Siapa pemilik data pasien: rumah sakit atau vendor AI?

Pertanyaan “siapa pemilik data?” berguna sebagai penyederhanaan, tetapi hukum privasi sering berfokus pada hak, kendali, dan tanggung jawab pemrosesan, bukan satu pemilik benda. Pasien dapat memiliki hak atas data pribadinya. Rumah sakit atau klinik dapat menentukan tujuan dan cara pemrosesan untuk layanan kesehatan, sedangkan vendor dapat memproses berdasarkan instruksi terdokumentasi. Vendor juga dapat memegang peran lain atau tambahan jika menentukan tujuannya sendiri. Karena itu, label hukum tidak dapat ditentukan hanya dari nama produk.

Sebelum produksi, para pihak perlu mendokumentasikan aliran data, peran hukum, tujuan yang diizinkan, instruksi, ketentuan mengenai pelatihan model atau penggunaan sekunder, subprosesor, lokasi, akses, keamanan, retensi, pengembalian atau penghapusan, serta bantuan saat pengakhiran. Ketentuan tersebut harus mencerminkan hukum yang berlaku dan penerapannya, termasuk batasan cadangan serta kewajiban retensi hukum. Untuk penerapan Micromeet, pemetaan peran dan siklus hidup ini merupakan persyaratan tata kelola sebelum produksi, bukan klaim bahwa satu model kepemilikan atau satu pembagian pengendali-pemroses berlaku di semua yurisdiksi.