Un fornitore propone uno strumento di documentazione ambientale. Il sistema ascolta la conversazione nella sala visite e redige la nota clinica. La dimostrazione è convincente e i medici si mostrano entusiasti. La proposta, tuttavia, non specifica per quanto tempo le registrazioni e le trascrizioni vengano conservate, né chi altro potrebbe utilizzarle per migliorare il prodotto. Il responsabile amministrativo che la legge deve decidere se chiedere chiarimenti, a chi rivolgerli e se la risposta sia sufficientemente esaustiva.
Questo è uno scenario esemplificativo, non un caso documentato. Descrive la lacuna che la formazione sulla privacy nella documentazione dell'IA mira a colmare: la distanza tra l'essere impressionati da un flusso di lavoro e la capacità di metterlo in discussione.
Questa guida è destinata ai direttori della formazione e dello sviluppo ospedaliero e ai responsabili dell'informatica o della conformità che collaborano con loro. Tratta argomenti quali la descrizione del problema di performance, la diagnosi delle lacune di apprendimento e di contesto, la progettazione della preparazione e della pratica, l'analisi di un caso e la valutazione del trasferimento delle competenze. Si tratta di progettazione della formazione, non di consulenza legale. La normativa sulla privacy varia a seconda della giurisdizione, pertanto il responsabile della privacy e il consulente legale del vostro ospedale dovranno definire le regole applicabili ai vostri discenti.
Che cos'è la formazione sulla privacy della documentazione AI?
La formazione sulla privacy nella documentazione basata sull'IA prepara i responsabili amministrativi a valutare i flussi di lavoro di documentazione dell'IA e a sollevare questioni relative alla privacy prima dell'adozione di uno strumento. Il compito è di tipo valutativo. Il partecipante legge una proposta, mappa la destinazione delle informazioni dei pazienti, la confronta con gli obblighi dell'organizzazione e decide cosa chiedere, cosa segnalare e cosa rifiutare di approvare.
I fatti in breve
| La Domanda | Risposta breve |
|---|---|
| Qual è il compito? | Valutare i flussi di lavoro di documentazione dell'IA e sollevare questioni relative alla privacy. |
| Che punteggio ottieni? | Completezza della valutazione del rischio e giustificazione di un eventuale inasprimento delle procedure. |
| Un corso di aggiornamento sulla normativa HIPAA è sufficiente? | No. Permette di acquisire familiarità con le regole, non l'abitudine di mettere in discussione il flusso di lavoro di uno specifico fornitore. |
| Chi convalida i contenuti? | Un responsabile informatico o della conformità, in collaborazione con il responsabile della privacy, che utilizzi proposte inventate o anonimizzate. |
| Cosa non si può risolvere con l'allenamento? | Condizioni contrattuali con il fornitore non modificabili, mancanza di autorità per rifiutare e tempi di valutazione ristretti. |
| Come fai a sapere che ha funzionato? | Una nuova proposta, mai vista prima, valutata in base a criteri concordati, e un successivo colloquio di verifica sul luogo di lavoro. |
1. Descrivi il problema di prestazioni
Iniziate con il compito: valutare i flussi di lavoro di documentazione dell'IA e sollevare questioni relative alla privacy. Due aspetti sono fondamentali. Valutare significa leggere una proposta reale, non limitarsi a ricordare una policy. Sollevare questioni significa che il risultato è una serie di domande specifiche a cui è possibile rispondere e una chiara procedura di escalation, non un verdetto di sicurezza dello strumento.
La conservazione e la condivisione dei dati sono punti di riferimento importanti, perché una proposta può essere vaga su questi aspetti specifici. Chiedete dove vengono archiviati i file audio e le trascrizioni, per quanto tempo, chi può accedervi e se vengono utilizzati per migliorare il prodotto del fornitore. Domande come queste sono utili solo se chi apprende ne comprende l'importanza.
