴うエンタープライズまたは API のプランを提供しますが、消費者向け製品は通常その一つではありません。疑わしいときは、識別可能な患者データを入力しないでください。

患者の名前を削除すればデータはHIPAA上安全になりますか？

それだけでは安全になりません。HIPAA は18の識別子を定義し、適切に非識別化されたデータはそのすべてが削除されているか、統計的に非識別化されたと認証されている必要があります。日付、まれな診断、地理的詳細、その他の組み合わせは、名前がなくても患者を再識別しうります。部分的な伏せ字は不十分と扱い、正式に非識別化されない限り識別可能な詳細は依然として PHI だと想定してください。

あなたの医療AIはHIPAA準拠か — 臨床医のためのチェックリスト

「このツールは HIPAA 準拠か」は、臨床医が医療AIについて尋ねる最も一般的で、最も誤解された問いの一つです。誤解はその枠組みにあります。コンプライアンスは、ツールが一度獲得して永遠に表示するステッカーではありません。それはベンダーがあなたの患者のデータをどう扱うか、そして契約上何を約束するかの関数です。ここでは、患者の詳細をいかなるAIツールに入力する前にも、実際に重要なことを示します。

AIツールにとって HIPAA 準拠が実際に意味すること

米国では、HIPAA は保護対象保健情報（PHI）がどう使用され開示されるかを統治します。臨床医や医療システムが PHI を処理するために外部ベンダーを使うとき、そのベンダーは事業提携者となり、その関係は契約によって統治されなければなりません。つまり「HIPAA 準拠か」は、実際には2つの実用的な問いに分解されます。

ベンダーは PHI を、HIPAA のプライバシーとセキュリティの要件を満たす形で扱うか？
ベンダーはあなたの組織と Business Associate Agreement（BAA） に署名するか？

いずれかの答えが「いいえ」なら、その暗号化がどれほど強くても、そのマーケティングがどれほど安心させるものでも、そのツールは識別可能な患者データに適切ではありません。U.S. Department of Health & Human Services が、これに関する権威ある指針を医療従事者向けに維持しています。

最も重要な単一の問い — BAA はあるか

BAA は要となる要素です。それは、あなたが共有する PHI を保護し、許可された範囲でのみ使用することをベンダーに義務づける法的手段です。署名された BAA がない状態で、第三者のツールに PHI を入力することは、そのツールの技術的な保護措置にかかわらず HIPAA 違反です。

これが、汎用の消費者向けチャットボットが患者データにとって問題である理由です。ほとんどは消費者向け製品に BAA を提供しません。一部のベンダーは BAA を含むエンタープライズまたは API のプランを提供しますが、日常の消費者向けアプリは通常カバーされません。決して想定せず、確認してください。

ほとんどのエビデンスツールは PHI をまったく必要としない

ここが安心できる部分です。臨床AIの利用の大きな割合は、そもそも患者識別可能なデータを含みません。「X の第一選択の管理は何か」や「最新のガイドラインは Y について何と言っているか」を尋ねることは一般的な臨床的質問であり、PHI は不要です。エビデンス取得を中心に作られたツールは、まさにこの種のクエリのために設計されています。

このように使えば — 一般的な質問、患者識別子なし — これらのツールは PHI の問題を完全に回避します。その規律は単純です。質問を一般的に保ち、「具体的にするため」に患者の識別可能な詳細を決して貼り付けないことです。

非識別化は抜け穴ではない

臨床医は時に、名前を削除すれば症例を共有しても安全になると想定します。そうではありません。HIPAA は18の識別子を認識し、データはそのすべてが削除されたとき（または正式な統計的判定がなされたとき）にのみ非識別化されます。診療日、まれな診断、89歳超の年齢、地理的な具体性は、組み合わさると患者を再識別しうります。部分的な伏せ字は不十分と扱い、識別可能な詳細は依然として PHI だと想定してください。

コンプライアンスは管轄区域ごと

HIPAA は米国の枠組みです。EU と UK の臨床医は GDPR と各国の規則に従い、それらは同意、データの所在、処理について独自の — 時にはより厳しい — 要件を伴います。米国の臨床医には問題ないツールが、ヨーロッパでは異なる姿勢を持つことがあります。HIPAA だけでなく、あなたの管轄区域を統治する枠組みを確認してください。Vera Health が行っているように、HIPAA と並んで明確な GDPR の姿勢を公表するツールは、これを評価しやすくします。

患者情報を入力する前のクイックチェックリスト

ベンダーとあなたの組織の間に署名された BAA があるか？なければ PHI はなし。
ツールの意図された用途に患者固有のデータが含まれるか、それとも一般的な臨床的質問のために作られているか？
データ保持と訓練のポリシーは何か — あなたの入力はモデルの訓練に使われるか、オプトアウトできるか？
どの管轄区域があなたを統治するか（HIPAA、GDPR、各国法）、そしてツールはそれを満たすか？
一般的な質問をデフォルトに。 クエリが識別子なしで答えられるなら、そのままにしておくこと。

コンプライアンスは結局、ロゴではなく習慣です。BAA を確認し、できるところで質問を一般的に保ち、ツールの洗練が患者のデータの扱い方を検証することの代わりになるのを決して許さないことです。

参考文献

U.S. Department of Health & Human Services、HIPAA for Professionals。
U.S. Department of Health & Human Services、Guidance on De-identification of PHI。