Разбор · ИИ в медицине

Граница по данным пациентов проведена законом до того, как руководитель клиники о ней задумался: сведения о здоровье — специальная категория персональных данных, факт обращения — врачебная тайна, а отправка того и другого в зарубежный чат-бот, по нашему чтению закона, составляет трансграничную передачу. Управленческая работа начинается дальше: описать эту границу словами, понятными администратору регистратуры, и дать сотруднику разрешённый маршрут для задач, которые он всё равно решит с моделью.

Медицина входит в эту картину своей частью. По опросу «Мединтернета» среди 346 врачей больше половины уже имеют опыт работы с нейросетями, и список задач важнее доли: поиск и проверка медицинской информации — 35,6%, оформление медицинской документации — 20,6%, объяснение диагноза пациенту — 14,4%. Две задачи из трёх верхних по определению работают с данными конкретного человека. По опросу Lab4U среди 750 несетевых клиник в 115 городах около 48% организаций уже используют ИИ, преимущественно для административных задач.

Обучение отстаёт от инструмента: по данным НМИЦ терапии и профилактической медицины, опросившего 825 медработников в 35 регионах, специализированное обучение работе с системами поддержки врачебных решений прошли 18,9%. Спрашивали при этом про специализированные системы поддержки врачебных решений — сопоставимого замера по публичным чат-ботам в открытых источниках нет. Цена ошибки измерена на других каналах: по аналитике InfoWatch за первое полугодие 2025 года Россия занимает второе место в мире по числу утечек из медицинских организаций, а каждый пятый российский инцидент (21,4%) вызван действиями внутренних нарушителей при среднемировом показателе 2,3%. Отдельной строкой канал «чат-бот» в этой статистике не выделен, и публично подтверждённого случая утечки медицинских данных российских пациентов через чат-бот мы не нашли. Это признак того, что канал никем не измеряется; отсутствие зафиксированных инцидентов ничего не говорит о том, что через него уходит.

Вопрос «разрешать или нет» сотрудники уже решили. Открыт вопрос условий.

Канал, по которому данные уходят из клиники, обычно не контролируется никем, и вскрывается это случайно. В апреле 2026 года врачей Нижегородской области выявили по эмодзи: в документах, которые пациенты получали через «Госуслуги», появились смайлы и характерная для нейросетей пунктуация, а началось всё с жалоб пациентов. По сообщениям СМИ, региональный минздрав разослал письмо с запретом использовать ИИ при подготовке медицинской документации; там же приводилась оценка: около 20% нижегородских медиков регулярно применяют нейросети ради скорости заполнения документов. Вводились ли в чат-бот персональные данные, в публикациях не сказано. Управленчески важно другое: ни журналы доступа, ни средства защиты от утечек ничего не показали — увидел пациент.

Что бывает после запрета, измерено. По исследованию Университета Мельбурна и KPMG (более 48 тысяч человек в 47 странах), 48% работающих респондентов, использующих ИИ, делали это в нарушение политик компании, включая загрузку чувствительной информации в бесплатные публичные инструменты; политика по генеративному ИИ при этом есть у 40% организаций. По опросу «Лаборатории Касперского» среди 1001 россиянина 33% использующих ИИ на работе скрывают это от коллег: 34% из них опасаются подорвать доверие к своему профессионализму, 13% боятся наказания или увольнения.

Разрешённый инструмент сам по себе теневое использование не вытесняет — это возражение против нашей позиции, и цифры его подтверждают. По данным Harmonic Security за 2025 год (22,4 миллиона запросов, 665 инструментов) 16,9% отправок чувствительных данных прошли через бесплатные и личные аккаунты; в более раннем срезе того же вендора из чувствительных запросов, ушедших в ChatGPT, каждый четвёртый попадал в бесплатную версию — при том что в организации была развёрнута корпоративная. Отсюда следует, что правил самих по себе мало: работает связка из правил, инструмента, который удобнее теневого, обучения и выборочной проверки.

Второе возражение — что в регулируемых отраслях полный запрет работает: Samsung, Apple, JPMorgan и другие ввели его в 2023 году. Поводом у Samsung, по сообщениям прессы, стали три инцидента за двадцать дней; один из них — транскрипт внутреннего совещания, отданный чат-боту ради протокола: замените совещание приёмом, и получится клиника. Но запрет был у этих компаний переходной мерой на время постройки внутреннего контура — Samsung сделал собственный сервис, банки внутренних ассистентов.

Третье возражение сильнее прочих: пока нет технических средств контроля, правила остаются декларацией. Оно верно наполовину: средства защиты от утечек контролируют корпоративный периметр, а теневое использование идёт мимо него — с личного телефона, из дома, с личной подписки. У частной клиники на несколько филиалов службы информационной безопасности обычно нет; правила, обучение и локальный инструмент — то, что ей доступно.

