Consentement du patient par IA Scribe en vertu de la LPRPDE et de la LIPAA

Le consentement du patient pour la prise de notes par IA ne se résume pas à un formulaire unique et universel. Il s'agit d'un processus de confidentialité qui dépend de la loi applicable, des données collectées par l'outil, de la finalité de son utilisation par la clinique, des fournisseurs et sous-traitants qui reçoivent ces données, de la conservation ou non des enregistrements audio et de l'utilisation éventuelle des informations à des fins secondaires.

La principale distinction est la suivante : la LPRPDE accorde généralement une place centrale au consentement éclairé pour la collecte, l’utilisation et la communication des renseignements personnels, tandis que la LIPAA autorise souvent l’utilisation ou la communication de renseignements médicaux protégés à des fins de traitement, de paiement et d’activités liées aux soins de santé sans autorisation distincte du patient. La LIPAA exige toutefois une autorisation valide lorsque l’utilisation ou la communication proposée n’est pas permise autrement, et d’autres lois fédérales, provinciales, professionnelles ou relatives à l’enregistrement des données peuvent imposer des exigences en matière de consentement.

Avertissement légal : Cet article est fourni à titre informatif seulement et ne constitue pas un avis juridique. La LPRPDE et la LPIDA ne s’appliquent pas de la même façon à toutes les cliniques. Des exigences peuvent également s’appliquer en vertu des lois provinciales sur la protection des renseignements personnels en matière de santé, des lois des États américains sur la protection des renseignements personnels et l’enregistrement des données, des règles professionnelles, des contrats avec les payeurs et des politiques organisationnelles. Les cliniques devraient consulter un conseiller juridique ou un avocat spécialisé en protection des renseignements personnels avant de modifier leurs pratiques en matière de consentement ou de documentation.

Il faut d'abord déterminer quelle loi sur la protection de la vie privée s'applique.

Au Canada, la LPRPDE s’applique aux organisations du secteur privé qui traitent des renseignements personnels dans le cadre d’activités commerciales, conformément aux dispositions de la Loi. L’Alberta, la Colombie-Britannique et le Québec ont des lois similaires pour le secteur privé, et plusieurs provinces ont des lois sur la protection des renseignements personnels propres au secteur de la santé. La LPRPDE peut également s’appliquer aux flux commerciaux interprovinciaux ou internationaux de renseignements personnels et aux organisations sous réglementation fédérale. Une clinique devrait recenser les règles fédérales et provinciales applicables avant de concevoir son formulaire de consentement.

Aux États-Unis, la loi HIPAA s'applique aux organismes d'assurance maladie, aux centres de traitement des données de santé et aux professionnels de santé qui effectuent certaines transactions électroniques, ainsi qu'à leurs partenaires commerciaux. Un produit ne devient pas automatiquement soumis à la loi HIPAA du seul fait qu'il traite des informations de santé. La clinique doit déterminer si elle est une entité concernée, si le fournisseur de la solution de transcription assistée par ordinateur agit en tant que partenaire commercial et si d'autres lois protègent les données non couvertes par la loi HIPAA.

Avant le déploiement, veuillez confirmer :

Quelle organisation contrôle les informations des patients et quelle(s) loi(s) les régit(ent) ?
Que l'outil capture l'audio en direct, crée une transcription, génère uniquement une note ou conserve l'un de ces enregistrements.
Que les données quittent les systèmes de la clinique, franchissent une frontière provinciale ou nationale, ou parviennent à des sous-traitants.
Que le fournisseur utilise les informations identifiables uniquement pour fournir le service ou également à des fins d'analyse, d'amélioration des produits ou de formation des modèles.

LPRPDE : un consentement éclairé va au-delà d’un simple avis

Lorsque la LPRPDE s'applique, une organisation est généralement tenue d'obtenir un consentement éclairé pour la collecte, l'utilisation et la communication de renseignements personnels. Le consentement est éclairé seulement si une personne raisonnable comprendrait la nature, la finalité et les conséquences de la pratique. Une simple affiche à la réception ou une clause de confidentialité peu visible pourraient ne pas suffire si elles n'attirent pas l'attention du patient sur les points importants.

