AI 제품의 HIPAA 준수: 공식 인증이 없는 이유

개요

적용주체, BAA, PHI 보호, 위험분석, 민간평가를 HHS 승인으로 오인하지 않게 설명합니다.

무엇인가

HIPAA는 적용주체와 Business Associate에 적용되는 미국연방법이며 HHS 일반 민간인증은 없습니다.

왜 중요한가

AI는 PHI를 프롬프트, 임베딩, 로그, 출력, 학습에 복사할 수 있습니다.

취득 또는 준수를 입증하는 방법

1. 역할·데이터흐름 판단.
2. BAA 체결.
3. 포괄적 위험분석.
4. 보호·사고통제 구현.
5. 정기평가·문서화.
6. 민간평가를 HHS 인증으로 표시하지 않기.

확인 사항

1. HHS 인증·승인으로 표시하지 않기.
2. 적용주체, Business Associate, 하도급, 타법 판단.
3. 프롬프트, 로그, 출력, 백업, 학습의 PHI 파악.
4. 필요한 BAA와 하위의무 체결.
5. 위험분석, 보호조치, 침해대응 유지.
6. 민간평가는 증거이지 법률대체가 아님.

다음 단계

HHS는 민간인증을 인정하지 않습니다. 모델개선 사용과 BAA 범위를 확인하세요.

공식 출처

• Are organizations required to certify HIPAA Security Rule compliance? — U.S. Department of Health and Human Services
• Covered Entities and Business Associates — U.S. Department of Health and Human Services
• Artificial Intelligence Risk Management Framework: Generative AI Profile — National Institute of Standards and Technology