Уместен запрет там, где градаций быть не может. Медицинская информационная система не подключается к агентам напрямую — работа идёт поверх выгрузок. Медкарты, выписки и анализы в исходном виде не отправляются никуда, даже для разового просмотра. Клинические решения остаются за врачом. Эти запреты мы формулировали без смягчений.

Светофор данных, который мы собрали для управленческой команды сети клиник «Атлас», разложил рабочие материалы на три зоны. Зелёная — публичное и без персональных данных: прайс, вакансии, расписание кабинетов без фамилий, обезличенные агрегаты вида «в июле 412 первичных приёмов, конверсия 38%». Жёлтая — допустимое после обезличивания по процедуре: выгрузки из медицинской информационной системы, тексты претензий, договоры. Красная — запрет закона: медкарты, выписки и анализы, любая связка «личность плюс факт обращения», пароли и доступы.

Четвёртая зона появилась уже в тексте правил — зона решений компании: выручка, зарплаты, себестоимость, условия договоров. Жёстких запретов, как для данных пациентов, здесь нет; что допускать в облачные модели — вопрос отношения компании к риску. До ответа действует правило по умолчанию: не вводить; в самом документе эта позиция названа одним из главных пунктов доработки.

Рабочим светофор делают два правила перехода. Первое: файл окрашивается по худшему элементу — один столбец с фамилиями переводит в красную зону всю таблицу, одна строка с диагнозом — весь документ. Второе: вниз можно, вверх нельзя — красное становится жёлтым только через обезличивание по внутренней процедуре, а жёлтое зелёным — решением владельца данных.

Возражение против такой конструкции звучит так: в клинике зелёной зоны нет вовсе, а публикуя градации, организация подсказывает сотруднику, что «в целом можно, надо аккуратнее». Британская практика стоит на этом: политики отдельных трастов NHS запрещают обрабатывать в публичных чат-ботах любую идентифицирующую пациента информацию, без оттенков. Ответ здесь в области применения. Зелёная зона клиники — задачи, где данных пациента нет вообще: маркетинговый текст, шаблон должностной инструкции, скрипт разговора для регистратуры, разбор чужого договора. Светофор существует ради того, чтобы у сотрудника было куда пойти с большей частью задач и не осталось повода тащить туда оставшиеся.

Осторожность в команде обычно уже есть. Участница управленческой команды объяснила свой отказ примерно так:

На первом занятии эксперт остановил по этому правилу собственную демонстрацию: открыл выдуманную выгрузку занятости кабинетов, дошёл до строки с именем врача и сказал, что в рабочем виде такой файл загружать было бы нельзя.

Обезличенный запрос тоже способен навредить. В проверке под руководством врачей, опубликованной в 2025 году препринтом arXiv:2507.18 905, — 888 ответов четырёх моделей на 222 вопроса пациентов — доля проблемных ответов составила от 21,6% до 43,2% в зависимости от модели, а доля прямо небезопасных — от 5% до 13%. Авторы приводят примеры ответов, способных привести к серьёзному вреду для пациента.

Барьер, который врачи называют первым, — недоверие к точности ответов: так ответили 37,6% опрошенных «Мединтернетом». Разработчики медицинских ИИ-решений называют среди ограничений рынка статус «второго мнения» и запрет на применение в клинических рекомендациях — это следует из обзора рынка компании «К-Скай».

Отсюда вторая половина границы, которая в правилах прописывается рядом со светофором: ИИ не ставит диагнозы, не назначает и не отменяет лечение, не общается с пациентом от имени клиники без проверки человеком. Сгенерированный текст не копируется в медицинскую документацию напрямую. Нижегородский случай — иллюстрация именно этой половины: утечки там никто не доказал, зато документы с эмодзи пациенты увидели.

Готовая рамка для красной зоны существует четверть века. Правило Safe Harbor американского закона HIPAA перечисляет 18 категорий, которые убирают из медицинского текста: имена пациента и его окружения, географию мельче штата, все элементы дат кроме года, телефоны и почту, номера страховок и карт, идентификаторы устройств, сетевые адреса, биометрию, фотографии лица. Восемнадцатая категория — любые прочие идентификационные номера, характеристики или коды, по которым человека можно однозначно опознать; она задумана как ловушка для редкого диагноза и редкой профессии, но на практике редкий диагноз через неё проходит: коды МКБ в списке прямо не названы. Второе условие забывают чаще первого: убрать 18 категорий необходимо, но недостаточно — оператор не должен знать, что оставшееся позволяет опознать человека.

