Millioner av helsedata uten personvern: AI forsterker reguleringsgap

Stadig flere nordmenn bruker smartklokker og apper for å overvåke egen helse, og selvrapporterer symptomer til AI-verktøy – men dataene disse genererer er ofte ubeskyttet av de samme lovene som regulerer sykehusjournaler. Eksisterende lovverk, som amerikanske HIPAA, er nemlig designet for en tid da all medisinsk informasjon ble lagret i legerommets arkivskap. Dette skillet betyr at data fra en sykehusmonitor er beskyttet av strengere regler enn den samme pulsen registrert av en personlig smartklokke. Rapporten fremhever at én person kan ha to sett med data om ett hjerterytme, under to forskjellige lovverk, noe som gir to separate insentiver for innovasjon og to AI-treningsdatasett – begge med ufullstendig innsikt. Føderale myndigheter i USA har til og med aktivt utvidet dette gapet. Blant annet ved å flytte kliniske data til forbrukerapplikasjoner i stor skala, og ved å subsidiere datainnsamlende enheter som smartklokker. Dette gjør at en pasients valg om å dele data fra en sykehusportal til en forbrukerapplikasjon, effektivt fjerner personvernbeskyttelsen for disse kopiene. Forslaget fra forskerne er å modernisere lovgivningen, slik at beskyttelsen følger datatypens sensitivitet fremfor hvem som tar betalt for tjenesten. En slik endring vil gi norske arbeidsplasser som utvikler AI for helsesektoren – fra sykehus til treningsapper – et klarere rammeverk og tryggere forhold for håndtering av pasientdata. I dagens system er det dessuten lite proaktiv tilsyn: det føres sjeldent tilsyn med brudd, og den største bøten som er utstedt i USA er på 16 millioner dollar, noe som ofte er lavere enn kostnaden ved å bygge kompliserte etterlevelsessystemer.