Einwilligung des Patienten durch KI-gestützte Dokumentation gemäß PIPEDA und HIPAA

Die Einwilligung von Patienten durch KI-gestützte Dokumentation ist nicht einheitlich. Es handelt sich um einen datenschutzrechtlichen Prozess, der davon abhängt, welches Gesetz gilt, welche Daten das Tool erfasst, warum die Klinik es einsetzt, welcher Anbieter und welche Subunternehmer die Daten erhalten, ob Audioaufnahmen gespeichert werden und ob die Informationen für weitere Zwecke verwendet werden.

Der wichtigste Unterschied liegt darin: PIPEDA stellt die Einwilligung des Patienten grundsätzlich in den Mittelpunkt der Erhebung, Nutzung und Weitergabe personenbezogener Daten, während HIPAA die Nutzung oder Weitergabe geschützter Gesundheitsdaten für Behandlungs-, Abrechnungs- und Verwaltungszwecke häufig ohne separate Einwilligung des Patienten erlaubt. HIPAA verlangt jedoch weiterhin eine gültige Einwilligung, wenn die geplante Nutzung oder Weitergabe nicht anderweitig zulässig ist. Darüber hinaus können weitere Bundes-, Landes-, Provinz-, Berufs- oder Aufzeichnungsgesetze zusätzliche Einwilligungspflichten beinhalten.

Rechtlicher Hinweis: Dieser Artikel dient ausschließlich allgemeinen Informationszwecken und stellt keine Rechtsberatung dar. PIPEDA und HIPAA gelten nicht für jede Klinik in gleicher Weise. Anforderungen können sich auch aus den Datenschutzgesetzen der Provinzen im Gesundheitswesen, den Datenschutz- und Aufzeichnungsgesetzen der US-Bundesstaaten, berufsständischen Vorschriften, Verträgen mit Kostenträgern und den internen Richtlinien der Klinik ergeben. Kliniken sollten sich vor Änderungen ihrer Einwilligungs- oder Dokumentationspraktiken von qualifizierten Datenschutz- oder Rechtsberatern beraten lassen.

Zunächst muss geklärt werden, welches Datenschutzgesetz Anwendung findet.

In Kanada gilt PIPEDA für private Unternehmen, die im Rahmen ihrer Geschäftstätigkeit personenbezogene Daten verarbeiten, sofern die im Gesetz festgelegten Umstände dies zulassen. Alberta, British Columbia und Quebec haben im Wesentlichen ähnliche Gesetze für den privaten Sektor, und mehrere Provinzen verfügen über spezielle Datenschutzgesetze für den Gesundheitsbereich. PIPEDA kann weiterhin auf den interprovinziellen oder internationalen Handel mit personenbezogenen Daten sowie auf bundesweit regulierte Organisationen Anwendung finden. Kliniken sollten die geltenden Bundes- und Provinzbestimmungen ermitteln, bevor sie ihre Einwilligungserklärung erstellen.

In den Vereinigten Staaten gilt HIPAA für Krankenversicherungen, Abrechnungsstellen im Gesundheitswesen und Gesundheitsdienstleister, die bestimmte elektronische Transaktionen durchführen, sowie deren Geschäftspartner. Ein Produkt unterliegt nicht automatisch HIPAA, nur weil es gesundheitsbezogene Daten verarbeitet. Die Klinik muss prüfen, ob sie als betroffene Einrichtung gilt, ob der Anbieter der KI-gestützten Dokumentationssoftware als Geschäftspartner agiert und ob andere Gesetze Daten schützen, die nicht unter HIPAA fallen.

Vor der Einführung bestätigen:

Welche Organisation kontrolliert die Patientendaten und welches Gesetz oder welche Gesetze regeln dies?
Unabhängig davon, ob das Tool Live-Audio aufzeichnet, ein Transkript erstellt, nur eine Notiz generiert oder eine dieser Aufzeichnungen speichert.
Unabhängig davon, ob Daten die Systeme der Klinik verlassen, eine Provinz- oder Landesgrenze überschreiten oder Unterauftragnehmer erreichen.
Ob der Anbieter identifizierbare Informationen nur zur Erbringung der Dienstleistung oder auch für Analysen, Produktverbesserungen oder Modelltraining verwendet.