Pour un scribe IA, la conversation sur le consentement devrait mettre l'accent sur quatre éléments :

Les éléments collectés comprennent par exemple un flux audio, une transcription, une note de brouillon, des identifiants et des journaux techniques.
Qui le reçoit – y compris la clinique, le fournisseur de services de transcription IA, le fournisseur d'hébergement et les sous-traitants concernés.
Pourquoi ces données sont collectées, utilisées ou divulguées – par exemple, pour générer une ébauche de note clinique destinée à être examinée par un clinicien.
Risques et conséquences matériels – notamment la conservation des données, le traitement transfrontalier, l’accès non autorisé éventuel et les conséquences d’un refus ou d’un retrait du consentement du patient.

La forme du consentement doit tenir compte du caractère sensible des informations et des attentes légitimes du patient. Les données de santé étant généralement sensibles, un consentement explicite peut s'avérer approprié, notamment lorsque l'outil enregistre une conversation, introduit un tiers imprévu, crée un risque résiduel important de préjudice ou propose une utilisation allant au-delà de la simple documentation. Le consentement ne saurait rendre acceptable une pratique inappropriée ou inutile.

Les patients peuvent retirer leur consentement, sous réserve des restrictions légales ou contractuelles et d'un préavis raisonnable. Ce retrait n'entraîne pas nécessairement la suppression du dossier médical finalisé si une autre loi ou règle professionnelle impose à la clinique de le conserver. La clinique doit faire la distinction entre l'arrêt de la collecte de données par l'IA et la conservation du dossier médical officiel.

Les obligations en vertu de la LPRPDE qui subsistent après le consentement

Salle de consultation privée préparée pour l'entretien de consentement du patient avec le scribe IA

Le consentement n'est que l'un des dix principes d'information équitable de la LPRPDE. Un programme de transcription par IA défendable devrait également aborder les points suivants :

Responsabilités : désigner un responsable de la protection de la vie privée, documenter les décisions, réaliser une évaluation d'impact sur la vie privée et une analyse des menaces, et superviser le fournisseur.
Limitation des finalités et minimisation des données : ne collecter que les données nécessaires à la finalité documentée, obtenir un nouveau consentement pour toute nouvelle finalité lorsque cela est requis et interdire les utilisations secondaires incompatibles.
Conservation : définir la durée de conservation des fichiers audio, des transcriptions, des brouillons, des journaux et des notes finalisées, ainsi que la procédure de suppression sécurisée de chacun d’eux.
Traitement par des tiers : utiliser des contrats ou d’autres mesures offrant une protection comparable, limiter l’utilisation par le sous-traitant, évaluer les risques transfrontaliers et faire preuve de transparence lorsque des informations peuvent être traitées à l’étranger.
Mesures de protection : utiliser des protections administratives, physiques et techniques adaptées à la sensibilité des informations de santé, notamment des contrôles d'accès, le chiffrement le cas échéant, la journalisation des audits, la formation et la réponse aux incidents.
Accès et exactitude : soutenir les demandes d’accès et de correction des patients et veiller à ce que les informations générées par l’IA soient examinées avant d’être intégrées au dossier clinique.
Réponse en cas d’infraction : signaler au Commissariat à la protection de la vie privée du Canada toute infraction qui crée un risque réel de préjudice important, aviser les personnes concernées au besoin et conserver un registre de chaque infraction aux mesures de protection pendant deux ans.

Loi HIPAA : le consentement n’est pas synonyme d’autorisation

En vertu de la règle de confidentialité HIPAA, un organisme assujetti peut généralement utiliser ou divulguer des renseignements médicaux protégés à des fins de traitement, de paiement et de gestion des soins de santé sans obtenir d'autorisation distincte du patient. La loi HIPAA autorise, sans l'exiger, un organisme assujetti à mettre en place une procédure de consentement éclairé pour ces activités. Par conséquent, une clinique ne doit pas affirmer que la loi HIPAA exige systématiquement la signature d'un formulaire de consentement pour l'utilisation d'un scribe IA.

Une autorisation HIPAA est différente. Elle est requise pour les utilisations ou divulgations non autorisées par la réglementation HIPAA et doit comporter des éléments spécifiques, notamment les informations concernées, les personnes autorisées à les divulguer et à les recevoir, la finalité et une date d'expiration ou un événement précis. Une brève notification rédigée par un scribe IA ou un consentement général au traitement ne remplace pas une autorisation valide lorsqu'elle est légalement requise.

L'accord de partenariat commercial est central

Un clinicien examine la documentation du scribe IA avant d'ajouter des notes au dossier d'un patient.

