Головний лікар приватного медичного центру у Відні питає: "AI буде ставити діагнози замість наших лікарів?" Ми відповідаємо: ні. Ніколи. AI-асистент у медцентрі — це не діагност і не лікар. Це розумний помічник адміністратора який відповідає пацієнтам о 22:00 коли реєстратура вже закрита — і робить це виключно на основі документів вашої клініки. Коротка відповідь: AI в медицині у нашому розумінні — це автоматизація інформаційних питань пацієнтів і пошуку по внутрішніх протоколах. Лікування, діагностика, призначення — завжди тільки лікар. А от "Як підготуватись до МРТ?" о 23:00 — цілком може AI.
⚡ Коротко
- 🚫 AI НЕ замінює лікаря: діагностика, призначення, лікування — завжди тільки лікар
- ✅ AI вирішує: підготовка до процедур, ціни, розклад, пошук протоколів — 24/7
- ⚖️ Три шари регулювання: GDPR Art.9 + EU AI Act + національне медичне право
- 🚫 ChatGPT і Notion AI: юридично неприйнятні для медичних даних без спеціальних заходів
- 🏠 Self-hosted: єдина архітектура де медичні дані технічно не покидають клініку
- 💬 Скрипт для пацієнта: як відповісти на "А мої дані в безпеці?"
- 👇 Нижче — детальний розбір кожного аспекту з офіційними джерелами
📚 Зміст
- AI в медицині — це не діагност: що він робить і чого ніколи не робить
- Які сценарії вирішує AI-асистент у медцентрі
- Які медичні дані під особливим захистом GDPR і чому це стосується AI
- Три шари регулювання: GDPR Art.9 + EU AI Act + національне медичне право
- Чому ChatGPT і Notion AI юридично неприйнятні в медицині
- Архітектура AI для медцентру: що де зберігається
- Реальний кейс: медичний центр і впровадження self-hosted AI
- Що сказати пацієнту якщо він запитає про AI: скрипт розмови
- Чеклист для головного лікаря: 10 питань перед впровадженням AI
- Часті питання
- Висновки
- Хочете побачити як це працює?
AI в медицині — це не діагност: що він робить і чого ніколи не робить
Найважливіше що потрібно зрозуміти перед будь-якою розмовою про AI в медицині: AI-асистент на документах — це не медична система. Він не знає медицини. Він знає тільки документи вашої клініки. Різниця принципова.
Коли ми в AskYourDocs розмовляємо з головними лікарями і директорами медичних центрів — перше питання завжди однакове: "Це AI який ставитиме діагнози?" Відповідь завжди однакова: ні.
Страх зрозумілий. Новини про "AI-діагностику" і "AI-лікарів" створюють враження що будь-який AI в медицині претендує на роль лікаря. Це не так. Є принципова різниця між медичним AI (системи що аналізують знімки, допомагають у діагностиці, підтримують клінічні рішення) — і AI-асистентом на документах що відповідає на інформаційні питання.
Чого AI-асистент на документах НІКОЛИ не робить
- ✔️ Не ставить діагнози. "У мене болить голова — що це?" — AI відповідає: "На це питання може відповісти тільки лікар після огляду. Записатись на консультацію можна за номером [номер] або через форму на сайті."
- ✔️ Не призначає лікування. "Яку таблетку прийняти від тиску?" — AI відповідає: "Призначення ліків — виключно компетенція лікаря. Будь ласка, зверніться до свого терапевта або кардіолога."
- ✔️ Не інтерпретує результати аналізів. "Мій рівень цукру 7.2 — це норма?" — AI відповідає: "Інтерпретація результатів аналізів — це медична консультація яку надає лікар. Наш ендокринолог приймає в [розклад]."
- ✔️ Не замінює консультацію. Навіть якщо питання здається простим — AI не дає медичних порад. Він перенаправляє до лікаря.
Що AI-асистент робить і робить добре
AI відповідає виключно на основі документів які завантажила ваша клініка. Він не "знає" медицину взагалі — він знає тільки те що є у вашій базі документів. Це принципово важлива архітектурна межа.
Якщо в базі документів є протокол підготовки до гастроскопії — AI відповість на питання про підготовку точно і з посиланням на цей протокол. Якщо питання виходить за межі документів — AI чесно відповідає "у наших документах немає відповіді на це питання" і пропонує звернутись до лікаря або адміністратора.
