מידע בריאותי הוא מהרגיש ביותר, וחלה עליו הגנה מוגברת וחובת סודיות רפואית. מדריך למה מותר להזין לכלי בינה מלאכותית, לסכנת השימוש המשני לאימון מודלים, להסדרי המידע הנדרשים בחוזה הספק, ולשקיפות כלפי המטופל.
כמעט כל שימוש של גוף רפואי בבינה מלאכותית נוגע במידע בריאותי של מטופלים, והמידע הזה הוא מהרגיש ביותר שהדין מכיר. מטופל מוסר מידע על גופו ועל חייו מתוך אמון וחובת סודיות רפואית, ולא כדי שישמש לאימון מודל או יעבור לספק חיצוני בלי בסיס. מאמר זה עובר על מה מותר להזין לכלי בינה מלאכותית, על סוגיית השימוש המשני, ועל מה שנדרש כשהמידע עובר לספק או לענן.
מידע בריאותי נהנה מהגנה מוגברת משתי סיבות שמתחברות: הוא מידע רגיש לפי דיני הגנת הפרטיות, ומעליו חלה חובת סודיות רפואית נפרדת. מטופל אינו "לקוח" רגיל: לרוב אין לו ברירה אלא למסור את המידע כדי לקבל טיפול, והציפייה שלא ישמש למטרה אחרת גבוהה במיוחד. לכן השאלה אינה רק אם מותר לעבד את המידע, אלא אם מותר לעבד אותו למטרה הספציפית הזו, בכלי הזה, אצל הגורם הזה.
העובדה שהמוסד מחזיק במידע כדין אינה מתירה להזין אותו לכל כלי. הזנת מידע מטופלים לכלי בינה מלאכותית היא עיבוד שדורש בסיס, והיא רגישה במיוחד כשהכלי חיצוני. העיקרון המנחה הוא צמצום: להזין רק את המידע הדרוש למשימה, ולשקול הסרת מזהים או פסאודונימיזציה לפני שליחה לכלי. כלי שאינו בשליטת המוסד, שאין ודאות היכן הוא מעבד ושומר מידע, אינו מקום להזין אליו מידע מטופלים מזוהה בלי הסדר מתאים.
הסיכון החמור ביותר הוא שימוש משני: מידע שנמסר לצורך טיפול שמשמש, בלי בסיס נפרד, לאימון מודל, למחקר, או לפיתוח מוצר. גם כשהכוונה חיובית, שימוש כזה חורג מהמטרה שלשמה נמסר המידע, והוא טעון בסיס משלו, ולעיתים הסכמה. ספקי כלים רבים שומרים לעצמם, בתנאי השימוש, זכות להשתמש בקלט לשיפור המודל, וזו בדיוק הנקודה שבה מוסד רפואי עלול להפר את חובותיו בלי לשים לב.
לכן יש לקרוא מה הספק עושה עם המידע, לא רק מה הכלי יודע לעשות.
כשהעיבוד נעשה אצל ספק או בענן, המוסד הרפואי נשאר האחראי על המידע כלפי המטופל וכלפי הרגולטור, והספק הוא מעבד מטעמו. החוזה צריך לכבול את הספק: היכן נשמר המידע, איסור מפורש על שימוש בו לאימון, מחיקה בתום ההתקשרות, אבטחה ברמה המתאימה למידע בריאותי, והודעה על אירוע אבטחה. הסדר מידע שאינו כתוב מראש קשה להשיג אחרי שהמידע כבר זרם, ולכן מקומו בהתקשרות עם הספק ולא בדיעבד.
דיני הפרטיות מקנים למטופל זכות לדעת שנאסף עליו מידע וכיצד הוא מעובד, ובמקרים המתאימים מעורבות של בינה מלאכותית בעיבוד היא חלק מהמידע שהוא זכאי לו. שקיפות אינה רק חובה אלא גם מה שמבסס את האמון, ומוסד שאינו יכול להסביר מה קורה למידע המטופל אינו עומד בציפייה המוגברת שחלה עליו. ההסבר צריך להיות בשפה שאדם מבין, לא בהפניה לתנאי שימוש של ספק.
מוסד רפואי צריך למפות אילו כלים נוגעים במידע מטופלים ומה הבסיס לכל עיבוד, להחיל צמצום והסרת מזהים לפני הזנה לכלי חיצוני, לאסור שימוש משני בלי בסיס, לעגן את הסדרי המידע בחוזה הספק, ולשמור שקיפות כלפי המטופל. המשרד, בהובלת ד״ר עו״ד אברהם ללום, מלווה גופים רפואיים בבניית ההגנה הזו על מידע מטופלים בעידן ה-AI.
העיקרון שד״ר ללום חוזר אליו קבוע: מידע בריאותי אינו משאב של המוסד אלא פיקדון של המטופל, והשימוש בו טעון בסיס, צמצום ואחריות.
הערה: אין באמור ייעוץ משפטי או תחליף לו. עיבוד מידע בריאותי בבינה מלאכותית כפוף לדיני הגנת הפרטיות, לחובת הסודיות הרפואית ולהנחיות הרגולטור, ומחייב בחינה פרטנית מול עורך דין מורשה.
מאמר זה הוא חלק מסדרת המדריכים של LALUM לבינה מלאכותית ברפואה. לתמונה המלאה ראו את אחריות רפואית ומסגרת הרגולציה.
נושא: בינה מלאכותית וממשל סיכונים
ייעוץ וחוות דעת נדל״ן · ייעוץ וחוות דעת AI · ייעוץ משפטי · גישור ויישוב סכסוכים · מאמרים · שאלות ותשובות · מבדק מוכנות · לקביעת שיחה