AI w gabinecie lekarskim a RODO

AI w gabinecie lekarskim może skrócić czas potrzebny na sporządzenie dokumentacji, ale wymaga znacznie więcej niż zakup licencji. Narzędzie słuchające wizyty przetwarza dane o zdrowiu, głos pacjenta, informacje o osobach bliskich i często pełny kontekst rozmowy. Placówka musi ustalić podstawę prawną, zakres nagrywania, rolę dostawcy, czas przechowywania plików oraz zasady kontroli notatki przez lekarza. Trzeba też sprawdzić, czy dane nie służą do trenowania modelu, gdzie znajdują się serwery i czy system nie podejmuje decyzji wykraczających poza zwykłą transkrypcję.

BPPZ pomaga placówkom medycznym ocenić takie rozwiązania w ramach AI Governance. Wsparcie może objąć analizę AI Act i RODO, DPIA, umowę z dostawcą, procedurę dla personelu oraz informację dla pacjenta.

Najważniejsze informacje

Transkrypcja wizyty przez AI oznacza przetwarzanie danych szczególnej kategorii.
Nagranie audio, transkrypcja i finalna dokumentacja medyczna to trzy różne zbiory danych.
Placówka nie powinna zakładać, że zgoda pacjenta rozwiązuje wszystkie obowiązki.
Jeżeli nagrywanie jest opcjonalne i oparte na zgodzie, pacjent musi mieć realną możliwość odbycia wizyty bez tego narzędzia.
Dostawca nie może używać rozmów do własnych celów lub trenowania modeli bez odrębnej analizy prawnej.
Lekarz powinien sprawdzić, poprawić i zatwierdzić notatkę przed włączeniem jej do dokumentacji.
Nagranie nie powinno być przechowywane dłużej tylko dlatego, że pozwala na to aplikacja.
Przy przetwarzaniu danych medycznych z użyciem nowej technologii często potrzebna będzie DPIA.

BPPZ – Biuro Porad Prawnych Zacharski

– Chcesz bezpiecznie wdrożyć transkrypcję AI w placówce medycznej?

Zadzwoń Napisz wiadomość

Jak działa AI w gabinecie lekarskim?

Narzędzia określane jako ambient scribe lub ambient voice technology działają w tle. Rejestrują rozmowę w gabinecie albo odbierają strumień dźwięku bezpośrednio z mikrofonu.

Następnie system może:

zamienić głos na tekst;
rozpoznać rozmówców;
wyodrębnić objawy, rozpoznania i zalecenia;
przygotować projekt notatki;
stworzyć list do innego specjalisty;
zasugerować kod lub strukturę dokumentu;
przesłać wynik do systemu gabinetowego.

W zależności od produktu plik audio może być przetwarzany na urządzeniu, w chmurze albo przez kilku podwykonawców. Ten szczegół ma zasadnicze znaczenie dla oceny ryzyka.

Nagranie, transkrypcja i dokumentacja to nie to samo

Wdrożenie warto rozpocząć od rozdzielenia trzech warstw danych.

Warstwa	Przykład	Główne ryzyko
Nagranie audio	Pełny zapis rozmowy w gabinecie	Utrwalenie wszystkich wypowiedzi, także zbędnych i dotyczących osób trzecich
Transkrypcja	Tekst wygenerowany z nagrania	Błędy rozpoznawania, nadmierny zakres, trudność w usuwaniu kopii
Dokumentacja medyczna	Zweryfikowana notatka lekarza	Włączenie błędnej treści do oficjalnej dokumentacji i wpływ na dalsze leczenie

Nagranie może być tylko materiałem tymczasowym potrzebnym do utworzenia tekstu. Transkrypcja może zawierać więcej informacji niż finalna dokumentacja. Z kolei dokumentacja medyczna powinna obejmować treść potrzebną do udzielania świadczeń i spełniać wymagania przepisów sektorowych.

Placówka nie powinna automatycznie przechowywać wszystkich trzech warstw przez ten sam okres.

Czy AI może nagrywać wizytę lekarską?

Nie ma jednej odpowiedzi dla każdego modelu. Trzeba ustalić, czy system rzeczywiście utrwala dźwięk, czy jedynie przetwarza strumień i natychmiast go usuwa. Następnie należy określić cel i podstawę prawną każdej operacji.

Dane o stanie zdrowia podlegają art. 9 RODO. Ich wykorzystanie jest dopuszczalne wyłącznie po spełnieniu jednej z przesłanek dotyczących danych szczególnej kategorii. W opiece zdrowotnej znaczenie może mieć niezbędność przetwarzania do diagnozy, leczenia lub zarządzania usługami zdrowotnymi, przy zachowaniu tajemnicy zawodowej.

Nie oznacza to jednak, że każde nagrywanie jest automatycznie niezbędne do leczenia. Placówka powinna odpowiedzieć na pytania:

Czy ten sam cel można osiągnąć bez przechowywania audio?
Czy pacjent może odmówić użycia narzędzia?
Czy odmowa wpływa na dostępność lub jakość świadczenia?
Czy nagranie zawiera informacje wykraczające poza dokumentację?
Czy dostawca wykorzystuje dane do własnych celów?
Czy system działa również podczas rozmów niezwiązanych z pacjentem?

Jeżeli placówka opiera opcjonalne nagrywanie na wyraźnej zgodzie, zgoda musi być dobrowolna, świadoma, konkretna i możliwa do wycofania. Pacjent powinien móc otrzymać świadczenie także bez nagrywania.

Czy wystarczy zgoda pacjenta?

Nie. Formularz zgody nie zastępuje analizy całego procesu.

Placówka nadal musi:

ograniczyć zakres danych;
wybrać właściwego dostawcę;
zabezpieczyć transmisję i przechowywanie;
ustalić retencję;
wykonać obowiązek informacyjny;
zapewnić obsługę praw pacjenta;
kontrolować podwykonawców;
przygotować procedurę incydentową;
sprawdzić, czy potrzebna jest DPIA.

Zgoda może być niewłaściwą podstawą, jeżeli pacjent w praktyce nie ma wyboru. Może też nie obejmować późniejszego wykorzystania rozmowy do trenowania systemu.

Jak poinformować pacjenta o użyciu AI?

Informacja powinna zostać przekazana przed rozpoczęciem nagrywania lub transkrypcji. Nie należy ukrywać działania mikrofonu w regulaminie liczącym kilkanaście stron.

Dobry model obejmuje dwie warstwy.

Krótka informacja przed wizytą

Pacjent powinien dowiedzieć się:

że podczas wizyty będzie używane narzędzie AI;
czy rozmowa jest nagrywana;
w jakim celu system przetwarza wypowiedzi;
czy można odmówić;
jak długo przechowywane jest audio;
gdzie znajduje się pełna klauzula.

Pełna klauzula informacyjna

Powinna opisywać administratora, cele, podstawy prawne, odbiorców, transfery poza EOG, okresy przechowywania, prawa pacjenta i sposób kontaktu z IOD.

Jeżeli zasady różnią się zależnie od gabinetu lub specjalizacji, informacja powinna to jasno wyjaśniać.

Kto jest administratorem danych?

Placówka medyczna zwykle decyduje, po co i w jaki sposób korzysta z narzędzia. Dlatego pozostaje administratorem danych pacjentów.

Dostawca może być podmiotem przetwarzającym, gdy działa wyłącznie na udokumentowane polecenie placówki. Umowa powinna wtedy spełniać art. 28 RODO.

Sytuacja zmienia się, gdy dostawca:

używa rozmów do trenowania własnego modelu;
tworzy własne profile użytkowników;
zachowuje dane po zakończeniu usługi;
wykorzystuje treści do rozwoju niezależnego produktu;
samodzielnie określa dodatkowe cele analityczne.

Może wtedy stać się odrębnym administratorem w odniesieniu do własnych celów. Taka konstrukcja wymaga osobnej podstawy prawnej i przejrzystej informacji. Nie można jej ukryć w ogólnych warunkach usługi.

Przed podpisaniem umowy warto skorzystać z zasad opisanych przez BPPZ w materiale Jak wybrać podmiot przetwarzający dane.

Co sprawdzić u dostawcy transkrypcji?

Placówka powinna przeprowadzić ocenę dostawcy przed uruchomieniem pilotażu na prawdziwych danych pacjentów.

Należy sprawdzić:

lokalizację serwerów;
transfery poza EOG;
listę podwykonawców;
czas przechowywania audio i transkrypcji;
możliwość trwałego wyłączenia trenowania modeli;
szyfrowanie transmisji i danych zapisanych;
uwierzytelnianie wieloskładnikowe;
zasady dostępu personelu dostawcy;
rejestrowanie operacji;
testy bezpieczeństwa;
certyfikaty;
plan ciągłości działania;
procedurę zgłaszania incydentów;
sposób usunięcia danych po zakończeniu umowy;
możliwość eksportu i audytu.

Ważne jest również sprawdzenie materiałów marketingowych. Jeżeli dostawca twierdzi, że aplikacja jest „zgodna z RODO”, powinien umieć wskazać konkretne zabezpieczenia i warunki.