Un fournisseur de services de transcription IA qui crée, reçoit, conserve ou transmet des informations de santé protégées pour le compte d'une entité soumise à la loi HIPAA est généralement considéré comme un partenaire commercial. Les parties doivent conclure un accord de partenariat commercial conforme à la loi HIPAA avant que le service ne traite les informations de santé protégées. Un fournisseur de services cloud qui stocke des informations de santé électroniques cryptées pour le compte de la clinique peut également être considéré comme un partenaire commercial, même s'il ne détient pas la clé de déchiffrement.

La clinique doit vérifier que l'accord et la configuration du service abordent :

Utilisations et divulgations autorisées et requises, sans utilisation indépendante des renseignements personnels sur la santé en dehors du contrat et de la règle de confidentialité.
Mesures de protection administratives, physiques et techniques et responsabilité en matière de contrôle d'accès, de chiffrement, de sauvegardes et de disponibilité.
Signalement des violations et des incidents de sécurité, y compris un calendrier contractuel permettant à la clinique de respecter ses propres échéances.
Obligations des sous-traitants, restitution ou destruction des renseignements personnels sur la santé à la fin de la procédure, et soutien en matière d’accès, de modification et d’obligations comptables.

Un accord de partenariat commercial est nécessaire lorsque la loi HIPAA l'exige, mais il ne constitue pas une preuve de conformité du produit, de sa configuration ou du flux de travail de la clinique. Le HHS ne certifie pas la conformité des logiciels de transcription IA à la loi HIPAA. Chaque organisme réglementé doit réaliser sa propre analyse des risques et mettre en œuvre des mesures de protection raisonnables et appropriées.

Sécurité HIPAA et réponse aux violations de données

La règle de sécurité HIPAA exige des entités couvertes et de leurs partenaires commerciaux qu'ils protègent la confidentialité, l'intégrité et la disponibilité des données de santé électroniques protégées (ePHI) au moyen de mesures administratives, physiques et techniques. L'analyse des risques est fondamentale : la clinique doit recenser les lieux de création, de réception, de conservation et de transmission des ePHI, puis prendre en compte les menaces et vulnérabilités raisonnablement prévisibles.

La norme HIPAA relative au minimum nécessaire exige généralement des efforts raisonnables pour limiter les informations de santé protégées (ISP) à ce qui est nécessaire à la finalité prévue, bien que les échanges entre professionnels de santé à des fins de traitement soient exemptés de cette norme. Dans le cadre d'une implémentation d'un système de transcription IA, il convient néanmoins d'utiliser un contrôle d'accès basé sur les rôles et de limiter le traitement par le fournisseur à la finalité convenue.

En cas de violation de données de santé protégées non sécurisées, la règle de notification des violations de la loi HIPAA peut exiger une notification aux personnes concernées, au HHS et, dans certains cas, aux médias. Un partenaire commercial doit notifier l'entité couverte sans délai injustifié et au plus tard 60 jours calendaires après la découverte de la violation, bien que le contrat prévoie généralement un délai de notification plus court afin de laisser à la clinique le temps d'enquêter et de réagir.

Quelles informations faut-il donner aux patients avant d'utiliser un assistant vocal IA ?

Que le mécanisme juridique soit le consentement éclairé, une notification HIPAA, une procédure de choix volontaire ou une autorisation formelle, la communication avec le patient doit être en adéquation avec la technologie et les contrats utilisés. Les cliniques doivent être prêtes à expliquer :

L'outil sert à documenter les informations et ne remplace pas le clinicien.
Qu'il s'agisse d'écouter en direct, d'enregistrer l'audio, de créer une transcription ou de générer uniquement une ébauche de note.
Qui examine le projet et à quel moment est-il intégré au dossier médical ?
Quelles sont les organisations qui traitent l'information et où ce traitement a-t-il lieu ?
Durée de conservation des fichiers audio, des transcriptions, des brouillons et des journaux.
Que les données identifiables soient utilisées pour l'entraînement du modèle ou à toute autre fin secondaire.
Quels sont les choix du patient et que se passe-t-il s'il refuse ?
Comment poser une question relative à la protection de la vie privée, demander l'accès ou la rectification de vos données, ou déposer une plainte.

Les cliniques devraient fournir aux patients une ressource en langage clair avant tout enregistrement assisté par IA, afin qu'ils puissent poser des questions et faire un choix éclairé.

