Bảo mật & tuân thủ dữ liệu y tế khi dùng AI: Nghị định 13/2023 cho cơ sở y tế

Khi đưa AI và hệ thống số vào phòng khám hay bệnh viện, câu hỏi đầu tiên không nên là "công cụ nào nhanh nhất" mà là "làm sao tuân thủ". Dữ liệu y tế là loại nhạy cảm nhất, và Nghị định 13/2023/NĐ-CP về bảo vệ dữ liệu cá nhân đặt ra những yêu cầu rõ ràng. Bài viết này là checklist thực tế.

Dữ liệu sức khoẻ = dữ liệu cá nhân nhạy cảm

Theo Nghị định 13/2023, thông tin về tình trạng sức khoẻ thuộc nhóm dữ liệu cá nhân nhạy cảm — đòi hỏi mức bảo vệ cao hơn và sự đồng ý rõ ràng hơn dữ liệu thông thường. Điều này áp dụng cho cả hồ sơ trong HIS lẫn thông tin trao đổi qua chatbot front-office.

Checklist tuân thủ khi dùng AI ở cơ sở y tế

1. Sự đồng ý (consent)

Thu thập và xử lý dữ liệu bệnh nhân phải có sự đồng ý rõ ràng, đúng mục đích. Hệ thống cần ghi nhận và quản lý được đồng ý này, cho phép bệnh nhân rút lại.

2. Thu thập tối thiểu

Chỉ thu thập những gì thật sự cần. Với chatbot front-office, nên hạn chế chi tiết bệnh lý trong tin nhắn — nhắc lịch chỉ cần thông tin tối giản, không phơi bày tình trạng bệnh.

3. Phân tách & phân quyền dữ liệu

Dữ liệu giữa các cơ sở phải tách bạch (một phòng khám không thấy dữ liệu phòng khám khác), và trong nội bộ phải phân quyền theo vai trò — không phải ai cũng xem được mọi hồ sơ.

4. Nhật ký truy cập

Mọi truy cập vào thông tin sức khoẻ nên được ghi nhật ký (ai xem, khi nào, dữ liệu gì) — vừa để phát hiện truy cập bất thường, vừa để chứng minh tuân thủ khi cần.

5. Lưu trữ tại Việt Nam

Nghị định 13/2023 có quy định về chuyển dữ liệu cá nhân ra nước ngoài. Với dữ liệu y tế, lưu trữ tại Việt Nam là lựa chọn an toàn và đơn giản hơn về tuân thủ.

6. Ký số & toàn vẹn tài liệu

Tài liệu y tế cần chữ ký nên dùng ký số theo chuẩn CA Việt Nam để đảm bảo tính toàn vẹn và giá trị pháp lý.

7. AI có ranh giới

AI front-office không chẩn đoán, không tư vấn điều trị cá nhân; gặp nội dung nhạy cảm thì chuyển cho con người (human-in-the-loop). Trợ lý AI kết nối hệ thống lõi nên đi qua API có phạm vi, không truy cập thẳng cơ sở dữ liệu.

Addy thiết kế cho tuân thủ ra sao

• Addy HIS: phân tách dữ liệu theo cơ sở (RLS), nhật ký truy cập PHI, quản lý đồng ý và chia sẻ dữ liệu, lưu trữ tại Việt Nam (VNG/Viettel/FPT), ký số theo CA Việt Nam.
• Lớp front-office (Addy AI Growth): khuyến nghị thu thập tối thiểu, nội dung nhắc tối giản, và mô hình AI soạn → người duyệt.
• Kết nối front-office ↔ HIS: qua API có phạm vi, có nhật ký — không "toàn quyền".

Kết

Tuân thủ không phải rào cản làm chậm chuyển đổi số y tế — nó là điều kiện để làm đúng và bền. Với checklist rõ ràng (đồng ý, thu thập tối thiểu, phân tách & phân quyền, nhật ký, lưu trữ tại Việt Nam, ký số, AI có ranh giới), cơ sở y tế có thể tận dụng AI mà vẫn bảo vệ điều quan trọng nhất: niềm tin của bệnh nhân.

Cần tư vấn lộ trình số hoá tuân thủ? Để lại thông tin để Addy trao đổi theo mô hình và quy mô cơ sở của bạn.

---

📌 Câu chuyện khách hàng liên quan: Chuỗi phòng khám đa khoa 4 cơ sở (Addy HIS) — kịch bản minh hoạ Addy áp dụng cho ngành này.