Työntekijä halusi luultavasti vain päästä työssään nopeammin eteenpäin. Hän kopioi potilastietoja julkiseen tekoälypalveluun, ja nyt hänen työnantajansa, suomalainen sairaala, selvittää asiaa sisäisesti. Tapauksesta ovat uutisoineet Tivi ja Tekniikka&Talous.
Uutinen on pieni, mutta se koskee lähes jokaista suomalaista. Lähes kaikki käyvät jossain vaiheessa sairaalassa, ja jokaisesta käynnistä syntyy merkintöjä, joita lain mukaan saa käsitellä vain hoitoon osallistuva henkilökunta.
Mitä tiedetään
Tivin ja Tekniikka&Talouden mukaan sairaalan työntekijä latasi potilastietoja julkiseen tekoälypalveluun, ja sairaala on käynnistänyt sisäisen selvityksen. AI Suomi ei nimeä sairaalaa eikä tekoälypalvelua, koska niitä ei ole voitu vahvistaa. Emme myöskään tiedä, kuinka monen potilaan tietoja asia koskee tai millaisia tietoja palveluun syötettiin.
Yksikään osapuoli ei ole kommentoinut asiaa AI Suomelle. Kysyimme kommenttia sairaalalta ja tietosuojavaltuutetun toimistolta, mutta vastauksia ei ollut tullut jutun julkaisuun mennessä.
Avoimet kysymykset
Tätä kirjoitettaessa on vielä epäselvää, mistä sairaalasta on kyse, onko tapauksesta tehty tietoturvaloukkausilmoitus tietosuojavaltuutetulle, mihin vaiheeseen sisäinen selvitys on edennyt, ja onko tiedot saatu poistettua palvelusta. Päivitämme juttua, kun saamme vastaukset.
Mihin tiedot joutuvat?
Julkiseen tekoälypalveluun kirjoitettu teksti lähtee palveluntarjoajan palvelimille. Ne sijaitsevat usein EU:n ulkopuolella, tyypillisesti Yhdysvalloissa. Kun teksti on kerran lähetetty, sairaala ei enää hallitse sitä.
Monessa ilmaisessa tai kuluttajille tarkoitetussa palvelussa keskustelut tallentuvat oletuksena käyttäjän historiaan, ja palveluntarjoaja voi käyttää niitä mallien kehittämiseen, ellei käyttäjä ole erikseen kieltänyt sitä. Keskusteluja voivat lukea myös palveluntarjoajan työntekijät esimerkiksi väärinkäytösten valvonnan yhteydessä. Yrityksille myytävissä versioissa ehdot ovat yleensä tiukemmat, mutta niitäkin saa käyttää vain sopimuksen kautta, jossa tietojen käsittely on sovittu.
Se, että potilastiedot ilmaantuisivat jonkun toisen käyttäjän vastaukseen, on epätodennäköistä. Pelkkä luovutus ulkopuoliselle osapuolelle on kuitenkin jo itsessään ongelma.
Mitä laki vaatii
EU:n tietosuoja-asetus luokittelee terveystiedot erityisiin henkilötietoryhmiin. Niiden käsittelyä on rajoitettu tiukemmin kuin tavallisten henkilötietojen. Lisäksi Suomen potilaslaki ja asiakastietolaki määräävät potilastiedot salassa pidettäviksi.
Tietosuoja-asetuksen 33 artiklan mukaan rekisterinpitäjän eli tässä tapauksessa sairaalan tai hyvinvointialueen on ilmoitettava tietoturvaloukkauksesta valvontaviranomaiselle 72 tunnin kuluessa siitä, kun se on saanut tietää loukkauksesta. Ilmoitusta ei tarvitse tehdä, jos loukkaus ei todennäköisesti aiheuta riskiä ihmisille. Suomessa viranomainen on tietosuojavaltuutetun toimisto. Jos riski on suuri, myös potilaille on kerrottava asiasta.
Terveystietojen kohdalla riskiä on vaikea pitää vähäisenä. Siksi ratkaiseva kysymys on, tehtiinkö ilmoitus ajoissa.
Ohjeet eivät yksin riitä
Hyvinvointialueet ovat kokeilleet tekoälyä esimerkiksi potilaskertomusten kirjaamisessa. Ne kokeilut tehdään kuitenkin sopimusten ja tietoturva-arvioiden alaisuudessa. Selaimessa auki oleva ilmainen chatbot on aivan eri asia.
Ohje, joka kieltää syöttämästä potilastietoja julkisiin palveluihin, on helppo kirjoittaa. Vaikeampaa on tarjota kiireiselle hoitajalle tai lääkärille hyväksytty työkalu, joka tekee saman asian turvallisesti. Jos sellaista ei ole, joku ottaa kiireessä käyttöön palvelun, joka on puhelimessa valmiiksi auki.
Tämän tapauksen selvitys näyttää, kumpi puuttui: ohje vai työkalu. Molemmat vaihtoehdot kertoisivat jotain myös muille sairaaloille.