PIPEDA: Eine aussagekräftige Einwilligung ist mehr als eine Mitteilung.

Soweit PIPEDA Anwendung findet, wird von einer Organisation grundsätzlich erwartet, dass sie eine aussagekräftige Einwilligung zur Erhebung, Nutzung und Weitergabe personenbezogener Daten einholt. Eine Einwilligung ist nur dann aussagekräftig, wenn eine vernünftige Person Art, Zweck und Folgen der jeweiligen Vorgehensweise verstehen würde. Ein Hinweisschild am Empfang oder eine versteckte Klausel in der Datenschutzerklärung reichen möglicherweise nicht aus, wenn die wichtigen Fakten dem Patienten nicht deutlich gemacht werden.

Bei einem KI-gestützten Protokollanten sollte das Einwilligungsgespräch vier Elemente betonen:

Was wird erfasst – zum Beispiel ein Audiostream, ein Transkript, ein Entwurf einer Notiz, Kennungen und technische Protokolle.
Wer erhält es – einschließlich der Klinik, des Anbieters von KI-gestützten Schreibdiensten, des Hosting-Anbieters und relevanter Unterauftragnehmer.
Warum diese Daten erhoben, verwendet oder weitergegeben werden – beispielsweise zur Erstellung eines Entwurfs einer klinischen Notiz zur Überprüfung durch den Arzt.
Wesentliche Risiken und Folgen – einschließlich Aufbewahrung, grenzüberschreitender Verarbeitung, möglichem unberechtigtem Zugriff und den Folgen, wenn der Patient die Einwilligung ablehnt oder widerruft.

Die Form der Einwilligung sollte der Sensibilität der Informationen und den berechtigten Erwartungen des Patienten Rechnung tragen. Gesundheitsdaten sind generell sensibel, daher kann eine ausdrückliche Einwilligung angebracht sein, insbesondere wenn das Tool ein Gespräch aufzeichnet, eine unerwartete dritte Person einbezieht, ein relevantes Restrisiko für Schäden birgt oder eine über die direkte Dokumentation hinausgehende Nutzung vorsieht. Eine Einwilligung kann eine unangemessene oder unnötige Praxis nicht in eine akzeptable verwandeln.

Patienten können ihre Einwilligung unter Einhaltung gesetzlicher oder vertraglicher Bestimmungen und einer angemessenen Frist widerrufen. Ein Widerruf erfordert nicht zwangsläufig die Löschung einer abgeschlossenen Patientenakte, wenn diese aufgrund gesetzlicher oder berufsständischer Bestimmungen aufbewahrt werden muss. Die Klinik sollte zwischen der Verhinderung zukünftiger KI-gestützter Datenerfassung und der Aufbewahrung der offiziellen Patientenakte unterscheiden.

PIPEDA-Pflichten, die auch nach der Zustimmung fortbestehen

Privater Beratungsraum für das Gespräch mit dem Patienten über die Einwilligung durch einen KI-gestützten Protokollanten vorbereitet

Einwilligung ist nur eines der zehn Grundsätze für faire Information gemäß PIPEDA. Ein rechtssicheres KI-gestütztes Schreibprogramm sollte außerdem Folgendes berücksichtigen:

