Not: HIPAA, Sağlık Sigortası Taşınabilirlik ve Sorumluluk Yasası (Health Insurance Portability and Accountability Act) anlamına gelen, 1996 yılında Amerika Birleşik Devletleri’nde yürürlüğe girmiş federal bir yasadır.
Temel Amacı Nedir?: Hasta Gizliliği: Hastaların tıbbi geçmişi, tahlil sonuçları ve kimlik bilgileri gibi hassas sağlık verilerinin (PHI – Korunan Sağlık Bilgisi) yetkisiz kişilerin eline geçmesini önler.
28 Eylül 2026 / Hazırlayan: Roy L. Simpson, DNP, RN, FAAN, FACMI, DPNAP
Hasta mahremiyetini korumak için sınırları anlayın.
Özetle:
- Sağlık Sigortası Taşınabilirliği ve Hesap Verebilirlik Yasası, hasta bilgilerinin nasıl saklanabileceği, erişilebileceği ve paylaşılabileceği konusunda bir sınır çizmektedir.
- Bu sınırlar içindeki bilgiler, İş Ortağı Sözleşmesi ile korunmaktadır. Bilgiler şifrelenir, denetlenir, kayıt altına alınır ve yasal yükümlülükler sağlık kuruluşuna aittir.
- Tüketiciye yönelik yapay zeka uygulamaları bu tür bir koruma sağlamaz ve veri ihlali durumunda sorumluluk bireysel hemşireye kalır.
SADECE 10 SANİYE SÜRÜYOR. Kafa karıştırıcı bir laboratuvar değeri, garip bir ilaç kombinasyonu, ders kitaplarında hiç rastlamadığınız bir yara ve telefonunuz cebinizde. Kişisel telefonunuzdan yapay zekâ destekli bir sohbet robotunu açıp hızlı bir ikinci görüş almak, Google’da bir şey aramakla aynı hissi veriyor. Ama aslında farklı. “Zararsız gibi görünen” ile “bildirilmesi gereken HIPAA sorunu” arasındaki uçurum, birçok iyi niyetli hemşirenin düşmek üzere olduğu yerdir.
Sizi korkutmak istemiyorum. Cebinizdeki cihaz hakkında pratik tavsiyeler vermek istiyorum. Hani parasını ödediğiniz ve hastanenizin lisansıyla hiçbir ilgisi olmayan kendi hesaplarınıza giriş yapmak için kullandığınız cihaz.
Yapay zeka hemşireliğe sonradan gelmiyor. Zaten burada, ünitelerimizde ve hastaları izleme, değerlendirme ve bakım verme yöntemlerimizin bir parçası.
Yapay zeka (YZ), bir moda sözcüğünden teknolojik ve toplumsal bir olguya dönüşerek baş döndürücü bir hızla ilerledi. Yatırımcılar, mucitler ve işletmeler hızla…
İki cihaz, iki dünya
Şöyle bir senaryo hayal edin: Bir hemşire kişisel telefonundan bir tüketici sohbet robotuna hasta sorusu yazıyor. On metre ötede, bir meslektaşı hastanenin yapay zekâ destekli elektronik sağlık kayıt terminalinde neredeyse aynı bilgiyi gösteriyor. Aynı soru, iki farklı hukuk dünyası.
Bunu bir şehrin sınırları içi ve dışı olarak düşünün. Bu, HIPAA’nın hasta bilgilerinin nasıl saklanabileceği, erişilebileceği ve paylaşılabileceği konusunda çizdiği bir çizgidir. Hastanenizin sistemi bu sınırın içinde yer alıyor çünkü hastane, satıcıyla bir İş Ortağı Anlaşması imzaladı. Bu sözleşme, satıcıyı hasta verilerini hastanenin kendisinin korumak zorunda olduğu gibi ve hatta daha fazlasını korumaya yasal olarak mecbur kılıyor. Bu, aracın doğrudan elektronik sağlık kaydınıza entegre edilmiş olması veya hastanenizin klinik kullanım için onayladığı ve lisansladığı ayrı bir uygulama olması fark etmeksizin geçerlidir.
