HIPAA 準拠の データレイヤー で、AI を本番環境へ

HIPAA と Connect AI について詳しく

• HIPAA とは

  1996 年の医療保険の携行性と責任に関する法律（Health Insurance Portability and Accountability Act of 1996、HIPAA）は、保護医療情報（PHI）のプライバシーおよびセキュリティ基準を定めた米国の連邦法です。お客様の組織が HIPAA の適用対象事業者またはビジネスアソシエイトに該当する場合、CData Connect AI はお客様のデータワークフローにおいて PHI を取り扱えるよう構成できます。

  適用対象事業者またはビジネスアソシエイトが CData と BAA を締結した場合、Connect AI は対象となる HIPAA 規制対象のユースケースでご利用いただけるようになり、CData はビジネスアソシエイトとして機能します。

• Connect AI は iPaaS と何が違うのですか？

  多くの iPaaS プラットフォームは、データレベルではなくパイプラインレベルでアクセスを制御します。 オーケストレーターも、別の角度から同じ死角を抱えています。スケジューリングと依存関係を扱うツールであり、 ePHI という概念を持ちません。そのため、患者データに触れるノードはすべてコンプライアンス上の義務を負いますが、 オーケストレーター自身はそれを把握することも強制することもできません。

  医療分野では、データが EHR、ペイヤーシステム、検査プラットフォーム、臨床データウェアハウスに分散し、 それぞれ API もアクセスパターンも異なります。そのため、連携を追加するたびに、コンプライアンス対応の実装を ゼロからやり直すことになります。AI チームはインフラチームを待ち、インフラチームはコンプライアンス審査を待つ— そんな状況が生まれます。

  Connect AI は、HIPAA が義務づける技術的セーフガード（暗号化、アクセス制御、監査ログ、 文書化されたデータフロー）をプラットフォームレベルで適用します。パイプラインごとにコンプライアンスを 作り直す必要はありません。

• 要件と制限事項について教えてください

  対象となる HIPAA 規制対象のユースケースについて、CData は BAA を提供します。以下の制限事項にご注意ください。

  • Connect AI を患者（またはその個人代理人）、加入者、家族との連絡に使用しないでください。
  • PHI を AI プロンプトへの自由記述テキストとして入力・送信しないでください。
  • PHI が関与する可能性がある場合は、サポートによる代理アクセス（impersonation）機能を使用しないでください。
  • PHI を扱うワークフローにレガシーの OData エンドポイントを使用しないでください。
  • ライブチャット、サポートチャットボット、一般公開のメールアドレス、個人用メールアドレスを通じて PHI を送信しないでください。
  • Connect AI へのアクセスには、ローカルでサポートされている SSO プロバイダーをご利用ください。

  上記の制限事項に挙げたケースは、PHI に関わる対象ユースケースとはなりません。CData はこうしたユースケースについて HIPAA コンプライアンスに対応していません。詳細度（Verbosity）レベル 3 以上でクエリログを有効にした場合、それらのログには PHI が含まれる可能性があり、BAA はそれらのログにも適用されます。

  記録システム（system of record）ではありません
  Connect AI は指定記録セット（designated record set）を保持しておらず、PHI の記録システムとして使用することはできません。

  サードパーティアプリケーション
  CData の BAA は、お客様の組織のサードパーティアプリケーション、インテグレーション、マーケットプレイスプロバイダーには適用されません。お客様は、サードパーティアプリケーションをご利用になる前に、当該サードパーティとの間で BAA の締結が必要かどうかを判断する責任を負います。

  お客様の責任
  お客様は、お客様に適用される HIPAA 上の義務に適合する方法で Connect AI を構成し、使用する責任を引き続き負うものとします。