AI-tandartsassistent en patiëntgegevens: een HIPAA-checklist voor Amerikaanse praktijken

Kort samengevat: Als een AI-tandartsassistent patiëntgegevens te zien krijgt, beschouwt HIPAA de leverancier als "business associate" (verwerker). Voordat u iets deelt, hebt u schriftelijke waarborgen nodig dat de gegevens passend worden beveiligd, en het systeem van de leverancier moet de technische maatregelen hebben die de Security Rule beschrijft. Dit is een checklist met vragen, geen juridisch advies. Laat uw compliance-verantwoordelijke of jurist uw eigen situatie bevestigen.

Belangrijkste punten

• Een AI-leverancier die voor uw praktijk beschermde gezondheidsgegevens (PHI) aanmaakt, ontvangt, bewaart of verzendt, is in de regel een business associate. Laat dit bevestigen door uw jurist.
• Voordat PHI wordt gedeeld, vereist 45 CFR 164.502(e) "satisfactory assurance" (afdoende waarborgen) dat de business associate de gegevens passend beveiligt, vastgelegd in een schriftelijk contract.
• De technische waarborgen van de Security Rule omvatten toegangsbeheer, auditcontroles, integriteit, authenticatie en beveiligde verzending.
• Sommige waarborgen heten "addressable". Dat betekent dat u ze moet beoordelen en uw besluit moet vastleggen, niet dat u ze mag negeren.
• Vraag waar de gegevens worden opgeslagen, of ze worden gebruikt om modellen te trainen, wie gesprekken kan inzien en hoe een datalek zou worden gemeld.

Waarom maken patiëntgegevens een AI-assistent anders?

Een AI-tandartsassistent is nuttig omdat hij gesprekken met patiënten afhandelt: afspraken plannen en verzetten, verzekeringsvragen en herinneringen. Elk van die gesprekken kan een naam, een telefoonnummer, een behandeling of een betaalgegeven bevatten. Dat is precies de informatie die HIPAA beschermt, dus de keuze voor een assistent is deels een beslissing over gegevensbescherming.

Hebt u een business associate agreement nodig?

Als de leverancier voor u PHI aanmaakt, ontvangt, bewaart of verzendt, behandelt HIPAA hem in de regel als business associate. Onder 45 CFR 164.502(e) moet een covered entity "satisfactory assurance that the business associate will appropriately safeguard the information" verkrijgen voordat PHI wordt verstrekt, en die waarborgen moeten worden vastgelegd in een schriftelijk contract dat voldoet aan 45 CFR 164.504(e). In de praktijk is dat contract de business associate agreement (BAA).

Of een specifieke tool eronder valt, is een juridische vraag over hoe hij met gegevens omgaat. Als een leverancier geen BAA wil tekenen maar wel toegang tot patiëntgegevens wil, beschouw dat dan als een stopteken.

Welke technische maatregelen moet het systeem hebben?

De technische waarborgen van de Security Rule, in 45 CFR 164.312, noemen vijf standaarden. Dit kunt u per standaard vragen:

Volgens de regel zijn unieke gebruikersidentificatie en een noodtoegangsprocedure verplicht. Andere maatregelen, zoals versleuteling en automatische uitlog, zijn "addressable". Addressable betekent dat u beoordeelt of de maatregel redelijk is voor uw praktijk en uw besluit vastlegt. Het betekent niet dat ze optioneel zijn.

Wat moet u nog meer vragen voordat u tekent?

• Waar worden de gegevens opgeslagen, en in welk land?
• Worden patiëntgegevens gebruikt om de modellen van de leverancier te trainen? Laat het antwoord schriftelijk vastleggen.
• Wie bij de leverancier kan gesprekken lezen, en wordt die toegang gelogd?
• Hoe lang worden gegevens bewaard, en kunt u ze laten verwijderen als u vertrekt?
• Wat gebeurt er bij een datalek? Vraag hoe snel u wordt geïnformeerd en wie waarvoor verantwoordelijk is.
• Kan de assistent overdragen aan een mens? Klinische of gevoelige vragen mogen nooit op gokwerk worden beantwoord.

Hoe begint een praktijk veilig?

1. Begin met taken waarvoor weinig PHI nodig is, zoals openingstijden, routebeschrijvingen en algemene vragen over behandelingen.
2. Voeg afspraken plannen pas toe zodra de BAA is getekend en de bovenstaande maatregelen zijn bevestigd.
3. Test de assistent eerst met fictieve patiënten, daarna met echte.
4. Controleer de logboeken de eerste maand wekelijks.
5. Leg vast wie verantwoordelijk is voor de compliance van de tool, en herzie dat minstens jaarlijks.

Het kernpunt

Een AI-assistent kan routinegesprekken van uw balie overnemen, maar alleen als de gegevenskant eerst op orde is. Laat de BAA tekenen, vraag om de maatregelen uit de tabel en begin klein. Als een leverancier deze vragen niet helder kan beantwoorden, zoek dan verder.

Voor een voorbeeld van een tandartsassistent in ontwikkeling, zie hoe Zunkiree Labs Dental AI Assistant bouwt. Het is een besloten bètaversie, en deze checklist is erop van toepassing zoals op elke leverancier.

Veelgestelde vragen

Moet een AI-tandartsassistent HIPAA-compliant zijn?

Als hij voor een Amerikaanse praktijk beschermde gezondheidsgegevens aanmaakt, ontvangt, bewaart of verzendt, geldt HIPAA in de regel voor de leverancier als business associate, en heeft de praktijk een schriftelijke overeenkomst en passende waarborgen nodig. Laat uw eigen situatie bevestigen door een jurist.

Wat is een business associate agreement (BAA)?

Een BAA is het schriftelijke contract waarmee een leverancier een covered entity afdoende waarborgen geeft dat hij beschermde gezondheidsgegevens passend beveiligt, zoals vereist door 45 CFR 164.502(e) en 164.504(e).

Kan een AI-assistent worden gebruikt zonder patiëntgegevens te delen?

Ja. Een eerste versie kan algemene vragen beantwoorden, zoals openingstijden en diensten, zonder PHI aan te raken. Voeg afspraken plannen pas toe nadat de overeenkomst en de maatregelen er zijn.

Wat betekent addressable in de HIPAA Security Rule?

Addressable betekent niet optioneel. U beoordeelt of de maatregel redelijk en passend is voor uw praktijk, voert hem of een gelijkwaardig alternatief in en legt het besluit vast.

Wat moet ik een AI-leverancier vragen over patiëntgegevens?

Vraag waar gegevens worden opgeslagen, of ze de modellen van de leverancier trainen, wie gesprekken kan lezen, hoe lang gegevens worden bewaard, hoe datalekken worden gemeld en of een mens kan overnemen.

Gerelateerde inzichten

• Wat is een virtuele AI-assistent voor tandartsen?
• Een virtuele assistent voor de zorg kiezen

Bronnen

• Legal Information Institute, 45 CFR 164.502, Uses and disclosures of protected health information: general rules.
• Legal Information Institute, 45 CFR 164.312, Technical safeguards.