本指南不构成法律意见。
概述
HIPAA 安全规则要求受其约束的实体与业务伙伴，以管理、物理和技术措施保护 ePHI。45 CFR 164.312 的技术保障涵盖访问控制、审计控制、完整性、人员或实体身份验证，以及传输安全。
HHS 于 2025 年 1 月 6 日发布安全规则的拟议规则制定通知（RIN 0945-AA22；90 FR 898）。截至 2026 年 10 月 5 日核查时，《联邦公报》仍将其列为拟议规则，未设生效日期，因此本指南不将其描述为已通过或已生效。
对 AI 与数据提出哪些要求
| 保障措施 | 具体要求 |
|---|---|
| 访问控制 | 仅允许获授权的人员与软件访问 ePHI，并采用唯一用户标识等措施。 |
| 审计控制 | 记录并检查存有或使用 ePHI 的系统活动。 |
| 完整性 | 保护 ePHI，防止不当修改或销毁。 |
| 人员或实体身份验证 | 核实请求访问者的身份与其声明一致。 |
| 传输安全 | 防范未经授权访问通过网络传输的电子受保护健康信息（ePHI）。 |
AI 工具处理 ePHI 时，会成为这些保障措施适用的系统之一。2025 年拟议规则制定通知可能与规划有关，但 HHS 最终确定规则前，它仍只是提案。
Matrix 如何协助
| 保障措施 | Matrix 如何协助 |
|---|---|
| 访问控制 | 独立用户账号、角色权限与默认私有的文件。所有管理员账号由您的团队持有。 |
| 审计控制 | 本地审计日志可供审核与导出，事件范围及保留期限按您的要求约定。 |
| 完整性 | 来源引用与工作流审批环节支持审核；预期用途所需的完整性控制措施与您共同约定。 |
| 人员或实体身份验证 | 个人独立登录，采用 MFA；目录服务集成针对您的环境确认。 |
| 传输安全 | 常规部署下，Matrix 不连接互联网，因此不会将 ePHI 发送到企业网络之外。您批准的任何外部服务，均按您自己的政策管理。 |
Synexas 不接收工作数据，因此供应商关系不同于托管 AI 服务。若您要求任务验证，将在 NDA 约束下使用您授权的数据，使用后删除。验证数据如需包含 ePHI，须事先由您的法律顾问决定能否共享，以及需要哪种协议，例如业务伙伴协议。其他情况下，是否需要业务伙伴协议取决于实际情况，包括现场维护安排，请咨询法律顾问。本地部署本身不意味着符合 HIPAA 或获得认证。
您仍需承担的责任
- 您的风险分析与风险管理计划
- 政策、员工培训与违规处分
- 紧急访问流程
- 按必需事件范围及保留要求审核审计记录
- 设备物理安全
- 企业内网保护
- 决定 AI 输出是否纳入指定记录集
评估 AI 供应商时该问什么
- 电子受保护健康信息（ePHI）会离开企业网络吗？如会，发送到哪里，谁能访问？
- 是否愿意签署业务伙伴协议？本次部署是否需要？
- 我们的数据会用于训练或改进模型吗？
- 记录哪些活动、存在哪里，谁可读取日志？
- 支持期间，如何防止供应商人员访问 ePHI？