Це не обмеження — це захист. Саме ця межа робить AI-асистент безпечним для медичного застосування.
Які сценарії вирішує AI-асистент у медцентрі
Медичний центр обробляє сотні однотипних питань щодня — про підготовку до процедур, ціни, розклад, правила запису. Це навантаження на адміністраторів яке AI може зняти повністю і безпечно. І жоден з цих сценаріїв не стосується медичних рішень.
Перш ніж перейти до конкретних сценаріїв — важливо зрозуміти загальну картину. За нашим досвідом впровадження в медичних центрах, від 60 до 75% всіх щоденних звернень до адміністраторів стосуються однотипних інформаційних питань. Не медичних — саме інформаційних. Підготовка до процедури, ціна, розклад, документи. Це питання що мають одну правильну відповідь яка не змінюється від пацієнта до пацієнта. Саме їх і вирішує AI-асистент — звільняючи адміністраторів для справді важливих завдань.
Сценарій 1: Підготовка до процедур — 24/7 без участі персоналу
Це найцінніший сценарій — і ось чому. Пацієнти згадують питання про підготовку до процедури не вранці в робочий час, а ввечері або вночі — коли реєстратура вже закрита. Це природно: людина лягає спати і раптом думає "а я правильно готуюсь?"
Типова ситуація до AI: пацієнт о 22:30 згадує що завтра вранці має гастроскопію і не пам'ятає точно — можна їсти сьогодні ввечері чи ні? Варіанти: не спати стурбованим до ранку, дзвонити черговому і відволікати від важливіших справ, або їхати не підготовленим і процедуру доведеться перенести.
З AI: пацієнт пише в Telegram-бот або чат на сайті клініки. Отримує точну відповідь за 3 секунди: "За 8 годин до гастроскопії не їсти, за 4 години не пити рідину крім невеликої кількості води для прийому ліків. Якщо ви приймаєте метформін або інші препарати від діабету — повідомте лікаря безпосередньо перед процедурою. Завтра очікуємо вас о [час] у кабінеті №[номер]. Якщо у вас є медичні питання — зверніться до лікаря за номером [номер]."
Пацієнт спокійний. Персонал не відвернений. Процедура відбудеться без переносу.
Скільки таких питань реально: за даними наших клієнтів, запити про підготовку до процедур становлять від 25 до 40% всіх звернень до адміністраторів. У медичному центрі з 10 напрямками і 50 процедурами — це сотні унікальних комбінацій питань. AI знає їх всі — якщо протоколи завантажені.
Важлива деталь: AI відповідає тільки за протоколом вашої клініки. Якщо ваш протокол відрізняється від "загального інтернету" (наприклад у вас особливий підхід до підготовки) — AI відповість саме за вашим протоколом а не за загальною інформацією з мережі. Це принципова відмінність від пошуку Google.
Сценарій 2: Ціни, послуги і розклад — кінець черг на лінії
Другий за обсягом тип запитів — питання про вартість послуг, наявність спеціалістів і розклад прийому. "Скільки коштує МРТ головного мозку з контрастом?", "Чи є у вас дитячий ортопед?", "Коли приймає кардіолог?", "Які документи потрібні для першого візиту?"
Кожне таке питання займає від 2 до 5 хвилин часу адміністратора: підняти трубку, знайти прайс або розклад, відповісти, записати якщо потрібно. При 50 таких питань на день — майже 4 години роботи тільки на однотипні відповіді. Це більше половини робочого дня одного адміністратора.
З AI: пацієнт отримує точну відповідь миттєво — в будь-який час доби, без черги на лінії і без очікування. "МРТ головного мозку з контрастом — 2800 грн. Запис за номером [номер] або через форму на сайті." Якщо ціна змінилась — адміністратор оновлює прайс-документ, і через кілька хвилин AI вже відповідає за новою ціною.
Додаткова цінність: AI може відповідати одночасно на необмежену кількість запитів. У п'ятницю ввечері коли телефон розривається від дзвінків — AI обробляє всі текстові запити паралельно, без черги і без роздратування.
