En produkt som stannar vid den amerikanska gränsen

Den 23 juli kunde en vanlig ChatGPT-användare i Förenta staterna för första gången lägga en sjukhusjournal och en aktivitetsmätare i samma chattfönster. OpenAI började rulla ut Health till inloggade användare från 18 år på webb och iOS, över nivåerna Free, Go, Plus och Pro. Funktionen kopplar elektroniska journaler och Apple Health tillsammans med tjänster som Function, MyFitnessPal, Weight Watchers, AllTrails, Instacart och Peloton, och den kan jämföra provsvar över tid, sammanfatta vad som ändrats sedan ett besök och hitta mönster mellan sömn och aktivitet.

Varför det spelar roll: integritetsvillkoren är ovanligt tydliga. Samtal är krypterade under överföring och i vila, ansluten hälsoinformation får ytterligare kryptering, och OpenAI uppger att anslutna journaler, uppgifter från Apple Health och de samtal som använder dem varken används för att träna grundmodellerna eller för att rikta reklam, oavsett vilken träningsinställning användaren har valt. Som standard ber assistenten om lov innan den hämtar ur en ansluten journal för att göra ett svar personligt.

Inget av detta är den intressanta delen. Den intressanta delen är kartan. Funktionen finns i Förenta staterna och ingen annanstans, utan något meddelat europeiskt datum och utan tidsplan för Android. Ett företag som rullar ut i hundra länder samtidigt valde här en enda jurisdiktion, och det är ett uttalande om juridik och inte om teknik.

Två system som skyddar olika saker

Den amerikanska regeln om sekretess i vården binder en avgränsad krets aktörer: vårdgivare, sjukförsäkringar, clearinginstitut och de företag som arbetar för deras räkning. Det är en regel om förvarare. När en patient utövar sin rätt att få en kopia av sin egen journal och flyttar kopian någon annanstans lämnar kopian kretsen av reglerade förvarare, och det mottagande företaget är bundet av vad det lovat i sina egna villkor och inte av lagen. OpenAI är varken vårdgivare, försäkringsbolag eller leverantör åt dessa aktörer och står därmed utanför kretsen till sin konstruktion.

Den europeiska positionen är strukturellt annorlunda. Uppgifter om hälsa är en särskild kategori enligt artikel 9 i dataskyddsförordningen, och förbudet mot att behandla dem följer uppgifterna och inte den organisation som håller dem. Ett personuppgiftsbiträde i Dublin, ett nystartat bolag i Lissabon och ett sjukhus i München utgår från samma regel, och var och en behöver ett särskilt villkor innan någon behandling alls får ske. I den amerikanska modellen är skyddet en egenskap hos den som förvarar. I den europeiska modellen är skyddet en egenskap hos journalen.

Ja, men: den europeiska positionen är inte automatiskt den bättre för den enskilde. En patient i Rotterdam som verkligen vill samla sina egna uppgifter möter en tröghet som en amerikansk användare inte känner till, och tröghet har sitt eget pris i vård och bekvämlighet. Poängen är inte vilket regelverk som är vänligast. Poängen är att de lägger skyldigheten på olika parter, och en ägare behöver veta vilken part hon är.

Vad som bör avgöras innan detta når er personal

Bestäm nu om hälsoinformation över huvud taget får komma in i någon assistent som er organisation licensierar. Företagshälsovårdens utlåtanden, sjukfrånvaroregister, bedömningar vid återgång i arbete, korrespondens med försäkringsbolag och exporter från hälsoappar är alla hälsouppgifter i europeisk mening, och de når vanliga kontorsverktyg långt oftare än de flesta styrdokument medger. Namnge vilka verktyg som får ta emot dem och vilka som inte får, på ett språk som en linjechef kan tillämpa utan att ringa juristerna.

Skriv ned ett villkor enligt artikel 9 och slutför konsekvensbedömningen före driftsättningen i stället för efter en incident. Storskalig behandling av särskilda kategorier är ett av de fall där en bedömning förväntas, och att skriva den tidigt är den billigaste versionen av arbetet. Den ger dessutom exakt det dokument en tillsynsmyndighet frågar efter först, vilket förvandlar en tung förfrågan till ett administrativt ärende.

Betrakta samtycke från anställda som otillgängligt. Dataskyddsmyndigheterna i unionen håller en fast linje: en anställd kan inte fritt säga nej till sin arbetsgivare, och därför är samtycke en svag grund för allt hälsorelaterat i arbetslivet. Bygg på ett annat villkor, dokumentera varför ni valde det och få verktyget att fungera inom det valet. Den som avgör detta innan en produkt når Europa väljer villkoren. Den som avgör det efteråt accepterar någon annans.

Läs vidare: Din företagssida kan inte få det nya märket  |  Google öppnar ditt konto igen med en ansiktsvideo