Verantwortlichkeit: Einen Datenschutzbeauftragten ernennen, Entscheidungen dokumentieren, eine Datenschutz-Folgenabschätzung und eine Bedrohungsanalyse durchführen und den Anbieter überwachen.
Zweckbindung und Datenminimierung: Es werden nur die Daten erhoben, die für den dokumentierten Zweck erforderlich sind; für einen neuen Zweck wird bei Bedarf eine erneute Einwilligung eingeholt; unvereinbare Sekundärnutzungen sind zu untersagen.
Aufbewahrung: Festlegen, wie lange Audiodateien, Transkripte, Entwürfe, Protokolle und finalisierte Notizen aufbewahrt und wie diese jeweils sicher gelöscht werden.
Verarbeitung durch Dritte: Verträge oder andere Maßnahmen einsetzen, die einen vergleichbaren Schutz gewährleisten, die Nutzung durch den Auftragsverarbeiter einschränken, grenzüberschreitende Risiken bewerten und transparent sein, wenn Informationen im Ausland verarbeitet werden können.
Schutzmaßnahmen: Es werden administrative, physische und technische Schutzmaßnahmen eingesetzt, die der Sensibilität der Gesundheitsinformationen angemessen sind, einschließlich Zugriffskontrollen, Verschlüsselung, wo angebracht, Protokollierung von Audits, Schulungen und Reaktion auf Vorfälle.
Zugang und Genauigkeit: Unterstützung von Patientenzugriffs- und Korrekturanfragen und Sicherstellung, dass KI-generierte Informationen überprüft werden, bevor sie Teil der Patientenakte werden.
Reaktion bei Datenschutzverletzungen: Datenschutzverletzungen, die ein reales Risiko erheblicher Schäden darstellen, sind dem Büro des Datenschutzbeauftragten von Kanada zu melden. Betroffene Personen sind gegebenenfalls zu benachrichtigen. Aufzeichnungen über jede Datenschutzverletzung sind zwei Jahre lang aufzubewahren.

HIPAA: Einwilligung ist nicht dasselbe wie Autorisierung

Gemäß den HIPAA-Datenschutzbestimmungen dürfen Einrichtungen, die dem HIPAA unterliegen, geschützte Gesundheitsdaten grundsätzlich für Behandlungs-, Abrechnungs- und Verwaltungszwecke nutzen oder weitergeben, ohne eine separate Einwilligung des Patienten einzuholen. HIPAA erlaubt, aber verpflichtet Einrichtungen nicht dazu, ein Verfahren zur freiwilligen Einwilligung für diese Aktivitäten einzurichten. Das bedeutet, dass eine Klinik nicht angeben sollte, dass HIPAA die Unterzeichnung eines Einwilligungsformulars für die Nutzung eines KI-gestützten Protokolls durch den Patienten stets vorschreibt.

Eine HIPAA-Autorisierung ist anders. Sie ist erforderlich für Nutzungen oder Offenlegungen, die nach der Datenschutzregel nicht zulässig sind, und muss bestimmte Angaben enthalten, darunter die betroffenen Informationen, wer diese offenlegen und erhalten darf, den Zweck sowie ein Ablaufdatum oder -ereignis. Eine kurze Mitteilung eines KI-gestützten Schreibers oder eine allgemeine Einwilligung zur Behandlung ersetzen keine gültige Autorisierung, wenn diese gesetzlich vorgeschrieben ist.

Die Vereinbarung mit Geschäftspartnern ist von zentraler Bedeutung.

Ein Arzt überprüft die Dokumentation des KI-gestützten Dokumentationssystems, bevor er Notizen in die Patientenakte einträgt.

Ein Anbieter von KI-gestützten Dokumentationsdiensten, der im Auftrag einer HIPAA-konformen Einrichtung geschützte Gesundheitsdaten erstellt, empfängt, verwaltet oder übermittelt, gilt in der Regel als Geschäftspartner. Die Parteien benötigen eine HIPAA-konforme Vereinbarung zur Geschäftspartnerschaft, bevor der Dienst geschützte Gesundheitsdaten verarbeitet. Ein Cloud-Anbieter, der verschlüsselte elektronische Gesundheitsdaten (ePHI) im Auftrag der Klinik speichert, kann ebenfalls als Geschäftspartner gelten, selbst wenn er nicht über den Entschlüsselungsschlüssel verfügt.