Antlaşmalar, yalnızca genel arama için kullanılmak yerine hasta verileriyle entegre edildiklerinde referans araçları da içerir. Bu sınırlar dahilinde veriler şifrelenir, denetlenir ve kaydedilir. Bir sorun ortaya çıktığında, düzenleyici sorumluluk kuruma aittir.
Kişisel telefonunuzdaki bir tüketici yapay zeka uygulaması neredeyse hiçbir zaman işvereninizle böyle bir anlaşmaya sahip değildir. Telefonunuz ve uygulamanız bunun için tasarlanmamış veya denetlenmemiştir. Bir hastanın yaşını, teşhisini veya hatta ünitedeki herhangi birinin tanımlayabileceği “varsayımsal” bir vakayı yazdığınız anda, bu bilgiler denetim izi olmayan ve denetim ofisinizin kontrol edemeyeceği, saklanması veya silinmesi garanti edilmeyen bir yere doğru şehir sınırlarının dışına çıkar.
Bunun ne önemi var? Çoğu tüketici yapay zeka aracı, içine yazılanlardan öğrenmek üzere tasarlanmıştır. Sorunuz veya isteğiniz, yapay zeka aracı tarafından daha sonra kullanılmak üzere değerlendirilir. Ürün bu şekilde gelişir. İşverenle yapılan bir anlaşma (BAA) olmadan, bir hastanın bilgilerinin, aracın daha sonra başka birinin sorgusu için kullandığı verilerin bir parçası haline gelmesini engelleyen hiçbir duvar veya sınır yoktur ve sizin veya hastanenizin bunu geri çekmesinin bir yolu da yoktur. Bir araç ücretsiz, genel amaçlı ve işvereninizle sözleşmeli değilse, yazdıklarınızı sakladığını varsayın.
Hemşireler bu belirsizliği bizzat kendileri dile getirdiler. Rony ve meslektaşlarının 2024 yılında yaptığı fenomenolojik bir çalışmada, ön saflarda çalışan hemşirelerin yapay zeka araçlarının verilerini nereden aldığı ve veriler girildikten sonra başka kimlerin görebileceği konusunda gerçek bir huzursuzluk yaşadıkları tespit edildi.
“Şehir sınırları içinde olmak” serbest geçiş hakkı anlamına gelmez.
İşte sorun burada: Onaylı bir cihazda olmak, her kullanımının otomatik olarak temiz olduğu anlamına gelmez. Adler’in belirttiği gibi, 2026 yılında hastalar, klinisyen-hasta konuşmalarını yazıya dökmek için kaydeden yapay zeka destekli ve ortam dokümantasyon araçları nedeniyle çeşitli sağlık sistemlerine karşı dava açtı. Bu hâlâ çözüme kavuşmamış davalardaki temel iddia, veri depolama ile ilgili değil, rıza ile ilgili. Hastalar, kayıt başlamadan önce açıkça kayıt altına alınmayı kabul ettiler mi?
Davalar henüz sonuçlanmadı ve iddialar mahkemede test edilmedi, ancak çıkarılacak ders sonuçtan bağımsızdır. Hastanenizin onayladığı, onaylı bir cihaz üzerinde ve bir BAA (İşveren Onay Anlaşması) ile desteklenen bir araç, yine de ayrı ve önemli soruları gündeme getiriyor: Hasta bunu kabul etti mi? Biriminizin süreci bunu gerçekten belgeliyor mu? Biriminiz bir ortam dinleme aracı kullanmaya başlarsa, bu soruları sormayı düşünün. ( Şehir sınırları içinde ve dışında bölümüne bakın. )
“Ama ben isim kullanmadım”: Bu neden sizi kurtarmaz?