Un utile punto di riferimento è la guida dell'Ufficio per i Diritti Civili del Dipartimento della Salute e dei Servizi Umani degli Stati Uniti (HHS) sul cloud computing. Essa afferma che un'entità soggetta alla normativa HIPAA può utilizzare un servizio cloud per archiviare o elaborare informazioni sanitarie protette elettroniche solo se ha stipulato un accordo di associazione commerciale (Business Associate Agreement, BIA) con il fornitore, ovvero il contratto che definisce gli usi consentiti e le garanzie richieste. La guida precisa inoltre che un fornitore che detiene dati crittografati senza la chiave di decrittazione è comunque considerato un BIA. Anche il cliente mantiene i propri obblighi: deve effettuare una propria analisi dei rischi anziché affidarsi esclusivamente al contratto ( HHS, Guidance on HIPAA and Cloud Computing ). Tale guida è precedente agli strumenti di intelligenza artificiale ambientale e non è specifica per questi ultimi, pertanto è consigliabile utilizzarla come quadro di riferimento iniziale e chiedere al responsabile della privacy di indicarne l'applicabilità.
Riassumi la descrizione delle prestazioni in una sola frase e falla controllare a un responsabile della conformità: "Data una proposta di un fornitore per uno strumento di documentazione basato sull'IA, il responsabile mappa il flusso delle informazioni sui pazienti, elenca i quesiti relativi alla conservazione e alla condivisione lasciati aperti dalla proposta e segnala al responsabile competente quelli che non riesce a risolvere."
2. Diagnosticare le lacune di apprendimento e di contesto
Prima di iniziare qualsiasi attività, confronta il compito con ciò che il tuo programma attuale prevede e valuta. Solitamente, tre domande distinguono una lacuna formativa da qualcos'altro:
- La pratica attuale si basa sul compito reale? Se la formazione sulla privacy è un modulo annuale sulle regole generali, i partecipanti si esercitano a riconoscere le regole, non ad applicarle a una proposta di un fornitore. Un quiz sulle definizioni misura la memorizzazione, non la valutazione.
- Qual è il carico cognitivo richiesto? Nella tassonomia rivista di Bloom, si applica una regola a una nuova proposta e si analizza dove i flussi di informazione si collocano al di sopra del ricordo. L'abbinamento delle attività a questi livelli è trattato nella nostra guida a abbinamento delle attività di apprendimento alla tassonomia di Bloom.
- C'è qualcos'altro, oltre alla mancanza di abilità, che ostacola il processo? Verifica il personale, gli strumenti e le procedure. Un responsabile con solo due giorni per esaminare una proposta, senza un modello per le domande ai fornitori o senza l'autorità di sospendere un acquisto, farà fatica, per quanto ben formato. Segnala queste problematiche a chi può risolverle.
3. Preparazione e pratica della progettazione
Una volta individuate le lacune che la formazione può colmare, assegnate a ciascuna fase un compito specifico.
Preparazione. Verifica i prerequisiti con una breve diagnosi: i termini chiave relativi alla privacy utilizzati dalla tua organizzazione, cosa si intende per informazioni sui pazienti, cos'è un accordo con un partner commerciale e chi è responsabile delle decisioni in materia di privacy. Lo studio autonomo è adatto a questa fase. Un controllo di richiamo serve solo a confermare i prerequisiti.
Esercitati. Utilizza simulazioni di audit. I partecipanti ricevono una proposta di un fornitore fittizia e la checklist sulla privacy dell'organizzazione, e si preparano per una simulazione di audit come farebbero per un'ispezione: di quali prove avrebbero bisogno, cosa chiederebbero per prima cosa e cosa segnalerebbero. Includi esempi tratti dai tuoi precedenti audit in cui i dati sono anonimizzati e approvati dal responsabile della conformità.
Feedback. Collegalo alle decisioni prese piuttosto che a un punteggio totale. "Hai chiesto per quanto tempo vengono conservate le trascrizioni, che è una domanda legittima, ma non hai chiesto se il fornitore potrebbe utilizzarle per addestrare i suoi modelli" è più utile di un semplice "6 su 10".
Interazione in tempo reale o revisione asincrona? Il coaching in tempo reale è più efficace quando una proposta è ambigua e i partecipanti hanno bisogno di sentire come un esperto in materia di privacy valuta quali aspetti meritano di essere approfonditi. La revisione asincrona è sufficiente per confrontare l'elenco di domande scritte da un partecipante con una risposta modello commentata. Alcuni team utilizzano entrambi i metodi: prima una preparazione autonoma, poi una sessione guidata sulle proposte più complesse.
4. Analizza un esempio realistico
A scopo illustrativo. Un responsabile della privacy o dell'informatica dovrebbe convalidare il caso e i criteri di risposta prima dell'utilizzo.