Пределы обезличивания измерены. По работе, опубликованной в Nature Communications в 2019 году, 99,98% американцев корректно опознаются в произвольном наборе данных по пятнадцати демографическим признакам. По систематическому обзору 2011 года в PLOS One доля повторно идентифицированных записей составила в среднем около четверти, а при атаках именно на медицинские данные — около трети.

Автоматика на русском языке добавляет свои ограничения. Открытые модели распознавания именованных сущностей дают F1 около 0,97 по персонам, но различают три типа сущностей — персоны, места и организации; диагноза, номера полиса, даты приёма и номера карты среди них нет, их добирают регулярными выражениями и словарями. Авторы одной из таких моделей предупреждают, что она обучена на новостях и на других тематиках работает хуже, а медицинский текст на новости не похож: сокращения, латынь, «б-ная К.», «пац. 1967 г. р.». Публичного русскоязычного замера по медицинским текстам мы не нашли, поэтому оценки здесь перенесены с новостных корпусов.

На третьем занятии эксперт показал локальный обезличиватель — программу, собранную для демонстрации того, как ручное обезличивание можно автоматизировать. Она работает на компьютере пользователя и блокирует себе сеть на время обработки: это защита от случайной отправки, не от злого умысла. На сгенерированных эпикризах отчёт показал 74 упоминания фамилий и 33 организации. Промахи показали на том же экране: одно имя пропущено, отдельно просочилось название учётной записи; сканы без текстового слоя программа отклоняет вовсе. До рабочего инструмента такой программе нужна доработка, но вывод от этого не зависит: риск пропуска есть у любого обезличивателя, поэтому проверка человеком перед отправкой остаётся обязательной.

Отсюда назначение инструмента. По 152-ФЗ обезличенные данные остаются персональными, а врачебную тайну обезличивание не снимает. Что оно меняет — цену ошибки: отправленный по недосмотру обезличенный фрагмент стоит организации несопоставимо меньше, чем утечка специальной категории с её 10−15 миллионами. Это управление последствиями, и обращаться с ним стоит как со страховкой, а не как с разрешением.

Модель, запущенная в контуре клиники, снимает трансграничную передачу и разглашение внешнему адресату. Она не отменяет ни оснований обработки, ни требований к защите, ни правил локализации первичной записи: спецкатегория остаётся спецкатегорией и внутри контура. Российские облачные платформы с договором поручения обработки закрывают вопрос персональных данных, но режим врачебной тайны договором не снимается — по нашему чтению нормы это отдельный вопрос к юристу компании.

Платить приходится качеством. Модели среднего размера, помещающиеся на одну современную видеокарту, справляются с задачами вида «переформулируй», «структурируй», «собери черновик памятки», «вытащи сущности из текста» — то есть с большей частью административной работы клиники. На сложных рассуждениях разрыв с передовыми моделями сохраняется. В публичных русскоязычных замерах он сокращается, но в прикладных сравнениях набор задач под российские решения пока ограничен — и по модели, и по обвязке вокруг неё; состав участников и значения в таблицах меняются быстро, смотреть стоит актуальную версию на день решения.

Сети клиник мы собственный контур не рекомендовали: его стоимость несопоставима с задачами, ради которых он нужен. Отсюда формула: тип данных определяет, что можно положить в инструмент, а тип задачи — какой инструмент допустим.

Проект правил для сети клиник «Атлас» — десять разделов и два приложения — мы передали в день третьего занятия, версией 0.9. Собираемым такой документ делает приём с пометками: там, где решение требует чужой компетенции, в тексте стоит [→ юрист], [→ ИТ] или [→ руководство] и описание задачи. Процедуру обезличивания фиксирует юрист, отключённое обучение моделей подтверждает ИТ, позицию по финансам утверждает руководство.

Так закрывается правовой пробел без юриста в комнате: специалиста по медицинскому праву в проекте не было, правовой блок вёл эксперт с оговоркой «я не юрист». Готовых юридических формулировок документ не даёт — он размечает места, где они нужны, вместе с вопросом и адресатом, и заканчивается строкой «Не является юридическим заключением».

Мы собираем такие программы под управленческую команду: три занятия по полтора часа по договору, разговор про данные идёт на материале организации, на выходе остаются светофор под её данные и каркас правил. Как это шло в «Атласе» — в кейсе ниже.

Восемь понятий, на которых держится текст. Три из них подсвечены в статье — по клику всплывает то же определение.

Расскажите про команду и задачу

Future Hub собирает корпоративное обучение под задачи бизнеса — от нейросетей до построения отделов. Начнём с замера уровня.