HIPAA（健康保险可携性和责任法案） & AI Compliance

Overview

《健康保险可携性和责任法案》（HIPAA）是美国规范受保护健康信息（PHI）隐私和安全的主要联邦法律。该法于1996年颁布，并通过 HITECH 法案及后续规则不断更新，为个人可识别健康信息的保护建立了全国统一标准。对于在医疗保健领域开发 AI 的组织而言，HIPAA 合规不是可选项——违规处罚从每次违规100美元到50,000美元不等，每个违规类别的年度最高罚款可达150万美元。

HIPAA 的适用范围涵盖所有"受覆盖实体"（健康计划、医疗保健信息交换所和医疗保健提供者）及其"业务伙伴"——任何代表受覆盖实体处理 PHI 的组织。当 AI 供应商处理患者记录、临床笔记、诊断影像或任何可识别患者身份的数据时，该供应商即成为受 HIPAA 全部监管要求约束的业务伙伴。这对 AI 训练管道的设计方式以及患者数据的流向产生了深远影响。

该法规建立在三项主要规则之上：隐私规则、安全规则和违规通知规则。隐私规则规定了谁可以在何种条件下访问 PHI。安全规则明确了电子 PHI（ePHI）的技术保障措施，包括访问控制、审计控制、完整性控制和传输安全。违规通知规则要求受覆盖实体在未加保护的 PHI 遭到泄露时通知受影响个人、卫生与公众服务部（HHS），有时还需通知媒体。

AI-Specific Requirements

医疗保健领域的 AI 系统面临更严格的 HIPAA 审查，因为它们通常需要大量患者数据用于训练。安全规则的技术保障要求（45 CFR 164.312）规定必须具备：限制系统仅供授权用户访问的访问控制、记录和检查 ePHI 访问情况的审计控制、保护 ePHI 免受不当篡改或销毁的完整性控制，以及防止电子传输过程中未经授权访问的传输安全措施。

最小必要标准与 AI 训练数据准备尤为相关。根据该原则，组织必须将 PHI 的访问限制在完成预期目的所需的最小数量范围内。对于 AI 团队，这意味着需要精心界定训练数据集的范围，仅包含模型特定用例所需的临床数据元素，而非纳入完整的患者记录。通过 HIPAA 安全港方法（移除18个特定标识符）或专家判定方法进行去标识化处理后，数据可在 HIPAA 限制之外使用，但去标识化过程必须彻底且可验证。

只要 PHI 与第三方服务提供商共享，就必须签订业务伙伴协议（BAA）。对于 AI 开发，这意味着任何接触 PHI 的云平台、标注服务或模型托管提供商都必须签署 BAA。许多云端 AI 服务要么拒绝签署 BAA，要么对其服务在处理 PHI 时的使用方式施加重大限制。这为医疗保健组织采用本地化 AI 解决方案提供了强有力的驱动，从而无需与外部 AI 基础设施提供商签订 BAA。

How Ertas Helps

Ertas 提供了符合 HIPAA 要求的架构，将 PHI 完全保留在您组织的受控环境中。Ertas Data Suite 是一款完全本地化、气隙隔离的桌面应用程序——患者数据永远不会离开您机构的网络。没有向外部服务器的数据外泄，没有 PHI 的云端处理，也无需与 AI 基础设施提供商签订业务伙伴协议。这极大地简化了 AI 开发中的 HIPAA 合规面。

Ertas Data Suite 内置的 PII 脱敏引擎专门针对医疗保健数据模式设计，可检测和遮蔽患者姓名、病历号、出生日期、社会保障号及其他 PHI 标识符。数据血缘追踪为每次数据转换提供完整的监管链，使合规官员能够验证数据在进入训练管道之前是否已正确完成去标识化处理。系统中的每项操作都被记录在全面的审计日志中，满足安全规则下的审计控制要求。

Ertas Studio 的 Vault 功能提供了 HIPAA 安全规则所要求的加密和访问控制层。所有存储的数据集和模型均进行静态加密，基于角色的访问控制确保只有授权人员才能查看或修改源自 PHI 的训练数据。训练完成后，模型以 GGUF 格式导出用于本地推理，这意味着临床 AI 应用可以在本地运行预测，无需将患者数据传输到外部推理端点。这种端到端的本地化工作流消除了基于云端的医疗数据 AI 推理所带来的泄露风险。

Compliance Checklist