Сценарій 3: Внутрішнє використання персоналом — база знань клініки
Цей сценарій часто недооцінюють при плануванні впровадження — а він дає одну з найбільших практичних вигід.
Для медсестер і молодшого персоналу: медсестра на новому відділенні не пам'ятає точну процедуру підготовки пацієнта до конкретного дослідження. Раніше — шукала в папці з протоколами (якщо вона взагалі є і актуальна) або питала старшу колегу (відволікаючи її від роботи). Тепер — питає AI через внутрішній інтерфейс і отримує відповідь з відповідного протоколу за 10 секунд з посиланням на конкретний документ і розділ.
Для нових лікарів: новий лікар у клініці стикається з потоком організаційних питань в перші тижні: порядок консультацій, форми для направлень, правила виписки, внутрішні регламенти, процедури звітності. Раніше це займало тиждень-два і відволікало досвідчених колег. AI відповідає на всі організаційні питання з корпоративних документів — і новий лікар виходить на повну продуктивність за дні а не тижні.
Для завідувачів відділень: "Яка процедура при виявленні розбіжності між результатами лаборантів?", "Як оформити направлення на консультацію до суміжного спеціаліста?", "Де форма для внутрішнього переведення пацієнта?" — питання які завідувачі регулярно отримують від підлеглих. AI відповідає на них самостійно — завідувач займається клінічною роботою а не пошуком документів.
Важливо: для внутрішнього використання ми рекомендуємо окрему колекцію документів з розмежованим доступом — щоб персонал мав доступ тільки до документів свого відділу і рівня відповідальності.
Сценарій 4: Питання після виписки — підтримка 24/7
Пацієнти повертаються додому — і питання не зникають. Навпаки: вдома з'являються нові, практичні питання яких не було під час консультації.
"Які обмеження після видалення зубу мудрості?", "Коли можна їсти після колоноскопії?", "Чи можна купатись після малої хірургії?", "Через скільки можна сідати за кермо після наркозу?", "Коли можна повертатись до спорту після артроскопії?" — це питання що мають чіткі стандартні відповіді у виписних рекомендаціях. AI відповідає на них точно і з посиланням на джерело.
Захисний механізм: якщо питання виходить за межі стандартних рекомендацій — наприклад пацієнт описує симптоми які можуть вказувати на ускладнення — AI одразу відповідає: "Це питання потребує консультації лікаря. Будь ласка зателефонуйте до клініки за номером [номер] або, якщо стан погіршується, — 103." Ніяких спроб оцінити симптоми. Ніяких "загальних порад". Тільки перенаправлення до фахівця.
Сценарій 5: Попередній запис і кваліфікація запиту
AI може допомогти з первинною кваліфікацією запиту пацієнта — не медичною а організаційною. "Мені болить коліно — до якого спеціаліста записатись?" — AI відповідає: "При болях у коліні зазвичай починають з ортопеда або травматолога. У нас приймає [ПІБ лікаря], найближчий запис [дата]. Записатись можна за номером [номер]."
Це не медична консультація — це навігація по структурі клініки. Пацієнт не знає різниці між ортопедом і ревматологом — AI допомагає зорієнтуватись виключно на основі структури вашого медичного центру і переліку спеціалістів.
Що AI-асистент ніколи не відповідає — межа яка не змінюється
Якщо пацієнт питає щось що виходить за межі інформаційних питань — AI відповідає однаково і завжди. Без виключень. Без спроб дати "корисну загальну відповідь". Без "я не лікар але...". Тільки чітке перенаправлення.
Ось як це виглядає на конкретних прикладах:
| Питання пацієнта | Що відповідає AI | Чому саме так |
|---|---|---|
| "У мене тиск 160/100 — це небезпечно?" | "Це медичне питання яке може оцінити тільки лікар. Записатись до кардіолога можна за номером [номер]. Якщо ви відчуваєте погіршення — телефонуйте 103." | Оцінка симптомів — медична дія |
| "Які ліки прийняти від болю в спині?" | "Призначення ліків — виключно компетенція лікаря. Наш невролог або ортопед допоможе підібрати лікування. Запис за номером [номер]." | Призначення — медична дія |
| "Мій аналіз крові показав підвищений цукор — що робити?" | "Інтерпретація результатів аналізів потребує консультації лікаря. Рекомендуємо звернутись до ендокринолога. Запис за номером [номер]." | Інтерпретація результатів — медична дія |
| "Як підготуватись до гастроскопії?" | [Точна відповідь з протоколу підготовки клініки з усіма деталями] | Інформаційне питання — AI відповідає |
| "Скільки коштує консультація кардіолога?" | "Консультація кардіолога — [ціна] грн. Запис за номером [номер] або через форму на сайті." | Інформаційне питання — AI відповідає |
Ця поведінка налаштовується при впровадженні через системний промпт і перевіряється на тестових питаннях перед запуском. Якщо у тестуванні AI спробував відповісти на медичне питання — налаштування коригується до повного виключення такої поведінки. Тільки після цього система передається клініці.
