USA chce zakazać sprzedaży Twoich danych zdrowotnych firmom AI

• Nowa wersja Health and Location Data Protection Act zakazuje sprzedaży danych zdrowotnych i lokalizacyjnych Amerykanów brokerom danych
• Zakaz obejmuje informacje ujawniane chatbotom AI jak ChatGPT czy Claude
• Senator Elizabeth Warren i kongresmenka Mary Gay Scanlon przedstawią projekt w najbliższych tygodniach
• To rozszerzenie ustawy z 2022 roku, dostosowane do ery AI

Rozmawiasz z ChatGPT o objawach, które Cię niepokoją. Pytasz Claude o porady dietetyczne. Wpisujesz w asystenta AI swoje lokalizacje, żeby zaplanował trasę do lekarza. Wydaje się prywatne? Nie do końca.

Te dane mogą trafić do brokerów danych - firm, które kupują i sprzedają informacje o Tobie jak towar na giełdzie. Dosłownie.

Senator Elizabeth Warren i kongresmenka Mary Gay Scanlon mają dość. W najbliższych tygodniach przedstawią nową wersję Health and Location Data Protection Act - ustawy, która ma zamknąć tę furtkę raz na zawsze.

Co dokładnie zmienia nowa wersja ustawy

Health and Location Data Protection Act to nie nowy pomysł. Pierwszą wersję Warren i jej koledzy z Senatu wprowadzili już w czerwcu 2022 roku. Od tamtej pory świat AI przyspieszył - i ustawa musi nadążyć.

Nowa wersja rozszerza zakaz sprzedaży danych zdrowotnych i lokalizacyjnych na wszystkie platformy, które zbierają takie informacje. Włącznie z chatbotami AI. Jeśli pytasz Claude o objawy depresji albo prosisz ChatGPT o pomoc w interpretacji wyników badań - te dane mają być chronione tak samo jak te z gabinetu lekarskiego.

Logiczne? Pewnie. Rewolucyjne? Zdecydowanie. Większość chatbotów AI działa na modelu, w którym Twoje dane treningowe mogą być wykorzystane do ulepszania modelu. A jeśli firma sprzedaje dostęp do swoich narzędzi innym podmiotom - granica między "ulepszaniem produktu" a "sprzedażą danych" robi się bardzo cienka.

Dlaczego to nie jest oczywiste już teraz

W USA nie ma jednej, kompleksowej ustawy o ochronie danych osobowych (w przeciwieństwie do unijnego RODO czy AI Act). Dane zdrowotne są częściowo chronione przez HIPAA - tylko wtedy, gdy pochodzą od "podmiotów objętych ustawą": szpitali, ubezpieczycieli, aptek.

Chatbot AI? Nie jest podmiotem objętym HIPAA. Więc jeśli mu powiesz, że boli Cię głowa - technicznie ta informacja może trafić dalej. I trafia.

Brokerzy danych to nie teoria spiskowa

Może myślisz: "kto by kupował moje dane o zdrowiu?" Odpowiedź: bardzo wiele firm. Brokerzy danych to wielomiliardowy biznes. Zbierają informacje z setek źródeł - aplikacji fitness, wyszukiwarek, lokalizacji GPS, zakupów online - i sprzedają je reklamodawcom, ubezpieczycielom, pracodawcom, a nawet organom ścigania.

Przykład? Firma może kupić dane pokazujące, że odwiedzasz regularnie klinikę onkologiczną. Albo że wyszukujesz informacje o lekach na depresję. Albo że Twoja lokalizacja GPS pokazuje wizyty w ośrodku leczenia uzależnień. Te informacje mają wartość - dla kogoś, kto chce Ci sprzedać produkt, odmówić ubezpieczenia albo po prostu wie, że jesteś w trudnej sytuacji.

Chatboty AI dodają nowy wymiar. Ludzie rozmawiają z nimi jak z terapeutami - szczerze, bez filtra. Pytają o rzeczy, których nie wpisaliby w Google. I często nie zdają sobie sprawy, że ta rozmowa może być zapisana, przeanalizowana i sprzedana.

Co to zmienia dla firm AI

Jeśli ustawa przejdzie (a to duże "jeśli" - Kongres USA nie słynie z szybkości w uchwalaniu przepisów o prywatności), firmy AI będą musiały przebudować swoje polityki prywatności. Nie będzie można już ukrywać się za ogólnikami w regulaminie.

Dla Ciebie to dobra wiadomość. Dla firm - wyzwanie. OpenAI, Anthropic, Google i inni będą musieli jasno określić: co robią z Twoimi danymi zdrowotnymi i lokalizacyjnymi. I nie będą mogli ich sprzedawać brokerom.

