Sağlık Kuruluşlarının Yanlış Anladığı Uyum Varsayımı
Bulut AI araçları kullanan her sağlık kuruluşu, hukuk ekiplerinden aynı tavsiyeyi alır: sağlayıcı ile bir İş Ortaklığı Anlaşması imzalayın ve HIPAA kapsamında koruma altına alınmış olursunuz.
BAA gerekliliği gerçektir. HIPAA'nın Gizlilik Kuralı, kapsanan varlıkların iş ortaklarıyla BAA'lar imzalamasını gerektirir — korunan sağlık bilgilerini onların adına oluşturan, alan, saklayan veya ileten sağlayıcılar. Klinik notlarınızı işleyen AI sağlayıcısının bu verilerle etkileşime geçmeden önce bir BAA'ya ihtiyacı vardır.
Ancak BAA gerekliliği, kuruluşlar arasındaki sözleşmesel ilişkiyi ele alır. Sözleşme imzalandıktan sonra sağlayıcının altyapısında PHI'nin başına gelenleri ele almaz.
Kritik soru, bir BAA'ya sahip olup olmadığınız değil. Sağlayıcının PHI'nize düz metin olarak erişip erişemeyeceğidir — ve bir ihlal yaşandığında bu verilerin başına ne geleceğidir.
İş Ortaklığı Anlaşmasının Gerçekten Kapsadığı Şeyler
Bir BAA, bir iş ortağının:
- PHI'yi yalnızca anlaşmada belirtilen amaçlar için kullanacağını
- PHI'yi korumak için uygun önlemler alacağını
- Herhangi bir PHI ihlalini kapsanan varlığa bildireceğini
- Anlaşma sona erdiğinde PHI'yi iade edeceğini veya yok edeceğini
belirler.
BAA, sözleşmesel bir yükümlülüktür. İş ortağı, PHI'yi sorumlu bir şekilde ele almayı, makul güvenlik önlemleri almayı ve bir şeyler ters gittiğinde kapsanan varlığı bilgilendirmeyi taahhüt eder.
BAA'nın yapmadığı şeyler:
- İş ortağının sistemlerinin ihlal edilmesini önlemek
- İş ortağının şifrelenmiş formda PHI'ye teknik erişimini ortadan kaldırmak
- İş ortağının ihlal edilmesi durumunda kapsanan varlığı HIPAA sorumluluğundan korumak
Bir bulut AI sağlayıcısı ihlal edildiğinde ve sunucu tarafı depolaması, hastalarınızın PHI'sini şifrelenebilir formda içeriyorsa, ihlal bildirim yükümlülüğü BAA tarafından karşılanır — ancak PHI maruziyeti gerçektir, hastalar zarar görür ve kapsanan varlık, imzalanan sözleşmeye bakılmaksızın HIPAA uygulama sorgusuyla karşılaşır.
Sunucu Tarafı PHI Sorunu
Sağlık verilerini işleyen bulut AI araçları, temel bir mimaride çalışır: veriler sağlayıcının sunucularına gider, orada AI modeli tarafından işlenir ve sonuçlar kullanıcıya geri döner. Bunun çalışması için, sağlayıcının altyapısının veriye AI modelinin işleyebileceği bir formda erişimi olmalıdır.
Bu, verilerin sağlayıcının sunucularında şifrelenmemiş olduğu ya da şifrelemenin sağlayıcı tarafından, sağlayıcının kontrol ettiği anahtarlarla yapıldığı anlamına gelir.
Sağlayıcı kontrolündeki şifreleme, uçtan uca şifreleme değildir. Eğer sağlayıcı anahtarları tutuyorsa, sağlayıcı şifreyi çözebilir. Eğer sağlayıcı şifreyi çözebiliyorsa, tehlikeye giren bir sağlayıcı sunucusu verilerinizi okunabilir formda açığa çıkarır.
Bu, BAAs'nın ele almadığı mimaridir. BAA, sağlayıcının "uygun önlemler" almasını gerektirir — ancak sağlayıcı tarafından kontrol edilen sunucu tarafı şifreleme, bu gerekliliği sözleşmesel olarak karşılar, ancak sağlayıcı tarafı ihlallerine karşı hiçbir koruma sağlamaz.
Bu koşullar altında bulut AI tarafından işlenen sağlık verileri, belirli bir risk profiline sahiptir: AI destekli klinik belgeler, faturalama kodları veya bakım planları oluşturmak için kullanılan PHI, sağlayıcı altyapısında, bu altyapı tehlikeye girerse okunabilir bir formda mevcuttur.
