Ẩn danh dữ liệu người bệnh nghĩa là xử lý đoạn thông tin sao cho không ai, kể cả người ở cùng khu phố, có thể nhận ra đó là ai, rồi mới đưa vào công cụ AI. Xoá họ tên chỉ là bước đầu; phần khó là gỡ những chi tiết nhận diện gián tiếp như ngày sinh, địa danh nhỏ, nghề nghiệp hiếm, ngày khám, và cắt bớt mọi thông tin AI không cần để làm việc được giao.
Bài này đưa ra cách làm dùng được ngay ở quầy và phòng khám: phân biệt ba mức che, danh sách định danh phải gỡ, quy trình năm bước, câu lệnh mẫu sau khi đã che và cách kiểm lại trước khi bấm gửi. Mọi ví dụ trong bài là ví dụ giả định.
Che bớt, giả danh hay ẩn danh: ba mức khác nhau
Ba khái niệm này hay bị dùng lẫn. Hiểu đúng giúp bạn biết đoạn văn trước mặt đang ở mức nào và đã đủ an toàn để gửi đi hay chưa.
| Mức | Làm gì | Còn nhận ra người bệnh không | Dùng khi nào |
|---|---|---|---|
| Che bớt | Xoá hoặc bôi tên, số điện thoại, số căn cước | Thường vẫn nhận ra được qua chi tiết còn lại | Không đủ để gửi cho AI công cộng |
| Giả danh hoá | Thay định danh bằng mã, ví dụ BN-017; bảng đối chiếu mã với người thật giữ riêng trong phòng khám | Phòng khám nhận ra được nhờ bảng đối chiếu; người ngoài khó hơn nhưng vẫn còn rủi ro | Theo dõi một người qua nhiều lần, làm việc với công cụ đã có thoả thuận xử lý dữ liệu |
| Ẩn danh | Gỡ định danh trực tiếp và gián tiếp, khái quát hoá chi tiết, không giữ đường nối về người thật | Không, nếu làm đúng | Nhờ AI viết lại, tóm tắt, soạn tài liệu mẫu từ một ca cụ thể |
Điểm cần nhớ: dữ liệu giả danh hoá vẫn được pháp luật coi là dữ liệu cá nhân, vì phòng khám vẫn nối được về người thật. Chỉ dữ liệu đã ẩn danh đúng nghĩa mới ra khỏi phạm vi đó. Vì vậy khi dùng AI công cộng, mục tiêu là ẩn danh, không phải giả danh.
Những chi tiết phải gỡ, không chỉ là họ tên
Quy tắc Safe Harbor trong luật HIPAA của Hoa Kỳ liệt kê 18 nhóm định danh cần gỡ khi ẩn danh dữ liệu y tế. Việt Nam không áp dụng luật đó, nhưng danh sách là khung tham chiếu tốt. Phiên bản rút gọn cho phòng khám Việt Nam gồm:
- Họ tên người bệnh, tên người nhà, tên người giới thiệu, tên bác sĩ điều trị nếu đi kèm có thể đoán ra người bệnh.
- Ngày sinh đầy đủ; chỉ giữ độ tuổi hoặc nhóm tuổi, ví dụ "nữ khoảng 40 tuổi". Với người trên 89 tuổi, ghi "trên 89" vì số người rất ít.
- Địa chỉ dưới cấp tỉnh: số nhà, tên đường, tên xã, phường, thôn, ấp. Ở vùng ít dân, kể cả tên xã cũng đủ để nhận ra.
- Số điện thoại, thư điện tử, tài khoản mạng xã hội, số căn cước, mã thẻ bảo hiểm y tế, mã hồ sơ của phòng khám, số tài khoản ngân hàng.
- Ngày khám, ngày nhập viện, ngày phẫu thuật cụ thể; thay bằng khoảng thời gian tương đối như "ba tuần trước lần khám này".
- Nghề nghiệp, chức vụ, nơi làm việc khi chúng hiếm hoặc nổi bật, ví dụ hiệu trưởng trường duy nhất trong xã.
- Ảnh có mặt, hình xăm, vết bớt, dị tật dễ thấy; ảnh chụp phim có in tên ở góc; siêu dữ liệu của ảnh như vị trí GPS và thời điểm chụp.
- Giọng nói trong tệp ghi âm và bất kỳ chi tiết đời tư nào không cần cho việc nhờ AI làm.
Định danh gián tiếp: cái bẫy ở khu dân cư nhỏ
Một đoạn văn không có tên vẫn có thể chỉ thẳng vào một người. Ví dụ giả định: "Nam 34 tuổi, giáo viên thể dục, sống ở một xã ven biển của Quảng Ngãi, đến khám ngày 12 sau khi bị ngã xe máy trên đường đi dạy". Ở một xã vài nghìn dân, có lẽ chỉ có một hoặc hai thầy giáo thể dục ở độ tuổi đó. Ai quen biết đọc là đoán ra ngay. Mỗi chi tiết riêng lẻ có vẻ vô hại, nhưng ghép lại thì thành chân dung.
