Dyktafon z AI samodzielnie spisuje wywiad lekarski. Aplikacja podpowiada opis zdjęcia rentgenowskiego. Ktoś publikuje fotografię zmiany skórnej na lekarskiej grupie lub ChatGPT, prosząc o jej ocenę. Te codzienne sytuacje mają wspólny mianownik: w każdej z nich przepływa to, co prawo chroni szczególnie mocno, czyli dane o zdrowiu pacjenta.
RODO nie zakazuje wykorzystywania sztucznej inteligencji w medycynie. Stawia kilka warunków, a większość z nich sprowadza się do czterech spraw, które naprawdę dotyczą lekarza siedzącego przy biurku. Brzmi jak zadanie dla działu prawnego, tyle że to nie prawnik klika „wyślij”, tylko lekarz. To jego rękami dane pacjenta opuszczają gabinet.
Zacznijmy od nieporozumienia, które wciąż pojawia się w wielu przychodniach. Pacjent otrzymuje plik formularzy, podpisuje „zgodę na przetwarzanie danych”, a w głowie lekarza zapala się myśl: jak nie podpisze, nie mogę leczyć. To nieprawda.
Do udzielania świadczeń zdrowotnych nie potrzebujesz zgody pacjenta na przetwarzanie jego danych osobowych, w tym danych o zdrowiu. Podstawą przetwarzania jest tu sama ustawa, a dane są wykorzystywane w celu diagnostyki, leczenia i opieki zdrowotnej przez osoby zobowiązane do zachowania tajemnicy zawodowej.
Zgoda na zabieg, badanie czy konkretną procedurę medyczną to zupełnie inna kwestia, i owszem, bywa potrzebna, ale dotyczy ingerencji w ciało, nie obiegu danych w placówce.
Mylenie tych dwóch terminów może prowadzić do nieporozumień. Pacjent „cofa zgodę RODO”, a placówka zaczyna się zastanawiać, czy musi przerwać leczenie. Nie musi, bo leczenie nigdy nie opierało się na tej zgodzie.
Im mniej zbędnych „zgód RODO” podpinanych pod samo leczenie, tym mniej takich problemów. Pacjentowi należy się natomiast coś innego: jasna klauzula informacyjna, czyli informacja o tym kto, w jakim celu i na jakiej podstawie przetwarza jego dane.
To nie jest zgoda. To obowiązek poinformowania pacjenta. I tych dwóch rzeczy nie wolno ze sobą mylić.
RODO traktuje dane o zdrowiu znacznie surowiej niż zwykłe dane osobowe. Należą one do szczególnych kategorii danych, obok m.in. danych genetycznych czy biometrycznych. Każde narzędzie sztucznej inteligencji, które analizuje wyniki badań, obrazy medyczne albo historię choroby, sięga więc po informacje z jednej z najściślej chronionych kategorii, jakie zna prawo.
Granica, którą najłatwiej przegapić, biegnie między leczeniem a ulepszaniem narzędzia. Jednak należy pamiętać, że użycie systemu po to, by pomóc konkretnemu pacjentowi, opisać badanie, uporządkować dokumentację, wesprzeć decyzję kliniczną, może mieścić się w ramach opieki nad nim. Jednak przekazanie danych tego pacjenta po to, aby model „się uczył”, był testowany, rozwijany albo ulepszany, to już inny cel. Nie da się go automatycznie przykryć podstawą prawną właściwą dla leczenia. Dlatego darmowe narzędzie oferowane w zamian za dostęp do danych pacjentów „do trenowania” wcale nie jest darmowe. Płatnością są właśnie te dane.
Do uczenia algorytmów powinny służyć dane zanonimizowane albo dane zebrane w ramach prawidłowo zaplanowanego projektu badawczego.
Dotyczy to także szpitala, który chce zbudować własny model na podstawie swojego archiwum. Taki projekt również musi mieć właściwą podstawę: dane pozbawione możliwości identyfikacji pacjenta albo jasno określony projekt badawczy. Nie wystarczy powiedzieć, że skoro dane powstały podczas leczenia, można je później dowolnie wykorzystać do rozwoju technologii. Inaczej leczenie staje się pretekstem do trenowania systemu, a pacjent nieświadomym dostawcą danych.
Potknięcie jest prozaiczne: opis przypadku wklejony do ogólnodostępnego, publicznego chatbota. W tej samej chwili dane pacjenta wychodzą z gabinetu do zewnętrznej firmy. Pierwszy lepszy, darmowy chatbot nie da Ci gwarancji poufności. Ten sam problem ma zdjęcie wrzucone na otwarty komunikator. Gdy korzystasz z takich niededykowanych narzędzi, jedynym wyjściem jest pełna anonimizacja.
Skreślenie nazwiska nie wystarcza – jeżeli zostawisz rzadkie rozpoznanie, datę i małą miejscowość, pacjenta nadal da się rozpoznać, a takie dane wciąż są osobowe. Anonimowe są dopiero te, po których nikt nie odtworzy, o kogo chodzi.
Warto rozważyć korzystanie z rozwiązań zaprojektowanych specjalnie z myślą o sektorze medycznym, które posiadają odpowiednie certyfikaty bezpieczeństwa i są w pełni zgodne z RODO. Wybór narzędzi dostosowanych do rygorystycznych wymogów prawnych opieki zdrowotnej pozwala na bezpieczne i legalne wsparcie codziennej pracy w gabinecie.