Birçok hemşire, bir sorudan veya yönlendirmeden ismi çıkarmanın yeterli olduğunu varsayar. Ancak bu yeterli değildir. HIPAA’nın Güvenli Liman standardı, isim dışında kesin tarihler, posta kodu, tıbbi kayıt numarası, cihaz tanımlayıcıları ve daha fazlasını içeren 18 özel tanımlayıcının kaldırılmasını gerektirir. Tamamen kaldırma bile bir garanti değildir. Klinik anlatılar için otomatik kimliksizleştirme araçları geliştiren Foufi ve meslektaşları, isimlerin, tarihlerinin, yerlerin ve hemşirelerin yazdığı serbest metin notlarının bir kayıtta en yoğun tanımlayıcı ayrıntıyı içerdiğini ve genel metin araçlarının, klinik anlatı için özel olarak oluşturulmuş kurallar olmadan bunları rutin olarak gözden kaçırdığını bulmuştur.
İşte yeniden kimlik tespiti pratikte böyle işliyor. Tek bir gizli ismi çözerek değil, bir avuç ayrıntıyı (örneğin hastanın yaş aralığı, nadir bir ilaç kombinasyonu, belirli bir ünite, alışılmadık bir komplikasyon) birleştirerek ve bunu yerel bir haber gibi kamuya açık bir şeyle karşılaştırarak, gerçek bir kişiye işaret eden bir bilgiyle çapraz referanslayarak. Kişisel telefonunuza yazılan “67 yaşındaki ameliyat sonrası hastam, bu garip aritmi ve nadir ilaç kombinasyonuna sahip” ifadesi anonimleştirilmiş gibi görünebilir, ancak genellikle öyle değildir. Hastanenin lisanslı aracı tam olarak bu tür sorguları içerecek şekilde tasarlanmıştır ve kişisel telefonunuz bu amaçla tasarlanmamıştır.
Riski asıl kim üstleniyor?
Hastanenin sağladığı koruma, onaylı sistemin dışına çıktığınız anda otomatik olarak sizi kapsamaz. Kurumlar, İş Ortaklığı Anlaşmalarını (BAA) tam olarak müzakere eder, böylece onaylanmış araçlar için uyumluluk yükü kurumun üzerinde olur. Bunun yerine kendi telefonunuza uzanırsanız, bu çerçevenin dışına çıkmış olursunuz.
Federal yasa, hasta bilgilerine yetkisiz erişimi derecesine göre değerlendirir. 2023 yılında, ABD Sağlık ve İnsan Hizmetleri Bakanlığı, müfettişlerin 23 güvenlik görevlisinin işleriyle ilgili olmayan bir nedenle hasta kayıtlarına eriştiğini tespit etmesinin ardından Washington’daki bir hastaneye 240.000 dolar para cezası verdi. Ceza kuruma uygulandı ve güvenlik görevlileri işlerini kaybetti. Doğrudan yetkisiz erişim bir düzeyde risk taşırken; nedeninizi yanlış beyan ederek elde edilen erişim daha ağır risk taşır; kişisel kazanç için kullanılan erişim ise en ağır riski taşır—en sert ceza kademesinde 10 yıla kadar federal hapis cezası.
Çoğu kişisel cihaz yapay zeka kullanımı, şüphe uyandırsa da hiçbir zaman dava konusu olmuyor. Ancak “nadiren federal dava” demek “ihlal değil” demekle aynı şey değil. Hemşirelikte, herhangi bir şey bu seviyeye ulaşmadan çok önce, eyalet kurulu disiplin cezası veya işten çıkarma söz konusu olabilir. Büyük kişisel veri kümeleri üzerinde eğitilmiş yapay zeka sistemleri klinik iş akışlarına daha derinlemesine girdikçe, risk sadece dışarıdan gelen bilgisayar korsanlarıyla sınırlı kalmıyor. Dailah ve meslektaşları, dahili, sıradan veri işleme işlemlerinin hem hastalar hem de personel için gerçek bir öneme sahip olduğunu belirtiyor.
Aynı mantık sorumluluk sigortası için de geçerlidir. Kurumsal sigorta öncelikle kurumu korur ve birçok kişisel poliçe “onaylanmamış” teknoloji kullanımını kapsam dışı bırakır. Bağımsız bir sigortanız varsa, kendi sigorta şirketinizle iletişime geçmeniz faydalı olacaktır.
Kime soracağınızı bilin.