Nguyên tắc để tránh bẫy này là hỏi ngược: AI có thật sự cần chi tiết này để làm việc được giao không? Nếu bạn nhờ AI viết lại hướng dẫn chăm sóc vết thương phần mềm sau tai nạn cho dễ hiểu, AI không cần biết nghề, nơi ở hay ngày khám. Phiên bản đúng chỉ còn: "người lớn, vết trầy ở cẳng chân sau tai nạn giao thông, đã được bác sĩ xử trí". Càng ít chi tiết, rủi ro càng thấp và kết quả thường còn tốt hơn vì AI không bị phân tâm.
Cẩn trọng gấp đôi với ca hiếm: bệnh hiếm gặp, dị tật bẩm sinh hiếm, sinh ba sinh tư, người nổi tiếng địa phương, người nước ngoài ở vùng ít người nước ngoài. Với những ca như vậy, ngay cả bản ẩn danh tốt vẫn có thể bị nhận ra. Lựa chọn an toàn là không đưa ca đó vào AI công cộng, hoặc viết lại hoàn toàn thành một ca giả định mang nét chung.
Quy trình năm bước trước khi dán vào AI
Quy trình dưới đây áp dụng cho mọi đoạn văn có nguồn gốc từ hồ sơ người bệnh: ghi chép buổi khám, tin nhắn, thư phàn nàn, mô tả ca để xin ý kiến soạn tài liệu.
- Xác định việc cần AI làm bằng một câu, ví dụ "viết lại hướng dẫn tái khám cho người lớn tuổi dễ đọc". Câu này quyết định chi tiết nào được giữ.
- Sao đoạn văn ra một tệp nháp riêng, không làm trực tiếp trên hồ sơ gốc. Tệp nháp đặt ở thư mục có phân quyền và xoá sau khi xong.
- Gỡ định danh trực tiếp theo danh sách ở mục trên, rồi gỡ định danh gián tiếp bằng câu hỏi "AI có cần chi tiết này không". Thay số tuổi bằng nhóm tuổi, ngày cụ thể bằng khoảng thời gian, địa danh bằng "một tỉnh miền Trung" hoặc bỏ hẳn.
- Đọc lại đoạn đã xử lý với tư cách một người hàng xóm của người bệnh. Nếu bạn vẫn đoán ra được, quay lại bước ba.
- Dán vào công cụ đã được phòng khám cho phép, bằng tài khoản của phòng khám chứ không phải tài khoản cá nhân. Xong việc, xoá tệp nháp và xoá đoạn hội thoại nếu công cụ cho phép.
Năm bước nghe dài nhưng làm quen chỉ mất hai đến ba phút cho một đoạn ngắn. Nếu một việc cần ẩn danh quá nhiều thứ đến mức mất mười lăm phút, đó là tín hiệu việc ấy nên làm trên công cụ có thoả thuận xử lý dữ liệu, hoặc tự làm không cần AI.
Câu lệnh mẫu sau khi đã ẩn danh
Câu lệnh tốt cho việc y tế có ba phần: vai trò và người đọc, nội dung đã ẩn danh, giới hạn rõ ràng. Ví dụ giả định cho việc soạn hướng dẫn: "Bạn hỗ trợ soạn văn bản cho một phòng khám. Viết lại đoạn hướng dẫn sau cho người khoảng 70 tuổi, đọc chậm, dùng câu ngắn, không thêm thông tin y khoa nào ngoài đoạn gốc, không thêm thuốc hay liều. Nếu có chỗ chưa rõ, đánh dấu để bác sĩ kiểm. Đoạn gốc: [đoạn đã ẩn danh]."
Câu "không thêm thông tin ngoài đoạn gốc" rất quan trọng, vì AI có xu hướng điền thêm cho đầy đủ, và phần điền thêm đó có thể sai. Câu "đánh dấu chỗ chưa rõ" giúp bác sĩ biết chỗ nào phải đọc kỹ. Bản cuối luôn phải được bác sĩ duyệt trước khi đưa cho người bệnh.
Có một cách dùng AI để hỗ trợ chính việc ẩn danh mà không phải gửi dữ liệu thật: nhờ AI tạo danh sách kiểm phù hợp với chuyên khoa của bạn. Ví dụ: "Liệt kê các loại chi tiết trong ghi chép của phòng khám nha khoa có thể giúp nhận ra người bệnh dù đã bỏ họ tên." Bạn nhận về một danh sách, tự đối chiếu với dữ liệu thật, không có gì nhạy cảm rời khỏi phòng khám.
Khi nào không đưa vào AI công cộng dù đã ẩn danh
Khi việc cần làm phụ thuộc vào chính các chi tiết định danh. Ví dụ nhờ AI viết thư gửi riêng một người bệnh có nhắc tên, ngày hẹn, kết quả. Bỏ hết những thứ đó thì AI chỉ viết được khung thư; phần điền tên và chi tiết bạn tự làm trong phần mềm của phòng khám.
