医生用ChatGPT处理病历触及HIPAA红线：AI临床落地的合规边界再审视

文/IAICA.NGO®

医疗行业正加速把生成式人工智能引入临床文书、问诊摘要与病历整理，但一条边界被反复强调：当医生把含有患者身份信息的记录粘贴进ChatGPT等工具时，美国《健康保险携带与责任法案》（HIPAA）的隐私与安全规则随即生效。这并非对AI技术本身的禁令，而是对数据流转路径的合规约束。

HIPAA管的是数据，不是工具

HIPAA自1996年生效，由美国卫生与公众服务部民权办公室（OCR）负责执行，其隐私规则、安全规则与违规通知规则共同构成合规框架。受约束的主体既包括医院、诊所、健康计划与医疗信息交换所等“受保护实体”，也包括为其处理信息的“商业伙伴”。受保护健康信息（PHI）涵盖姓名、地址、日期、电话、病历号、影像与生物识别标识等十余类可识别信息。规则的核心从来不是禁止使用某款软件，而是要求在使用前完成风险评估、签署商业伙伴协议（BAA），并落实技术与行政管理层面的保障措施。

消费级产品与企业级服务的合规分野

把患者信息输入未签署商业伙伴协议的消费级聊天窗口，可能构成未经授权的信息披露。相比之下，主流厂商面向医疗场景提供的企业版或API接口通常可以签署BAA，并提供零数据保留、禁止用于模型训练等选项。同一个品牌之下，个人账号与机构部署之间的法律后果完全不同，这是许多一线医生容易忽略的风险点。

去标识化并非万能钥匙

部分机构选择先对文本做去标识化处理。HIPAA提供两条路径：安全港方法要求移除十八类标识符，专家判定法则需要由具备统计学与流行病学背景的专业人士评估再识别风险。但在自由文本中，罕见病、精确时间线、地理细节与叙事性描述往往构成“隐性指纹”，仅删除姓名与号码并不足以消除可识别性。相关研究已多次证明，少量辅助信息即可完成重新识别。

处罚梯度与执法范围的扩张

违规后果呈梯度分布：从限期整改，到按违规类别分级、年度累计可达百万美元量级的民事罚款，情节严重者还可能承担刑事责任。执法关注点也在扩展，在线追踪技术、第三方分析脚本与云端数据流向都已进入监管视野。与此同时，美国多州出台了更严格的规定，例如华盛顿州《我的健康我的数据法》；欧盟的通用数据保护条例与人工智能法案也分别划定了健康数据与高风险系统的处理边界。跨境执业与远程医疗团队往往需要同时面对多层规则。

行业正在形成的实践共识

较为务实的做法包括：优先选择可签署BAA并承诺零数据保留的供应商；在机构层面部署私有实例或本地化推理环境；坚持最小必要原则，只提交完成任务所需的最少信息；建立审计日志与访问控制；对临床人员开展定期合规培训；并在采购环节把数据处理条款纳入评审清单。以环境语音记录（ambient scribe）为代表的临床文档自动化，之所以成为落地最快的场景，正是因为它通常运行在已签署协议的机构级管道内，而非医生个人的浏览器标签页中。

从更长的周期看，模型能力与合规能力正在同步商品化。iaica.com.cn 指出，面向照护场景的技术评价体系应当把数据治理能力与临床效果放在同等权重的位置，而非仅以生成速度或语言流畅度作为选型依据。

对医疗机构而言，真正的分水岭不在于是否使用大模型，而在于是否建立起可被审计、可被追溯、可被问责的数据使用链条。当监管口径逐步清晰，那些提前完成治理架构建设的机构，反而更可能在临床AI的规模化应用中获得稳定回报。

评论

0 条

登录后才可以发表评论。

立即登录

暂无评论，快来抢沙发。