Un producto que se detiene en la frontera estadounidense

El 23 de julio, un usuario corriente de ChatGPT en Estados Unidos pudo por primera vez poner un historial hospitalario y una pulsera de actividad en la misma ventana de conversación. OpenAI empezó a desplegar Health para usuarios registrados mayores de 18 años en web y en iOS, en los planes Free, Go, Plus y Pro. La función conecta historiales médicos electrónicos y Apple Health, junto a servicios como Function, MyFitnessPal, Weight Watchers, AllTrails, Instacart y Peloton, y puede comparar resultados de laboratorio a lo largo del tiempo, resumir qué cambió desde una cita e identificar patrones de sueño y actividad.

Por qué importa: las condiciones de privacidad son inusualmente explícitas. Las conversaciones se cifran en tránsito y en reposo, la información de salud conectada lleva un cifrado adicional, y OpenAI afirma que los historiales conectados, los datos de Apple Health y las conversaciones que los usan no se emplean para entrenar sus modelos base ni para segmentar publicidad, sea cual sea el ajuste de entrenamiento que haya elegido el usuario. Por defecto, el asistente pide permiso antes de recurrir a un historial conectado para personalizar una respuesta.

Nada de eso es lo interesante. Lo interesante es el mapa. La función existe en Estados Unidos y en ningún otro sitio, sin fecha europea anunciada y sin calendario para Android. Una empresa que despliega en cien países a la vez eligió aquí una sola jurisdicción, y eso es una declaración sobre derecho y no sobre ingeniería.

Dos sistemas que protegen cosas distintas

La norma estadounidense que rige la confidencialidad sanitaria obliga a una lista definida de actores: proveedores asistenciales, planes de salud, cámaras de compensación y las empresas que trabajan por cuenta de estos. Es una regla sobre custodios. Cuando un paciente ejerce su derecho a obtener copia de su propio historial y traslada esa copia a otro sitio, la copia sale del círculo de custodios regulados, y la empresa receptora queda obligada por lo que haya prometido en sus condiciones y no por la ley. OpenAI no es proveedor asistencial, ni aseguradora, ni encargado de esos sujetos, de modo que queda fuera de ese círculo por construcción.

La posición europea es estructuralmente distinta. Los datos relativos a la salud son categoría especial según el artículo 9 del Reglamento General de Protección de Datos, y la prohibición de tratarlos sigue a los datos y no a la organización que los tiene. Un encargado en Dublín, una empresa emergente en Lisboa y un hospital en Múnich parten de la misma regla, y cada uno necesita una condición específica antes de poder tratar. En el modelo estadounidense la protección es una propiedad del que guarda. En el modelo europeo la protección es una propiedad del historial.

Sí, pero: la posición europea no es automáticamente la mejor para la persona. Un paciente en Róterdam que de verdad quiera reunir sus propios datos encuentra una fricción que un usuario estadounidense no conoce, y la fricción tiene su propio coste en atención y en comodidad. La cuestión no es qué régimen es más amable. Es que asignan el deber a partes distintas, y un propietario necesita saber qué parte es.

Qué resolver antes de que esto llegue a su plantilla

Decida ahora si la información de salud puede entrar en cualquier asistente que su organización licencie. Informes de salud laboral, registros de absentismo, evaluaciones de reincorporación, correspondencia con aseguradoras y exportaciones de aplicaciones de bienestar son todos datos de salud en el sentido europeo, y llegan a herramientas ofimáticas corrientes mucho más a menudo de lo que admiten la mayoría de las políticas. Nombre las herramientas autorizadas a recibirlos y las que no, en un lenguaje que un mando intermedio pueda aplicar sin llamar al departamento jurídico.

Deje registrada una condición del artículo 9 y complete la evaluación de impacto antes del despliegue y no después de un incidente. El tratamiento a gran escala de categorías especiales es uno de los casos en que se espera una evaluación, y escribirla pronto es la versión más barata del trabajo. Además produce el documento que una autoridad de control pedirá primero, lo que convierte un requerimiento tenso en uno administrativo.

Considere que el consentimiento del empleado no está disponible. Las autoridades de protección de datos del bloque mantienen una línea constante: un trabajador no puede negarse libremente ante su empresa, así que el consentimiento es una base débil para cualquier asunto de salud en el trabajo. Apóyese en otra condición, documente por qué la eligió y haga que la herramienta funcione dentro de esa decisión. Quien resuelve esto antes de que un producto llegue a Europa elige las condiciones. Quien lo resuelve después acepta las ajenas.

Leer a continuación: La página de su empresa no tendrá la nueva insignia  |  Google reabrirá tu cuenta con un vídeo de tu cara