Реальні цифри: скільки часу звільняє AI
На основі даних медичних центрів що вже впровадили AI-асистента:
- ✔️ 60–70% всіх звернень до адміністраторів — інформаційні питання що AI обробляє самостійно
- ✔️ 3–4 години на день звільняється у кожного адміністратора для реальних завдань: запис, координація, робота з документами
- ✔️ 100% звернень поза робочими годинами отримують відповідь миттєво — раніше 0%
- ✔️ 0 випадків де AI намагався відповісти на медичне питання — при правильному налаштуванні
Які медичні дані під особливим захистом GDPR і чому це стосується AI
GDPR виділяє медичні дані в окрему категорію з найвищим рівнем захисту — "спеціальні категорії даних" за Article 9. Це означає що будь-яка система яка обробляє навіть непряму медичну інформацію підпадає під набагато суворіші вимоги ніж звичайна обробка персональних даних.
Більшість директорів медичних центрів знають що медичні дані "чутливі". Але мало хто розуміє наскільки широко GDPR визначає що саме є "медичними даними" і наскільки це впливає на вибір AI-системи.
Що вважається медичними даними за GDPR Article 9
За визначенням GDPR, спеціальні категорії даних у медицині включають:
- ✔️ Медичні записи і діагнози — будь-яка інформація про стан здоров'я пацієнта
- ✔️ Генетичні дані — результати генетичних тестів
- ✔️ Біометричні дані — якщо вони використовуються для ідентифікації особи
- ✔️ Психічне здоров'я — дані про психологічний стан, психіатричні діагнози
- ✔️ Дані що ВИЯВЛЯЮТЬ стан здоров'я — це ключовий нюанс. Якщо пацієнт питає "Як підготуватись до хіміотерапії?" — сам факт цього питання виявляє що він хворий на рак. Це вже медичні дані
- ✔️ Дані про фізичний стан — зріст, вага, хронічні захворювання
- ✔️ Дані про інвалідність — будь-яка інформація про фізичні або ментальні обмеження
Важливий практичний наслідок: якщо ваш AI-асистент отримує питання від пацієнтів — навіть суто інформаційні — ці питання можуть містити або виявляти медичні дані. Запит "Як підготуватись до МРТ спини після операції?" виявляє що пацієнт переніс операцію. Це вже Art. 9 дані.
Дві правові основи для обробки медичних даних через AI
За GDPR Article 9(2), медичні дані можна обробляти якщо є одна з таких підстав:
Підстава 1: Медична необхідність (Art. 9(2)(h)) — обробка необхідна для надання медичної допомоги, діагностики або управління охороною здоров'я. Це найпоширеніша підстава для медичних центрів. Якщо AI-асистент допомагає пацієнту підготуватись до процедури — це можна кваліфікувати як частину надання медичної допомоги. Але тільки якщо система розгорнута на вашому сервері і дані не передаються третім сторонам.
Підстава 2: Явна згода (Art. 9(2)(a)) — пацієнт дав явну, специфічну, інформовану і однозначну згоду на обробку його медичних даних конкретною системою. Явна згода для медичних даних — це набагато суворіша вимога ніж звичайна згода. Не галочка "Погоджуюсь з умовами" — а окрема, специфічна заява пацієнта що він розуміє які саме дані і для чого обробляються.
Для більшості медичних центрів підстава Art. 9(2)(h) є практичнішою — але вона вимагає що обробка відбувається в межах системи охорони здоров'я, під відповідальністю медичного персоналу, з відповідними гарантіями безпеки. Хмарний AI з серверами в США не відповідає цим вимогам.
