HIPAA : contrôles et responsabilités
Comprendre les obligations, contrôles techniques et responsabilités organisationnelles.
HIPAA : contrôles et responsabilités · En vigueur
Cette page présente les contrôles AI-FW sans remplacer les responsabilités de conformité ou d’audit.
Rôle d’AI-FW
- À noter : The gateway can inspect prompts/responses, apply configured health-data rules, associate calls with identities and restrict model destinations. It does not make an organisation compliant by itself.
Ce que le produit ne fait pas
- À noter : Determining covered-entity or business-associate status.
- À noter : Signing a Business Associate Agreement.
- À noter : Defining all administrative, physical and technical safeguards.
- À noter : Classifying all health information or replacing risk analysis.
- À noter : Guaranteeing each workflow complies with HIPAA.
Contrôles associés
- À noter : Access: À noter : Limit access to authorised users and systems. AI-FW: À noter : Agent/user authentication and identity/role policies.
- À noter : Audit: À noter : Record and review activity in systems containing ePHI. AI-FW: À noter : Transaction and administrative logs, exportable by configuration.
- À noter : Integrity: À noter : Protect ePHI against unauthorised changes. AI-FW: À noter : Inspection policies and auditable configuration changes.
- À noter : Transmission: À noter : Protect ePHI over electronic networks. AI-FW: À noter : TLS on configured connections and gateway inspection.
Éléments de preuve
- À noter : Identity configuration: À noter : Authentication methods and policies in use.
- À noter : Audit logs: À noter : Transactions, events and export destinations.
- À noter : Health-data rules: À noter : Enabled rules and actions.
Responsabilités de l’organisation
- À noter : Determine applicability and ePHI use.
- À noter : Maintain risk analysis, policies and agreements.
- À noter : Approve providers and execute BAAs where required.
- À noter : Operate workforce, physical and technical safeguards.
- À noter : Validate detection for each workflow.
Questions fréquentes
À noter : Does AI-FW make a model provider HIPAA compliant?
À noter : No. The organisation evaluates provider authorisation for ePHI and required agreements.
À noter : Is Health Data Risk a compliance certification?
À noter : No. It is a heuristic signal for review.
À noter : Can audit evidence avoid full prompt storage?
À noter : Yes, depending on logging configuration and policy.
Informations générales, sans conseil juridique ni audit.