Was HIPAA erwartet.
Was ein AI Actor mitbringt.
Die HIPAA Security Rule erwartet von Covered Entities Audit-Controls, die Aktivität in Systemen aufzeichnen, die electronic Protected Health Information enthalten. KI-Agenten sitzen inzwischen in diesen Systemen. Der Record, den ein Agent über sich selbst erzeugt, ist unter dieser Erwartung strukturell unzureichend — das ist die Lücke, die ein AI Actor schließen soll.
Ein kurzer Rahmen
HIPAA, kurz.
Der Health Insurance Portability and Accountability Act von 1996 begründet föderale Schutzmaßnahmen für Gesundheitsinformationen von Personen, die von Covered Entities und ihren Business Associates gehalten werden. Zwei Verordnungen operationalisieren ihn: die Privacy Rule, die regelt, wie Protected Health Information (PHI) verwendet und offengelegt wird, und die Security Rule, die administrative, physische und technische Safeguards für elektronische PHI (ePHI) festlegt. Die Breach Notification Rule vervollständigt das Trio.
Die Security Rule ist der Teil, der für KI-Agenten-Observability am meisten zählt. Sie ist in drei Safeguard-Familien organisiert. Die technischen Safeguards umfassen Access Controls unter §164.312(a), Audit Controls unter §164.312(b), Integrity Controls unter §164.312(c), Person- oder Entity-Authentifizierung unter §164.312(d) und Transmission Security unter §164.312(e).
Covered Entities sind Krankenversicherungen, Health-Care-Clearinghouses und Health-Care-Provider, die Gesundheitsinformationen elektronisch übermitteln. Business Associates sind Organisationen, die Funktionen im Auftrag von Covered Entities ausführen, die Nutzung oder Offenlegung von PHI beinhalten. Beide Kategorien haben direkte Pflichten; Business Associates müssen mit jeder Covered Entity, der sie dienen, ein Business Associate Agreement (BAA) unterzeichnen.
KI-Agenten, die im Auftrag einer Covered Entity handeln — Nachrichten triagieren, Charts zusammenfassen, Überweisungen vorschlagen, Patientenkommunikation entwerfen — sitzen typischerweise in einer Business-Associate-Rolle gegenüber der Covered Entity. Die Infrastruktur, die diese Agenten aufzeichnet, sitzt eine Schicht weiter außen, als Subcontractor-Business-Associate.
Die relevante Klausel
§164.312(b) Audit Controls.
Die Klausel, die Audit-Logging von einem Nice-to-have in einen erforderlichen technischen Safeguard für elektronische PHI verwandelt.
45 CFR §164.312(b)
Implement hardware, software, and/or procedural mechanisms that record and examine activity in information systems that contain or use electronic protected health information.
Wörtlich gelesen ist das, was ein Actor erzeugt. Hardware oder Software — Trustvice ist Software. Mechanismen, die Aktivität aufzeichnen — jede konsequente Agentenaktion landet in der Witness-Surface, hash-verkettet und append-only. Mechanismen, die Aktivität prüfen — Council, Historian, Conscience und Custodian bieten jeweils eine andere Prüfungsoberfläche über denselben Record.
Das Office for Civil Rights hat historisch abgelehnt, vorzuschreiben, welche konkreten Daten geloggt werden müssen, in Anerkennung dessen, dass „angemessen“ nach System variiert. Die Haltung des Actors ist, jede konsequente Entscheidung zu erfassen — was der Agent entschieden hat, welche Alternativen er erwogen hat, welche Regeln zu dem Zeitpunkt galten, wer den Output geprüft hat und wer später auf den Record zugegriffen hat. Die Latte liegt höher als HIPAAs Floor, weil dasselbe Record-Format auch dem EU AI Act, TRAIGA und Audit-Szenarien in regulierten Branchen jenseits des Gesundheitswesens dient.
Roadmap-Haltung
Was der HIPAA-fähige Workspace bieten wird.
Die Liste unten beschreibt die spätere Form des HIPAA-fähigen Trustvice-Workspace. Keiner dieser Punkte ist heute allgemein verfügbar. Die Seite nennt keinen Zeitrahmen; sie nennt ein Ziel.
