By · Last updated 2026-03-10

Kembali ke BlogPenjagaan Kesihatan

HIPAA dalam Awan: Tanpa Pengetahuan untuk PHI

Perjanjian Rakan Perniagaan tidak mencegah pelanggaran HIPAA apabila vendor AI awan anda memproses PHI dalam teks biasa. Inilah yang dibawa oleh seni bina tanpa pengetahuan.

March 10, 20269 min baca
HIPAA compliancezero-knowledge architecturePHI anonymizationcloud securityBAA limitations

Dikemas kini untuk 2026

Andaian HIPAA Yang Meletakkan Pesakit dalam Bahaya

Setiap pasukan IT penjagaan kesihatan mendengar nasihat yang sama. Tandatangani Perjanjian Rakan Perniagaan dan anda dilindungi di bawah HIPAA.

Keperluan BAA adalah nyata. Peraturan Privasi HIPAA memerlukan entiti yang dilindungi untuk menandatangani BAA dengan rakan perniagaan. Mereka adalah pihak ketiga yang mengendalikan maklumat kesihatan yang dilindungi bagi pihak mereka. Mana-mana alat AI yang menyentuh nota klinikal memerlukan BAA terlebih dahulu.

Tetapi BAA meliputi hubungan undang-undang. Ia tidak meliputi apa yang berlaku kepada rekod pesakit di pelayan pembekal AI selepas kontrak ditandatangani.

Soalan utama bukan sama ada anda mempunyai BAA. Ia sama ada pembekal AI boleh membaca rekod kesihatan pesakit anda. Dan apa yang berlaku apabila mereka dilanggar.

Apa yang Perjanjian Rakan Perniagaan Sebenarnya Lakukan

BAA mengkomit rakan perniagaan kepada empat perkara:

  • Gunakan rekod pesakit hanya untuk tujuan yang dipersetujui
  • Letakkan perlindungan untuk melindunginya
  • Laporkan sebarang pelanggaran kepada entiti yang dilindungi
  • Pulangkan atau hapuskan fail apabila kontrak tamat

BAA adalah kontrak. Pembekal berjanji untuk mengendalikan fail klinikal dengan teliti, menerapkan keselamatan yang munasabah, dan memberitahu anda jika sesuatu yang salah berlaku.

Apa yang BAA tidak lakukan:

  • Menghentikan penyerang daripada melanggar pelayan pembekal
  • Mengeluarkan keupayaan untuk membaca rekod pesakit dalam bentuk yang dinyahsulit
  • Melindungi organisasi anda daripada tanggungan HIPAA apabila pembekal terkena

Apabila pembekal AI awan mengalami pelanggaran, BAA meliputi langkah pemberitahuan. Tetapi pendedahan rekod kesihatan adalah nyata. Pesakit dirugikan. Entiti yang dilindungi menghadapi siasatan HHS. Kontrak tidak mengubah itu.

Masalah Sisi Pelayan

Alat AI awan yang mengendalikan rekod kesihatan berkongsi satu reka bentuk teras. Fail bergerak ke pelayan pembekal. AI memprosesnya di sana. Keputusan kembali kepada pengguna.

Agar ini berfungsi, pembekal mesti membaca fail dalam bentuk yang boleh digunakan. Itu bermakna salah satu daripada dua perkara. Fail duduk tidak disulitkan. Atau pembekal mengurus kunci penyulitan.

Penyulitan yang diurus pembekal bukan penyulitan hujung ke hujung. Jika pembekal memegang kunci, pembekal boleh menyahsulit. Jika pelayan dilanggar, rekod pesakit terdedah dalam teks biasa.

Ini adalah jurang yang BAA tidak tutup. BAA memerlukan "perlindungan yang sesuai." Penyulitan sisi pelayan dengan kunci yang dipegang pembekal memenuhi piawaian itu di atas kertas. Ia tidak melindungi daripada pelanggaran di pihak pembekal.

AI menggunakan nota klinikal, rekod bil, dan pelan penjagaan untuk menghasilkan output. Semua kandungan itu duduk dalam bentuk yang boleh dibaca di pelayan pembekal. Pelanggaran di sana bermakna rekod pesakit keluar.

Penguatkuasaan HIPAA tidak peduli bahawa anda mempunyai BAA. Pejabat Hak Sivil HHS bertanya satu soalan: adakah anda menggunakan perlindungan yang sebenarnya melindungi rekod? Kawalan teknikal menentukan jawapannya. Bahasa kontrak tidak.

Bagaimana Seni Bina Tanpa Pengetahuan Menyelesaikan Ini

Reka bentuk tanpa pengetahuan menyelesaikan masalah akses sisi pelayan pada punca.

Sebelum sebarang fail meninggalkan persekitaran anda, butiran pesakit digantikan dengan token. Pembekal AI menerima hanya kandungan yang dianonimkan. Nota klinikal mempunyai nama yang ditukar. Rekod bil mempunyai nombor akaun yang digantikan. Pelan penjagaan mempunyai maklumat peribadi yang dikeluarkan.

AI memproses versi yang dianonimkan. Sistem anda menyambung semula keputusan kepada rekod pesakit asal menggunakan peta token. Peta itu tidak pernah meninggalkan kawalan anda.

Apa yang ini ubah dalam amalan:

Pembekal AI tidak pernah menerima maklumat kesihatan yang dilindungi. Nota klinikal yang dihantar melalui anonimasi tanpa pengetahuan tidak mengandungi nama, tarikh lahir, alamat, atau nombor rekod. AI beroperasi pada fail yang bersih.