Druga zasada dotyczy decyzji. Sztuczna inteligencja może podpowiadać, ale nie może rozstrzygać sama, gdy w grę wchodzi zdrowie. Twój udział ma być rzeczywisty, a nie podpisem pod czymś, czego nie sprawdziłeś. Znasz ograniczenia narzędzia, widzisz, na jakich danych pracuje, i potrafisz odrzucić podpowiedź, gdy kłóci się z obrazem klinicznym. Przykład z życia: aplikacja oznacza zmianę jako łagodną, lekarz akceptuje wynik jednym kliknięciem, a po czasie okazuje się, że była to zmiana złośliwa. Wtedy „nadzór człowieka” istnieje tylko w dokumentacji. Grzegorz Sibiga nazywa takie sytuacje „fikcją czynnika ludzkiego”: formalnie decyzję podejmuje człowiek, ale faktycznie rozstrzyga maszyna.
Właśnie dlatego Trybunał Sprawiedliwości UE w sprawie SCHUFA szeroko interpretuje pojęcie „decyzji zautomatyzowanej”, żeby tej ochrony nie dało się obejść, spychając rzeczywiste rozstrzygnięcie na algorytm. Kodeks Etyki Lekarskiej mówi to jeszcze prościej: ostatnie słowo należy do lekarza.
Pacjent ma prawo wiedzieć, że w jego sprawie wykorzystywana jest sztuczna inteligencja. Nie chodzi o wykład o sieciach neuronowych. Wystarczy jedno zrozumiałe zdanie: „W ocenie tego badania pomaga mi system sztucznej inteligencji, ale decyzję podejmuję ja”. Takie zdanie często odpowiada jednocześnie na dwa obowiązki: informacyjny wynikający z RODO oraz etyczny, wynikający z Kodeksu Etyki Lekarskiej. Dobrze, aby ślad takiej rozmowy znalazł się w dokumentacji. W razie pytań będzie to najprostszy dowód, że pacjent wiedział, w jaki sposób wsparto ocenę jego przypadku.
Część obowiązków nie spoczywa jednak na lekarzu osobiście, lecz na placówce jako administratorze danych. To ona powinna ocenić ryzyko przed wdrożeniem narzędzia, zawrzeć właściwą umowę z dostawcą, określić zasady korzystania z systemu i w razie potrzeby zgłosić naruszenie ochrony danych w wymaganym terminie 72 godzin.
Inaczej jest w praktyce prowadzonej na własny rachunek. Wtedy administratorem danych jesteś Ty i to po Twojej stronie leży odpowiedzialność za te obowiązki.
Zanim narzędzie AI trafi do gabinetu lekarskiego, placówka powinna jasno określić, kto może z niego korzystać, w jakich sytuacjach i jakie dane pacjenta można do niego wprowadzać. Pomagają w tym regulamin korzystania z AI, polityka AI oraz szkolenie personelu z zasad korzystania z narzędzia. Takie podejście ułatwia spełnienie wymogów RODO, tajemnicy lekarskiej, Kodeksu Etyki Lekarskiej i zasad prawidłowego prowadzenia dokumentacji medycznej, a lekarzowi daje większe bezpieczeństwo w codziennej pracy.
RODO, AI i dane pacjenta można sprowadzić do kilku praktycznych zasad. Po pierwsze, nie myl zgody na leczenie z podstawą przetwarzania danych. Po drugie, nie wpisuj danych pacjenta do narzędzi, które nie są dedykowane do użytku w medycynie. Po trzecie, pamiętaj, że AI może pomagać, ale ostatnia decyzja należy do lekarza. Pacjent powinien też wiedzieć, że korzystasz ze wsparcia AI podczas wizyty. Regulaminy, umowy i szczegóły wdrożenia to zadania placówki oraz inspektora ochrony danych, ale te podstawowe zasady są po stronie lekarza, bo to on pracuje najbliżej pacjenta.
• Leczenie nie wymaga „zgody RODO”, podstawą jest art. 9 ust. 2 lit. h i ust. 3 RODO.
• Dane o zdrowiu są szczególną kategorią danych, art. 9 ust. 1 RODO.
• Dane zebrane do leczenia nie powinny być automatycznie używane do innych celów, np. trenowania AI, art. 5 ust. 1 lit. b RODO.
• Anonimizacja wyłącza dane spod RODO, pseudonimizacja nie, motyw 26 i art. 4 pkt 5 RODO.
• Przy zewnętrznym dostawcy potrzebne są właściwe zabezpieczenia, w tym umowa powierzenia, art. 28 RODO, a przy transferze poza EOG także art. 44 i następne RODO. Obowiązuje również tajemnica lekarska, art. 40 ustawy o zawodach lekarza i lekarza dentysty.
• AI nie może zastępować decyzji lekarza. Znaczenie realnego udziału człowieka wynika m.in. z art. 22 RODO, wyroku TSUE w sprawie SCHUFA, C-634/21, oraz art. 12 Kodeksu Etyki Lekarskiej.
• Pacjent powinien wiedzieć, że jego dane są przetwarzane i że w opiece może być wykorzystywana AI, art. 13 i 14 RODO oraz art. 12 KEL.
• Placówka powinna ocenić ryzyko, wdrożyć zasady korzystania z AI i reagować na naruszenia, art. 35 i 33 RODO.
• Szersze tło tworzą AI Act, rozporządzenie 2024/1689, oraz Europejska Przestrzeń Danych Zdrowotnych, rozporządzenie 2025/327.
Artykuł wyraża własne doświadczenia autorów. Nie stanowi on porady prawnej i nie może być traktowany jako oficjalne stanowisko ZnanyLekarz sp. z o.o.