Чому питання пацієнтів — це теж медичні дані
Ось чому це критично для вибору AI-системи. Якщо ваш AI-асистент отримує питання через хмарний сервіс — кожне питання пацієнта зберігається на серверах провайдера. Питання "Яке дозування інсуліну при вазі 80 кг?" виявляє що пацієнт хворий на діабет. Питання "Коли можна їздити на велосипеді після операції на коліні?" виявляє що пацієнт переніс операцію. Все це — Art. 9 дані що зберігаються на американських серверах без вашого контролю.
Три шари регулювання: GDPR Art.9 + EU AI Act + національне медичне право
Медицина — найскладніше регуляторне середовище для AI в ЄС. Єдина система може одночасно підпадати під три незалежних регуляторних режими з різними вимогами і різними регуляторами. Розуміти цю картину важливо перш ніж підписувати будь-який контракт на AI.
За даними HIMSS State of Healthcare AI Governance Survey 2025, лише 23% медичних систем мають формальні структури AI-governance — але 78% планують впровадити клінічний AI протягом наступних 24 місяців. Це означає що більшість медичних центрів будуть впроваджувати AI без розуміння регуляторного контексту. І платити за це — штрафами, аудитами або призупиненням роботи системи.
Ми в AskYourDocs перед кожним впровадженням у медичному центрі проходимо регуляторний аналіз разом з клієнтом. Це займає час — але рятує від набагато дорожчих проблем пізніше. Ось що потрібно знати.
Шар 1: GDPR Article 9 — спеціальні категорії даних
Це фундаментальний шар який застосовується до будь-якої обробки медичних даних — незалежно від того який AI використовується і як він налаштований. Навіть якщо ви не завантажуєте медичні картки в систему — питання пацієнтів можуть виявляти їхній медичний стан і підпадати під Art. 9.
Що вимагає Art. 9 для медичного AI:
- ✔️ Правова підстава за Art. 9(2): обов'язково одна з дозволених підстав — медична необхідність (9(2)(h)), явна згода пацієнта (9(2)(a)) або публічний інтерес у сфері охорони здоров'я (9(2)(i)). Для AI-асистента що відповідає на питання пацієнтів найчастіше застосовується 9(2)(h) — але потрібно задокументувати чому саме ця підстава
- ✔️ DPIA (Data Protection Impact Assessment): обов'язкова для AI-систем що обробляють медичні дані у великому масштабі. Оцінка ризиків, технічні заходи захисту, права пацієнтів — все це повинно бути задокументовано до запуску системи
- ✔️ DPO (Data Protection Officer): для більшості медичних центрів призначення DPO є обов'язковим за GDPR. DPO повинен бути залучений до оцінки будь-якої нової AI-системи
- ✔️ ROPA: всі операції обробки через AI — включаючи зберігання питань пацієнтів в логах — повинні бути задокументовані в реєстрі операцій обробки
Критична деталь 2026 року: CNIL (французький регулятор) і EDPB уточнили що DPIA для медичного AI повинна бути динамічною — оновлюватись при кожній суттєвій зміні моделі або функціональності системи, а не тільки при початковому впровадженні. Регулятори вже перевіряють наявність актуальної DPIA при аудитах.
Штраф як орієнтир: у 2024 році шведський регулятор оштрафував постачальника медичних послуг на €12 млн за обробку даних пацієнтів без належних механізмів правової підстави. Відсутність коректно задокументованого Art. 9(2) обґрунтування — одна з найчастіших причин штрафів у медицині.
Шар 2: EU AI Act — системи високого ризику
З 2 серпня 2026 року набирають чинності повні вимоги EU AI Act для систем "високого ризику". Медицина — одна з галузей де EU AI Act застосовується найсуворіше. Але тут є важливий нюанс який безпосередньо стосується AI-асистента для інформаційних питань.