Scripts destinés aux patients que les cliniques peuvent adapter

Le patient et le clinicien discutent du consentement du patient à l'utilisation d'un scribe IA lors d'une consultation privée

Exemple axé sur la LPRPDE

« J’utilise un outil de transcription IA pour préparer une première version de votre compte rendu de consultation. Cet outil traite notre conversation à cette fin, et je relis et corrige le compte rendu avant son ajout à votre dossier. Notre clinique peut vous expliquer quelles informations sont collectées, quels prestataires de services les traitent, où elles sont traitées, combien de temps les enregistrements audio ou les transcriptions sont conservés, et les risques liés à la confidentialité. Vous pouvez poser des questions ou choisir de ne pas utiliser l’outil de transcription ; nous pouvons documenter la consultation autrement. »

La clinique ne devrait ajouter que les déclarations qu'elle a vérifiées. Si l'enregistrement audio n'est pas conservé, veuillez le préciser. Si les renseignements sont traités à l'extérieur du Canada, veuillez l'expliquer clairement. Si un refus aurait des conséquences opérationnelles précises, veuillez les décrire sans faire pression sur le patient.

Exemple axé sur la loi HIPAA

« J’utilise un service de documentation IA pour rédiger une ébauche de compte rendu de consultation, ce qui me permet de me concentrer sur notre échange. Je relis le compte rendu avant de l’ajouter à votre dossier. Ce service gère les informations de santé de notre clinique conformément aux exigences de confidentialité et de sécurité. N’hésitez pas à poser des questions ou à me dire si vous préférez que je prenne des notes manuellement. »

Ce script est un exemple de communication et non une autorisation HIPAA. Si la clinique prévoit une utilisation ou une divulgation nécessitant une autorisation, elle doit utiliser un document conforme à la réglementation sur la protection des données personnelles et à toute autre loi applicable.

Que se passe-t-il si un patient refuse ?

Avant la mise en œuvre d'une mesure, la clinique doit déterminer l'impact d'un refus sur la consultation. Même si la loi HIPAA n'exige pas d'autorisation pour l'utilisation sous-jacente, la clinique peut proposer une option de retrait, et une autre loi ou norme professionnelle peut exiger un consentement. En vertu de la LPRPDE, le patient doit avoir un véritable choix concernant la collecte, l'utilisation ou la divulgation de ses données non essentielles.

Le flux de travail doit définir :

Que le clinicien passe à la documentation manuelle sans que cela n'affecte les soins.
Comment la préférence est communiquée au clinicien avant le début de la capture.
Que cette préférence s'applique à une seule visite ou à des visites futures et comment elle peut être modifiée.
Comment le personnel évite de conditionner les soins à des pratiques de collecte de données facultatives ou de faire pression sur le patient.
Comment sont gérés les cas de mineurs, de personnes désignées pour prendre des décisions à leur place, de visites virtuelles, d'interprètes et de situations délicates.

Le personnel doit interrompre rapidement la capture lorsque le flux de travail l'exige et documenter cette préférence sans ajouter de détails inutiles au dossier clinique.

Ce que la clinique devrait documenter

Un registre fiable doit faire état à la fois de l'étape en contact avec le patient et du travail de conformité sous-jacent. Selon la législation et les politiques applicables, documentez :

L’analyse juridique et politique utilisée pour sélectionner l’avis, le consentement, la possibilité de retrait ou l’autorisation.
Le script ou le formulaire approuvé, la date de la version, les options linguistiques et les aménagements d'accessibilité.
Quand et comment le patient a été informé, la réaction du patient et tout retrait ou refus.
Le schéma des flux de données, l'évaluation de l'impact sur la confidentialité ou des risques de sécurité, l'examen du fournisseur et le responsable de l'approbation.
Les conditions de traitement prévues par la LPRPDE ou l’accord de partenariat commercial HIPAA et les engagements pertinents des sous-traitants.
Calendriers de conservation et de suppression des fichiers audio, des transcriptions, des brouillons, des notes finalisées et des journaux.
Les procédures d'accès, de correction, de réclamation, d'incident de sécurité et de réponse aux violations de données.