HIPAA uygulaması, "ihlal edildik ama bir BAA'mız vardı" ile "ihlal edildik" arasında ayrım yapmaz. Kapsanan varlığın hastalarının PHI'si açığa çıkmıştır. Kapsanan varlığın bunu koruma yükümlülüğü vardı. Bu korumanın teknik uygulanması, yükümlülüğün yerine getirilip getirilmediğini belirler — sözleşme değil.
Sıfır Bilgi Mimarisi Neleri Değiştirir
Sıfır bilgi mimarisi, mimari düzeyde sunucu tarafı erişim sorununu ele alır.
Sıfır bilgi uygulamasında, PHI kapsanan varlığın ortamından çıkmadan önce anonimleştirilir. AI sağlayıcısı, anonimleştirilmiş verileri alır — hasta tanımlayıcılarının yapılandırılmış tokenlarla değiştirildiği klinik notlar, isimlerin ve hesap numaralarının değiştirildiği fatura kayıtları, demografik bilgilerin çıkarıldığı bakım planları.
AI modeli anonimleştirilmiş içeriği işler ve sonuçları döner. Kapsanan varlık, sonuçları asla sağlayıcıya iletilmemiş olan token eşleştirmesi kullanarak orijinal hasta kaydıyla yeniden ilişkilendirir.
Bu, neleri değiştirir:
Sağlayıcı asla PHI almaz. Sıfır bilgi anonimleştirmesi aracılığıyla işlenen klinik notlar, isimler, doğum tarihleri, adresler, tıbbi kayıt numaraları veya diğer HIPAA tanımlı PHI tanımlayıcılarını içermez. Sağlayıcının AI modeli anonimleştirilmiş veriler üzerinde çalışır.
Bir sağlayıcı ihlali PHI'yi açığa çıkarmaz. Eğer AI sağlayıcısının altyapısı tehlikeye girerse, orada saklanan veriler, hasta tanımlanabilir bilgileri içermeyen anonimleştirilmiş içerik içerir. İhlal, PHI maruziyeti ile sonuçlanamaz çünkü PHI asla iletilmemiştir.
BAA gereklilikleri daha yüksek bir standartta karşılanır. Kapsanan varlık, sözleşmesel minimumu aşan teknik korumalar uygulamıştır — bu, BAA'nın gerektirdiği için değil, mimarinin PHI maruziyetini teknik olarak imkansız hale getirdiği için.
Gerçekten Geçerli Olan Uyum Standardı
HHS Sivil Haklar Ofisi altında HIPAA uygulaması, kapsanan varlıkların PHI'yi korumak için makul ve uygun önlemler uygulayıp uygulamadığına odaklanır. "Makul ve uygun" PHI'ye yönelik riske, tehlike olasılığına ve mevcut önlemlerin maliyetine göre değerlendirilir.
BAA'lar altında PHI işleyen bulut AI sağlayıcıları ihlaller yaşamıştır. Risk hipotetik değildir. Uygulama araştırmacılarının sorduğu soru, kapsanan varlığın, sağlayıcı ilişkilerinin bilinen risk profilini ele alan önlemler uygulayıp uygulamadığıdır.
Bir BAA'ya ve sağlayıcı kontrolündeki sunucu tarafı şifrelemeye güvenen bir kapsanan varlık, teknik bir soruna sözleşmesel bir yaklaşım benimsemiştir. Herhangi bir PHI'yi AI sağlayıcılarına iletmeden önce sıfır bilgi anonimleştirmesi uygulayan bir kapsanan varlık, maruziyeti ortadan kaldıran teknik bir yaklaşım benimsemiştir.
İkinci yaklaşım, uygulama sorusunu ele alır: PHI asla sağlayıcının elinde kullanılabilir formda olmamıştır. Bildirilecek bir ihlal yoktur, bilgilendirilecek bir hasta yoktur, yanıt verilecek bir uygulama sorgusu yoktur — çünkü mimari, hata modunu imkansız hale getirmiştir.
Bulut AI benimsemeyi değerlendiren sağlık kuruluşları için uyum çerçevesi "bir BAA al ve devam et" değildir. "PHI'nin asla kurtarılabilir formda bir sağlayıcı ortamına ulaşmadığından emin ol"dur. BAA sözleşmesel gerekliliği karşılar. Sıfır bilgi mimarisi teknik gerekliliği karşılar.
Kaynaklar: