AI weszło do gabinetów bocznymi drzwiami
Nie zaczęło się od robotów ani od diagnozowania zdjęć RTG.
Zaczęło się od redagowania trudnego maila, przygotowania posta, uporządkowania procedury i napisania prostszego wyjaśnienia dla pacjenta. Ktoś z zespołu otworzył ChatGPT na prywatnym telefonie, wkleił tekst i dostał odpowiedź w kilkanaście sekund.
Tu pojawia się problem. Narzędzie jest łatwe, ale granica między zwykłym tekstem a danymi pacjenta potrafi zniknąć po jednym kopiuj-wklej.
Ten poradnik pokazuje, jak korzystać z AI w gabinecie stomatologicznym po 2 sierpnia 2026 roku. Bez straszenia, ale też bez udawania, że płatne konto rozwiązuje RODO.
AI w gabinecie stomatologicznym i RODO - szybka odpowiedź
Najbezpieczniej zacząć od procesów, które nie wymagają danych pacjenta ani oceny klinicznej:
- szablonów wiadomości,
- FAQ i materiałów edukacyjnych,
- procedur administracyjnych,
- checklist dla zespołu,
- porządkowania publicznych informacji o gabinecie,
- analizy zagregowanych danych biznesowych.
Nie zaczynaj od dokumentacji konkretnego pacjenta, nagrywania wizyt, zdjęć RTG ani podpowiadania diagnozy.
Samo usunięcie imienia i PESEL-u nie zawsze wystarcza. Opis leczenia, data wizyty, wiek i rzadka sytuacja kliniczna mogą nadal pozwolić zidentyfikować osobę. Dane pseudonimizowane nadal są danymi osobowymi.
Jak wdrożyć AI w gabinecie stomatologicznym zgodnie z RODO
Na początek wystarczy pięć zasad.
- Wybierz zadania bez danych pacjenta. Zacznij od treści uniwersalnych i procesów administracyjnych.
- Ustal zatwierdzone narzędzia i konta. Prywatne konto pracownika nie powinno być miejscem przetwarzania danych gabinetu.
- Spisz zakazy. Zespół musi wiedzieć, że do ogólnego modelu AI nie wkleja dokumentacji, zdjęć, nagrań ani wiadomości pozwalających rozpoznać pacjenta.
- Wyznacz człowieka, który sprawdza wynik. AI może przygotować draft. Odpowiedzialność za treść używaną przez gabinet zostaje po stronie człowieka.
- Oceń cały przepływ danych przed wdrożeniem. Umowa powierzenia to jeden element. Trzeba jeszcze ustalić podstawę przetwarzania, zakres danych, retencję, transfery, dostęp, logi, usuwanie i reakcję na incydent.
Jeśli system ma pracować na danych o zdrowiu, potrzebna jest osobna analiza prawna i bezpieczeństwa. W zależności od skali oraz ryzyka może być konieczna ocena skutków dla ochrony danych, czyli DPIA.
Co obowiązuje po 2 sierpnia 2026 roku
Wokół AI Act krąży sporo starych dat. Stan na 12 sierpnia 2026 roku wygląda tak:
- obowiązek podejmowania działań wspierających kompetencje personelu korzystającego z AI, wynikający z art. 4 AI Act, stosuje się od 2 lutego 2025 roku,
- obowiązki przejrzystości z art. 50 AI Act stosuje się od 2 sierpnia 2026 roku,
- pacjent rozmawiający bezpośrednio z chatbotem lub voicebotem powinien zostać poinformowany, że ma do czynienia z AI, chyba że jest to oczywiste,
- nie każdy mail poprawiony przez AI wymaga automatycznie dopisku „napisane przez AI”. Artykuł 50 przewiduje konkretne przypadki, a dla tekstu dotyczącego spraw interesu publicznego znaczenie ma również to, czy treść przeszła kontrolę człowieka i czy ktoś ponosi za nią odpowiedzialność redakcyjną,
- według aktualnego harmonogramu Komisji część wymagań dla systemów wysokiego ryzyka ma być stosowana od 2 grudnia 2027 roku, a dla AI wbudowanego w regulowane produkty, w tym wyroby medyczne, od 2 sierpnia 2028 roku. Aktualny harmonogram publikuje Komisja Europejska.