Il caso. Una proposta di un fornitore per uno strumento di documentazione ambientale afferma che i dati vengono "archiviati in modo sicuro" e "utilizzati per migliorare i nostri servizi". Non specifica alcun periodo di conservazione e non dice se il fornitore firmerà l'accordo di collaborazione commerciale dell'organizzazione.
Il compito. Il responsabile esamina la proposta, elenca ciò che essa dice e non dice in merito alla conservazione e alla condivisione dei dati, decide cosa chiedere al fornitore e specifica di cosa ha bisogno dai colleghi che si occupano di privacy o di questioni legali prima che lo strumento possa essere ulteriormente sviluppato.
Un primo tentativo. "Il fornitore afferma che i dati sono archiviati in modo sicuro, quindi penso che vada bene. Lo dirò al team clinico, sembra accettabile." Questo approccio accetta un'affermazione generica senza verificarla. Inoltre, si sottrae una decisione che non spetta all'utente.
Feedback e possibilità di riprovare. Il coach evidenzia due frasi nella proposta: "archiviato in modo sicuro" non dice nulla sulla durata, e "utilizzato per migliorare i nostri servizi" non specifica se sono incluse registrazioni o trascrizioni. La richiesta di riprovare chiede allo studente di trasformare ciascuna frase in una domanda.
Un tentativo più incisivo. "La proposta non specifica un periodo di conservazione per audio o trascrizioni. Chiederei entrambi. 'Migliorare i nostri servizi' potrebbe includere l'addestramento dei modelli del fornitore sulle conversazioni dei nostri pazienti, quindi chiederei direttamente se ciò è previsto e se possiamo rifiutare. Chiederei anche se il fornitore è disposto a firmare il nostro accordo di collaborazione commerciale. Non posso decidere se le risposte siano accettabili, quindi invierò le domande e le risposte al nostro responsabile della privacy e sospenderò l'implementazione fino a quando non le avrà esaminate." Questa risposta elenca le lacune specifiche, le trasforma in domande e inoltra la decisione alla persona competente.
Perché ogni risposta è difendibile o incompleta. Valuta ciascuna risposta in base a criteri approvati, non alle preferenze del formatore. Il primo tentativo è un'abitudine comune, ma si ferma alla semplice rassicurazione. Il tentativo più efficace comprende la memorizzazione, la condivisione e l'accordo, e rimane entro i limiti di competenza dello studente.
5. Valutare le capacità e pianificare il trasferimento
La dimostrazione di competenza consiste nella risposta a una proposta che il discente non ha ancora visto. Valutare la completezza della revisione del rischio e la giustificazione dell'escalation. Una semplice griglia di valutazione utilizza una scala da 0 a 2 per ciascun criterio:
| Criterio | Prove osservabili |
|---|---|
| Esecuzione dell'attività | Valuta il flusso di lavoro e registra le prove a supporto di ogni domanda posta. |
| Ragionamento | Spiega i vincoli, le alternative e ciò che rimane incerto. |
| Confini | Utilizza procedure approvate e segnala il problema ai livelli superiori qualora le informazioni o l'autorità siano insufficienti. |
Criteri di valutazione: 0 indica assenza o mancanza di supporto, 1 indica una presenza parziale con omissioni rilevanti e 2 indica una presenza completa e giustificata in base ai criteri concordati. Definire separatamente gli errori critici, come ad esempio l'approvazione di uno strumento per l'utilizzo con informazioni sui pazienti prima che sia stato sottoposto a verifica da parte dell'ufficio privacy, in modo che il punteggio complessivo non possa nasconderne alcuno. Questa griglia di valutazione è una proposta, non uno standard di conformità validato: adattarla con un responsabile informatico o della conformità e testarla. La nostra guida alla progettazione di pratiche interattive con feedback utili mostra come redigere feedback che siano collegati alle decisioni.
Pianifica il trasferimento in modo mirato. Aggiungi un follow-up dopo che i partecipanti hanno esaminato una proposta reale, ad esempio un breve debriefing in cui ciascuno condivide le domande che ha posto e le risposte fornite dal fornitore.
