Privacy Considerations in the Canadian Regulation of Commercially-Operated Healthcare Artificial Intelligence

Abstract

Artificial intelligence (AI) is increasingly being developed and implemented in healthcare. This presents privacy issues since many AI systems are privately owned and rely on data sharing arrangements for mass quantities of patient health information. We investigated the Canadian legal and policy framework focusing on regulation relevant to the potential for inappropriate use or disclosure of personal health information by private AI companies. This included analysis of federal and provincial legislation, common law and research ethics policy. Our evaluation of the various regulatory frameworks found that together they require private AI companies and their partners in healthcare implementation to meet high standards of privacy protection that prioritize patient autonomy, with limited exceptions. We found that healthcare AI systems are required to be consistent with the rules and foundational ethical norms enshrined in law and research ethics, even if this poses challenges to implementation. Data sharing arrangements must focus on tight integration with high levels of data security, strong oversight and retention of patient control over data.

Keywords:

• health law,
• privacy,
• artificial intelligence,
• bioethics,
• legislation,
• Canada

Résumé

L’intelligences artificielle (IA) est de plus en plus développées et mises en oeuvre dans le domaine des soins de santé. Cela pose des problèmes de protection de la vie privée, car de nombreuses IA sont privées et dépendent d’accords de partage de données pour des quantités massives d’informations sur la santé des patients. Nous avons étudié le cadre juridique et politique canadien en nous concentrant sur la réglementation relative à la possibilité d’une utilisation ou d’une divulgation inappropriée de renseignements personnels sur la santé par des entreprises privées d’IA. Nous avons notamment analysé les lois fédérales et provinciales, la common law et la politique d’éthique de la recherche. Notre évaluation des divers cadres réglementaires a révélé qu’ensemble, ils exigent que les entreprises privées d’IA et leurs partenaires dans la mise en oeuvre des soins de santé respectent des normes élevées de protection de la vie privée qui privilégient l’autonomie des patients, à quelques exceptions près. Nous avons constaté que les systèmes d’IA dans le domaine des soins de santé doivent être conformes aux règles et aux normes éthiques fondamentales consacrées par la loi et l’éthique de la recherche, même si cela pose des problèmes de mise en oeuvre. Les accords de partage de données doivent être axés sur une intégration étroite, avec des niveaux élevés de sécurité des données, une surveillance étroite et le maintien du contrôle des données par le patient.

Mots-clés :

• droit de la santé,
• vie privée,
• intelligence artificielle,
• bioéthique,
• législation,
• Canada