Czy trzeba informować pacjentów o tym, że przychodnia lub szpital używa AI?

Tak. Jeśli AI w twojej placówce przetwarza dane osobowe pacjentów, masz prawny obowiązek poinformowania ich o tym. Wynika to z art. 13 RODO i obowiązuje niezależnie od tego, czy AI jest widoczny dla pacjenta, czy pracuje wyłącznie w tle. Jeśli do tego korzystasz z chatbota lub bota głosowego, który rozmawia z pacjentami, art. 50 AI Act dokłada kolejny obowiązek: system musi się przedstawić jako AI. W praktyce oznacza to kilka konkretnych działań: aktualizację klauzuli informacyjnej, przegląd polityki prywatności i ewentualnie jedną linijkę przy uruchomieniu bota.

Skąd w ogóle wynika ten obowiązek?

Podstawa to art. 13 RODO. Każda placówka medyczna, która zbiera dane osobowe pacjenta, musi go poinformować: kto przetwarza dane, w jakim celu, na jakiej podstawie prawnej, jak długo i komu dane są przekazywane. Jednym z wymaganych elementów jest informacja o zautomatyzowanym przetwarzaniu danych, w tym profilowaniu, jeśli wywołuje skutki dla tej osoby albo istotnie na nią wpływa.

AI w placówce medycznej bardzo często mieści się w tej kategorii. Algorytm oznaczający pilność zlecenia laboratoryjnego. System oceniający ryzyko rehospitalizacji na podstawie danych ze zleceniami. Narzędzie priorytetyzujące kolejkę na SOR. Wszystkie te przypadki to zautomatyzowane przetwarzanie danych, które może wpłynąć na decyzję dotyczącą konkretnego pacjenta.

Co konkretnie wpisać do klauzuli informacyjnej?

Klauzula informacyjna to dokument, który pacjent dostaje przy rejestracji albo pierwszej wizycie. Zazwyczaj ma formę kartki A4 albo formularza elektronicznego w systemie rejestracji. Przy wdrożeniu AI wystarczy dodać osobny akapit lub rozbudować punkt dotyczący zautomatyzowanego przetwarzania.

Akapit powinien zawierać:

• Opis funkcji AI, który przetwarza dane pacjenta. Nie musisz podawać nazwy handlowej systemu. Wystarczy opis: "system wspomagający analizę wyników badań laboratoryjnych" albo "automatyczny asystent rejestracji telefonicznej".
• Cel przetwarzania: do czego AI służy i dlaczego jest to uzasadnione klinicznie lub organizacyjnie.
• Podstawę prawną: przy danych zdrowotnych najczęściej będzie to art. 9 ust. 2 lit. h RODO, czyli przetwarzanie na potrzeby opieki zdrowotnej.
• Informację, czy decyzja jest podejmowana wyłącznie automatycznie: jeśli lekarz zawsze weryfikuje sugestię AI, wyraźnie to zapisz. Znacząco zmniejsza to ryzyko prawne i jest po prostu prawdą.
• Prawo do informacji o logice działania AI i prawo do sprzeciwu wobec zautomatyzowanego przetwarzania.

Typowo wygląda to tak, że kilka zdań pojawia się w istniejącej klauzuli RODO jako nowy punkt, a nie jako osobny dokument. Ważne, żeby IOD zatwierdził treść przed uruchomieniem systemu.

AI Act: kiedy informowanie staje się obowiązkiem ustawowym?

Od połowy 2025 roku obowiązuje art. 50 AI Act, który reguluje transparentność systemów AI. Dla placówek medycznych wyróżniamy dwa scenariusze, które dotyczą ich bezpośrednio.

Pierwszy: chatbot lub voicebot rozmawiający z pacjentem. Jeśli twoja przychodnia wdrożyła wirtualnego asystenta na stronie albo telefoniczny bot obsługujący rejestrację, pacjent musi wiedzieć, że rozmawia z AI. Obowiązek powstaje automatycznie, bez względu na to, jakie dane bot przetwarza. Wystarczy jedna informacja przy uruchomieniu rozmowy: "Jestem wirtualnym asystentem Przychodni X" albo zapowiedź głosowa: "Łączysz się z automatycznym systemem obsługi rejestracji". Krótko, jasno, bez ozdobników.

Drugi: systemy AI wysokiego ryzyka. AI Act zalicza do tej kategorii m.in. systemy wspomagające diagnozowanie i podejmowanie decyzji klinicznych. Dla takich systemów jako deployer, czyli placówka wdrażająca AI, masz szersze obowiązki: wpis do unijnego rejestru baz AI, przeprowadzenie oceny zgodności, monitorowanie działania i informowanie pacjentów, że taki system jest używany. Szczegółowy harmonogram różni się zależnie od kategorii ryzyka, ale transparentność z art. 50 dotyczy już teraz.

