Ce qu'HIPAA attend.
Ce qu'apporte un AI Actor.
La HIPAA Security Rule attend des covered entities qu'elles maintiennent des contrôles d'audit qui enregistrent l'activité dans les systèmes contenant de l'electronic Protected Health Information. Les agents IA siègent désormais dans ces systèmes. L'enregistrement qu'un agent produit sur lui-même est structurellement insuffisant sous cette attente — c'est le trou qu'un AI Actor existe pour fermer.
Un cadrage court
HIPAA, en bref.
Le Health Insurance Portability and Accountability Act de 1996 établit des protections fédérales pour les informations de santé des individus détenues par les covered entities et leurs business associates. Deux règlements l'opérationnalisent : la Privacy Rule, qui régit l'usage et la divulgation de la Protected Health Information (PHI), et la Security Rule, qui fixe des sauvegardes administratives, physiques et techniques pour la PHI électronique (ePHI). La Breach Notification Rule complète le trio.
La Security Rule est la partie qui compte le plus pour l'observabilité des agents IA. Elle s'organise en trois familles de sauvegardes. Les sauvegardes techniques incluent les contrôles d'accès sous §164.312(a), les contrôles d'audit sous §164.312(b), les contrôles d'intégrité sous §164.312(c), l'authentification de personne ou d'entité sous §164.312(d), et la sécurité de transmission sous §164.312(e).
Les covered entities sont les régimes de santé, les clearinghouses de soins et les prestataires de soins qui transmettent des informations de santé par voie électronique. Les business associates sont des organisations qui exercent des fonctions pour le compte de covered entities impliquant l'usage ou la divulgation de PHI. Les deux catégories ont des obligations directes ; les business associates doivent signer un Business Associate Agreement (BAA) avec chaque covered entity qu'ils servent.
Les agents IA agissant pour le compte d'une covered entity — triage de messages, résumé de dossiers, suggestion d'orientations, rédaction de communications patients — occupent typiquement un rôle de Business Associate vis-à-vis de la covered entity. L'infrastructure qui enregistre ces agents se situe une couche plus loin, comme Business Associate sous-traitant.
La clause pertinente
§164.312(b) Contrôles d'audit.
La clause qui transforme le journal d'audit d'un « ce serait bien » en une sauvegarde technique exigée pour la PHI électronique.
45 CFR §164.312(b)
Implement hardware, software, and/or procedural mechanisms that record and examine activity in information systems that contain or use electronic protected health information.
Lue au pied de la lettre, c'est ce qu'un Actor produit. Matériel ou logiciel — Trustvice est un logiciel. Mécanismes qui enregistrent l'activité — chaque action conséquente d'agent atterrit dans la surface Witness, chaînée par hash et append-only. Mécanismes qui examinent l'activité — Council, Historian, Conscience et Custodian offrent chacun une surface d'examen différente sur le même enregistrement.
L'Office for Civil Rights a historiquement refusé de prescrire quelles données précises doivent être journalisées, reconnaissant que « approprié » varie selon le système. La posture de l'Actor est de capturer chaque décision conséquente — ce que l'agent a décidé, quelles alternatives il a considérées, quelles règles étaient en vigueur, qui a relu la sortie, et qui a ensuite accédé à l'enregistrement. La barre est plus haute que le plancher HIPAA parce que le même format d'enregistrement sert aussi l'EU AI Act, TRAIGA, et des scénarios d'audit dans des industries réglementées au-delà de la santé.
Posture de feuille de route
Ce que le workspace éligible HIPAA offrira.
La liste ci-dessous décrit la forme éventuelle du workspace Trustvice éligible HIPAA. Aucun de ces points n'est généralement disponible aujourd'hui. La page n'affirme pas un délai ; elle affirme une destination.
BAA signé.
Un Business Associate Agreement exécuté avec chaque client covered-entity ou client business-associate en amont, couvrant le rôle de Trustvice comme business associate sous-traitant. Termes standard d'abord ; avenants spécifiques client négociables.
Sauvegardes techniques mappées à la Security Rule.
Contrôles d'accès sous §164.312(a) via le modèle de permissions du workspace et le SSO. Contrôles d'intégrité sous §164.312(c) via le format d'enregistrement chaîné par hash. Authentification personne/entité sous §164.312(d). Sécurité de transmission sous §164.312(e) via TLS 1.3 sans downgrade.
Contrôles d'audit — de première classe.
§164.312(b) est la surface pour laquelle l'Actor a été conçu. Les mêmes enregistrements Witness, Custodian et Conscience qui servent les obligations de l'article 12 de l'EU AI Act couvrent l'attente de contrôles d'audit sous HIPAA. Pas d'ajout, pas de système de journalisation parallèle.
Statut actuel — version honnête
Trustvice n'est pas encore un processeur de données éligible HIPAA. Nous ne signons pas actuellement de BAA. Les clients en contextes de santé peuvent déjà utiliser Trustvice aujourd'hui — ils doivent simplement garder la PHI hors des enregistrements qui affluent dans Trustvice, soit en n'utilisant pas l'Actor pour des agents qui traitent de la PHI, soit en configurant les règles de caviardage de l'Actor pour rédiger la PHI avant persistance. La page produit ci-dessus décrit la destination, pas le présent.
Restez informé
Soyez le premier à savoir quand ça ouvre.
Laissez votre e-mail et nous vous écrirons lorsque le palier de workspace éligible HIPAA sera généralement disponible. Double opt-in — vous recevrez un e-mail de confirmation avant d'être ajouté à la liste de notification, et aucun autre marketing ne sera envoyé à cette adresse.
Cette page est informative et ne constitue pas un conseil juridique ni une représentation de l'état actuel de conformité du produit. Les entités couvertes par HIPAA doivent consulter leur propre conseil de conformité avant d'adopter toute plateforme d'observabilité d'agents IA. Les références aux clauses HIPAA décrivent la loi telle que publiée ; les obligations sous HIPAA incombent aux entités auxquelles la loi s'applique. Juridique.
Trustvice 360Déclarez les règles. Faites vérifier chaque exécution.
Agents, preuves, gouvernance, commerce et divulgation sont dans Trustvice 360. Inscrivez-vous gratuitement et ouvrez toutes les suites depuis un seul tableau de bord.