Dove la consegna interattiva aiuta
I formati interattivi sono utili quando tutti devono impegnarsi prima di sentire la risposta. In una sessione dal vivo, un facilitatore può mostrare un estratto di una proposta fittizia, chiedere a ciascun partecipante di digitare la prima domanda che invierebbe al fornitore e poi mostrare la tabella prima della discussione. Lo stesso caso può essere svolto in modalità autoapprendimento per la preparazione. AhaSlides supporta l'apprendimento interattivo e il passaggio tra sessioni dal vivo e autoapprendimento. Evita di utilizzare dati reali dei pazienti e contratti reali con i fornitori, verifica qualsiasi funzione specifica di authoring, feedback o reporting su cui intendi fare affidamento confrontandola con il tuo flusso di lavoro e considera l'IA, i simulatori e le integrazioni di sistema come elementi esterni o non confermati finché non ne hai verificato il funzionamento. Per indicazioni sulla scelta dei formati, consulta il nostro articolo su quando utilizzare l'apprendimento adattivo, interattivo e dal vivo.
Misurare ciò che è cambiato
Decidete in anticipo cosa dimostrerebbe che i partecipanti sono in grado di svolgere il compito. Confrontate la completezza delle valutazioni del rischio su una proposta non vista in precedenza con un valore di riferimento e verificate se le segnalazioni di problemi erano giustificate quando venivano esaminate da un responsabile della privacy. Definite chi è incluso, il denominatore e la tempistica. Se i risultati migliorano, verificate cos'altro è cambiato nello stesso periodo, come ad esempio una nuova checklist del fornitore, un aggiornamento delle policy o un cambiamento nella persona che esamina le proposte, prima di attribuire il merito alla formazione.
Vincoli che potrebbero rimanere
- Termini del fornitore. Un fornitore può rifiutare modifiche alle sue condizioni standard. Una buona valutazione permette di scoprirlo tempestivamente, ma la formazione non modifica il contratto.
- Autorità. Un potenziale cliente che può porre domande ma non può sospendere un acquisto ha una portata limitata.
- Tempo. Una revisione approfondita richiede tempo, che potrebbe non essere previsto.
- Copertura del caso. Una proposta illustra uno schema. Un punteggio non descrive il giudizio di una persona in generale.
- Trasferimento. Le prestazioni in un caso di studio simulato non sono le stesse delle prestazioni sotto pressione d'acquisto.
Segnalate tempestivamente questi problemi agli sponsor e pianificate soluzioni separate. La formazione migliora la capacità di valutazione dei responsabili, ma non modifica le condizioni che circondano il processo decisionale.
Domande frequenti
Che cos'è la formazione sulla privacy della documentazione AI?
Il corso prepara i responsabili amministrativi a valutare gli strumenti di documentazione basati sull'IA, come la presa di appunti in tempo reale, e a sollevare questioni specifiche sulla privacy relative alla conservazione, all'accesso e alla condivisione dei dati prima dell'adozione.
Un accordo con un partner commerciale risolve la questione della privacy?
No. È una misura di sicurezza obbligatoria. Nelle linee guida del Dipartimento della Salute e dei Servizi Umani (HHS) sul cloud computing, i clienti devono comunque effettuare la propria analisi dei rischi e il responsabile della privacy decide cosa è accettabile.
Come si valuta se i potenziali clienti sono in grado di valutare uno strumento?
Fornisci una proposta che il discente non ha ancora visto e valuta la completezza della revisione dei rischi e la giustificazione dell'escalation rispetto ai criteri concordati. Un quiz sulle definizioni verifica solo i prerequisiti.
È possibile utilizzare contratti reali con i fornitori durante la formazione?
Utilizza proposte inventate o anonimizzate e fai approvare dal responsabile della conformità qualsiasi materiale tratto da revisioni reali. Non utilizzare le informazioni sui pazienti in alcuno strumento di formazione.
Dove iniziare
Scegliete una tipologia di proposta che la vostra organizzazione riceve frequentemente. Redigete la dichiarazione di prestazione, fate convalidare un caso ipotetico e le domande che una risposta valida solleverebbe da un responsabile informatico o della conformità, e create una griglia di valutazione a tre criteri con una scala da 0 a 2 e un elenco di errori critici. Testatela con un piccolo gruppo prima di estenderla a tutti.
Per scoprire come una revisione di una proposta può essere condotta in tempo reale con il tuo team e riutilizzata in seguito in autonomia, esplora AhaSlides.