Pelanggaran di pembekal tidak mendedahkan apa-apa. Jika pelayan mereka dilanggar, kandungan yang disimpan tidak mempunyai maklumat pesakit di dalamnya. Pendedahan tidak boleh berlaku kerana rekod yang dilindungi tidak pernah dihantar.

Perlindungan teknikal melampaui apa yang kontrak memerlukan. Entiti yang dilindungi telah menjadikan pendedahan rekod pesakit mustahil secara teknikal. Bukan sekadar dilarang oleh kontrak. Itu adalah kedudukan yang jauh lebih kukuh.

Lihat cara lapisan anonimasi berfungsi di halaman pematuhan keselamatan dan dalam dokumen pematuhan undang-undang.

Piawaian Yang Bertahan Di Bawah Penguatkuasaan

Penguatkuasaan HIPAA di bawah Pejabat Hak Sivil HHS bergantung pada satu ujian. Adakah entiti yang dilindungi menggunakan perlindungan yang munasabah memandangkan risiko yang diketahui?

Pembekal AI awan yang mengendalikan rekod kesihatan di bawah BAA telah dilanggar. Risikonya adalah nyata. Bukan teori. Penyiasat bertanya sama ada entiti yang dilindungi menanganinya.

Satu jenis entiti yang dilindungi bergantung pada BAA dan penyulitan yang diurus pembekal. Itu adalah pembetulan kontrak untuk masalah teknikal. Jenis lain menanonimkan rekod pesakit sebelum menghantar apa-apa. Itu mengeluarkan pendedahan pada punca.

Pendekatan kedua memberikan jawapan yang jelas kepada sebarang siasatan. Rekod yang dilindungi tidak pernah mencapai pembekal AI dalam bentuk yang boleh digunakan. Tiada pelanggaran untuk dilaporkan. Tiada pesakit untuk diberitahu. Tiada siasatan untuk dijawab. Reka bentuk menjadikan hasil itu mustahil.

Untuk organisasi penjagaan kesihatan yang menerima pakai AI awan, pendekatan pematuhan yang betul adalah jelas. BAA tidak mencukupi dengan sendirinya. Rekod pesakit tidak boleh mencapai pihak ketiga dalam bentuk yang boleh dipulihkan. BAA memenuhi keperluan undang-undang. Seni bina tanpa pengetahuan memenuhi keperluan teknikal.

Ketahui lebih lanjut dalam dokumen sistem token dan pusat Soal Jawab.


Lapisan anonimasi anonym.legal menyingkirkan butiran pesakit sebelum ia mencapai mana-mana alat AI. Token menggantikan nama, tarikh, dan nombor rekod. Keputusan dikembalikan dengan butiran asal dipulihkan - hanya di pihak anda. Lihat halaman harga.

Sumber

Sedia untuk melindungi data anda?

Mulakan pengenalan PII dengan 285+ jenis entiti dalam 48 bahasa.

About this page

We update this page when our platform or the law changes.

Read our founder note for how we work.

Each change shows up in the timestamp at the top.

Related reading

We follow these rules

  • GDPR (EU 2016/679).
  • ISO/IEC 27001:2022.
  • NIS2 (EU 2022/2555).
  • HIPAA safe harbor under 45 CFR § 164.514(b)(2).

Our promise

We do not sell your data.

We do not train models on your text.

We store your files in Germany.

You can delete your account at any time.

You own your work.

Where we run

Our servers live in Falkenstein, Germany.

We use Hetzner. They hold ISO 27001 certification.

All data stays in the EU.

Backups run every day.

Need help?

Email support@anonym.legal.

We reply within one business day.

How we test

We run a full check suite on every release.

Each surface gets its own sweep script and report.

Human reviewers spot-check the output each week.

We track recall and precision on a labelled set.

Bad runs block the deploy.

What we never do

  • We never sell your information to third parties.
  • We never train models on what you upload.
  • We never keep your work after you delete it.
  • We never share keys with any outside firm.
  • We never run ads inside the product.

Plans in plain words

We sell credits, not seats.

One credit covers one short job.

Long jobs use a few credits each.

You can top up at any time.

Unused credits roll over each month.

Read the plans page for current rates.

Who built this

A small team of engineers and lawyers built this.

We ship from Europe and work in the open.

Our founder note spells out why we started.

Where to start

How the parts fit

A browser add-on cleans text inside Chrome.

A Word plug-in handles drafts in Office.

A small desktop tool works on whole folders.

An agent protocol link feeds large models safely.

All four share one core engine and one rule set.

Words from our team

We started this work after a lunch about cookies.

One friend kept getting odd ads on her phone.

We asked why a court file leaked through a draft.

We sketched the first build on a napkin that week.

By month three we had a tiny demo for a friend.

She used it on her first case the next day.

Common questions we hear

Can the tool read scanned PDFs? Yes, with OCR.

Does it work on long files? Yes, in small chunks.

Can I roll my own rule set? Yes, save it as a preset.

Does it run offline? The desktop build runs offline.

Do you keep my files? No, the cloud build wipes after each run.

Will it learn from my work? No, we never train on inputs.

A short tour of the workflow

Upload a file or paste a snippet of prose.

Pick the entities you want gone from the draft.

Choose a method: replace, mask, hash, encrypt, or redact.

Press run and watch the side panel show each hit.

Skim the result and tweak any rule that misfired.

Save the cleaned file or send it to a teammate.