Conformité HIPAA IA

Conformité HIPAA IA pour Organisations de santé

Les secrétaires IA, outils de documentation clinique et IA grand public sont largement utilisés en santé, souvent sans BAA, approbation informatique ni revue conformité. Aona découvre l’usage IA sur les terminaux couverts, applique les politiques de protection des données configurées aux interactions prises en charge et fournit des preuves pour votre revue HIPAA.

Demander une démo Tous les cadres de conformité →

modèle de cadre politique: HIPAA
protection des données prise en charge: Policy-led
preuves d’usage et de politique: Endpoint
politiques des outils pris en charge: Role-based

Ce que la HIPAA exige pour les outils IA

La HIPAA n’a pas été conçue pour l’IA, mais ses exigences s’appliquent pleinement à la manière dont les outils d’IA traitent les PHI.

Accords de partenariat commercialRequired

Vérifiez les exigences liées au partenaire commercial

Déterminez si le fournisseur d’IA agit en tant que partenaire commercial au sens de HIPAA pour l’usage prévu. Si c’est le cas, mettez en place le BAA requis ou un autre dispositif autorisé avant de partager des PHI. Vérifiez le service précis, le compte, les utilisations et divulgations autorisées, ainsi que les mesures de protection applicables. Une déclaration générale d’éligibilité du fournisseur ne signifie pas que tous ses services ou comptes sont approuvés pour les PHI.

Norme du minimum nécessaireRègle de confidentialité

Ne partagez que les PHI nécessaires

Lorsque la norme HIPAA du minimum nécessaire s’applique, les entités couvertes et les partenaires commerciaux au sens de HIPAA doivent faire des efforts raisonnables pour limiter les données de santé protégées (PHI) à ce qu’exige la finalité prévue. Les divulgations à un prestataire de soins et les demandes émanant de celui-ci, lorsqu’elles sont effectuées à des fins de traitement médical, font notamment partie des exceptions. Évaluez l’usage, la finalité et les exceptions applicables avant de partager un dossier patient avec un service d’IA.

Contrôles d’auditRègle de sécurité

Journaux d’activité pour l’accès IA aux PHI

La règle de sécurité HIPAA exige des mesures techniques de sécurité pour enregistrer et examiner l’accès aux PHI. Cela inclut les outils d’IA qui accèdent, traitent ou génèrent des PHI. Sans contrôles d’audit en place, les organisations ne peuvent pas démontrer leur conformité HIPAA ni enquêter sur les violations impliquant l’IA.

Mesures de protection des PHIRègle de sécurité

Mesures techniques pour les données traitées par IA

La HIPAA exige des mesures administratives, physiques et techniques pour protéger les PHI. À mesure que les outils d’IA s’intègrent aux flux cliniques et administratifs, ces mesures doivent s’étendre aux résultats générés par l’IA, aux requêtes IA contenant des PHI, ainsi qu’à toute donnée stockée ou transmise par les services IA.

Le problème de l’IA fantôme en santé

Le personnel clinique et administratif adopte rapidement les outils d’IA, souvent plus vite que les équipes IT et conformité ne peuvent les examiner. Ces outils accèdent fréquemment aux PHI sans les protections requises par la HIPAA.

Secrétaires IA
Les outils d’IA pour la documentation clinique sont largement adoptés par les cliniciens souhaitant réduire la charge documentaire. Beaucoup sont utilisés sans revue informatique, sans accords BAA en place ni vérification de la résidence des données.
Outils de documentation clinique
La prise de notes assistée par IA, les résumés de sortie et les outils d’autorisation préalable traitent fréquemment des dossiers patients complets, souvent déployés au niveau départemental sans supervision centrale.
IA diagnostique
Les IA en radiologie, pathologie et les outils d’aide à la décision clinique peuvent être évalués ou adoptés par les équipes cliniques avant que l’informatique et la conformité n’aient évalué leur posture HIPAA.

Aona en pratique

De l’exigence au contrôle concret

Reliez vos mesures de protection des données de santé protégées (PHI) au moment où un collaborateur utilise l’IA.

Minimum nécessaire → protection des données configurée

Limitez les données patient transmises à l’IA

L’exigence: Lorsque la norme du minimum nécessaire s’applique, limitez les PHI à ce qu’exige la finalité.
La contribution d’Aona: Appliquez les règles de blocage ou de masquage configurées lorsque des données sensibles sont détectées dans un prompt ou un fichier pris en charge.
Les éléments à examiner: Examinez la configuration des règles et les événements enregistrés. Avant le déploiement, testez la saisie prévue avec des données patient fictives.
Vos responsabilités: Déterminez la finalité autorisée, les exceptions applicables et les informations nécessaires. Le masquage seul ne garantit pas une désidentification conforme à HIPAA.