Czy AI wysyłający przypomnienie SMS to system wysokiego ryzyka? Raczej nie. Ale AI, który na podstawie parametrów życiowych z monitoringu sugeruje wcześniejsze wezwanie lekarza na oddział? Tu granica jest nieoczywista i warto ją ocenić z prawnikiem lub IOD przed uruchomieniem.

Co jeśli AI pracuje tylko w tle i pacjent nigdy go nie widzi?

To pytanie pojawia się najczęściej. Placówka wdraża AI do wewnętrznej analizy dokumentacji, statystyki oddziałowej albo wspomagania procesu wystawiania e-recept. Pacjent nie widzi żadnego interfejsu AI. Czy nadal trzeba go informować?

Odpowiedź zależy od tego, co AI robi z danymi.

• AI przetwarza dane w pełni zanonimizowane, bez możliwości powiązania z konkretną osobą: obowiązek informacyjny z RODO nie powstaje.
• AI przetwarza dane pseudonimizowane albo takie, które da się powiązać z pacjentem: RODO obejmuje te dane, klauzula powinna o tym wspominać.
• Wynik działania AI wpływa na decyzję o kolejności leczenia, priorytecie zgłoszenia lub sposobie opieki nad konkretnym pacjentem: transparentność jest uzasadniona, nawet gdy nie jest wprost wymagana przez konkretny przepis.

U jednego z naszych klientów wdrożono AI do analizy wyników CRP i morfologii, który oznaczał zlecenia pilne bezpośrednio w systemie LIS. AI nie rozmawiał z pacjentami, działał wyłącznie po stronie laboratorium. Mimo to placówka zdecydowała się dodać jedno zdanie do klauzuli informacyjnej. Powód był prosty: gdyby pacjent zapytał, dlaczego jego wynik trafił do lekarza szybciej niż inne, byłoby czym odpowiedzieć i nie byłoby żadnego problemu.

Rola IOD przy wdrożeniu AI

Inspektor Ochrony Danych w placówce medycznej ma obowiązek uczestniczyć w ocenie nowych sposobów przetwarzania danych. Przy wdrożeniu AI oznacza to kilka konkretnych zadań.

• Ocena, czy nowy system AI wymaga przeprowadzenia DPIA, czyli oceny skutków dla ochrony danych. Przy AI przetwarzającym dane zdrowotne na dużą skalę DPIA jest zazwyczaj obowiązkowa.
• Weryfikacja treści klauzuli informacyjnej przed uruchomieniem systemu.
• Sprawdzenie umowy powierzenia przetwarzania z dostawcą AI, w tym czy obejmuje zobowiązania wynikające z RODO i AI Act.
• Opiniowanie aktualizacji polityki bezpieczeństwa danych w kontekście nowego systemu.
• Rejestr czynności przetwarzania, jeśli AI dodaje nowy cel przetwarzania danych pacjentów.

Jeśli twoja placówka korzysta z zewnętrznego IOD, poinformuj go o planowanym wdrożeniu AI na etapie wyboru dostawcy. Nie po uruchomieniu.

Jak zorganizować informowanie pacjentów w praktyce?

Cztery miejsca, gdzie pacjent powinien zobaczyć informację o AI, jeśli twoja placówka go wdraża:

• Klauzula informacyjna przy rejestracji: papierowa lub elektroniczna, przekazywana przy pierwszym kontakcie z placówką.
• Polityka prywatności na stronie internetowej: szczegółowy opis systemów AI, celów przetwarzania i podstaw prawnych.
• Przy uruchomieniu chatbota lub voicebota: komunikat tekstowy lub głosowy, że rozmówca to system automatyczny.
• Tablica informacyjna przy recepcji: jeśli AI zarządza kolejką lub priorytetyzuje zgłoszenia, jedno zdanie w widocznym miejscu wystarczy.

Aktualizację klauzuli informacyjnej warto przeprowadzić zanim AI trafi do produkcji. Korekta po wdrożeniu jest możliwa, ale wymaga ponownego poinformowania pacjentów, którzy klauzulę już dostali. To dodatkowa logistyka, której łatwo uniknąć.

Od czego zacząć

Zrób z IOD przegląd wszystkich systemów AI, które placówka już używa lub planuje wdrożyć. Dla każdego z nich odpowiedz na trzy pytania: czy przetwarza dane osobowe pacjentów, czy wpływa na decyzje dotyczące konkretnej osoby, czy wchodzi w bezpośrednią interakcję z pacjentem. Na podstawie odpowiedzi ustalasz, które dokumenty wymagają aktualizacji i w jakiej kolejności.

Jeśli chcesz sprawdzić, które procesy w twojej placówce wymagają zmian w dokumentacji przy wdrożeniu AI, umów się na bezpłatny audyt. Możesz też zobaczyć, jak inne placówki podeszły do kwestii transparentności i zgody w naszych realnych wdrożeniach.