Die Klinik sollte überprüfen, ob die Vereinbarung und die Servicekonfiguration Folgendes beinhalten:

Zulässige und erforderliche Verwendungen und Offenlegungen, wobei keine unabhängige Verwendung von PHI außerhalb des Vertrags und der Datenschutzbestimmungen gestattet ist.
Administrative, physische und technische Sicherheitsvorkehrungen sowie Verantwortung für Zugriffskontrolle, Verschlüsselung, Datensicherung und Verfügbarkeit.
Meldung von Verstößen und Sicherheitsvorfällen, einschließlich eines vertraglich vereinbarten Zeitplans, der es der Klinik ermöglicht, ihre eigenen Fristen einzuhalten.
Verpflichtungen von Subunternehmern, Rückgabe oder Vernichtung von PHI bei Beendigung des Arbeitsverhältnisses sowie Unterstützung bei Zugriffs-, Änderungs- und Abrechnungspflichten.

Eine Vereinbarung mit Geschäftspartnern ist erforderlich, wenn dies nach HIPAA vorgeschrieben ist. Sie ist jedoch kein Nachweis dafür, dass das Produkt, die Konfiguration oder der Klinikablauf den HIPAA-Bestimmungen entspricht. Das US-Gesundheitsministerium (HHS) zertifiziert keine spezifischen KI-gestützten Dokumentationsprodukte als „HIPAA-konform“. Jede regulierte Organisation muss ihre eigene Risikoanalyse durchführen und angemessene und geeignete Schutzmaßnahmen implementieren.

HIPAA-Sicherheit und Reaktion auf Datenschutzverletzungen

Die HIPAA-Sicherheitsrichtlinie verpflichtet betroffene Einrichtungen und Geschäftspartner, die Vertraulichkeit, Integrität und Verfügbarkeit elektronischer Gesundheitsdaten (ePHI) durch administrative, physische und technische Sicherheitsvorkehrungen zu schützen. Eine Risikoanalyse ist dabei unerlässlich: Die Klinik sollte erfassen, wo ePHI erstellt, empfangen, gespeichert und übermittelt wird, und anschließend vorhersehbare Bedrohungen und Schwachstellen beheben.

Der HIPAA-Standard der minimalen Notwendigkeit verlangt grundsätzlich angemessene Anstrengungen, um die Verarbeitung von PHI auf das für den jeweiligen Zweck erforderliche Maß zu beschränken. Die Weitergabe von Daten zwischen Leistungserbringern zu Behandlungszwecken ist von diesem Standard jedoch ausgenommen. Auch bei der Implementierung eines KI-gestützten Dokumentationssystems sollte rollenbasierter Zugriff verwendet und die Verarbeitung durch externe Dienstleister auf den vereinbarten Zweck beschränkt werden.

Wird der Schutz ungesicherter Gesundheitsdaten (PHI) verletzt, kann die HIPAA-Regel zur Meldung von Datenschutzverletzungen eine Benachrichtigung der betroffenen Personen, des US-Gesundheitsministeriums (HHS) und in manchen Fällen der Medien vorschreiben. Ein Geschäftspartner muss die betroffene Stelle unverzüglich, spätestens jedoch 60 Kalendertage nach Entdeckung des Vorfalls, benachrichtigen. Der Vertrag sollte jedoch in der Regel eine kürzere Benachrichtigungsfrist vorsehen, damit die Klinik Zeit für die Untersuchung und Reaktion hat.

Was Patienten vor dem Einsatz eines KI-gestützten Schreibers mitgeteilt werden sollte

Unabhängig davon, ob es sich bei dem rechtlichen Mechanismus um eine aussagekräftige Einwilligung, eine HIPAA-Mitteilung, ein freiwilliges Präferenzverfahren oder eine formelle Genehmigung handelt, sollte die Patientenkommunikation der jeweiligen Technologie und den Verträgen entsprechen. Kliniken sollten darauf vorbereitet sein, Folgendes zu erläutern:

Das Tool unterstützt die Dokumentation und ersetzt nicht den Arzt.
Ob es live zuhört, Audio aufzeichnet, ein Transkript erstellt oder nur einen Notizentwurf generiert.
Wer prüft den Entwurf und wann wird er Teil der Patientenakte?
Welche Organisationen verarbeiten die Informationen und wo findet die Verarbeitung statt?
Wie lange Audiodateien, Transkripte, Entwürfe und Protokolle aufbewahrt werden.
Ob identifizierbare Daten für das Modelltraining oder für andere sekundäre Zwecke verwendet werden.
Welche Wahlmöglichkeiten der Patient hat und was passiert, wenn der Patient ablehnt.
Wie Sie eine Frage zum Datenschutz stellen, Auskunft oder Berichtigung beantragen oder eine Beschwerde einreichen können.

Kliniken sollten ihren Patienten vor jeder KI-gestützten Aufzeichnung eine leicht verständliche Informationsquelle zur Verfügung stellen, damit die Patienten Fragen stellen und eine informierte Entscheidung treffen können.

Patientenorientierte Skripte, die Kliniken anpassen können

Patient und Arzt besprechen in einer vertraulichen Beratung die Einwilligung des Patienten zur Nutzung eines KI-gestützten Schreibers.

PIPEDA-orientiertes Beispiel

„Ich nutze eine KI-gestützte Dokumentation, um einen Entwurf Ihres Besuchsberichts zu erstellen. Diese verarbeitet unser Gespräch zu diesem Zweck, und ich überprüfe und korrigiere den Bericht, bevor er in Ihre Patientenakte aufgenommen wird. Unsere Klinik kann Ihnen erläutern, welche Informationen erfasst werden, welche Dienstleister sie verarbeiten, wo die Verarbeitung stattfindet, wie lange Audio- oder Transkriptaufnahmen gespeichert werden und welche Datenschutzrisiken bestehen. Sie können Fragen stellen oder die Unterstützung durch die KI ablehnen; wir können den Besuch auch auf andere Weise dokumentieren.“

Die Klinik sollte nur verifizierte Aussagen hinzufügen. Falls keine Audioaufnahmen gespeichert werden, ist dies anzugeben. Werden Informationen außerhalb Kanadas verarbeitet, ist dies klar zu erläutern. Hätte eine Verweigerung konkrete betriebliche Konsequenzen, sind diese zu beschreiben, ohne den Patienten unter Druck zu setzen.

HIPAA-orientiertes Beispiel

„Ich nutze einen KI-gestützten Dokumentationsdienst, der mir hilft, einen Entwurf für den Besuchsbericht zu erstellen, damit ich mich ganz auf unser Gespräch konzentrieren kann. Ich überprüfe den Bericht, bevor er in Ihre Akte aufgenommen wird. Der Dienst verarbeitet Gesundheitsdaten unserer Klinik unter Einhaltung aller Datenschutzbestimmungen. Bei Fragen oder falls Sie eine manuelle Dokumentation bevorzugen, können Sie sich gerne an mich wenden.“

Dieses Skript dient als Kommunikationsbeispiel und stellt keine HIPAA-Genehmigung dar. Plant die Klinik eine Nutzung oder Weitergabe, die eine Genehmigung erfordert, muss sie ein Dokument verwenden, das den Datenschutzbestimmungen und allen anderen anwendbaren Gesetzen entspricht.

Was passiert, wenn ein Patient ablehnt?

Eine Klinik sollte vor der Einführung festlegen, wie sich eine Ablehnung auf den Besuch auswirkt. Selbst wenn HIPAA keine Genehmigung für die zugrunde liegende Datennutzung vorschreibt, kann eine Klinik eine Opt-out-Option anbieten, und ein anderes Gesetz oder ein berufsständischer Standard kann eine Einwilligung erfordern. Gemäß PIPEDA sollte ein Patient eine echte Wahlmöglichkeit hinsichtlich nicht unbedingt notwendiger Datenerhebung, -nutzung oder -weitergabe haben.

