شرکت Athenahealth، یکی از ارائه‌دهندگان سیستم‌های پرونده الکترونیک سلامت (EHR)، امکان اتصال مستقیم سوابق پزشکی بیماران به دستیار هوش مصنوعی Claude متعلق به شرکت Anthropic را فراهم کرده است. این قابلیت که از طریق پروتکل Model Context Protocol (MCP) عمل می‌کند، به کاربران اجازه می‌دهد تا اطلاعات حساس خود مانند نتایج آزمایشگاه، داروهای مصرفی، تشخیص‌ها، حساسیت‌ها و برنامه‌های درمانی را برای تحلیل توسط هوش مصنوعی در اختیار Claude قرار دهند.
این حرکت، پرسش‌های مهمی را در مورد امنیت داده‌ها و انطباق با قوانین HIPAA (قانون انتقال و پاسخگویی بیمه سلامت) ایجاد کرده است. طبق گفته مدیران Athenahealth، از آنجایی که این تبادل اطلاعات مستقیماً توسط خود بیمار هدایت می‌شود، قوانین HIPAA بر روی سرویس‌دهنده هوش مصنوعی اعمال نمی‌شود. آن‌ها استدلال می‌کنند که در این سناریو، هوش مصنوعی به عنوان یک “نهاد تحت پوشش” (Covered Entity) یا “همکار تجاری” (Business Associate) عمل نمی‌کند و مسئولیت مدیریت داده‌ها بر عهده خود بیمار است.
با این حال، کارشناسان حقوقی هشدار می‌دهند که این رویکرد می‌تواند مرزهای امنیتی را کمرنگ کند. اگرچه این فرآیند مشابه دانلود اطلاعات توسط بیمار و سپس آپلود آن‌ها در یک سرویس ابری است، اما انتقال داده‌های حساس از یک محیط تحت نظارت سلامت به یک سرویس هوش مصنوعی مصرف‌کننده (Consumer-facing AI)، ریسک‌های جدیدی را به همراه دارد. در این حالت، حفاظت از داده‌ها به جای قوانین سخت‌گیرانه حوزه سلامت، به سیاست‌های حریم خصوصی (Privacy Policies) شرکت‌های هوش مصنوعی وابسته خواهد بود.
علاوه بر نگرانی‌های مربوط به حریم خصوصی، متخصصان نسبت به خطرات “توهم” (Hallucination) و عدم دقت مدل‌های هوش مصنوعی در تفسیر داده‌های پزشکی هشدار می‌دهند. اشتباهات احتمالی هوش مصنوعی در تحلیل سوابق پزشکی می‌تواند منجر به تصمیمات نادرست درمانی و چالش‌های حقوقی مربوط به قصور پزشکی شود. این موضوع نشان‌دهنده شکاف میان سرعت توسعه فناوری‌های هوش مصنوعی و وجود چارچوب‌های حاکمیتی (Governance) برای مدیریت ریسک‌های آن‌هاست.