Unterzeichnetes BAA.
Ein Business Associate Agreement, ausgeführt mit jedem Covered-Entity-Kunden oder Upstream-Business-Associate-Kunden, das die Rolle von Trustvice als Subcontractor-Business-Associate abdeckt. Zuerst Standardbedingungen; kundenspezifische Addenda verhandelbar.
Technische Safeguards, gemappt auf die Security Rule.
Access Controls unter §164.312(a) über das Workspace-Berechtigungsmodell und SSO. Integrity Controls unter §164.312(c) über das Hash-Chain-Record-Format. Person-/Entity-Authentifizierung unter §164.312(d). Transmission Security unter §164.312(e) über TLS 1.3 ohne Downgrade.
Audit Controls — first-class.
§164.312(b) ist die Surface, für die der Actor entworfen wurde. Dieselben Witness-, Custodian- und Conscience-Records, die EU-AI-Act-Artikel-12-Pflichten dienen, decken die Audit-Controls-Erwartung unter HIPAA. Kein Bolt-on, kein paralleles Logging-System.
Dokumentierte Control-Map und Gap-Assessment.
Eine aktuelle Control-Map, die Trustvices technische Implementierung mit der Security Rule, dem Minimum-Necessary-Standard der Privacy Rule und der Breach Notification Rule kreuzt. Für HIPAA-fähige Kunden unter NDA verfügbar, sobald sie intern veröffentlicht ist.
Subprocessor-Haltung.
Jeder Trustvice-Subprocessor im HIPAA-fähigen Deployment-Pfad wird HIPAA-fähig oder hinter einem unterzeichneten BAA stehen. Die veröffentlichte Subprocessor-Liste wird HIPAA-fähige Einträge explizit markieren, damit Kunden bei Bedarf ihr eigenes Transfer Impact Assessment durchführen können.
Ausrichtung an der Breach Notification Rule.
Incident-Response-Workflow, abgestimmt auf das 60-Tage-Benachrichtigungsfenster, das Business Associates nach Entdeckung eines Breach schulden, mit einem dokumentierten Runbook zu Identifikation, Scoping, Kundenbenachrichtigung und den Custodian-seitigen Records, die mit dem Incident-Report reisen.
Aktueller Status — ehrliche Fassung
Trustvice ist noch kein HIPAA-fähiger Datenverarbeiter. Wir unterzeichnen derzeit keine BAAs. Kunden in Gesundheitskontexten können Trustvice heute trotzdem nutzen — sie müssen PHI nur aus den Records halten, die in Trustvice fließen, entweder indem sie den Actor nicht für PHI-verarbeitende Agenten nutzen oder indem sie die Scrubbing-Regeln des Actors so konfigurieren, dass PHI vor der Persistenz geschwärzt wird. Die Produktseite oben beschreibt das Ziel, nicht die Gegenwart.
Dranbleiben
Als Erste wissen wenn es öffnet.
Hinterlassen Sie Ihre E-Mail und wir schreiben Sie, wenn die HIPAA-fähige Workspace-Stufe allgemein verfügbar wird. Double Opt-in — Sie erhalten eine Bestätigungs-E-Mail, bevor Sie auf die Benachrichtigungsliste kommen, und es wird kein anderes Marketing an diese Adresse gesendet.
Diese Seite ist informativ und stellt keine Rechtsberatung und keine Darstellung des aktuellen Produkt-Compliance-Status dar. HIPAA-Covered-Entities sollten ihren eigenen Compliance-Counsel konsultieren, bevor sie eine Observability-Plattform für KI-Agenten übernehmen. Verweise auf HIPAA-Klauseln beschreiben das Recht, wie es veröffentlicht ist; Pflichten unter HIPAA liegen bei den Entitäten, auf die das Recht anwendbar ist. Legal.
Trustvice 360Regeln festlegen. Jeden Lauf prüfen lassen.
Agenten, Nachweise, Governance, Handel und Offenlegung stecken in Trustvice 360. Kostenlos registrieren und alle Suiten in einem Dashboard öffnen.