Соответствует ли GDPR медицинская речь в текст?

Главное

Аудио консультации и транскрипт из него: это данные о здоровье, особая категория по статье 9 GDPR.
Оказание помощи обычно опирается на статью 9(2)(h) вместе с основанием из статьи 6, а поставщик, как правило: ваш обработчик по статье 28.
DPIA обязательна для крупномасштабной обработки данных о здоровье (статья 35(3)(b)). Карты пациентов одного врача не считаются крупным масштабом, но проверьте перечень вашего национального органа.
Где работает речь в текст, как долго хранится звук и использует ли поставщик данные для обучения: от этого зависит большая часть риска.
ИИ-скрайб это распознавание речи плюс языковая модель. Применяйте к обоим одни и те же проверки GDPR, сообщайте пациенту до записи и пусть врач проверяет каждую запись.

Может ли клиника использовать медицинскую транскрипцию?

Медицинскую транскрипцию можно использовать в соответствии с GDPR, но название продукта не доказывает соответствие. Клинике нужны основание по статье 6, условие по статье 9, понятное информирование пациентов и надлежащая безопасность. Оцените необходимость DPIA, согласуйте условия обработки и обеспечьте проверку врачом до внесения заметок в медицинскую карту.

Почему аудио консультации: особая категория данных

Статья 9(1) GDPR относит данные о здоровье к особой категории, обработка которой по умолчанию запрещена. Запись консультации содержит симптомы, диагнозы, лекарства и семейный анамнез, произнесённые вслух, поэтому аудио: это данные о здоровье, и транскрипт тоже. Это так, как бы ни фиксировали звук: диктует ли врач после визита или микрофон слушает во время него.

Голос также может быть биометрическими данными по статье 9, когда его обрабатывают, чтобы однозначно идентифицировать человека, например для входа по голосовому отпечатку. Разделение голоса врача и пациента в транскрипте: это не то же самое, но не связывайте голоса с личностями без конкретной причины и правового основания.

Чего требует GDPR, языком клиники

Требование	Положение GDPR	Что это значит для клиники
Правовое основание плюс условие для данных о здоровье	Статья 6 и статья 9(2)(h), с 9(3)	Обработка для оказания помощи специалистом, обязанным хранить тайну, или под его ответственностью. Согласие пациента обычно не является основанием для самой помощи.
Информировать пациентов	Статьи 13 и 14	Скажите, что используется транскрипция с ИИ, что записывается, как долго хранится и кто обрабатывает.
Договор с обработчиком	Статья 28	Письменное соглашение с поставщиком об инструкциях, безопасности, субобработчиках, удалении и аудитах.
Оценка воздействия	Статья 35	Обязательна для крупномасштабной обработки данных о здоровье. Групповые практики, больницы и платформы обычно подпадают.
Безопасность	Статья 32	Шифрование при передаче и хранении, контроль доступа, журналы и процесс на случай утечки.
Минимизация и пределы хранения	Статья 5(1)(c) и (e)	Собирайте только нужное для записи и удаляйте звук, когда запись подписана, если нет причины его хранить.
Точность	Статья 5(1)(d)	Врач просматривает и подписывает каждую запись. Неправильно распознанное название лекарства: это проблема качества данных и безопасности пациента.
Передача за пределы ЕС	Глава V	Оцените все передачи, включая удалённую поддержку, субобработчиков и копии, и при необходимости примените механизм главы V.

Преамбула 91 говорит, что данные пациентов, которые обрабатывает отдельный врач, не являются крупномасштабной обработкой. Поэтому индивидуальная практика может не подпадать под обязательный триггер DPIA, но большинство надзорных органов также публикуют собственный перечень по статье 35(4), так что проверьте свой.

Облако, регион ЕС или собственные серверы: что меняется

Где работает	Выходит ли звук из-под вашего контроля?	Главный риск	Обычно подходит для
Облако поставщика вне ЕС	Да	Правила передачи и доступ к данным по иностранному праву	Низкочувствительного использования, если вообще
Облако поставщика в регионе ЕС	Да, к поставщику	Доступ поставщика, субобработчики, юрисдикция материнской компании	Многих клиник, с надёжным договором с обработчиком
Собственный хостинг в вашем облаке или на своих серверах	Нет	Безопасность и поддержка ложатся на вас	Больниц, государственных органов, самой чувствительной работы

Где клиника может получить безопасного ИИ-скрайба, соответствующего GDPR?

ИИ-скрайб слушает консультацию и составляет черновик клинической записи. Он сочетает распознавание речи с языковой моделью, поэтому GDPR применяется к обоим шагам. Вы можете купить такой инструмент у поставщика или заказать разработанный под ваши требования. В обоих случаях пометка «соответствует GDPR» ничего не доказывает, пока поставщик письменно не ответит на восемь вопросов ниже.

