AI 產品的 HIPAA 合規：為何沒有官方認證及應如何處理

內容概覽

了解涵蓋實體、商業夥伴、BAA、PHI 保障、風險分析及私人評估，避免暗示 HHS 背書。

它是什麼

HIPAA 是美國聯邦法律框架，其私隱、安全及違規通知規則適用於涵蓋實體及部分商業夥伴義務。HHS 不提供或承認一般私人「HIPAA 認證」。

為什麼重要

AI 可把 PHI 複製至提示、嵌入、日誌、輸出、監察及訓練；醫療客戶需要持續管理合約、風險、保障、存取、用途及事件的證據。

如何取得或證明合規

1. 確定每項服務、客戶、資料流、商業夥伴及分包商的法律角色。
2. 按需要簽署 BAA，訂明用途、披露、返還／銷毀、事件及向下義務。
3. 對 AI 架構、雲端、模型、存取、資料移動及合理威脅進行全面風險分析。
4. 實施風險管理、政策、培訓、存取、審計、完整性、傳輸安全、持續營運、供應商及違規流程。
5. 定期評估技術與非技術合規、整改並保存文件。
6. 私人評估只能準確稱為評估或驗證，不得稱為 HHS 認證或免責。

審查清單

1. 不要把「HIPAA certified」展示成 HHS 對公司、人員、產品或私人評估的認證或背書。
2. 判斷客戶與 AI 供應商是涵蓋實體、商業夥伴、分包商或不屬 HIPAA，並核對其他法律。
3. 映射 PHI 進入提示、檢索庫、日誌、輸出、支援、監察、分析、備份、分處理者及訓練的路徑。
4. 處理 PHI 前簽署所需 BAA 並向下傳遞分包商義務。
5. 持續進行風險分析與管理，實施行政、實體、技術保障及違規程序。
6. 把獨立評估當成證據與改善，而非持續合規或執法的替代。

下一步

HHS 明確表示不背書或承認私人 Security Rule 認證。AI 服務還須核對 PHI 是否用於模型改進、用途是否合法及 BAA 是否涵蓋全部服務。

官方來源與延伸閱讀

• Are organizations required to certify HIPAA Security Rule compliance? — U.S. Department of Health and Human Services
• Covered Entities and Business Associates — U.S. Department of Health and Human Services
• Artificial Intelligence Risk Management Framework: Generative AI Profile — National Institute of Standards and Technology