Der Arbeitsablauf sollte Folgendes definieren:

Ob der Arzt auf manuelle Dokumentation umstellt, ohne die Versorgung zu beeinträchtigen.
Wie die Präferenz den Kliniker erreicht, bevor die Datenerfassung beginnt.
Ob die Präferenz für einen einzelnen Besuch oder für zukünftige Besuche gilt und wie sie geändert werden kann.
Wie das Personal vermeidet, die Behandlung von optionalen Datenpraktiken abhängig zu machen oder den Patienten unter Druck zu setzen.
Wie mit Minderjährigen, Stellvertreterentscheidungsträgern, virtuellen Besuchen, Dolmetschern und sensiblen Begegnungen umgegangen wird.

Die Mitarbeiter sollten die Datenerfassung umgehend beenden, wenn der Arbeitsablauf dies erfordert, und die Präferenz dokumentieren, ohne unnötige Details in die Patientenakte aufzunehmen.

Was die Klinik dokumentieren sollte

Eine zuverlässige Dokumentation sollte sowohl den patientenbezogenen Schritt als auch die damit verbundenen Compliance-Maßnahmen aufzeigen. Je nach geltendem Recht und geltenden Richtlinien ist Folgendes zu dokumentieren:

Die rechtliche und politische Analyse, die zur Auswahl von Benachrichtigung, Einwilligung, Widerspruch oder Autorisierung herangezogen wird.
Das genehmigte Skript oder Formular, das Versionsdatum, die Sprachoptionen und die Barrierefreiheitseinstellungen.
Wann und wie der Patient informiert wurde, seine Reaktion sowie etwaige Abbrüche oder Ablehnungen.
Datenflussdiagramm, Bewertung der Auswirkungen auf Datenschutz und Sicherheit, Lieferantenprüfung und Genehmigungsberechtigter.
Die PIPEDA-Verarbeitungsbedingungen bzw. die HIPAA-Geschäftspartnervereinbarung und die entsprechenden Verpflichtungen gegenüber Unterauftragnehmern.
Aufbewahrungs- und Löschfristen für Audiodateien, Transkripte, Entwürfe, finalisierte Notizen und Protokolle.
Die Verfahren für Zugang, Berichtigung, Beschwerde, Sicherheitsvorfälle und Reaktion auf Datenschutzverletzungen.

Fragen von Anbietern gemäß PIPEDA und HIPAA

Ein Einwilligungsformular kann eine unklare Vereinbarung mit einem Dienstleister nicht ausgleichen. Vor der Genehmigung sollte die Klinik konkrete, schriftliche Antworten auf folgende Fragen einholen:

Welche genauen Datenelemente werden erfasst, generiert, gespeichert und protokolliert?
Wird Audio gestreamt, aufgezeichnet, gespeichert oder unmittelbar nach der Verarbeitung gelöscht?
Welche Entitäten und Unterauftragnehmer haben Zugriff auf die Daten und in welchen Ländern?
Darf der Anbieter identifizierbare, pseudonymisierte oder anonymisierte Daten für das Modelltraining oder die Produktverbesserung verwenden?
Welche Einstellungen deaktivieren die Zweitnutzung, und sind diese im Vertrag festgehalten?
Wie werden Benutzer authentifiziert, Berechtigungen eingeschränkt, Aktivitäten protokolliert, Daten verschlüsselt und Backups geschützt?
Wie schnell wird der Anbieter einen vermuteten Vorfall oder eine Sicherheitsverletzung melden, und welche Beweise wird er vorlegen?
Wie unterstützt der Anbieter Zugriff, Berichtigung, Export, Aufbewahrungspflichten, Löschung und Vertragsbeendigung?

Bevor die Klinik ein KI-gestütztes Dokumentationstool einsetzt, sollte sie eine eigene Datenschutz- und Sicherheitsprüfung durchführen, die Vertragsbedingungen bestätigen und ein Protokoll ihrer Bewertung führen.

Häufig gestellte Fragen

Ist für jeden KI-gestützten Schreiber die Einwilligung des Patienten erforderlich?