BPPZ może przeprowadzić audyt RODO procesu medycznego i zweryfikować dostawcę przed uruchomieniem rozwiązania. Raport wskazuje luki, priorytety oraz działania potrzebne przed wdrożeniem produkcyjnym.

Czy można trenować AI na rozmowach z pacjentami?

Nie należy traktować trenowania modelu jako naturalnej części świadczenia usługi. Cel polegający na sporządzeniu dokumentacji różni się od celu polegającego na rozwoju produktu dostawcy.

Placówka powinna ustalić:

jakie dane trafiają do treningu;
czy są rzeczywiście anonimowe;
czy można wyłączyć tę funkcję;
kto określa cel rozwoju modelu;
czy dane mogą zostać odtworzone z modelu lub logów;
jaka jest podstawa prawna wtórnego wykorzystania;
jak pacjent może zrealizować swoje prawa.

Pseudonimizacja nie jest anonimizacją. Usunięcie imienia i numeru PESEL może nie wystarczyć, jeżeli treść rozmowy pozwala rozpoznać osobę na podstawie choroby, miejsca, zawodu lub historii rodzinnej.

Jak długo przechowywać nagrania?

Okres przechowywania powinien wynikać z konkretnego celu. Nie należy automatycznie stosować terminu właściwego dla dokumentacji medycznej do surowego pliku audio.

Praktyczny model może zakładać:

Nagranie istnieje tylko przez czas potrzebny do przygotowania transkrypcji.
Transkrypcja pozostaje dostępna do chwili sprawdzenia projektu przez lekarza.
Lekarz zatwierdza poprawioną notatkę w systemie medycznym.
Audio i robocza transkrypcja są usuwane zgodnie z ustalonym terminem.
Finalna dokumentacja jest przechowywana według przepisów sektorowych.

Każde odstępstwo powinno mieć uzasadnienie. Zachowanie nagrania „na wypadek reklamacji” bez określenia zakresu i terminu może być nieproporcjonalne.

AI nie może zastąpić kontroli lekarza

System może pomylić nazwę leku, dawkę, stronę ciała, objaw lub negację. Zdanie „pacjent nie zgłasza bólu” może zostać przekształcone w informację o bólu. Taki błąd może wpłynąć na dalsze leczenie.

Dlatego lekarz powinien:

przeczytać projekt notatki;
porównać go z przebiegiem wizyty;
usunąć informacje zbędne;
poprawić błędy;
uzupełnić istotny kontekst;
zatwierdzić finalny dokument;
zgłosić powtarzające się problemy z systemem.

Procedura powinna zakazywać automatycznego zapisywania notatki bez kontroli człowieka. Trzeba również ustalić, kto odpowiada za poprawienie dokumentacji po wykryciu błędu.

Czy narzędzie jest wyrobem medycznym?

Nie każde narzędzie do transkrypcji jest wyrobem medycznym. Znaczenie ma przewidziane zastosowanie określone przez producenta oraz rzeczywiste funkcje produktu.

System, który tylko zamienia mowę na tekst i porządkuje notatkę, może mieć inną kwalifikację niż narzędzie, które:

sugeruje diagnozę;
rekomenduje terapię;
ocenia ryzyko choroby;
priorytetyzuje pacjentów;
interpretuje wyniki;
ostrzega o przeciwwskazaniach.

Jeżeli AI stanowi wyrób medyczny lub element bezpieczeństwa produktu objętego odpowiednimi regulacjami, mogą znaleźć zastosowanie dodatkowe wymagania, w tym dotyczące systemów AI wysokiego ryzyka. Placówka powinna sprawdzić deklarowane przeznaczenie, oznakowanie i instrukcję producenta.

Czy potrzebna jest DPIA?

Ocena skutków dla ochrony danych jest wymagana, gdy planowane przetwarzanie może powodować wysokie ryzyko dla praw i wolności osób.

W przypadku AI w gabinecie lekarskim występuje kilka istotnych czynników:

dane o zdrowiu;
nowa technologia;
systematyczne rejestrowanie rozmów;
duża liczba pacjentów;
osoby znajdujące się w zależnej sytuacji;
możliwość błędnego wpływu na leczenie;
dostawcy i transfery danych;
ryzyko utraty poufności tajemnicy medycznej.

Nie każda mała próba techniczna automatycznie wymaga pełnej DPIA. Placówka powinna jednak udokumentować ocenę progową. Jeżeli kryteria wskazują wysokie ryzyko, DPIA trzeba przeprowadzić przed wdrożeniem.

