Чи відповідає GDPR медичне мовлення в текст?

Головне

Аудіо консультації й транскрипт із нього: це дані про здоров'я, особлива категорія за статтею 9 GDPR.
Надання допомоги зазвичай спирається на статтю 9(2)(h) разом із підставою зі статті 6, а постачальник, як правило: ваш обробник за статтею 28.
DPIA обов'язкова для великомасштабної обробки даних про здоров'я (стаття 35(3)(b)). Карти пацієнтів одного лікаря не вважаються великим масштабом, але перевірте перелік вашого національного органу.
Де працює мовлення в текст, як довго зберігається звук і чи використовує постачальник дані для навчання: від цього залежить більша частина ризику.
ШІ-скрайб це розпізнавання мовлення плюс мовна модель. Застосовуйте до обох ті самі перевірки GDPR, повідомляйте пацієнта до запису й нехай лікар перевіряє кожен запис.

Чи може клініка використовувати медичну транскрипцію?

Медичну транскрипцію можна використовувати відповідно до GDPR, але назва продукту не доводить відповідність. Клініці потрібні підстава за статтею 6, умова за статтею 9, зрозуміле інформування пацієнтів і належна безпека. Оцініть потребу в DPIA, погодьте умови обробки та забезпечте перевірку лікарем до внесення нотаток у медичну картку.

Чому аудіо консультації: особлива категорія даних

Стаття 9(1) GDPR відносить дані про здоров'я до особливої категорії, обробка якої за замовчуванням заборонена. Запис консультації містить симптоми, діагнози, ліки й сімейний анамнез, вимовлені вголос, тож аудіо: це дані про здоров'я, і транскрипт теж. Це так, як би не фіксували звук: чи лікар диктує після візиту, чи мікрофон слухає під час нього.

Голос також може бути біометричними даними за статтею 9, коли його обробляють, щоб однозначно ідентифікувати особу, наприклад для входу за голосовим відбитком. Розділення голосу лікаря й пацієнта в транскрипті: це не те саме, але не пов'язуйте голоси з особами без конкретної причини та правової підстави.

Чого вимагає GDPR, мовою клініки

Вимога	Положення GDPR	Що це означає для клініки
Правова підстава плюс умова для даних про здоров'я	Стаття 6 і стаття 9(2)(h), з 9(3)	Обробка для надання допомоги професіоналом, зобов'язаним до таємниці, або під його відповідальністю. Згода пацієнта зазвичай не є підставою для самої допомоги.
Інформувати пацієнтів	Статті 13 і 14	Скажіть, що використовується транскрипція зі ШІ, що записується, як довго зберігається і хто обробляє.
Договір з обробником	Стаття 28	Письмова угода з постачальником про інструкції, безпеку, субобробників, видалення й аудити.
Оцінка впливу	Стаття 35	Обов'язкова для великомасштабної обробки даних про здоров'я. Групові практики, лікарні й платформи зазвичай підпадають.
Безпека	Стаття 32	Шифрування під час передачі й зберігання, контроль доступу, журнали та процес на випадок витоку.
Мінімізація та межі зберігання	Стаття 5(1)(c) і (e)	Збирайте лише потрібне для запису й видаляйте звук, коли запис підписано, якщо немає причини його зберігати.
Точність	Стаття 5(1)(d)	Лікар переглядає й підписує кожен запис. Неправильно розпізнана назва ліків: це проблема якості даних і безпеки пацієнта.
Передача за межі ЄС	Розділ V	Оцініть усі передачі, зокрема віддалену підтримку, субобробників і копії, та за потреби застосуйте механізм глави V.

Преамбула 91 каже, що дані пацієнтів, які обробляє окремий лікар, не є великомасштабною обробкою. Тому індивідуальна практика може не підпадати під обов'язковий тригер DPIA, але більшість наглядових органів також публікують власний перелік за статтею 35(4), тож перевірте свій.

Хмара, регіон ЄС чи власні сервери: що змінюється

Де працює	Чи залишає звук ваш контроль?	Головний ризик	Зазвичай підходить для
Хмара постачальника поза ЄС	Так	Правила передачі й доступ до даних за іноземним правом	Низькочутливого використання, якщо взагалі
Хмара постачальника в регіоні ЄС	Так, до постачальника	Доступ постачальника, субобробники, юрисдикція материнської компанії	Багатьох клінік, із надійним договором з обробником
Власний хостинг у вашій хмарі чи на своїх серверах	Ні	Безпека й підтримка лягають на вас	Лікарень, державних органів, найчутливішої роботи

Де клініка може отримати безпечний ШІ-скрайб, що відповідає GDPR?

ШІ-скрайб слухає консультацію і складає чернетку клінічного запису. Він поєднує розпізнавання мовлення з мовною моделлю, тому GDPR застосовується до обох кроків. Ви можете купити такий інструмент у постачальника або замовити розроблений під ваші вимоги. В обох випадках позначка «відповідає GDPR» нічого не доводить, доки постачальник не відповість письмово на вісім запитань нижче.