Скрайб добавляет четыре проверки. Сообщите пациентам до записи и дайте возможность отказаться (статьи 13 и 14). Относитесь к тексту как к черновику, поэтому врач проверяет и утверждает каждую запись, прежде чем она попадёт в медицинскую документацию. Определите, как долго хранятся аудио и черновик, и удаляйте аудио после утверждения записи, если правила хранения это допускают. Убедитесь, что языковая модель, которая пишет запись, работает по тому же договору с обработчиком и в том же месте, что и распознавание речи.

В ESADEX мы строим конвейеры распознавания речи и составления записей, которые работают в ЕС или на ваших серверах, и документируем потоки данных, нужные для вашей DPIA.

Восемь вопросов любому поставщику

Где обрабатывается и хранится звук и в каких центрах обработки данных?
Используется ли какое-либо аудио или транскрипт для обучения или улучшения ваших моделей, сейчас или позже? Исключено ли это в договоре?
Как долго вы храните аудио и транскрипты и можно ли настроить удаление после подписания записи?
Кто имеет доступ к нашим данным и журналируется ли этот доступ?
Каких субобработчиков вы используете и как уведомляете нас об изменениях?
Можете ли вы подписать соглашение по статье 28 и поддержать нашу DPIA документацией?
Что будет, если модель неверно услышит лекарство, дозу или имя, и как это заметит врач?
Может ли всё работать на наших серверах, если этого требует наш регулятор или наша больница?

Решения в дизайне, облегчающие соответствие

Удаляйте имена, идентификаторы и другие прямые персональные данные из транскрипта до того, как любая языковая модель его обобщит.
Храните звук только пока создаётся и подписывается запись, а затем удаляйте по умолчанию.
Показывайте врачу черновик, никогда не итоговую запись. Ничто не попадает в медицинскую карту без подписи человека.
Журналируйте, кто диктовал, кто просматривал и что изменилось, чтобы запись можно было проверить.
Отключите обучение поставщика на ваших данных и получите это письменно.
Добавляйте функции по одной. Инструмент, который только транскрибирует, защитить намного проще, чем тот, который ещё и обобщает и предлагает дальнейшие шаги.

Где здесь Закон об ИИ?

Закон об ИИ добавляется к GDPR. Инструмент, который только транскрибирует, обычно не является медицинским изделием и не является системой высокого риска сам по себе. Когда программа начинает предлагать диагнозы, триаж или лечение, она может стать медицинским изделием по Регламенту ЕС о медицинских изделиях, а это приносит правила высокого риска Закона для ИИ в регулируемых продуктах, которые теперь применяются с 2 августа 2028 года по Регламенту (ЕС) 2026/1744. Подтвердите классификацию у своего регуляторного консультанта, прежде чем добавлять такие функции. По заключению 28/2024 EDPB персональные данные, использованные для создания моделей ИИ, также порождают собственные вопросы, поэтому спрашивайте любого поставщика, как обучали его модели.

Опишите клинический процесс, языки и требования к хостингу. Поможем спроектировать транскрипцию с защитой данных пациентов и проверкой врачом.

Обсудить клиническую транскрипцию

FAQ

Должны ли пациенты соглашаться на транскрипцию консультации с ИИ?

Согласие обычно не является правовым основанием для оказания помощи, которая, как правило, опирается на статью 6 и статью 9(2)(h). Пациентов всё равно нужно чётко информировать о записи и обработке, а национальные правила или политика клиники могут добавлять возможность отказаться.

Может ли клиника использовать облачный сервис речи в текст из США?

Оценивайте фактические потоки данных и доступ, а не только страну материнской компании. Передача за пределы ЕЭЗ требует надлежащего основания главы V и соответствующих гарантий. Проверьте действующие решения об адекватности и конкретного получателя.

Нужна ли DPIA небольшой практике?

Обработка данных собственных пациентов одним врачом не считается крупномасштабной согласно преамбуле 91, поэтому обязательный триггер может не действовать. Проверьте перечень вашего национального надзорного органа и всё равно составьте краткую оценку, если инструмент для вас новый.

Где медицинские учреждения могут получить безопасного ИИ-скрайба, соответствующего GDPR?

Выберите поставщика, который подписывает договор с обработчиком по статье 28, обрабатывает аудио и транскрипты в ЕС или на ваших серверах, не обучается на ваших записях и письменно отвечает на восемь вопросов, или закажите систему, созданную на таких условиях. Проведите DPIA до записи первого пациента.

Источники

Об авторе

Artem Synytskyi · Сооснователь · ИИ

Artem возглавляет направление ИИ в ESADEX и создаёт LLM, RAG и системы транскрипции для отраслей с нормативными требованиями.

Медицинская транскрипция и GDPR: проверка для клиники