AI asistent klinike na WhatsAppu i podaci pacijenata: obaveštenje, pristanak, prenos

Kada klinika poveže AI asistenta sa WhatsAppom, prva pitanja su obično tehnička: koje termine da nudi i kome da preda razgovor. Pitanje zaštite podataka dolazi kasnije, često tek posle prvog pacijenta. A već prva rečenica pacijenta, "boli me zub", spada u najstrože zaštićenu vrstu podataka o ličnosti.

Ovaj tekst ne govori o toku zakazivanja, već o podacima ispod njega. Kao glavni primer koristimo turski zakon o zaštiti podataka (KVKK, Zakon br. 6698), uz napomene o GDPR-u. Pokrivamo kako obaveštenje staviti u prvu poruku, kada je potreban izričit pristanak, šta asistent ne treba da pita i šta raditi kada je pružalac u inostranstvu. Sam tok zakazivanja je u tekstu o automatizaciji zakazivanja u klinici.

Prvo uloge: ko je rukovalac

Kada pacijent piše klinici, klinika odlučuje zašto i kako se podaci obrađuju. Zato je klinika rukovalac. Firma koja daje asistenta i radi po uputstvima klinike obično je obrađivač.

Vodič turskog nadzornog organa o generativnoj AI i podacima o ličnosti, objavljen u novembru 2025, kaže da ova podela zavisi od toga ko stvarno kontroliše podatke, a ne od reči u ugovoru. Ako pružalac poruke pacijenata koristi za svoje ciljeve, na primer da trenira svoj model, slika se menja. Zato u ugovoru treba jasno da piše da se podaci obrađuju samo po vašim uputstvima. I Metini uslovi za WhatsApp Business Platform zabranjuju da se WhatsApp podaci koriste za treniranje drugih AI modela.

Obaveštenje u prvoj poruci, odvojeno od pristanka

Član 10 turskog Zakona br. 6698 traži da se pri prikupljanju podataka kaže pet stvari: ko je rukovalac, svrha obrade, kome i zašto podaci mogu biti preneti, način i pravni osnov prikupljanja i prava osobe iz člana 11. Na WhatsAppu podaci stižu već sa prvom porukom pacijenta, pa obaveštenje ide u prvi odgovor. Ako lečite pacijente iz EU, član 13 GDPR-a daje sličan spisak.

Turski Savet za zaštitu podataka je u načelnoj odluci 2026/347, objavljenoj u turskom Službenom listu 24. marta 2026, naveo grešku koju najčešće vidi: mešanje obaveštenja i teksta pristanka. Za kliniku iz toga sledi:

• Obaveštenje ne zavisi od odobrenja pacijenta. Ne tražite "pročitao sam i prihvatam" ni "odobravam". Ako treba, tražite potvrdu tipa "pročitao sam i razumeo".
• Ako se obrada zasniva na izričitom pristanku, dva teksta idu pod posebnim naslovima i sa posebnim izjavama.
• Ako se obrada zasniva na drugom osnovu, daje se samo obaveštenje, bez teksta pristanka.
• Jezik treba da bude jednostavan. Umesto da prepisujete ceo član 11, dovoljno je "vaša prava iz člana 11 Zakona".

Dobar prvi odgovor na WhatsAppu može da izgleda ovako:

Zdravo, ja sam AI asistent klinike Primer. Pomažem oko termina i opštih pitanja, a po potrebi vas povezujem sa našim timom. Kako obrađujemo vaše podatke o ličnosti možete pročitati ovde: [link do obaveštenja]. Kako mogu da pomognem?

Obratite pažnju na prvu rečenicu. Turski vodič o AI kaže da je važno da osoba koja razgovara sa četbotom jasno zna da razgovara sa AI sistemom i da sistem treba da sadrži obaveštenje o tome.

Pravni osnov za zdravstvene podatke

Član 6 turskog zakona zdravstvene podatke svrstava u posebne vrste podataka o ličnosti. Od izmene iz 2024. uslovi za njihovu obradu stoje u jednom spisku. Za kliniku su najvažnija dva:

• Tačka (a): izričit pristanak pacijenta.
• Tačka (e): obrada potrebna u svrhe kao što su preventivna medicina, medicinska dijagnoza, lečenje i nega, koju obavljaju lica sa obavezom čuvanja tajne ili ovlašćene ustanove.

Vodič turskog nadzornog organa o posebnim vrstama podataka iz februara 2025. razjašnjava dve stvari. "Ovlašćene ustanove" obuhvataju i privatna lica i firme koje pružaju zdravstvene usluge, ne samo javne. A kada postoji drugi pravni osnov, ne treba dodatno tražiti izričit pristanak, jer to može biti suprotno načelu savesnosti. I član 9 GDPR-a pravi sličnu razliku između pristanka i obrade radi zdravstvene zaštite.