Khi tài liệu là hình ảnh y khoa. Ảnh da, ảnh răng, phim X-quang thường có dấu hiệu nhận dạng khó gỡ hết và có thể chứa siêu dữ liệu. Ảnh y khoa chỉ nên đi vào công cụ chuyên dụng đã được đánh giá và có thoả thuận xử lý dữ liệu.
Khi người bệnh đã từ chối. Nếu người bệnh nói rõ không muốn thông tin của mình qua bất kỳ công cụ AI nào, kể cả đã ẩn danh, hãy ghi nhận vào hồ sơ và tôn trọng.
Khi ca bệnh thuộc nhóm mang định kiến nặng. Sức khoẻ tâm thần, bệnh lây qua đường tình dục, nhiễm HIV, sức khoẻ sinh sản, nghiện chất. Rủi ro khi bị nhận ra quá lớn so với lợi ích tiết kiệm vài phút soạn thảo.
Khi bạn không chắc. Nghi ngờ thì không gửi. Không có văn bản nào mất giá trị vì được soạn tay chậm hơn một chút.
Kiểm lại trước khi bấm gửi
Dán danh sách ngắn này cạnh màn hình máy ở phòng khám và quầy, hoặc in ra một mặt giấy để trong ngăn kéo. Trước mỗi lần gửi đoạn có nguồn gốc từ hồ sơ người bệnh, đọc nhanh từng dòng.
- Không còn họ tên, số, mã nào của người bệnh và người nhà.
- Tuổi đã thành nhóm tuổi, ngày đã thành khoảng thời gian, địa danh không nhỏ hơn cấp tỉnh hoặc đã bỏ.
- Không có nghề nghiệp, chức vụ, hoàn cảnh hiếm có thể chỉ vào một người.
- Không có tệp đính kèm: ảnh, phim, bản quét, tệp ghi âm.
- Đang dùng công cụ và tài khoản phòng khám cho phép, không phải tài khoản cá nhân.
- Câu lệnh có ghi rõ "không thêm thông tin ngoài đoạn gốc" và kết quả sẽ được bác sĩ duyệt.
Nếu một dòng chưa đạt, dừng lại sửa rồi mới gửi. Thói quen kiểm sáu dòng này, lặp lại vài tuần, sẽ thành phản xạ của cả phòng khám, giống như rửa tay trước khi khám.
Câu hỏi thường gặp
Đổi tên người bệnh thành tên giả có được coi là ẩn danh không?
Không. Đổi tên chỉ là giả danh hoá; nếu các chi tiết khác như tuổi, nơi ở, nghề nghiệp, ngày khám còn nguyên, người quen vẫn nhận ra được. Ẩn danh đòi hỏi gỡ cả định danh gián tiếp và cắt bỏ chi tiết AI không cần.
Có công cụ tự động ẩn danh văn bản tiếng Việt không?
Có một số công cụ nhận dạng và che tên riêng, số điện thoại, địa chỉ, nhưng với tiếng Việt và văn phong ghi chép y khoa, chúng thường bỏ sót hoặc che nhầm. Nếu dùng, coi đó là bước lọc đầu, vẫn cần người đọc lại theo danh sách kiểm.
Ẩn danh xong thì có cần xin đồng ý của người bệnh nữa không?
Dữ liệu đã ẩn danh đúng nghĩa không còn là dữ liệu cá nhân. Tuy vậy, việc ẩn danh là một bước xử lý dữ liệu cá nhân, nên phòng khám cần nêu trong thông báo về xử lý dữ liệu rằng có thể dùng dữ liệu đã ẩn danh cho việc soạn thảo nội bộ.
Ảnh chụp một vết thương không thấy mặt có phải đã ẩn danh không?
Chưa chắc. Ảnh có thể lộ hình xăm, nốt ruồi, đồ trang sức, nền phòng ở nhà người bệnh, và siêu dữ liệu ghi vị trí, thời điểm chụp. Ảnh y khoa nên được xử lý theo quy định riêng của phòng khám, không gửi vào AI công cộng.
Nhân viên mới có cần đào tạo riêng về ẩn danh không?
Nên có một buổi ngắn trong tuần đầu: giải thích ba mức che, cho thực hành ẩn danh vài đoạn giả định và tự kiểm bằng danh sách sáu dòng. Sau đó người đầu mối dữ liệu kiểm ngẫu nhiên vài lần trong tháng đầu.
Giữ bảng đối chiếu mã người bệnh ở đâu cho an toàn?
Trong hệ thống của phòng khám, ở thư mục chỉ người có thẩm quyền mở được, tách khỏi nơi lưu dữ liệu đã giả danh hoá. Tuyệt đối không gửi bảng đối chiếu kèm dữ liệu cho bất kỳ công cụ hay đối tác nào.