Які медичні AI-системи є "високим ризиком" за EU AI Act:
- ✔️ AI що безпосередньо впливає на медичні діагнози
- ✔️ AI що рекомендує або впливає на вибір лікування
- ✔️ AI що використовується для моніторингу стану пацієнта і прийняття клінічних рішень
- ✔️ AI що аналізує медичні зображення (рентген, МРТ, гістологія) для діагностичних висновків
- ✔️ AI що впливає на призначення або відміну ліків
Які медичні AI-системи НЕ є "високим ризиком":
- ✔️ AI що відповідає на адміністративні та інформаційні питання (підготовка до процедур, ціни, розклад)
- ✔️ AI що допомагає з пошуком по корпоративних документах без впливу на клінічні рішення
- ✔️ AI що допомагає з адміністративними завданнями — запис, документообіг, комунікація
Чому це принципово важливо для вибору підходу: AI-асистент AskYourDocs що відповідає тільки на інформаційні питання і завжди перенаправляє медичні питання до лікаря — як правило не є системою "високого ризику" за EU AI Act. Це означає що для нього не потрібні conformity assessment, реєстрація в EU AI database і аудит-логи на 10 років.
Саме тому ми жорстко дотримуємось принципу незалежно від будь-яких запитів: AI-асистент ніколи не відповідає на медичні питання. Це не просто етично правильно — це регуляторно виправдана позиція яка тримає систему поза категорією high-risk.
Якщо ж медичний центр планує AI для клінічної підтримки — діагностика, аналіз знімків, підтримка лікарських рішень — це вже high-risk система з повним набором вимог EU AI Act. За оцінками The Thinking Company, розгортання governance framework для high-risk медичного AI коштує від €80,000 до €200,000 тільки на початковий розвиток. Це окремий клас рішень — не те про що ми говоримо в цій статті.
Шар 3: Національне медичне право
Поверх загальноєвропейських вимог — кожна країна має власне медичне законодавство яке може бути суворішим за GDPR і EU AI Act. Для наших основних ринків — Австрія і Німеччина — картина така:
Австрія: медична таємниця як кримінальний закон
В Австрії медична таємниця захищена не тільки GDPR але і кримінальним законодавством. Ключові нормативні акти:
- ✔️ Ärztegesetz (ÄrzteG 1998): § 54 — обов'язок лікаря зберігати таємницю. Порушення — кримінальна відповідальність
- ✔️ KAKuG (Krankenanstalten- und Kuranstaltengesetz): регулює функціонування лікарень і клінік, включаючи захист даних пацієнтів
- ✔️ DSG (Datenschutzgesetz): австрійський закон про захист даних що доповнює GDPR
Практичний наслідок для AI: передача будь-якої інформації що ідентифікує пацієнта або виявляє його медичний стан будь-якій третій стороні без явної згоди або медичної необхідності — потенційне кримінальне правопорушення в Австрії. "Третя сторона" тут — це і OpenAI, і Google, і будь-який хмарний AI-провайдер.
Додатково: австрійський регулятор DSB (Datenschutzbehörde) встановив у справі Google Analytics найсуворіший стандарт в ЄС щодо трансферу даних до США. Позиція DSB: недостатньо стверджувати що "ймовірність доступу американських спецслужб низька" — потрібна технічна неможливість такого доступу. Для медичних даних австрійських пацієнтів це фактично означає: тільки сервер в ЄС під управлінням неамериканської компанії або власний сервер клініки.
Німеччина: BSI-стандарти і SGB V
Для медичних центрів у Німеччині — особливо тих що працюють зі застрахованими пацієнтами — вимоги ще суворіші:
- ✔️ § 393 SGB V (Sozialgesetzbuch V): медичні дані застрахованих пацієнтів повинні зберігатись виключно в Європейському економічному просторі (ЄЕП) на серверах сертифікованих хостинг-провайдерів
- ✔️ BSI-стандарти (Bundesamt für Sicherheit in der Informationstechnik): для медичних установ рекомендований або обов'язковий (залежно від розміру і типу) базовий захист за BSI IT-Grundschutz. Деталі — на bsi.bund.de
- ✔️ MBO-Ä (Musterberufsordnung für Ärzte): § 9 — обов'язок лікаря зберігати лікарську таємницю (Schweigepflicht). Порушення — дисциплінарна і кримінальна відповідальність
- ✔️ BDSG § 26: особливий захист даних співробітників — якщо медичний центр використовує AI для HR-документів, потрібна окрема правова база
Ключовий практичний наслідок для Німеччини: AWS EU-Central-1 (Франкфурт), Azure Germany West Central, Google Cloud Europe-West — всі ці опції розташовані в Німеччині фізично, але управляються американськими компаніями. CLOUD Act США дозволяє американським правоохоронцям вимагати доступ до даних у американських компаній незалежно від фізичної локації серверів. Для даних застрахованих пацієнтів за § 393 SGB V — це потенційна правова проблема.
