Conformidade HIPAA de produtos de IA: sem certificação oficial

Visão geral

Entenda entidades, BAAs, PHI, risco e avaliações privadas sem endosso HHS.

O que é

HIPAA é direito federal para entidades cobertas e associados; HHS não oferece certificação privada geral.

Porque é importante

A IA pode copiar PHI para prompts, embeddings, registos, saídas e treino.

Como obter ou demonstrar conformidade

1. Defina papéis e fluxos.
2. Assine BAAs.
3. Faça análise completa de riscos.
4. Implemente salvaguardas e incidentes.
5. Avalie e documente periodicamente.
6. Descreva avaliação privada sem alegar certificação HHS.

O que rever

1. Não apresente como certificação HHS.
2. Defina entidade coberta, associado, subcontratante e outras leis.
3. Mapeie PHI em prompts, registos, saídas, cópias e treino.
4. Assine BAAs exigidos e obrigações em cascata.
5. Mantenha análise de risco, salvaguardas e processo de violação.
6. Use avaliação privada como prova, não substituto.

Próximo passo

HHS não reconhece certificações privadas. Verifique melhoria do modelo e âmbito do BAA.

Fontes oficiais

• Are organizations required to certify HIPAA Security Rule compliance? — U.S. Department of Health and Human Services
• Covered Entities and Business Associates — U.S. Department of Health and Human Services
• Artificial Intelligence Risk Management Framework: Generative AI Profile — National Institute of Standards and Technology