AI记录员正在迅速成为现代医疗保健的数字助手。它们承诺减少临床医生的职业倦怠，简化文档工作，并改善患者体验。然而，在医疗保健提供者和数字健康公司竞相实施AI记录员解决方案时，一个主要问题不断浮现：HIPAA风险是什么？
HIPAA风险高度依赖于AI解决方案的训练、部署、集成和管理方式。如果你的公司正在探索或已经使用AI记录员解决方案，请用本文作为路线图来测试风险。
什么是AI记录员？
AI记录员使用机器学习模型来听取（或处理录音）患者与医生的交流，并生成结构化的临床笔记。这些工具被宣传为能够无缝集成到电子健康记录（EHR）中，减少手动记录的需求，并允许医生在就诊期间更专注于患者。
在幕后，AI记录员实时处理大量的受保护健康信息（PHI），涵盖多种模式（例如音频、转录文本、结构化EHR数据等）。因此，AI记录员将受到HIPAA的监管。
AI记录员生命周期中的HIPAA陷阱
以下是我们在为数字健康客户、医疗系统和推出记录员技术的AI供应商提供咨询时遇到的最常见的HIPAA陷阱。
1. 未经适当授权使用PHI进行AI训练
许多AI记录员通过“微调”或重新训练使用真实世界的数据，包括之前的会诊或医生编辑的笔记。这些数据通常包含PHI。根据HIPAA规定，超出覆盖实体医疗服务提供商的治疗、支付或医疗运营范围使用PHI通常需要患者的授权。因此，如模型训练或产品改进等用途需要强有力的证据证明该活动属于覆盖实体医疗服务提供商的医疗运营——否则需要患者授权。
风险：如果AI供应商在没有患者授权的情况下或代表客户基于可辩护的治疗、支付或医疗运营基础使用客户数据进行模型训练，这种使用需要评估其是否构成潜在的HIPAA违规行为。此外，还需要考虑部署该技术所需的其他同意，例如根据州法律对患者或医生进行录音的同意。
2. 不当的业务伙伴协议（BAAs）
访问、存储或以其他方式处理PHI的AI记录员供应商几乎总是HIPAA下的业务伙伴。然而，我们看到一些供应商合同要么（a）缺乏合规的BAA，（b）包含过于宽泛的免责条款，实际上消除了供应商的责任，或者（c）未能定义允许的使用和披露，或者包括不允许的使用和披露（例如允许供应商在未经适当授权或不符合HIPAA例外的情况下使用PHI训练AI模型）。
提示：仔细审查每个AI供应商协议。确保BAA或基础服务合同明确定义：访问、存储或以其他方式处理的数据，如何使用这些数据，包括哪些数据可用于训练，以及数据是否去标识化或在服务交付后保留。
3. 缺乏安全防护
AI记录员平台是攻击者的高价值目标。这些平台可能会捕获实时音频、存储草稿临床笔记，或通过API集成到EHR中。如果这些平台未得到适当保护，并且发生数据泄露，风险包括监管罚款和处罚、集体诉讼以及声誉损失。
HIPAA要求：覆盖实体和业务伙伴必须实施“合理和适当的”技术、管理和物理安全措施来保护PHI。受HIPAA监管的实体还必须更新其风险分析，以包括使用AI记录员的情况。
4. 模型幻觉和误输出
特别是那些基于生成模型构建的AI记录员可能会“幻觉”或编造临床信息。更糟糕的是，如果转录错误或患者匹配错误发生，它们可能会将信息错误地归因于错误的患者。这不仅是一个工作流程问题。如果PHI被插入错误的病历或泄露给错误的个人，这可能构成HIPAA和州数据泄露法律下的违规行为（甚至可能对患者的未来护理产生不利影响）。
风险管理：对所有AI记录的笔记实施人工审核。确保医生在输入病历之前确认笔记的准确性。
5. 去标识化谬误
一些供应商声称他们的AI解决方案是“符合HIPAA”的，因为数据是去标识化的。然而，供应商往往未能严格遵循HIPAA在45 C.F.R. § 164.514中规定的两种去标识化方法之一：专家确定法或安全港方法。如果数据未完全按照其中一种方法去标识化，则数据在HIPAA下并未去标识化。
合规检查：如果供应商声称他们的系统不在HIPAA范围内，因为只使用去标识化数据，请要求提供：使用的去标识化方法、重新识别风险分析的证据以及去标识化专家的资质（如适用）。此外，如果供应商被提供PHI进行去标识化，则必须与提供者和供应商之间签订BAA。
医疗系统和数字健康公司的实际下一步
对于评估或已经实施AI记录员的公司，以下是一些减轻风险而不扼杀创新的建议：
- 仔细审查供应商
- 将治理纳入EHR工作流程
- 限制未经授权的二次使用/训练
- 更新您的风险分析
- 培训您的医生
结论
AI记录员正在改变临床文档。然而，随着自动化程度的提高，责任也越来越大，尤其是在HIPAA方面。供应商、数字健康公司和医疗系统必须将AI记录员视为不仅仅是软件，而是嵌入到患者护理中的数据管理者。通过建立强大的合同保障措施，将PHI的使用限制在HIPAA允许的范围内，并持续评估下游风险，数字健康领导者可以在不引入不必要的风险的情况下拥抱创新。
(全文结束)
