ИИ на медицинских данных
Можно ли использовать медицинские данные пациентов для обучения ИИ и что нужно для медицинского изделия с ИИ?
Обучать модель на идентифицируемых медицинских данных частная организация может только с письменного согласия пациента: этого требуют п. 1 ч. 2 ст. 10 152-ФЗ и ч. 3 ст. 13 323-ФЗ, которая прямо называет научные исследования целью, требующей письменного согласия. Обезличивание само по себе не снимает режим специальной категории: обработка обезличенных данных о здоровье допускается в случаях ч. 2.1 ст. 10 152-ФЗ, то есть в режиме составов данных по ст. 13.1, в рамках московского эксперимента по ИИ (Федеральный закон № 123-ФЗ) и в экспериментальных правовых режимах (Федеральный закон № 258-ФЗ). Требования и методы обезличивания для операторов установлены приказом РКН от 19.06.2025 № 140, а ПП РФ от 01.08.2025 № 1154 применяется только к обезличиванию по требованию Минцифры. Программное обеспечение медицинского назначения является медицинским изделием и обращается только после государственной регистрации (ч. 1, 4 ст. 38 323-ФЗ); с 01.03.2025 регистрацию регулируют Правила, утверждённые ПП РФ от 30.11.2024 № 1684.
Сначала определите основание: согласие с явной целью «разработка и обучение ПО», участие в экспериментальном правовом режиме или доступ к составам данных через государственный механизм. Обезличивание по приказу РКН № 140 остаётся мерой защиты, а не основанием. ЕГИСЗ может предоставлять третьим лицам сведения без персональных данных или обезличенные данные только в порядке, установленном Минздравом (ч. 9 ст. 91.1 323-ФЗ). Если модель ставит диагноз или поддерживает врачебные решения, заранее проверьте статус ПО как медицинского изделия. Инженерные рекомендации: держать обучающий контур отдельно от продуктивной МИС, хранить ключи и таблицы соответствия раздельно, вести реестр датасетов с основанием и сроком, проводить тест на повторную идентификацию.
- Нормы
- 152-ФЗ, ст. 10 ч. 2 п. 1, ч. 2.1; ст. 13.1; ст. 23 ч. 12; 323-ФЗ, ст. 13 ч. 3; ст. 38 ч. 1, 4; ст. 91.1 ч. 9; приказ РКН от 19.06.2025 № 140; ПП РФ от 01.08.2025 № 1154; ПП РФ от 30.11.2024 № 1684; Федеральный закон от 31.07.2020 № 258-ФЗ
Ссылки сверены с текстом документов
Материалы носят справочный характер и не являются юридической консультацией. Нормы сверены по состоянию на 10.10.2026; перед применением проверьте действующую редакцию актов.
Смежные вопросы
- Нужно ли оформлять согласие отдельно от договора и других документов? Согласие на обработку персональных данных должно оформляться отдельно от иной информации и документов, которые человек подтверждает или подписывает.
- Можно ли передавать персональные данные иностранному сервису? Универсального ответа для любого иностранного сервиса нет. Сначала нужно установить, происходит ли трансграничная передача, кто получатель, где находится…
- Считается ли замена ФИО на идентификатор обезличиванием? Замена ФИО на код не даёт автоматического ответа. Закон связывает обезличивание с невозможностью определить принадлежность данных конкретному субъекту без…
- Можно ли загружать документы с персональными данными в ИИ-сервис? Перед загрузкой нужно проверить цель и основание обработки, роль поставщика, условия хранения, использование данных для обучения, доступы, привлечение других…
Другие вопросы раздела «Здравоохранение»
- Как отвечать на запрос пациента или его родственника о медицинских данных и в какие сроки?
- Нужно ли клинике отдельное согласие пациента на обработку данных, если он подписал информированное добровольное согласие на медицинское вмешательство?
- Как законно передать медицинские данные подрядчику: облачной МИС, внешней лаборатории, колл-центру?
- Какие требования к персональным данным действуют при телемедицине: идентификация, запись видеоконсультаций, хранение?
- Какие сведения о здоровье работника вправе получать и хранить работодатель: медосмотры, больничные, медкнижки?
- Как законно обмениваться данными между клиникой, страховщиком ДМС и работодателем-страхователем и что меняется для ОМС?