Pilotaż bez danych pacjentów

Najbezpieczniejszy pilotaż rozpoczyna się od danych testowych. Personel może przeprowadzić symulowane rozmowy i ocenić działanie systemu bez ujawniania informacji o prawdziwych osobach.

W pilotażu warto sprawdzić:

dokładność rozpoznawania języka polskiego;
nazwy leków i jednostki;
rozpoznawanie negacji;
działanie przy kilku rozmówcach;
zachowanie w hałasie;
czas usuwania audio;
eksport danych;
logi dostępu;
integrację z systemem medycznym;
reakcję na zerwanie połączenia;
możliwość łatwego wyłączenia mikrofonu.

Dopiero po zakończeniu oceny prawnej, technicznej i medycznej należy rozważyć ograniczony pilotaż na danych pacjentów.

Checklista wdrożenia AI w gabinecie lekarskim

Cel i odpowiedzialność

Opisz problem, który ma rozwiązać narzędzie.
Oddziel transkrypcję od funkcji diagnostycznych.
Wyznacz właściciela procesu.
Określ rolę dyrektora medycznego, IT, IOD i personelu.

Dane i podstawa prawna

Zmapuj audio, transkrypcję i finalną dokumentację.
Ustal podstawy z art. 6 i 9 RODO.
Oceń dobrowolność zgody, jeśli ma być stosowana.
Zapewnij ścieżkę wizyty bez nagrywania.
Ustal okresy przechowywania.

Dostawca i bezpieczeństwo

Zweryfikuj umowę powierzenia.
Sprawdź podwykonawców i transfery.
Wyłącz trenowanie na danych placówki.
Wymagaj szyfrowania, MFA i logów.
Ustal obsługę incydentów i usuwanie danych.

Praktyka medyczna

Przygotuj informację dla pacjenta.
Przeszkol personel.
Wymagaj kontroli i zatwierdzenia notatki.
Testuj jakość w różnych specjalizacjach.
Rejestruj błędy i działania naprawcze.
Okresowo oceniaj skuteczność systemu.

Wdrożenie można przeprowadzić jako jeden projekt obejmujący prawo, technologię i proces medyczny. Doradztwo projektowe BPPZ pomaga przygotować zasady pilotażu, umowę, DPIA, klauzulę dla pacjenta i procedurę pracy lekarza.

Praktyczny scenariusz: transkrypcja w prywatnej przychodni

Przychodnia chce uruchomić asystenta AI w poradni internistycznej. Dostawca obiecuje automatyczną notatkę i integrację z systemem gabinetowym. Regulamin przewiduje jednak przechowywanie nagrań przez 30 dni oraz możliwość używania danych do ulepszania usługi.

Placówka rozpoczyna od testu na rozmowach symulowanych. Okazuje się, że system myli nazwy dwóch leków i nie zawsze rozpoznaje zaprzeczenia. Jednocześnie dostawca potwierdza, że funkcję trenowania można wyłączyć, a audio usuwać po kilku godzinach.

Przed uruchomieniem placówka zmienia konfigurację i umowę. Przygotowuje też DPIA, krótką informację dla pacjenta oraz ścieżkę wizyty bez nagrywania. Lekarz musi poprawić i zatwierdzić każdą notatkę. System nie zapisuje projektu bez jego działania.

Po miesiącu właściciel procesu analizuje liczbę poprawek, odmowy pacjentów i incydenty techniczne. Dzięki temu decyzja o rozszerzeniu narzędzia na kolejne poradnie opiera się na danych, a nie na prezentacji sprzedażowej dostawcy.

Najczęstsze błędy placówek

Zakup aplikacji przed oceną procesu

Placówka akceptuje regulamin, a dopiero później sprawdza transfery, trening modelu i retencję.

Zgoda jako jedyne zabezpieczenie

Podpis pacjenta nie rozwiązuje problemu nadmiarowych danych, słabej umowy ani braku zabezpieczeń.

Brak alternatywy

Pacjent nie może odbyć wizyty bez nagrywania, mimo że placówka deklaruje dobrowolność.

Automatyczne zatwierdzanie notatek

System zapisuje wygenerowaną treść bez realnej kontroli lekarza.

Nieograniczone przechowywanie audio

Nagrania pozostają w chmurze, chociaż finalna dokumentacja została już zatwierdzona.

Trenowanie modelu na rozmowach

Warunki dostawcy pozwalają wykorzystywać dane do rozwoju produktu, a placówka nie analizuje tego celu.

Dzielimy się wiedzą

Najlepszy rejestr zastosowań AI w placówce nie powinien zawierać wyłącznie nazw aplikacji. Powinien wskazywać cel, kategorie danych, dostawcę, właściciela medycznego, wynik kwalifikacji AI Act, podstawy prawne, retencję, status DPIA oraz datę ponownej oceny.

