O que é um BAA e porque importa para ferramentas de IA?

Um Business Associate Agreement é um contrato, exigido pela HIPAA, entre uma entidade abrangida (como um clínico ou hospital) e um fornecedor que trata informação de saúde protegida em seu nome. Vincula legalmente o fornecedor a salvaguardar esses dados. Se um fornecedor de IA médica não assinar um BAA, deve tratar a ferramenta como inadequada para qualquer informação identificável de doentes — ponto final, independentemente do seu marketing de segurança.

Posso introduzir informação de doentes no ChatGPT ou noutros chatbots gerais?

Em geral, não. Os chatbots de consumo, de uso geral, normalmente não oferecem um BAA, o que significa que introduzir informação de saúde protegida neles não cumpre a HIPAA. Alguns fornecedores oferecem níveis empresariais ou de API com um BAA para casos de uso adequados; o produto de consumo normalmente não é um deles. Na dúvida, não introduza dados identificáveis de doentes.

Remover o nome do doente torna os dados seguros à luz da HIPAA?

Não por si só. A HIPAA define 18 identificadores, e os dados devidamente desidentificados têm de ter todos eles removidos ou ser estatisticamente certificados como desidentificados. Datas, diagnósticos raros, detalhe geográfico e outras combinações podem reidentificar um doente mesmo sem um nome. Trate a redação parcial como insuficiente, e assuma que o detalhe identificável continua a ser PHI a menos que esteja formalmente desidentificado.

A Sua IA Médica Cumpre a HIPAA? Uma Checklist do Clínico

Q: A IA médica cumpre a HIPAA?

Depende inteiramente da ferramenta específica e de como a usa. A conformidade com a HIPAA não é uma propriedade que uma ferramenta simplesmente tem — depende de o fornecedor tratar adequadamente a informação de saúde protegida e estar disposto a assinar um Business Associate Agreement (BAA) com a sua organização. Algumas ferramentas de IA clínica oferecem um BAA e são adequadas a PHI; muitas ferramentas de evidência são construídas para perguntas clínicas gerais e não se destinam a dados específicos de doentes. Confirme sempre a postura do fornecedor antes de introduzir informação identificável.

“Esta ferramenta cumpre a HIPAA?” é uma das perguntas mais comuns — e mais mal compreendidas — que os clínicos fazem sobre IA médica. O mal-entendido está no enquadramento — a conformidade não é um autocolante que uma ferramenta ganha uma vez e exibe para sempre. É uma função de como o fornecedor trata os dados dos seus doentes e com o que se compromete contratualmente. Eis o que realmente importa antes de escrever um detalhe de um doente em qualquer ferramenta de IA.

O que significa realmente a conformidade com a HIPAA para uma ferramenta de IA

Nos EUA, a HIPAA rege como a informação de saúde protegida (PHI) é usada e divulgada. Quando um clínico ou sistema de saúde usa um fornecedor externo para processar PHI, esse fornecedor torna-se um business associate — e a relação tem de ser regida por um contrato. Assim, “cumpre a HIPAA?” decompõe-se de facto em duas perguntas práticas:

O fornecedor trata a PHI de uma forma que cumpre os requisitos de privacidade e segurança da HIPAA?
O fornecedor está disposto a assinar um Business Associate Agreement (BAA) com a sua organização?

Se a resposta a qualquer uma for não, a ferramenta não é adequada para dados identificáveis de doentes, por mais forte que seja a sua encriptação ou tranquilizador o seu marketing. O U.S. Department of Health & Human Services mantém a orientação oficial sobre isto para profissionais de saúde.

A pergunta mais importante — existe um BAA?

O BAA é o elemento de suporte. É o instrumento legal que vincula um fornecedor a proteger a PHI que partilha com ele e a usá-la apenas conforme permitido. Sem um BAA assinado em vigor, introduzir PHI numa ferramenta de terceiros é uma violação da HIPAA, independentemente das salvaguardas técnicas da ferramenta.

É por isto que os chatbots de consumo de uso geral são um problema para dados de doentes — a maioria não oferece um BAA para os seus produtos de consumo. Alguns fornecedores oferecem níveis empresariais ou de API que incluem um BAA — mas a app de consumo do dia a dia normalmente não está coberta. Nunca assuma; confirme.

A maioria das ferramentas de evidência nem precisa de PHI

Eis a parte tranquilizadora. Uma grande parte do uso de IA clínica não envolve, à partida, dados identificáveis de doentes. Perguntar “qual é a conduta de primeira linha para X?” ou “o que diz a diretriz mais recente sobre Y?” é uma pergunta clínica geral — sem PHI necessária. As ferramentas construídas em torno da recuperação de evidência são concebidas exatamente para este tipo de consulta.

Usadas assim — perguntas gerais, sem identificadores de doentes — estas ferramentas contornam inteiramente a questão da PHI. A disciplina é simples — mantenha a pergunta geral, e nunca cole os detalhes identificáveis de um doente para a “tornar específica”.

A desidentificação não é uma brecha

Os clínicos por vezes assumem que apagar o nome torna um caso seguro de partilhar. Não torna. A HIPAA reconhece 18 identificadores, e os dados só estão desidentificados quando todos eles são removidos (ou é feita uma determinação estatística formal). Datas de atendimento, um diagnóstico raro, idade acima de 89 anos, e especificidades geográficas podem reidentificar um doente em combinação. Trate a redação parcial como insuficiente e assuma que o detalhe identificável continua a ser PHI.

A conformidade é jurisdicional

A HIPAA é um enquadramento dos EUA. Os clínicos na UE e no Reino Unido respondem ao GDPR e às regras nacionais, que carregam os seus próprios requisitos — por vezes mais estritos — em torno de consentimento, residência de dados e processamento. Uma ferramenta que serve para um clínico nos EUA pode ter uma postura diferente na Europa. Verifique o enquadramento que rege a sua jurisdição, não apenas a HIPAA. Ferramentas que publicam uma postura GDPR clara a par da HIPAA — como o Vera Health faz — tornam isto mais fácil de avaliar.

Uma checklist rápida antes de introduzir informação de doentes

Existe um BAA assinado entre o fornecedor e a sua organização? Se não, sem PHI.
O uso previsto da ferramenta inclui dados específicos de doentes, ou é construída para perguntas clínicas gerais?
Qual é a política de retenção de dados e treino — a sua entrada é usada para treinar modelos, e pode optar por não participar?
Que jurisdição o rege (HIPAA, GDPR, lei nacional), e a ferramenta cumpre-a?
Por defeito, perguntas gerais. Se uma consulta pode ser respondida sem identificadores, mantenha-a assim.

A conformidade é, em última análise, sobre um hábito, não um logótipo — confirme o BAA, mantenha as perguntas gerais onde puder, e nunca deixe o polimento de uma ferramenta substituir a verificação de como trata os dados dos seus doentes.

Referências

U.S. Department of Health & Human Services, HIPAA for Professionals.
U.S. Department of Health & Human Services, Guidance on De-identification of PHI.