AI製品のHIPAA適合：公式認証がない理由と対応

概要

対象主体、BAA、PHI保護、リスク分析、民間評価をHHS承認と誤認させず理解します。

これは何か

HIPAAは対象主体・Business Associateに適用される米国連邦法で、HHSの一般民間認証はありません。

なぜ重要か

AIはPHIをプロンプト、埋込み、ログ、出力、学習へ複製し得ます。

取得または適合を証明する方法

1. 役割・データ流を判定。
2. BAA締結。
3. 包括的リスク分析。
4. 保護・事故統制を実装。
5. 定期評価・文書化。
6. 民間評価をHHS認証と表示しない。

確認事項

1. HHS認証・承認として表示しない。
2. 対象主体、Business Associate、再委託、他法を判定。
3. プロンプト、ログ、出力、バックアップ、学習のPHIを把握。
4. 必要なBAAと下流義務を締結。
5. リスク分析、保護、侵害対応を維持。
6. 民間評価は証拠であり法令の代替にしない。

次のステップ

HHSは民間認証を認めません。モデル改善利用とBAA範囲を確認してください。

公的資料

• Are organizations required to certify HIPAA Security Rule compliance? — U.S. Department of Health and Human Services
• Covered Entities and Business Associates — U.S. Department of Health and Human Services
• Artificial Intelligence Risk Management Framework: Generative AI Profile — National Institute of Standards and Technology