HIPAA準拠の口述アプリ：確認すべきポイント
患者の記録や紹介状、セッションの要約を口述するなら、口述アプリは保護対象の医療情報を扱うことになります。「HIPAA準拠」をうたうアプリは数多くありますが、HIPAAは製品を認証しておらず、その表示が意味するところは大きく異なります。HIPAA準拠の口述アプリを選ぶときに本当に大切なことと、最初のメモを口述する前に使えるチェックリストをまとめました。
公式の「HIPAA準拠」マークは存在しない
米国保健福祉省（HHS）は、製品をHIPAA準拠として認証したり推奨したりしていません。HHSはまた、民間団体による「認証」を認めておらず、それによって医療提供者自身の義務が免除されることもないとしています。事業者が「HIPAA準拠」と言っても、それは保証ではなく、確認すべき主張として扱いましょう。準拠しているかどうかは、ツールがデータをどう扱うか、どんな契約が結ばれているか、そしてあなたがどう使うかによって決まります。
最大のポイント：事業者が患者のデータを受け取ることはあるか？
HIPAAでは、医療提供者に代わって保護対象の医療情報を作成・受領・保持・送信する企業はビジネスアソシエイトにあたります。その企業と患者の情報を共有する前に、Business Associate Agreement（BAA）が必要です。事業者がデータを保護することを約束する契約です。
だからこそ、音声がどこへ行くのかがとても重要です。
- クラウドでの口述。録音はアップロードされ、事業者のサーバーで文字起こしされます。事業者は患者のデータを受け取るのでBAAが必要になり、その事業者のセキュリティ、保存ルール、社員に頼ることになります。
- 暗号化されたクラウドストレージ。事業者がファイルを読めない場合でも、HHSのガイダンスでは、鍵を持たずに暗号化された患者データを保存するクラウド事業者もビジネスアソシエイトにあたるとしています。やはりBAAが必要です。
- 端末上での口述。録音、文字起こし、保存がすべて自分のスマホで行われ、開発者がデータを一切受け取らないなら、開発者があなたに代わって患者の情報を扱うことはありません。端末の保護をはじめ、あなた自身のHIPAA上の義務は引き続き適用されます。
暗号化：スマホをなくしたときのセーフティネット
スマホは紛失したり盗まれたりするものです。HIPAAの侵害通知ルールでは、HHSのガイダンスに沿って暗号化された保護対象の医療情報は「保護されている」とみなされるため、復号の鍵まで漏れていない限り、暗号化された端末をなくしても、通常は報告義務のある侵害にはなりません。口述アプリでは、次の点を確認しましょう。
- 録音と文字起こしが端末上で暗号化されていること。ロック解除されたスマホから見られないよう、アプリ専用のロックがあればなお安心です。
- 鍵がスマホのセキュリティハードウェアで守られていること。別の場所に保存されたパスワードではなく、Face IDやiPhoneのSecure Enclaveなどで守られているか。
- 通信中の暗号化。電子カルテへの書き出しなど、スマホの外に出るものはすべて暗号化されているか。
口述アプリを選ぶためのチェックリスト
- 音声はどこで文字起こしされるか？自分の端末か、事業者のサーバーか。機内モードで試してみましょう。
- 事業者はBAAを結ぶか？患者のデータが少しでも事業者のサーバーに届くなら必要です。特定のプランでしか結べないこともあります。
- データは保存時と通信中に暗号化されているか？どの規格を使い、誰が鍵を持っているのかを確認しましょう。
- データがAIの学習に使われるか？「匿名化されたデータを利用する場合があります」ではなく、はっきりした「いいえ」を探しましょう。
- 誰が録音にアクセスできるか？社員、委託先、文字起こし担当者、AI事業者。
- データはどれくらいの期間保存され、完全に削除できるか？
- 書き出しを自分で管理できるか？記録を電子カルテや診療ソフトに送るかどうかは、毎回あなたが決めるべきです。
HIPAAのほかの要件も変わらない
アプリだけで準拠できるわけではありません。スマホのソフトウェアを最新に保ち、強力なパスコードとFace IDを使い、端末を共有せず、モバイル端末に関する組織の方針に従いましょう。セラピストは、心理療法の記録にはHIPAAで追加の保護があることも覚えておいてください。診療所や病院で働いているなら、新しいツールを導入する前にコンプライアンスやプライバシーの担当者に相談しましょう。
iPhone標準の音声入力で自分の声がどうなるのか気になりますか？ iPhoneの音声入力はプライベート？をご覧ください。
よくある質問
HIPAA準拠の口述アプリの公式リストはありますか？
ありません。HHSは製品を認証も推奨もしていないため、「HIPAA準拠」という表示は事業者自身の主張です。アプリがデータをどう扱うか、そして患者の情報を受け取る場合に事業者がBusiness Associate Agreementを結ぶかを確認しましょう。
口述アプリにBusiness Associate Agreementは必要ですか？
事業者があなたに代わって患者の情報を作成・受領・保持・送信する場合は必要です。たとえば、音声を自社サーバーで文字起こしする場合や、記録を自社のクラウドに保存する場合です。すべてが自分の端末にとどまり、事業者が一切受け取らないなら、事業者の手元に患者のデータはありませんが、コンプライアンスの担当者に確認してください。
iPhone標準の音声入力はHIPAAに準拠していますか？
臨床用のツールとして設計されたものではありません。言語やiPhoneの機種によって、音声入力はスマホ上で処理されることも、Appleのサーバーに送られることもあり、テキストは入力中のアプリに入ります。iPhoneの音声入力のプライバシーに関するガイドで、確認すべき設定を解説しています。
暗号化すればアプリはHIPAAに準拠しますか？
暗号化だけでは足りませんが、非常に重要です。HHSのガイダンスに沿った暗号化なら、端末を紛失したり盗まれたりしても、通常は報告義務のある侵害にはなりません。それでもアクセス制御や適切な方針が必要で、事業者がデータを受け取るならBusiness Associate Agreementも必要です。
このガイドはHIPAAに関する一般的な情報であり、法的助言ではありません。最終的な判断は、組織の方針とコンプライアンスの担当者に従ってください。