HIPAA 期望什么。
AI Actor 带来什么。
HIPAA Security Rule 期望 covered entities 维持审计控制，记录含有 electronic Protected Health Information 的系统中的活动。AI 智能体现在就坐在这些系统里。智能体关于自身产生的记录在该期望下结构上不足——这正是 AI Actor 存在要填的缺口。
一个短框架
HIPAA，简述。
1996 年的 Health Insurance Portability and Accountability Act 为 covered entities 及其 business associates 持有的个人健康信息建立联邦保护。两项条例将其落地：Privacy Rule，规范 Protected Health Information（PHI）如何被使用和披露；Security Rule，为电子 PHI（ePHI）设定行政、物理和技术保障。Breach Notification Rule 补齐这三者。
对 AI 智能体可观测性最重要的是 Security Rule。它组织成三族保障。技术保障包括 §164.312(a) 下的访问控制、§164.312(b) 下的审计控制、§164.312(c) 下的完整性控制、§164.312(d) 下的个人或实体认证，以及 §164.312(e) 下的传输安全。
Covered entities 是以电子方式传输健康信息的健康计划、医疗清算所和医疗服务提供者。Business associates 是代表 covered entities 执行涉及使用或披露 PHI 的职能的组织。两类都有直接义务；business associates 必须与其服务的每个 covered entity 签署 Business Associate Agreement（BAA）。
代表 covered entity 行动的 AI 智能体——分流消息、摘要病历、建议转诊、起草患者沟通——通常相对 covered entity 处于 Business Associate 角色。记录这些智能体的基础设施再往外一层，作为分包 Business Associate。
相关条款
§164.312(b) 审计控制。
把审计日志从「有了更好」变成电子 PHI 所需技术保障的那一条。
45 CFR §164.312(b)
Implement hardware, software, and/or procedural mechanisms that record and examine activity in information systems that contain or use electronic protected health information.
按字面读，这正是 Actor 产出的东西。硬件或软件——Trustvice 是软件。记录活动的机制——每一次有后果的智能体动作落入 Witness 面，哈希链、仅追加。检查活动的机制——Council、Historian、Conscience 和 Custodian 各自在同一记录上提供不同的检查面。
Office for Civil Rights 历来拒绝规定必须记录哪些具体数据，承认「适当」因系统而异。Actor 的姿态是捕获每一次有后果的决定——智能体决定了什么、考虑了哪些备选、当时生效的规则是什么、谁审阅了输出、谁后来访问了记录。标准高于 HIPAA 的底线，因为同一记录格式也服务于 EU AI Act、TRAIGA，以及医疗之外受监管行业的审计场景。
路线图姿态
HIPAA 合格工作区 将提供什么。
下面的列表描述 HIPAA 合格 Trustvice 工作区的最终形态。这些项目今天都尚未普遍可用。本页不陈述时间表；它陈述目的地。
已签署的 BAA。
与每个 covered-entity 客户或上游 business-associate 客户签署的 Business Associate Agreement，覆盖 Trustvice 作为分包 business associate 的角色。先标准条款；客户特定附录可协商。
映射到 Security Rule 的技术保障。
§164.312(a) 下的访问控制通过工作区权限模型和 SSO 实现。§164.312(c) 下的完整性控制通过哈希链记录格式。§164.312(d) 下的个人/实体认证。§164.312(e) 下的传输安全通过 TLS 1.3 且不可降级。
审计控制——一等公民。
§164.312(b) 是 Actor 为其设计的面。服务 EU AI Act 第 12 条义务的同一套 Witness、Custodian 和 Conscience 记录，覆盖 HIPAA 下的审计控制期望。没有外挂，没有并行日志系统。
成文的控制映射与差距评估。
一份当前控制映射，把 Trustvice 的技术实现交叉走到 Security Rule、Privacy Rule 的最小必要标准，以及 Breach Notification Rule。一旦内部发布，即在 NDA 下提供给 HIPAA 合格客户。
子处理者姿态。
HIPAA 合格部署路径上的每个 Trustvice 子处理者将是 HIPAA 合格的，或位于已签署 BAA 之后。已发布的子处理者名单将明确标记 HIPAA 合格条目，以便客户在需要时自行做 Transfer Impact Assessment。
与 Breach Notification Rule 对齐。
事件响应工作流按 business associates 在发现泄露后所需的 60 天通知窗口调校，配有成文 runbook，覆盖识别、范围、客户通知，以及随事件报告同行的 Custodian 侧记录。
当前状态 — 诚实版本
Trustvice 还不是 HIPAA 合格的数据处理者。我们目前不签署 BAA。医疗场景中的客户今天仍可使用 Trustvice——只是需要把 PHI 挡在流入 Trustvice 的记录之外，要么不用 Actor 处理 PHI 的智能体，要么把 Actor 的清洗规则配置为在持久化前打码 PHI。上面的产品页描述的是目的地，不是现在。
保持关注
第一时间知道 何时开放。
留下邮箱，HIPAA 合格工作区档普遍可用时我们会联系你。双重确认——加入通知名单前你会收到确认邮件，且不会向此地址发送其他营销。
本页仅供信息，不构成法律意见，也不构成对当前产品合规状态的陈述。HIPAA covered entities 在采用任何 AI 智能体可观测性平台前应咨询自己的合规律师。对 HIPAA 条款的引用描述的是已公布的法律；HIPAA 下的义务落在法律所适用的实体上。 法律.
Trustvice 360声明规则，让每次运行都接受检查。
智能体、证据、治理、商务和披露都在 Trustvice 360 中。免费注册，在一个仪表板中打开所有套件。