Prezentacja narzędzia AI dla przychodni zwykle wygląda podobnie. Ktoś pokazuje, jak lekarz mówi, a tekst sam pojawia się na ekranie. Robi wrażenie. Potem pada pytanie o dane pacjentów i pada odpowiedź, że oczywiście wszystko jest bezpieczne, spełniamy najwyższe wymagania. Na tym rozmowa się kończy, choć powinna się w tym miejscu zacząć. Bezpieczeństwo danych pacjentów nie jest deklaracją, tylko zestawem konkretów, które da się sprawdzić przed podpisaniem umowy.
Dlaczego zapewnienie sprzedawcy nie wystarcza
Informacje o zdrowiu należą do szczególnej kategorii danych osobowych. RODO otacza je ostrzejszym reżimem niż adres czy numer telefonu, a odpowiedzialność za nie zostaje po stronie placówki jako administratora. Dostawca narzędzia jest podmiotem przetwarzającym, co nie zdejmuje z gabinetu obowiązku sprawdzenia, komu i na jakich zasadach powierza dane.
Praktyczna konsekwencja jest taka, że przy kontroli albo przy incydencie nikt nie zapyta, co obiecywał handlowiec. Zapyta, co zostało ustalone na piśmie i czy placówka wiedziała, co robi.
Poniższe pytania warto zadać każdemu dostawcy. Nam również.
Gdzie trafia to, co lekarz powie
Pierwsza rzecz do ustalenia to droga nagrania i tekstu, czyli co dzieje się z materiałem od momentu wypowiedzenia zdania do zapisu w dokumentacji. Schemat techniczny nie jest tu potrzebny. Potrzebna jest odpowiedź, czy materiał opuszcza sprzęt stojący w gabinecie, a jeśli tak, dokąd trafia i kto nim po drodze zarządza.
Warto dopytać, jak zabezpieczone są przesyłanie i przechowywanie oraz kto odpowiada za infrastrukturę, jeśli nie jest to sam dostawca. Podwykonawca bywa tu podmiotem, o którego istnieniu placówka dowiaduje się dopiero przy podpisywaniu umowy powierzenia, a czasem później.
Kto ma dostęp i jak długo
Dostęp do danych medycznych zwykle ma więcej osób, niż wynika z pierwszej odpowiedzi. Poza personelem placówki bywają administratorzy po stronie dostawcy, dział wsparcia, czasem podwykonawcy odpowiedzialni za utrzymanie systemu.
Do ustalenia są trzy rzeczy: lista podmiotów z dostępem, zakres tego dostępu i czas przechowywania materiału. Zwłaszcza to ostatnie, bo nagranie, które zostaje na serwerze bezterminowo, jest ryzykiem, którego nikt świadomie nie kupował.
Czy Wasze dane uczą cudzego modelu
To pytanie zadaje się najrzadziej, a potrafi być najważniejsze. Narzędzia oparte na modelach językowych bywają rozwijane na materiale użytkowników i nie zapisuje się tego zawsze wprost w materiałach marketingowych.
Odpowiedź powinna być jednoznaczna i znaleźć się w umowie, a nie w rozmowie. Jeżeli dostawca wykorzystuje dane do trenowania, placówka ma prawo wiedzieć, w jakim zakresie i na jakiej podstawie prawnej.
Co się stanie, kiedy zrezygnujecie
Wdrożenie jest opisane w każdej ofercie. Wyjście już rzadziej. Warto ustalić przed startem:
- w jakim formacie placówka odzyska dokumentację, jeśli zmieni narzędzie;
- co dzieje się z nagraniami i tekstami po zakończeniu umowy;
- w jakim czasie dostawca potwierdza ich usunięcie i czy potwierdza to na piśmie.
Papier, który to potwierdza
Rozmowa jest punktem wyjścia, ale liczy się dokumentacja. Umowa powierzenia przetwarzania danych, jasno wskazani podwykonawcy, informacja o miejscu przetwarzania, a przy większych wdrożeniach ocena skutków dla ochrony danych. To nie jest biurokracja dla biurokracji. To jedyny ślad, który zostaje, kiedy pojawia się problem.
Jeżeli dostawca reaguje na te pytania niechętnie albo odpowiada ogólnikami, sama ta reakcja jest już informacją.
Do kompletu warto dopisać jeszcze jedno ustalenie: co dzieje się w razie incydentu. Kto powiadamia kogo, w jakim czasie i kto prowadzi zgłoszenie do organu nadzorczego. Placówki wracają do tego punktu zwykle dopiero wtedy, gdy incydent już wystąpił, a wtedy jest za późno na negocjacje.
Pytania są po stronie placówki
Narzędzia AI w gabinecie mają sens i będzie ich przybywać. Rozsądek nie polega na tym, żeby ich unikać, tylko żeby wpuszczać je świadomie. Osobno pisaliśmy o tym, skąd biorą się obawy wobec AI w medycynie, w tekście Sztuczna inteligencja w gabinecie.
Sześć powyższych pytań zajmuje kwadrans rozmowy. Konsekwencje odpowiedzi zostają z placówką na lata.