To nie znaczy, że do 2027 albo 2028 roku panuje wolna amerykanka. Nadal obowiązują RODO, prawa pacjenta, tajemnica zawodowa, zasady prowadzenia dokumentacji i przepisy o wyrobach medycznych.
Płatne konto nie załatwia RODO
To jeden z najczęstszych skrótów myślowych: „mam wersję Pro, więc mogę wkleić dane pacjenta”. Nie.
Plan konsumencki i plan biznesowy mogą mieć inne warunki przetwarzania danych, ale sama opłata nie tworzy podstawy prawnej i nie zastępuje analizy ryzyka. Przed użyciem narzędzia do danych osobowych trzeba sprawdzić aktualne warunki konkretnej usługi, między innymi:
- kto jest administratorem, a kto procesorem,
- czy dostawca zawiera DPA,
- czy treści są używane do trenowania modeli,
- gdzie dane są przetwarzane,
- jacy podwykonawcy mają do nich dostęp,
- jak działa retencja i usuwanie,
- jakie ustawienia może kontrolować gabinet.
Warunki produktów zmieniają się. Dlatego nie opieraj procedury na zdaniu „Claude jest bezpieczniejszy” albo „ChatGPT Business nie trenuje na danych”. Ocenia się konkretny plan, konfigurację, umowę i przepływ danych na dzień wdrożenia.
Europejska Rada Ochrony Danych podkreśla, że anonimowość modelu i legalność użycia danych trzeba oceniać indywidualnie. UODO zwraca natomiast uwagę na szczególny charakter danych medycznych i ryzyka związane z AI w ochronie zdrowia.
8 bezpieczniejszych zastosowań AI w gabinecie
„Bezpieczniejsze” nie znaczy „automatycznie legalne w każdej konfiguracji”. Chodzi o use case'y, od których łatwiej zacząć bez dotykania danych pacjenta.
1. Szablony odpowiedzi na częste pytania
AI może przygotować wzór odpowiedzi o godzinach pracy, dojeździe, sposobach płatności albo przebiegu rejestracji. Dane muszą pochodzić z zatwierdzonej bazy wiedzy gabinetu. Ceny i terminy powinny być pobierane z aktualnego źródła, a nie zgadywane przez model.
2. Uniwersalne materiały edukacyjne
Można przygotować prostsze wyjaśnienie pojęcia, instrukcję przygotowania do wizyty albo ogólne zalecenia zatwierdzone wcześniej przez lekarza. AI nie powinno samodzielnie ustalać zaleceń dla konkretnego pacjenta.
3. Wzory wpisów i formularzy
Model może pomóc zbudować pusty szablon dokumentu lub checklistę elementów, które lekarz później uzupełnia w systemie gabinetowym. Nie wklejasz historii prawdziwego pacjenta do ogólnego narzędzia.
4. Procedury administracyjne
Przyjęcie nowego pracownika, obsługa telefonu, zamknięcie dnia albo przekazanie zadania między recepcją i lekarzem - tu AI może pomóc uporządkować wersję roboczą.
Procedury medyczne, sanitarne i awaryjne wymagają weryfikacji ze źródłem branżowym i przez osobę posiadającą odpowiednie kompetencje. Model językowy nie jest źródłem procedury medycznej.
5. Polityka używania AI przez zespół
Gabinet powinien ustalić:
- do czego wolno używać AI,
- które narzędzia są zatwierdzone,
- jakich danych nie wolno wpisywać,
- kto zatwierdza treści kierowane do pacjenta,
- co zrobić po przypadkowym wklejeniu danych,
- kiedy pracownik ma przerwać i eskalować sprawę.
6. Chatbot oparty na publicznych danych gabinetu
Chatbot może odpowiadać o usługach, lokalizacji i organizacji wizyty. Powinien jasno przedstawiać się jako AI, mieć zatwierdzoną bazę odpowiedzi oraz przekazywać sprawy kliniczne człowiekowi. Jeżeli zbiera imię, telefon lub opis problemu, zaczyna przetwarzać dane osobowe i wymaga pełnej oceny przepływu.
7. Analiza rentowności bez danych pacjentów
Koszty materiałów, laboratorium, czasu pracy i ceny zabiegów można analizować bez przekazywania historii pacjentów. Do takiego zadania powstał CennikPro Starter.