Questions des fournisseurs en vertu de la LPRPDE et de la LIPAA

Un formulaire de consentement ne saurait pallier un accord ambigu avec un prestataire. Avant toute approbation, la clinique doit obtenir des réponses écrites et précises aux questions suivantes :

Quelles sont précisément les données collectées, générées, stockées et enregistrées ?
Le flux audio est-il diffusé, enregistré, conservé ou supprimé immédiatement après traitement ?
Quelles entités et quels sous-traitants peuvent accéder aux données, et dans quels pays ?
Le fournisseur peut-il utiliser des données identifiables, pseudonymisées ou dépersonnalisées pour l'entraînement du modèle ou l'amélioration du produit ?
Quels paramètres désactivent l'utilisation secondaire, et sont-ils mentionnés dans le contrat ?
Comment les utilisateurs sont-ils authentifiés, les autorisations limitées, l'activité enregistrée, les données cryptées et les sauvegardes protégées ?
Dans quel délai le fournisseur signalera-t-il un incident ou une violation de données suspectée, et quelles preuves fournira-t-il ?
Comment le fournisseur prend-il en charge l'accès, la correction, l'exportation, la conservation légale, la suppression et la résiliation du contrat ?

Avant d'utiliser un outil de documentation basé sur l'IA, la clinique doit effectuer son propre examen de confidentialité et de sécurité, confirmer les termes contractuels et conserver une trace de son évaluation.

Foire aux questions

Chaque IA de transcription nécessite-t-elle le consentement du patient ?

Il n'existe pas de réponse unique applicable partout. La LPRPDE exige généralement un consentement éclairé lorsqu'elle régit la collecte, l'utilisation ou la communication de renseignements personnels, sous réserve des exceptions prévues par la loi. La LIPAA n'exige pas d'autorisation distincte du patient pour les traitements, les paiements ou les activités de soins de santé autorisés, mais elle peut exiger une autorisation pour une autre utilisation ou communication. Les règles provinciales, étatiques, d'enregistrement et professionnelles peuvent imposer des exigences supplémentaires.

Un accord de partenariat commercial HIPAA est-il suffisant ?

Non. Un accord de partenariat commercial (BAA) est requis lorsque le fournisseur est un partenaire commercial, mais la clinique doit également confirmer l'usage autorisé, configurer l'outil de manière appropriée, effectuer une analyse des risques, appliquer des mesures de protection, former le personnel, préserver les droits des patients et se préparer aux incidents et aux violations.

Le consentement en vertu de la LPRPDE est-il suffisant ?

Non. L’organisation demeure responsable de la finalité appropriée, de la collecte limitée, de l’exactitude, des mesures de protection, de la transparence, de l’accès, de la conservation, du contrôle des fournisseurs et de la gestion des violations de données. Le consentement ne constitue pas une renonciation à ces obligations.

Les informations des patients peuvent-elles être utilisées pour entraîner un modèle d'IA ?

Ne présumez pas que le consentement écrit ou un accord de partenariat commercial général autorise la formation de modèles. En vertu de la LPRPDE, une nouvelle finalité peut exiger un nouveau consentement éclairé et doit demeurer appropriée. En vertu de la LIPAA, un partenaire commercial ne peut utiliser les renseignements personnels sur la santé que dans les limites autorisées par son accord de partenariat commercial et la règle de confidentialité. Toute utilisation de données anonymisées doit être évaluée au regard de la norme juridique applicable et du contrat.

Les lois sur l'enregistrement ont-elles encore une importance ?

Oui. Si l’outil enregistre ou intercepte des communications audio, les lois fédérales, provinciales ou étatiques sur l’enregistrement et les écoutes téléphoniques peuvent s’appliquer, indépendamment de la LPRPDE ou de la LIPAA. Les cliniques doivent vérifier si le consentement d’une seule ou de toutes les parties est requis et si les soins virtuels relèvent d’une autre juridiction.

En résumé

Un processus de consentement robuste pour la rédaction de documents par une IA commence par le respect de la loi applicable, et non par un formulaire générique. En vertu de la LPRPDE, il convient de privilégier un consentement éclairé, des finalités appropriées, la responsabilité, la supervision du sous-traitant, les mesures de protection, l'accès, la conservation et la consignation des violations de données. En vertu de la LIPAA, il est essentiel de distinguer le consentement volontaire de l'autorisation requise, de mettre en place une entente de partenariat appropriée, de réaliser une analyse des risques, de limiter l'utilisation des renseignements personnels sur la santé aux usages autorisés et de se préparer à la notification des violations de données. Dans les deux cas, il est impératif d'informer les patients du traitement de leurs renseignements et de responsabiliser le clinicien quant à la note finale.