Source officielleHHS : exigence du minimum nécessaire

Examen du partenaire commercial → règles pour les outils approuvés

Traduisez les décisions fournisseur en règles d’utilisation

L’exigence: Déterminez si le fournisseur d’IA est un business associate, puis mettez en place l’accord et les protections requis avant de partager des PHI.
La contribution d’Aona: Utilisez la visibilité sur l’IA des postes couverts pour repérer les outils à examiner, puis autorisez, restreignez ou bloquez les outils pris en charge selon votre décision.
Les éléments à examiner: Comparez l’utilisation observée des outils et les règles configurées avec la liste des fournisseurs approuvés et les contrats de votre organisation.
Vos responsabilités: Vérifiez le service précis, le compte et les clauses du BAA. Discutez aussi des exigences contractuelles et de déploiement d’Aona avant de traiter des PHI.

Source officielleHHS : partenaires commerciaux (business associates)

Contrôles d’audit → éléments sur les usages et les règles

Intégrez l’activité IA à votre examen de sécurité

L’exigence: La Security Rule exige des mécanismes pour enregistrer et examiner l’activité des systèmes d’information qui contiennent ou utilisent des PHI électroniques.
La contribution d’Aona: Examinez les usages IA et les événements de règles enregistrés sur les postes couverts pour analyser l’activité IA des collaborateurs dans le périmètre concerné.
Les éléments à examiner: Conservez les événements pertinents avec vos notes d’enquête, le périmètre des postes couverts et la configuration des règles applicables.
Vos responsabilités: Définissez des accès et une conservation adaptés. Combinez les enregistrements Aona avec les éléments des systèmes cliniques, d’identité et des fournisseurs pour examiner l’activité dans son ensemble.

Source officielleHHS : synthèse de la Security Rule

La couverture nécessite un client Aona installé et une interaction IA prise en charge. Votre programme HIPAA exige aussi des accords adaptés, une analyse des risques et des mesures de protection pour tous les systèmes traitant des PHI.

Traiter une décision spécifique sur les PHI

Utilisez un guide ciblé et un exemple concret pour la question devant votre équipe.

FAQ

Questions fréquentes

L'utilisation de ChatGPT avec des données patients constitue-t-elle une violation de la HIPAA ?

Cela dépend des informations, du service et de l’usage. Lorsqu’un fournisseur d’IA agit en tant que partenaire commercial au sens de HIPAA, le BAA requis ou un autre dispositif autorisé doit être en place avant la divulgation de PHI. Vérifiez le service précis, le compte, l’usage autorisé et les mesures de protection. Appliquez la norme du minimum nécessaire lorsqu’elle est applicable. Un BAA seul ne suffit pas à établir la conformité à HIPAA.

Quels outils d'IA sont conformes à la HIPAA ?

Évaluez le service précis, la configuration et l’usage prévu. Lorsque le fournisseur agit en tant que partenaire commercial au sens de HIPAA, un BAA ou un autre dispositif autorisé est requis, avec les mesures de protection administratives, physiques et techniques applicables et les exigences de la Privacy Rule. Une déclaration d’éligibilité du fournisseur ou un BAA signé ne rend pas, à lui seul, l’usage de votre organisation conforme à HIPAA.

Aona signe-t-elle un accord de partenariat commercial (BAA) ?

Discutez des exigences BAA avec notre équipe dans le cadre de votre revue de sécurité et de contractualisation. Confirmez l'accord applicable, le déploiement supporté et les exigences de gestion des données avant d'utiliser Aona avec des PHI.

Comment empêcher les employés d'entrer des PHI dans les outils d'IA ?

La protection des PHI nécessite des contrôles techniques, des outils approuvés et la formation des employés. Sur les points d'accès couverts et les chemins d'entrée supportés, Aona peut détecter les données sensibles et appliquer les politiques de blocage ou de masquage configurées. Les usages enregistrés et les événements de politique peuvent soutenir votre revue, selon la couverture du déploiement et les paramètres de conservation. Votre organisation vérifie les BAA et autres exigences HIPAA.

Commencer

Sécuriser l’IA dans votre organisation de santé

Explorez la visibilité sur les terminaux couverts, les contrôles de protection des données pris en charge et les preuves pour votre revue HIPAA. Discutez des exigences BAA et de déploiement avec notre équipe.