Eğer kuruluşunuz Amerikan Hemşirelik Akreditasyon Merkezi (American Nurses Credentialing Center) Magnet® veya Pathway to Excellence® unvanını almışsa, teknoloji kullanımıyla ilgili sorular sorabileceğiniz bir platformunuz zaten vardır. Paylaşımlı yönetim yapıları genellikle, hemşirelerin bir aracın bir olay haline gelmeden önce onaylanıp onaylanmadığını sorabileceği bir BT veya teknoloji komitesi içerir. Biriminizde böyle bir komitenin olup olmadığını bilmiyorsanız, hemşire yöneticinize veya bilişim uzmanınıza sorun.
Pragmatik uyumluluğun neye benzediği
Bunların hiçbiri yapay zekanın hasta başında yeri olmadığı anlamına gelmiyor. Rony ve meslektaşları gibi hemşirelik alanındaki akademisyenler, yapay zeka okuryazarlığını giderek artan bir şekilde isteğe bağlı bir eklenti değil, mesleki hazırlığın bir parçası olarak ele alıyorlar. Hemşirelerin bu araçların verileri nasıl işlediğine dair çalışma bilgisine sahip olmaları gerekiyor ki, korkudan kaçınmak yerine onları güvenli bir şekilde kullanabilsinler.
- Hangi ekranda olduğunuzu bilin . Hastaneniz klinik karar destek aracı, dokümantasyon asistanı veya ortam yazıcısı için lisans verdiyse, onu orada kullanın. Onaylanmış bir cihaz kullandığınızdan emin olun.
- Kişisel telefonunuzdaki yapay zeka uygulamasını kişisel bir e-posta hesabı gibi düşünün. Bir hastanın laboratuvar sonuçlarını Gmail hesabınıza e-posta ile göndermezsiniz. Kendi cihazınızdaki tüketici sohbet robotu da işlevsel olarak aynı türde bir bilgi paylaşımıdır. Buna “kişisel” denmesinin bir nedeni var.
- Kişisel telefonunuzda genel sorular sorun, ancak hiç soru sormamak daha iyidir. “Serotonin sendromunun ardındaki mekanizmalar nelerdir?” sorusu güvenlidir. “X, Y ve Z kullanan ve şu belirtilerle başvuran hastam” sorusu ise, isim verilmemiş olsa bile, güvenli değildir.
- Yapay zekâ gibi belgeler klinik kararınızın gerekçesi olmamalıdır. Onaylanmış bir araç bakımınızı bilgilendiriyorsa, dokümantasyonunuz “Yapay zekâ X önerdi, ben de X yaptım” şeklinde değil, bağımsız hemşirelik değerlendirmenizi yansıtmalıdır. Her zaman profesyonel yargınızı belgeleyin, böylece hasta bakımında profesyonel hemşirenin rolü hakkında herhangi bir tartışma olmasın.
Gizlilik, hemşirelikte yapay zekanın etik kullanımıyla ilgili çok daha büyük bir tartışmanın yalnızca bir parçası.
Özetle
Hasta başında yapay zekaya başvurma içgüdüsü sorun değil. Bu başvuru çoğu zaman iyi bir başvurudur ve hemşire için bilgi ve hafıza oluşturur. Sorun cihazda. Hastanenin aracı kurumsal koruma altındadır, ancak bu korumanın bile sınırları vardır. Kişisel telefonunuza da, hasta dosyasına gösterdiğiniz aynı titizliği gösterin. İşvereniniz bunu onaylamadıysa ve koruma altına almadıysa, tam da bu soru için tasarlanmış terminale 3 metre yürüyün.
Roy’un Kuralı: Yapay zeka bir araçtır. Farkı yaratan ise hemşirelik bilginizdir.
Roy L. Simpson, hemşirelik ve teknoloji kesişiminde 50 yıllık deneyime sahip bir hemşire bilişim uzmanıdır. Halen Atlanta, Georgia’daki Emory Üniversitesi Nell Hodgson Woodruff Hemşirelik Okulu’nda profesör, eş direktör ve yapay zeka eğitimi yardımcı dekanı olarak görev yapmaktadır.
https://www.myamericannurse.com/when-just-asking-ai-becomes-a-hipaa-problem/