HIPAA対応AIアシスタントに必須の7つの機能

予約に関するメール、カレンダーの説明、フォローアップのタスクには、患者情報が含まれていることがあります。AIアシスタントが受信トレイやカレンダーを扱う場合、そうした情報もプライバシー評価の対象になります。

医療チームがアシスタントを選ぶ際は、アクセスできる情報、情報の送信先、操作を管理する人について理解する必要があります。

「HIPAA対応」は公式な認証ではありません。組織は引き続きサービスを評価し、適切な契約を締結したうえで、適切に設定する必要があります。

アカウントを接続する前に確認すべき7つの項目をご紹介します。

1. 実際のワークフローを対象とするBAA（業務提携契約）

サービス提供者が業務委託先として、委託元に代わって保護対象保健情報（PHI）を取り扱う場合、その処理を開始する前に業務委託契約（BAA）が必要です。

対象範囲を確認しましょう。メールの処理、カレンダーへのアクセス、チャット、メモリー、利用を予定している連携機能が含まれていますか？PHIを取り扱う関連する再委託先とも、適切な契約を締結する必要があります。

次の点を確認しましょう。 どの機能やサードパーティサービスが対象ですか？

2. データの取り扱いに関する明確な説明

サービス提供者は、何を読み取り、何をAIサービスに送信し、何を保持するのかを説明できる必要があります。

メールの内容は全体の一部にすぎません。プロンプト、生成された返信、添付ファイル、ログ、キャッシュ、バックアップにも機密情報が含まれることがあります。

不要な複製を避け、具体的な保存期間を確認しましょう。データを長期間保存せずに処理するからといって、HIPAA上の義務が自動的になくなるわけではありません。

次の点を確認しましょう。 アシスタントがタスクを完了した後、何が残りますか？

3. モデルのトレーニングに関する明確な制限

PHIを汎用AIモデルの学習に使用しないという契約上の約束があるか確認しましょう。

その約束は、アシスタントのサービス提供者と、利用するモデルの提供者の両方を対象としている必要があります。フィードバック、サポートへの問い合わせ、任意機能に例外が適用されるか確認しましょう。

次の点を確認しましょう。 同じデータ利用制限がサービス全体に適用されますか？

4. 適切な担当者に限定されたアクセス権

強固な認証、通信中および保存時の暗号化、各チームメンバーの責任に応じたアクセス権限が備わっているか確認しましょう。

予約を管理する人と請求を担当する人では、必要なアクセス権限が異なる場合があります。役割が変わったときや退職者が出たときに、組織側でアクセス権を取り消せることも重要です。

次の点を確認しましょう。 接続したアカウントごとに、個別にアクセスを管理できますか？

5. 内容を確認・管理できるメモリ

希望する会議時間を記憶しておくことは便利な場合があります。一方、患者の詳細情報を保持することには、さらなる責任が伴います。

保存された情報を確認する、メモリー機能を無効にする、削除を依頼するといった管理機能があるか確認しましょう。保持された複製やバックアップからの削除がどのように行われるか、またメモリー機能がBAAの適用範囲に含まれるかも確認してください。

自動で情報をマスキングする機能は追加の安全策になります。ただし、患者の氏名を削除しただけでは、HIPAAに基づく非識別化が成立したことにはなりません。

次の点を確認しましょう。 アシスタントは何を記憶し、どのように削除できますか？

6. 確認可能な操作履歴と有用な監査ログ

機密性の高いメッセージは、下書きの段階でチームが宛先や詳細、添付ファイルを確認してから送信できます。

アシスタントは、関連するアクセスや操作の記録も提供する必要があります。これらの記録を適切に保護しつつ、デバッグログに患者情報を不必要に重複して記録しないようにする必要があります。

人による確認は、実用的なAIの安全対策です。HIPAAでは、該当する場合、監査管理策も求められます。

次の点を確認しましょう。 送信するメッセージを確認し、何が起きたかを追跡できますか？

7. 問題発生時の対応手順の文書化

セキュリティインシデント、侵害の報告、サービス停止、復旧にプロバイダーがどう対応するか確認しましょう。

また、契約関係が終了した際に、保持されているPHIをどのように返却または破棄するのか、可能な範囲で把握しておきましょう。

次の点を確認しましょう。 誰から連絡があり、どのような情報が提供され、サービスはどのように復旧しますか？

日常業務で使うアシスタントの選び方

Actordoでは、メール、カレンダー、タスクの管理を支援することに注力しています。医療チームにとって、こうしたワークフローも患者情報を扱う他のシステムと同様に、慎重に検討する必要があります。

アシスタントを評価する際は、上記の質問を活用してください。まず、明確に定義されたワークフローから始め、合意事項と安全対策を確認します。チームが仕組みを理解してから、対象を広げましょう。

目指すのは、機密情報を明確に管理しながら、役に立つ自動化を実現することです。