Taki rejestr pozwala szybko ustalić, które narzędzie ma dostęp do danych pacjentów i kto odpowiada za jego nadzór. Ułatwia również reakcję na zmianę modelu, warunków dostawcy albo zakresu integracji.

Podsumowanie

AI w gabinecie lekarskim może usprawnić pracę, ale nie powinno być wdrażane jak zwykłe narzędzie biurowe. Rozmowa z pacjentem zawiera dane o zdrowiu, informacje o osobach trzecich i treści objęte tajemnicą.

Placówka musi rozdzielić nagranie, transkrypcję i dokumentację medyczną. Następnie powinna ustalić podstawy prawne, retencję, rolę dostawcy oraz zasady kontroli notatki przez lekarza.

Bezpieczne wdrożenie wymaga udziału medyków, IT, bezpieczeństwa i ochrony danych. Przy większej skali stałe wsparcie może zapewnić zewnętrzny Inspektor Ochrony Danych BPPZ, który monitoruje proces, opiniuje zmiany i uczestniczy w ocenie ryzyka.

FAQ

Czy lekarz może nagrywać wizytę za pomocą AI?

Może to być dopuszczalne, ale wymaga analizy celu, niezbędności i podstaw prawnych z art. 6 oraz 9 RODO. Trzeba także uwzględnić prawa pacjenta, tajemnicę medyczną, rolę dostawcy i czas przechowywania. Nie należy zakładać, że każde nagranie jest automatycznie konieczne do udzielenia świadczenia.

Czy pacjent musi wyrazić zgodę na transkrypcję wizyty?

To zależy od modelu procesu i przyjętej podstawy prawnej. Jeżeli nagrywanie jest opcjonalne i placówka opiera je na zgodzie, zgoda powinna być wyraźna oraz dobrowolna. Pacjent musi móc odbyć wizytę bez nagrywania. Sama zgoda nie zwalnia placówki z pozostałych obowiązków RODO.

Czy transkrypcja staje się dokumentacją medyczną?

Robocza transkrypcja nie musi być finalną dokumentacją. Dokumentacją staje się zweryfikowana treść włączona do właściwego systemu i zatwierdzona zgodnie z zasadami placówki. Surowy zapis może zawierać błędy i informacje zbędne, dlatego nie powinien być automatycznie zapisywany jako oficjalna notatka.

Czy nagranie audio trzeba przechowywać tak długo jak dokumentację medyczną?

Nie automatycznie. Okres przechowywania audio powinien wynikać z celu jego użycia. Jeżeli plik służy tylko do utworzenia transkrypcji, może być usunięty po weryfikacji notatki. Dłuższa retencja wymaga osobnego uzasadnienia i zabezpieczeń.

Czy dostawca może trenować AI na rozmowach z pacjentami?

Nie powinno to następować bez odrębnej i bardzo dokładnej analizy. Trenowanie modelu jest innym celem niż przygotowanie notatki medycznej. Placówka powinna wymagać możliwości wyłączenia takiego wykorzystania i sprawdzić, czy dane są zachowywane przez dostawcę lub jego podwykonawców.

Czy wdrożenie transkrypcji wymaga DPIA?

W wielu przypadkach tak, szczególnie gdy system na dużą skalę przetwarza dane o zdrowiu, systematycznie rejestruje rozmowy lub wykorzystuje nową technologię. Najpierw należy wykonać ocenę progową. Jeżeli proces może powodować wysokie ryzyko, pełna DPIA jest wymagana przed wdrożeniem.

Kto odpowiada za błąd w notatce wygenerowanej przez AI?

Placówka i osoba wykonująca zawód medyczny nie powinny traktować wyniku systemu jako gotowego dokumentu. Lekarz musi sprawdzić i zatwierdzić treść. Umowa z dostawcą może regulować jego odpowiedzialność techniczną, ale nie zastępuje kontroli medycznej nad dokumentacją.

Czy asystent AI jest wyrobem medycznym?

Nie zawsze. Zależy to od przewidzianego zastosowania i funkcji określonych przez producenta. Narzędzie wyłącznie transkrybujące rozmowę może mieć inną kwalifikację niż system sugerujący diagnozę, leczenie lub ocenę ryzyka. Przed zakupem trzeba sprawdzić dokumentację producenta.

Źródła:

RODO dla przychodni i aptek. Jak chronić dane wrażliwe zgodnie z przepisami?

AI w gabinecie lekarskim. Transkrypcja wizyt, dokumentacja medyczna i RODO