L'autorité estonienne de protection des données (AKI) a publié des clarifications sur l'utilisation de l'intelligence artificielle (IA) dans le secteur de la santé, rappelant que les mêmes règles de protection des données s'appliquent quelle que soit la technologie utilisée.

L'autorité souligne que le RGPD est technologiquement neutre et que l'introduction de l'IA ne modifie pas les obligations existantes. La responsabilité du traitement des données des patients incombe au prestataire de soins de santé, et non à un employé agissant de sa propre initiative. Par conséquent, un professionnel de santé ne peut décider seul d'utiliser une application d'IA, même disponible publiquement, pour enregistrer ou transcrire des consultations. L'adoption d'une telle technologie doit résulter d'une décision de l'établissement, précédée d'une analyse des bases légales, des risques, des conditions du service, et si nécessaire, d'une analyse d'impact relative à la protection des données. L'information claire et complète des patients doit également être garantie.

L'autorité met en garde contre l'augmentation du volume de données traitées, notamment lors de l'enregistrement audio des consultations qui peut capturer des informations non pertinentes pour le soin. Chaque étape du traitement (enregistrement, transcription, analyse) doit être évaluée séparément et reposer sur une base juridique appropriée. Le consentement du patient, s'il est utilisé, doit être libre et ne pas conditionner l'accès aux soins. L'AKI précise également que le recours à un service d'IA payant ne garantit pas en soi la conformité ; une analyse approfondie des conditions reste indispensable pour s'assurer de la protection des données de santé, qui sont des données particulièrement sensibles.