Надійне рішення: Hetzner (Нюрнберг/Гайзельгастайг, Фінляндія) — німецька компанія, CLOUD Act не застосовується. Або власний фізичний сервер клініки.
Як три шари взаємодіють — практичний підсумок
| Тип AI-системи | GDPR Art.9 | EU AI Act | Нац. медичне право | Висновок |
|---|---|---|---|---|
| AI-асистент для інформаційних питань (AskYourDocs) | Застосовується — потрібна правова підстава і DPIA | Зазвичай НЕ high-risk | Застосовується — сервер в ЄС обов'язково | ✅ Реалізовно при self-hosted архітектурі |
| ChatGPT / Notion AI (хмара США) | Порушення — дані в США без TIA | Залежить від використання | Порушення — кримінальна відповідальність AT/DE | 🔴 Неприйнятно для медичних даних |
| AI для діагностики / клінічних рішень | Застосовується + DPIA | High-risk: conformity assessment, EU AI database | MDR як медичний пристрій | ⚠️ Окремий клас — потребує €80–200K на governance |
Детально про GDPR-вимоги для Австрії і Німеччини — у статті AI та GDPR в Німеччині й Австрії: вимоги до корпоративних систем 2026.
Чому ChatGPT і Notion AI юридично неприйнятні в медицині
Проблема не в якості відповідей ChatGPT або Notion AI. Проблема в тому що їхня архітектура — хмарні сервери з можливим доступом персоналу провайдера — фундаментально несумісна з вимогами до медичних даних в ЄС.
Ми часто чуємо від директорів клінік: "Але ми тільки відповідаємо на загальні питання — не передаємо картки пацієнтів." Проблема в тому що "загальні питання" від пацієнтів медичного центру — це вже медичні дані за GDPR Article 9. Навіть якщо ви не вантажите картки.
Чотири причини чому хмарний AI неприйнятний для медицини
Причина 1: Питання пацієнтів виявляють медичний стан. Пацієнт питає: "Чи можна приймати ібупрофен після операції на шлунку?" Це питання виявляє що пацієнт переніс операцію на шлунку. Це Art. 9 дані. Якщо це питання зберігається на серверах OpenAI в США без DPA і TIA — це порушення GDPR незалежно від того що ви не "передавали медичну карту".
Причина 2: Медична таємниця ширша за GDPR. В Австрії і Німеччині медична таємниця захищена кримінальним законодавством — не тільки GDPR. Передача будь-якої інформації що ідентифікує пацієнта або виявляє його медичний стан третій стороні без явної згоди — потенційне кримінальне правопорушення. "Третя сторона" в цьому контексті — це OpenAI, Google, Microsoft і будь-який хмарний провайдер.
Причина 3: Медичне право вимагає обробку під відповідальністю медичного персоналу. Art. 9(2)(h) GDPR дозволяє обробку медичних даних без явної згоди якщо вона "необхідна для медичних цілей" і відбувається "під відповідальністю фахівця що зобов'язаний зберігати таємницю". Хмарний AI-провайдер не підпадає під цю категорію — він є комерційною компанією без медичних зобов'язань конфіденційності.
Причина 4: Відсутність аудиторського сліду. EU AI Act вимагає аудит-логи для медичних AI-систем що зберігаються мінімум 10 років. При використанні хмарного ChatGPT — ви не маєте контролю над логами. Провайдер може видалити або змінити їх. При перевірці регулятором ви не зможете надати докази що система діяла коректно.
Реальний штраф у медицині
У 2024 році шведський орган захисту даних оштрафував постачальника медичних послуг на €12 мільйонів за обробку даних пацієнтів без належних механізмів згоди. Це не виняток — це тренд. Регулятори в ЄС активно перевіряють саме медичну галузь і саме питання AI-обробки даних.
Детальніше про юридичні ризики хмарного AI — у статті Self-hosted AI vs хмарний: де залишаються ваші дані.