8. Analiza zagregowanych danych operacyjnych
Gabinet może szukać wzorców w obłożeniu grafiku, źródłach zapytań albo pracy zespołu. Najpierw trzeba sprawdzić, czy zbiór jest faktycznie anonimowy, a nie tylko pozbawiony nazwisk.
5 czerwonych flag
1. RTG wrzucone do zwykłego chatbota
Nie używaj ogólnego ChatGPT, Claude ani podobnego modelu jako narzędzia do interpretacji zdjęć pacjenta.
O tym, czy oprogramowanie jest wyrobem medycznym, decyduje między innymi jego przeznaczenie określone przez producenta. System przeznaczony do dostarczania informacji używanej przy diagnozie lub leczeniu może podlegać MDR i klasyfikacji oprogramowania medycznego. Aktualne wytyczne publikuje Medical Device Coordination Group.
Zwykły chatbot nie staje się certyfikowanym wyrobem medycznym tylko dlatego, że dostał zdjęcie RTG.
2. „Anonimizacja” przez usunięcie nazwiska
Opis „kobieta, 42 lata, implant wykonany wczoraj, nietypowe powikłanie” może wystarczyć do rozpoznania osoby w małym gabinecie. Zanim dane trafią do zewnętrznego narzędzia, trzeba ocenić cały zestaw informacji oraz możliwość ponownej identyfikacji.
3. Automatyczna odpowiedź kliniczna bez kontroli lekarza
Chatbot nie powinien diagnozować bólu, kwalifikować do zabiegu ani modyfikować zaleceń. Może zebrać zgłoszenie według zatwierdzonego scenariusza i przekazać je personelowi. Musi też mieć jasną ścieżkę dla sytuacji pilnych i awarii systemu.
4. Skryba AI bez oceny nagrywania i retencji
Skryba AI przetwarza rozmowę, a więc potencjalnie bardzo szeroki zestaw danych o zdrowiu. Przed pilotażem trzeba ustalić co najmniej:
- sposób poinformowania pacjenta i udokumentowania jego decyzji,
- podstawę prawną przetwarzania,
- rolę dostawcy i treść DPA,
- miejsce przetwarzania i podwykonawców,
- czas przechowywania nagrania,
- moment usunięcia audio po zaakceptowaniu notatki,
- możliwość poprawienia dokumentacji przez lekarza,
- działanie systemu po braku internetu albo błędzie transkrypcji.
Nagrania nie należy automatycznie przechowywać przez taki sam okres jak dokumentację medyczną. Cel i okres retencji trzeba określić oddzielnie.
5. Brak zasad dla pracowników
Można kupić najlepszy system i nadal mieć wyciek przez prywatne konto pracownika. Szkolenie oraz krótka polityka użycia AI są częścią wdrożenia, a nie dodatkiem na później.
Przypomnienia SMS i e-mail
Przypomnienie o umówionej wizycie i wiadomość marketingowa to dwa różne cele. Nie należy wrzucać ich do jednego worka pod nazwą „zgoda RODO”.
Podstawa wysłania, treść wiadomości i obowiązki telekomunikacyjne zależą od celu komunikatu. Wiadomość powinna ujawniać tylko tyle informacji, ile jest potrzebne. Szczegóły zabiegu w SMS-ie widocznym na zablokowanym ekranie mogą niepotrzebnie ujawnić dane o zdrowiu.
Najbezpieczniej realizować przypomnienia w systemie gabinetowym, który ma odpowiednie role, logi i umowy, zamiast przepisywać listę pacjentów do przypadkowego narzędzia automatyzacyjnego.
Checklista dostawcy AI dla gabinetu
Przed podpisaniem umowy poproś dostawcę o odpowiedź na te pytania:
- Jaką konkretnie funkcję system ma pełnić i czego nie robi?
- Jakie dane trafiają do systemu na każdym etapie?
- Kto jest administratorem, procesorem i podprocesorem?
- Czy dostawca podpisuje DPA i udostępnia listę podprocesorów?
- Czy dane są używane do trenowania lub ulepszania modeli?
- Gdzie dane są przechowywane i na jakiej podstawie są transferowane poza EOG?
- Jak działają retencja, eksport i usuwanie danych?
- Jakie są role użytkowników, logi oraz zabezpieczenia dostępu?
- Co system robi, gdy nie zna odpowiedzi albo integracja nie działa?