Za kliniku to znači da unapred odlučite koji osnov pokriva podatke potrebne za zakazivanje i lečenje i da ga upišete u obaveštenje. Promotivne poruke, ankete o zadovoljstvu ili objave na društvenim mrežama nisu potrebne za lečenje, pa su van tog osnova i traže posebnu procenu.

Šta asistent pita, a šta ne

Manje podataka znači manji rizik. Za termin treba vrlo malo. Koristite ovu tabelu kada pišete pravila za asistenta:

WhatsApp politika poslovnih poruka traži i da se WhatsApp ne koristi za telemedicinu niti za slanje ili traženje zdravstvenih podataka tamo gde lokalni propisi zabranjuju njihovo slanje sistemima koji ne ispunjavaju pojačane zahteve. Ako pacijent ipak napiše detalje, asistent ne treba da ih tumači, već da razgovor preda lekaru ili timu.

Odgovarajuće mere: šta radi tim

Turski zakon za posebne vrste podataka traži odgovarajuće mere koje određuje Savet. Navedene su u odluci Saveta 2018/10 od 31. januara 2018, a vodič o AI kaže da iste mere važe i za AI sisteme. Primenjeno na panel asistenta:

• Za svaku osobu odredite ko može da čita razgovore i proveravajte pristup u redovnim razmacima.
• Odmah ukinite pristup kada neko ode ili promeni posao.
• Za daljinski pristup panelu koristite najmanje dvostepenu proveru.
• Od pružaoca pismeno dobijte potvrdu da se podaci čuvaju šifrovano i da se radnje nad njima beleže.
• Sa svima koji vide razgovore potpišite ugovor o poverljivosti i redovno ih obučavajte o zaštiti podataka.
• Za posebne vrste podataka vodite posebnu pisanu politiku i proceduru.

Ako je pružalac u inostranstvu: član 9

Većina AI asistenata radi na serverima u inostranstvu ili ih vode firme sa sedištem u inostranstvu. Turski vodič o AI jasno kaže da, kada rukovalac u Turskoj koristi AI preko pružaoca iz inostranstva, prenos mora da prati član 9 zakona i pravilnik o prenosu u inostranstvo. Po članu 9 redosled je ovakav:

1. Ako Savet ima odluku o adekvatnosti za odredišnu zemlju, prenos se oslanja na nju.
2. Ako nema, potrebna je neka od odgovarajućih zaštitnih mera. Za malu kliniku najpraktičniji je standardni ugovor Saveta. Savet je objavio četiri tipa, a za prenos od klinike ka pružaocu asistenta obično odgovara Standardni ugovor 2, od rukovaoca ka obrađivaču.
3. Potpisan standardni ugovor prijavljuje se nadzornom organu u roku od pet radnih dana. Član 18 zakona za propuštenu prijavu predviđa posebnu novčanu kaznu.
4. Ako ništa od ovoga nije moguće, prenos je dozvoljen samo povremeno, u slučajevima koji se ne ponavljaju, na primer uz izričit pristanak dat posle objašnjenja rizika. Asistent koji radi svaki dan nije povremen, pa se na to ne oslanjajte.

Za klinike u EU istu ulogu ima poglavlje V GDPR-a, a uobičajen alat su standardne ugovorne klauzule EU.

Sedam pitanja za vašeg pružaoca

1. U kojoj zemlji se poruke pacijenata čuvaju i obrađuju?
2. Ko su vaši podobrađivači i gde se nalaze?
3. Da li se poruke koriste za treniranje vašeg ili tuđeg modela?
4. Da li potpisujete ugovor o obradi podataka i, kada treba, standardni ugovor?
5. Za koliko vremena se podaci brišu kada ugovor istekne?
6. Za koliko vremena nas obaveštavate o povredi podataka?
7. Kako asistent predaje razgovor čoveku kada ne zna odgovor ili je pitanje medicinsko?

Postavite ova pitanja i nama. Bulsu Labs AI recepcioner odgovara samo iz podataka koje mu klinika da, a nepoznata i medicinska pitanja predaje timu. Bulsu Labs je firma iz Crne Gore, pa za kliniku u Turskoj član 9 važi i kada radi sa nama. Naš ugovor o obradi podataka je na sajtu. Za stomatološki tok pogledajte zakazivanje termina u stomatološkoj ordinaciji, a za WhatsApp pravila o AI tekst WhatsApp AI asistent u 2026.