Сенсація у психіатричному закладі: персонал використовував ChatGPT для медичних нотаток, відкривши доступ до приватних даних пацієнтів
У штаті Вашингтон стався інцидент, який ставить на передній план безпеку даних у сфері охорони психічного здоров’я. Співробітник психіатричного закладу для молоді Lake Burien Transitional Care Facility у липні використовував особистий обліковий запис ChatGPT для створення медичних нотаток про пацієнтів. Через таку необережність конфіденційна інформація, яка стосується більше ніж дванадцяти осіб, могла бути випадково розкрита.
Заклад, підпорядкований Департаменту соціальних і медичних послуг штату Вашингтон (DSHS), надає допомогу підліткам із серйозними психічними розладами. DSHS охарактеризував цю установу як спеціалізований заклад із інтенсивною психіатричною допомогою, де впроваджуються спеціалізовані методики поведінкової терапії. Після виявлення інциденту адміністрація зв’язалася з родинами 12 пацієнтів, дані яких могли бути розголошені, водночас ще 4 пацієнти з Western State Hospital потенційно постраждали від ситуації.
Що саме сталося та як відреагували у штаті
Проблема виникла, коли працівник закладу ввів персональні дані пацієнтів у приватний акаунт ChatGPT замість офіційно погодженого інструменту. Після виявлення порушення співробітнику наказали видалити всі запити в чаті і повністю закрити обліковий запис. В офіційній політиці DSHS під номером 15.28, що регулює використання штучного інтелекту, чітко вказано на необхідність отримання дозволу перед застосуванням подібних інструментів.
Ця деталь вкрай важлива, адже не всі версії ChatGPT однаково відповідають вимогам законодавства щодо охорони медичної інформації. Легальна версія для медичних установ повністю відповідає стандартам HIPAA, а споживча – ні. OpenAI попереджає користувачів не вводити чутливі дані, оскільки компанія може використовувати інформацію для покращення своїх моделей і зберігає чат до 30 днів з метою безпеки.
Чому заклади охорони здоров’я ще не готові до AI
Офіційні медичні інструменти для створення нотаток передбачають, що лікарі та медсестри здійснюють перевірку і затвердження інформації, що забезпечує додатковий рівень безпеки. Випадок з Lake Burien показує, що використання «тіньового» AI без контролю призводить до ризиків. Представники Washington State Hospital Association відзначають обережний підхід лікарень до впровадження нових технологій через ризики для пацієнтів.
Дослідження Wolters Kluwer Health демонструє, що:
- понад 40% медичних працівників помічали колег, які користуються несанкціонованим AI;
- майже 20% самі визнають використання таких інструментів;
- половина адміністрації і близько 45% медперсоналу зазначають, що швидкість роботи — головне побажання;
- третина респондентів турбується про безпеку пацієнтів.
Головний медичний директор Wolters Kluwer, Пітер Боніс, підкреслює, що відсутність прозорості у використанні «тіньового» AI відкриває шлях для кіберзагроз та витоків даних.
Випадки за межами Вашингтона: загальнонаціональна проблема
Подібні ситуації трапляються не лише в одному штаті. Наприклад, Johns Hopkins Bayview Medical Center попередив понад 3 тисячі пацієнтів після того, як працівник завантажив електронну таблицю з приватними медичними даними у публічний AI-інструмент без дозволу. Інформація включала:
- імена пацієнтів;
- дати госпіталізацій;
- деталі лікування;
Фінансові та соціальні номери не були включені. Після виявлення витоку лікарня вжила заходів для видалення інформації з платформи та повідомила постраждалих із пропозицією безкоштовного моніторингу кредитної історії.
Також профспілки медиків починають напрацьовувати чіткі положення щодо використання AI у трудових договорах. Представниця Washington State Nurses Association Рут Шуберт повідомила, що жодних схожих інцидентів серед медсестер наразі не було, але у контракті медичних працівників Seattle Children’s Hospital вже передбачено обмеження на застосування штучного інтелекту.
Що нам чекати далі: перспективи AI у медицині
Професор Університету Вашингтона Біл Хау зазначає, що одним із напрямів розвитку є локальний контроль за AI-системами, які знаходяться під юрисдикцією конкретних установ. Це може запобігти подібним порушенням приватності. Хоча такі моделі наразі рідкісні, експерт передбачає, що з часом вони стануть популярнішими.
Закони штату Вашингтон, зокрема RCW 70.02.020, забороняють розголошувати інформацію про пацієнтів без письмової згоди, крім випадків, передбачених законом. Наразі невідомо, чи належить поведінка співробітника Lake Burien до винятків. Водночас держава підкреслює необхідність видалення всієї інформації з ChatGPT і нагадує про діючу політику щодо використання штучного інтелекту.