Скрайб додає чотири перевірки. Повідомте пацієнтів до запису й дайте змогу відмовитися (статті 13 і 14). Ставтеся до тексту як до чернетки, тож лікар перевіряє й затверджує кожен запис, перш ніж він потрапить до медичної документації. Визначте, як довго зберігаються аудіо й чернетка, і видаляйте аудіо після затвердження запису, якщо правила зберігання це дозволяють. Переконайтеся, що мовна модель, яка пише запис, працює за тим самим договором з обробником і в тому самому місці, що й розпізнавання мовлення.

В ESADEX ми будуємо конвеєри розпізнавання мовлення й складання записів, що працюють в ЄС або на ваших серверах, і документуємо потоки даних, потрібні для вашої DPIA.

Вісім запитань до будь-якого постачальника

Де обробляється й зберігається звук і в яких центрах обробки даних?
Чи використовується будь-яке аудіо або транскрипт для навчання чи покращення ваших моделей, зараз чи пізніше? Чи виключено це в договорі?
Як довго ви зберігаєте аудіо й транскрипти і чи можна налаштувати видалення після підписання запису?
Хто має доступ до наших даних і чи журналюється цей доступ?
Яких субобробників ви використовуєте і як повідомляєте нас про зміни?
Чи можете ви підписати угоду за статтею 28 і підтримати нашу DPIA документацією?
Що буде, якщо модель неправильно почує ліки, дозу чи ім'я, і як це помітить лікар?
Чи може все працювати на наших серверах, якщо цього вимагає наш регулятор або наша лікарня?

Рішення в дизайні, що полегшують відповідність

Видаляйте імена, ідентифікатори та інші прямі персональні дані з транскрипту до того, як будь-яка мовна модель його узагальнить.
Зберігайте звук лише доти, доки створюється й підписується запис, а потім видаляйте за замовчуванням.
Показуйте лікарю чернетку, ніколи не фінальний запис. Ніщо не потрапляє в медичну картку без підпису людини.
Журналюйте, хто диктував, хто переглядав і що змінилося, щоб запис можна було перевірити.
Вимкніть навчання постачальника на ваших даних і отримайте це письмово.
Додавайте функції по одній. Інструмент, що лише транскрибує, захистити набагато легше, ніж той, що ще й узагальнює та пропонує подальші кроки.

Де тут Закон про ШІ?

Закон про ШІ додається до GDPR. Інструмент, що лише транскрибує, зазвичай не є медичним виробом і не є системою високого ризику сам по собі. Коли програма починає пропонувати діагнози, тріаж чи лікування, вона може стати медичним виробом за Регламентом ЄС про медичні вироби, а це приносить правила високого ризику Закону для ШІ в регульованих продуктах, які тепер застосовуватимуться з 2 серпня 2028 року за Регламентом (ЄС) 2026/1744. Підтвердьте класифікацію зі своїм регуляторним радником, перш ніж додавати такі функції. За висновком 28/2024 EDPB персональні дані, використані для створення моделей ШІ, також породжують власні питання, тож питайте будь-якого постачальника, як навчали його моделі.

Опишіть клінічний процес, мови та вимоги до хостингу. Допоможемо спроєктувати транскрипцію із захистом даних пацієнтів і перевіркою лікарем.

Обговорити клінічну транскрипцію

FAQ

Чи мають пацієнти погоджуватися на транскрипцію консультації зі ШІ?

Згода зазвичай не є правовою підставою для надання допомоги, яка, як правило, спирається на статтю 6 і статтю 9(2)(h). Пацієнтів усе одно треба чітко інформувати про запис і обробку, а національні правила чи політика клініки можуть додавати можливість відмовитися.

Чи може клініка використовувати хмарний сервіс мовлення в текст із США?

Оцінюйте фактичні потоки даних і доступ, а не лише країну материнської компанії. Передача поза ЄЕЗ потребує належної підстави глави V та відповідних гарантій. Перевірте чинні рішення про адекватність і конкретного одержувача.

Чи потрібна DPIA невеликій практиці?

Обробка даних власних пацієнтів одним лікарем не вважається великомасштабною згідно з преамбулою 91, тож обов'язковий тригер може не діяти. Перевірте перелік вашого національного наглядового органу й усе одно складіть коротку оцінку, якщо інструмент для вас новий.

Де медичні заклади можуть отримати безпечний ШІ-скрайб, що відповідає GDPR?

Оберіть постачальника, який підписує договір з обробником за статтею 28, обробляє аудіо й транскрипти в ЄС або на ваших серверах, не навчається на ваших записах і письмово відповідає на вісім запитань, або замовте систему, створену за такими умовами. Проведіть DPIA до запису першого пацієнта.

Джерела

Про автора

Artem Synytskyi · Співзасновник · ШІ

Artem очолює напрям ШІ в ESADEX і створює LLM, RAG та системи транскрипції для галузей із нормативними вимогами.

Медична транскрипція і GDPR: перевірка для клініки