Es gibt keine allgemeingültige Antwort. PIPEDA verlangt grundsätzlich eine aussagekräftige Einwilligung, wenn es um die Erhebung, Nutzung oder Weitergabe von Daten geht, vorbehaltlich gesetzlicher Ausnahmen. HIPAA erfordert keine separate Einwilligung des Patienten für zulässige Behandlungen, Zahlungen oder sonstige Vorgänge im Gesundheitswesen, kann aber für andere Nutzungen oder Weitergaben eine Einwilligung vorschreiben. Provinzielle, staatliche, aufzeichnungsrechtliche und berufsständische Vorschriften können zusätzliche Anforderungen stellen.

Ist eine HIPAA-Geschäftspartnervereinbarung ausreichend?

Nein. Eine BAA ist erforderlich, wenn der Anbieter ein Geschäftspartner ist, aber die Klinik muss auch den zulässigen Zweck bestätigen, das Tool entsprechend konfigurieren, eine Risikoanalyse durchführen, Schutzmaßnahmen anwenden, Mitarbeiter schulen, Patientenrechte wahren und sich auf Vorfälle und Verstöße vorbereiten.

Reicht die Einwilligung nach PIPEDA aus?

Nein. Die Organisation bleibt für die Einhaltung der Bestimmungen zu zulässigen Zwecken, die begrenzte Datenerhebung, die Richtigkeit der Daten, die Sicherheitsvorkehrungen, die Transparenz, den Zugang, die Aufbewahrung, die Überwachung von Dienstleistern und die Reaktion auf Datenschutzverletzungen verantwortlich. Die Einwilligung stellt keinen Verzicht auf diese Pflichten dar.

Können Patientendaten zum Trainieren eines KI-Modells verwendet werden?

Gehen Sie nicht davon aus, dass die Einwilligung zur Dokumentation oder eine allgemeine Vereinbarung zur Auftragsverarbeitung (BAA) die Schulung von Modellen erlaubt. Gemäß PIPEDA kann für einen neuen Zweck eine erneute, aussagekräftige Einwilligung erforderlich sein, die weiterhin angemessen sein muss. Gemäß HIPAA darf ein Geschäftspartner geschützte Gesundheitsdaten (PHI) nur im Rahmen seiner BAA und der Datenschutzbestimmungen verwenden. Jede Verwendung anonymisierter Daten sollte anhand der geltenden Rechtsnormen und des Vertrags geprüft werden.

Spielen Aufzeichnungsgesetze heute noch eine Rolle?

Ja. Falls das Tool Audio aufzeichnet oder abfängt, können bundesstaatliche, provinzielle oder einzelstaatliche Gesetze zur Aufzeichnung und zum Abhören von Telefongesprächen unabhängig von PIPEDA oder HIPAA Anwendung finden. Kliniken sollten prüfen, ob die Einwilligung einer oder aller Beteiligten erforderlich ist und ob die virtuelle Behandlung eine weitere Rechtsordnung zur Folge hat.

Unter dem Strich

Ein effektiver KI-gestützter Einwilligungsprozess basiert auf geltendem Recht, nicht auf einem Standardformular. Gemäß PIPEDA liegt der Fokus auf einer aussagekräftigen Einwilligung, angemessenen Verwendungszwecken, Verantwortlichkeit, Aufsicht über den Datenverarbeiter, Sicherheitsvorkehrungen, Zugriff, Aufbewahrung und Dokumentation von Datenschutzverletzungen. Gemäß HIPAA ist zwischen freiwilliger Einwilligung und erforderlicher Autorisierung zu unterscheiden, die passende Vereinbarung mit einem Geschäftspartner abzuschließen, eine Risikoanalyse durchzuführen, den Umgang mit geschützten Gesundheitsdaten (PHI) auf zulässige Verwendungszwecke zu beschränken und sich auf die Meldung von Datenschutzverletzungen vorzubereiten. In beiden Systemen müssen Patienten darüber informiert werden, was tatsächlich mit ihren Daten geschieht, und der behandelnde Arzt ist für die abschließende Dokumentation verantwortlich.