- Jeśli funkcja ma cel medyczny, jakie jest jej przeznaczenie, klasa, certyfikat i zakres oceny zgodności?
„Jesteśmy zgodni z RODO” nie jest odpowiedzią. Dostawca powinien pokazać dokumenty i opisać realny przepływ danych.
FAQ
Czy mogę używać ChatGPT w gabinecie stomatologicznym?
Tak, szczególnie do zadań bez danych pacjentów i bez podejmowania decyzji klinicznych. Gabinet powinien jednak wskazać zatwierdzony plan oraz zasady użycia. Płatne konto konsumenckie nie daje automatycznie zgody na przetwarzanie danych o zdrowiu.
Czy potrzebuję zgody pacjenta na używanie AI?
Nie ma jednej odpowiedzi dla każdego zastosowania. Inaczej ocenia się tworzenie pustego szablonu, inaczej chatbot zbierający telefon, a jeszcze inaczej nagrywanie całej wizyty. Zgoda nie jest uniwersalną podstawą naprawiającą każdy proces. Najpierw trzeba określić cel, dane, role stron i właściwą podstawę prawną.
Czy chatbot musi powiedzieć, że jest AI?
Jeśli pacjent wchodzi w bezpośrednią interakcję z systemem AI, art. 50 AI Act zasadniczo wymaga poinformowania go o tym, chyba że fakt jest oczywisty. Najprostsza forma to jasne zdanie na początku rozmowy.
Czy AI może przygotować dokumentację medyczną?
Może wspierać tworzenie wersji roboczej w odpowiednio zaprojektowanym środowisku, ale lekarz musi sprawdzić i zatwierdzić wpis. Przed wdrożeniem trzeba rozwiązać kwestie danych o zdrowiu, umów, retencji, bezpieczeństwa i ewentualnego nagrywania wizyty.
Czy można używać AI do analizy RTG?
Do praktyki klinicznej wybiera się oprogramowanie przeznaczone do takiego celu i dopuszczone do obrotu zgodnie z właściwymi przepisami. Ogólny chatbot nie jest zamiennikiem certyfikowanego systemu ani oceny lekarza.
Ile kosztuje wdrożenie AI w gabinecie?
Koszt zależy bardziej od procesu i danych niż od samego modelu. Prosty asystent do pracy na publicznych informacjach to inny projekt niż chatbot zbierający dane pacjentów, integracja z programem gabinetowym albo skryba AI. Najpierw trzeba rozpisać przepływ i zakres odpowiedzialności. Dopiero wtedy wycena ma sens.
Od czego zacząć w małym gabinecie?
Spisz powtarzalne zadania zespołu. Wybierz jedno, które nie wymaga danych pacjenta. Ustal zatwierdzone narzędzie, osobę sprawdzającą wynik i prosty miernik efektu. Po krótkim pilotażu zdecyduj, czy warto integrować kolejne procesy.
Co może wdrożyć Falcon Works
Falcon Works pomaga gabinetom w administracyjnych zastosowaniach AI i automatyzacji: porządkowaniu procesów, tworzeniu zasad dla zespołu, asystentach do komunikacji, automatyzacjach oraz analizie rentowności przez CennikPro.
Nie oferujemy diagnostyki ani analizy RTG. Jeżeli proces ma dotykać danych pacjentów, najpierw oceniamy przepływ danych i wymagane zabezpieczenia. W sprawach wymagających interpretacji prawnej potrzebna jest weryfikacja prawnika lub inspektora ochrony danych po stronie gabinetu.
Możesz zacząć od dwóch rzeczy:
- Pobierz CennikPro Starter za darmo i policz koszty wybranych zabiegów.
- Umów rozmowę o procesach gabinetu. Sprawdzimy, gdzie AI lub zwykła automatyzacja ma sens, a gdzie dokładanie technologii tylko zwiększy ryzyko.
Źródła i aktualizacja
Ostatnia aktualizacja: 12 sierpnia 2026 roku. Tekst zweryfikowano na podstawie Rozporządzenia (UE) 2024/1689, oficjalnych materiałów Komisji Europejskiej o art. 4, art. 50 i harmonogramie AI Act, Rozporządzenia (UE) 2016/679, materiałów EROD i UODO oraz wytycznych MDCG dotyczących oprogramowania medycznego. Artykuł ma charakter informacyjny i nie stanowi porady prawnej ani medycznej.