To nie znaczy, że nie będą mogli ich wykorzystywać w ogóle. Mogą trenować modele, ulepszać produkty, analizować trendy - tylko wewnętrznie. Bez przekazywania na zewnątrz.

A co z Polską i Europą

W UE sytuacja wygląda inaczej. RODO już chroni dane zdrowotne jako "szczególną kategorię" - ich przetwarzanie wymaga wyraźnej zgody i ma ścisłe limity. AI Act dodatkowo reguluje systemy AI wysokiego ryzyka, w tym te używane w ochronie zdrowia.

Problem brokerów danych istnieje też w Europie. Firmy działające spoza UE mogą zbierać dane Europejczyków i przetwarzać je na swoich serwerach. Jeśli używasz amerykańskiego chatbota - Twoje dane mogą trafić pod jurysdykcję USA. I tam RODO już nie obowiązuje.

Dlatego amerykańska ustawa ma znaczenie także dla Ciebie. Im więcej krajów wprowadza twarde przepisy o ochronie danych, tym trudniej firmom AI utrzymywać model biznesowy oparty na ich sprzedaży.

Co możesz zrobić już teraz

Nie czekaj na ustawę. Możesz chronić swoje dane zdrowotne już dziś.

Po pierwsze: nie traktuj chatbota AI jak lekarza. Jeśli pytasz o objawy, diagnozę, leki - zakładaj, że ta rozmowa może być zapisana. Większość firm AI ma w regulaminie zapis, że mogą wykorzystywać Twoje dane do treningu modeli. "Wykorzystywać" to szerokie pojęcie.

Po drugie: sprawdź ustawienia prywatności w narzędziach, których używasz. ChatGPT pozwala wyłączyć historię rozmów i trening na Twoich danych. Claude ma podobne opcje. Gemini też. Musisz to zrobić ręcznie - domyślnie jest włączone.

Po trzecie: jeśli musisz rozmawiać o zdrowiu z AI - używaj narzędzi, które działają lokalnie na Twoim urządzeniu albo mają certyfikaty zgodności z HIPAA (w USA) lub RODO (w UE). Takie narzędzia istnieją - są rzadsze i często płatne.

I na koniec: pamiętaj, że lokalizacja to też dane zdrowotne. Jeśli Twój telefon wie, że byłeś w szpitalu psychiatrycznym, klinice leczenia AIDS czy ośrodku odwykowym - ta informacja mówi o Tobie bardzo wiele. Wyłącz lokalizację w aplikacjach, które jej nie potrzebują. Zwłaszcza w tych z AI.

Najczęstsze pytania

Czy nowa ustawa obejmuje również użytkowników spoza USA?

Bezpośrednio nie - ustawa chroni dane Amerykanów. Jeśli jednak firma AI działa globalnie i musi dostosować się do amerykańskich przepisów, często zmienia politykę prywatności dla wszystkich użytkowników. To kwestia kosztów - łatwiej mieć jeden standard niż osobne zasady dla każdego kraju.

Czy firmy AI będą mogły nadal trenować modele na moich danych zdrowotnych?

Ustawa zakazuje sprzedaży danych brokerom, nie ich wewnętrznego wykorzystania. Firma może trenować model na Twoich rozmowach - nie może ich sprzedać innej firmie. To wciąż luka, którą warto znać.

Kiedy ustawa może wejść w życie?

Warren i Scanlon przedstawią projekt w najbliższych tygodniach. Potem czeka go długa droga przez komisje, głosowania, poprawki. W optymistycznym scenariuszu - rok, dwa. W pesymistycznym - może w ogóle nie przejść. Kongres USA ma słabą historię w uchwalaniu przepisów o prywatności.

Jak sprawdzić, czy moje dane z chatbota AI zostały sprzedane?

Praktycznie nie da się tego sprawdzić. Brokerzy danych działają w cieniu - kupują informacje hurtowo, anonimizują je (przynajmniej teoretycznie) i sprzedają dalej. Nie dostaniesz powiadomienia "Twoje dane o depresji zostały sprzedane firmie X". Dlatego lepiej zapobiegać niż leczyć - wyłącz zbieranie danych w ustawieniach prywatności.

Czy etyka AI wystarczy zamiast regulacji?

Nie. Firmy AI lubią mówić o "odpowiedzialnym rozwoju" i "etycznych zasadach", to jednak dobrowolne deklaracje. Bez przepisów prawnych nie ma egzekucji. Warren i Scanlon stawiają na twarde prawo - bo historia pokazuje, że dobre intencje nie wystarczają, gdy w grę wchodzą miliardy dolarów.