Conformité HIPAA des produits IA : aucune certification officielle

Vue d’ensemble

Comprendre entités, BAAs, PHI, risques et évaluations privées sans aval HHS.

De quoi s’agit-il ?

HIPAA est un droit fédéral visant entités couvertes et associés ; HHS n’offre pas de certification privée générale.

Pourquoi est-ce important ?

L’IA peut copier les PHI dans prompts, embeddings, journaux, sorties et entraînement.

Comment l’obtenir ou démontrer la conformité

1. Déterminer rôles et flux.
2. Signer les BAAs.
3. Faire analyse complète des risques.
4. Mettre en place garanties et incidents.
5. Évaluer et documenter périodiquement.
6. Décrire l’évaluation privée sans prétendre certification HHS.

Points à vérifier

1. Ne pas présenter comme certification HHS.
2. Déterminer entité couverte, associé, sous-traitant et autres lois.
3. Cartographier PHI dans prompts, journaux, sorties, sauvegardes et entraînement.
4. Signer les BAAs requis et obligations en cascade.
5. Maintenir analyse des risques, garanties et processus de violation.
6. Utiliser évaluation privée comme preuve, non substitut.

Prochaine étape

HHS ne reconnaît pas les certifications privées. Vérifiez amélioration du modèle et portée du BAA.

Sources officielles

• Are organizations required to certify HIPAA Security Rule compliance? — U.S. Department of Health and Human Services
• Covered Entities and Business Associates — U.S. Department of Health and Human Services
• Artificial Intelligence Risk Management Framework: Generative AI Profile — National Institute of Standards and Technology