HIPAA-Compliance für KI-Produkte: keine offizielle Zertifizierung

Überblick

Rollen, BAAs, PHI, Risiko und private Bewertung ohne HHS-Endorsement verstehen.

Was es ist

HIPAA ist US-Bundesrecht für Covered Entities und Business Associates; HHS bietet keine allgemeine private Zertifizierung.

Warum es wichtig ist

KI kann PHI in Prompts, Einbettungen, Logs, Ausgaben und Training kopieren.

Wie man es erhält oder Compliance nachweist

1. Rollen und Datenflüsse bestimmen.
2. BAAs abschließen.
3. Vollständige Risikoanalyse.
4. Schutz- und Vorfallkontrollen implementieren.
5. Regelmäßig bewerten und dokumentieren.
6. Private Prüfung korrekt als Bewertung bezeichnen.

Prüfpunkte

1. Nicht als HHS-Zertifizierung darstellen.
2. Covered Entity, Business Associate, Subunternehmer und anderes Recht bestimmen.
3. PHI in Prompts, Logs, Ausgaben, Backups und Training abbilden.
4. Erforderliche BAAs und Weitergabepflichten abschließen.
5. Risikoanalyse, Schutzmaßnahmen und Breach-Prozess pflegen.
6. Private Bewertung nur als Nachweis, nicht Ersatz, nutzen.

Nächster Schritt

HHS erkennt private Security-Rule-Zertifikate nicht an. Prüfen Sie Modellverbesserung und BAA-Umfang.

Offizielle Quellen

• Are organizations required to certify HIPAA Security Rule compliance? — U.S. Department of Health and Human Services
• Covered Entities and Business Associates — U.S. Department of Health and Human Services
• Artificial Intelligence Risk Management Framework: Generative AI Profile — National Institute of Standards and Technology