Was HIPAA abdeckt
HIPAA wurde erlassen, um die Übertragbarkeit von Krankenversicherungen zu verbessern und den Umgang mit Gesundheitsdaten im gesamten US-Gesundheitssystem zu standardisieren. Im Laufe der Zeit erließ HHS eine Reihe von Durchführungsregeln, die zusammen definieren, was Organisationen tun müssen, um Gesundheitsinformationen zu schützen.
Die Information, die HIPAA schützt, ist Protected Health Information (PHI) — individuell identifizierbare Gesundheitsinformationen, die von einer regulierten Organisation gehalten oder übermittelt werden, in jeder Form. Wenn diese Information elektronisch erstellt, gespeichert oder übermittelt wird, wird sie als elektronische PHI (ePHI) bezeichnet, die zusätzliche technische Schutzanforderungen mit sich bringt.
HIPAA gilt für zwei Kategorien von Organisationen:
- Covered Entities — Krankenversicherungen, Healthcare Clearinghouses und Gesundheitsdienstleister, die Gesundheitsinformationen elektronisch im Zusammenhang mit abgedeckten Transaktionen übermitteln.
- Business Associates — Anbieter und Dienstleister, die PHI im Auftrag einer Covered Entity erstellen, empfangen, vorhalten oder übermitteln.
Die HIPAA-Kernregeln
HIPAA-Compliance setzt sich aus mehreren eigenständigen Regeln zusammen, die jeweils einen anderen Aspekt des erforderlichen Umgangs mit Gesundheitsinformationen behandeln.
Die Privacy Rule
Die Privacy Rule legt nationale Standards für die Nutzung und Offenlegung von PHI fest. Sie definiert die zulässigen und erforderlichen Nutzungen von Gesundheitsinformationen — zum Beispiel für Behandlung, Bezahlung und Gesundheitsbetrieb — und begründet individuelle Rechte, einschließlich des Rechts auf Zugang zu den eigenen Aufzeichnungen. Ein zentrales Konzept ist Minimum Necessary: Organisationen sollten die Nutzung und Offenlegung von PHI auf die geringste Menge an Informationen begrenzen, die zur Erreichung des beabsichtigten Zwecks erforderlich ist.
Die Security Rule
Die Security Rule gilt speziell für ePHI und verlangt von regulierten Organisationen, Schutzmaßnahmen über drei Kategorien hinweg umzusetzen:
- Administrative Safeguards — Richtlinien, Verfahren, Mitarbeiterschulungen, Zugriffsverwaltung und Risikoanalyse, die regeln, wie mit ePHI umgegangen wird.
- Physical Safeguards — Kontrollen über Einrichtungen, Arbeitsplätze und Geräte, die ePHI speichern oder darauf zugreifen.
- Technical Safeguards — Technologie-Kontrollen wie Zugriffskontrolle, Audit-Kontrollen, Integritätsschutz und Übertragungssicherheit.
Die Security Rule ist bewusst flexibel und skalierbar: Organisationen wählen angemessene und geeignete Maßnahmen auf Basis ihrer Größe, Komplexität und ihres Risikoprofils, gestützt auf eine fortlaufende Risikoanalyse.
Die Breach Notification Rule
Die Breach Notification Rule verpflichtet Covered Entities und Business Associates, betroffene Personen — und je nach Umfang HHS und die Medien — zu benachrichtigen, wenn ungesicherte PHI verletzt werden. Sie verwandelt ein Schutzversagen in eine definierte Meldepflicht, was die Sichtbarkeit darüber, wohin PHI gelangen, zu einer praktischen Notwendigkeit statt einer Formalität macht.
Covered Entity vs. Business Associate
Die Unterscheidung zwischen einer Covered Entity und einem Business Associate bestimmt, wer direkt reguliert wird, wer ein Business Associate Agreement (BAA) unterzeichnen muss und wo die Compliance-Verantwortung liegt. Dies ist für AI direkt relevant: Ein Anbieter, der PHI im Auftrag einer Covered Entity verarbeitet, ist in der Regel ein Business Associate und muss durch ein BAA gebunden werden, bevor PHI geteilt werden.
| Covered Entity | Business Associate | |
|---|---|---|
| Wer es ist | Krankenversicherungen, Clearinghouses, Gesundheitsdienstleister | Anbieter, die PHI im Auftrag einer Covered Entity handhaben |
| Beziehung zu PHI | Erzeugt und hält PHI zur Erbringung von Versorgung oder Versicherung | Erstellt, empfängt, vorhält oder übermittelt PHI als Dienstleistung |
| Vertragliche Grundlage | Direkt durch HIPAA-Regeln gebunden | Gebunden durch HIPAA plus ein Business Associate Agreement (BAA) |
| Typische Beispiele | Krankenhaus, Klinik, Versicherer | Abrechnungsdienst, Cloud-Host, Analyse- oder AI-Anbieter |
| Direkte Haftung | Ja | Ja, für anwendbare Bestimmungen der Privacy und Security Rule |
Ein Business Associate Agreement (BAA) ist der Vertrag, der die Pflichten eines Business Associate zum Schutz von PHI begründet, einschränkt, wie die PHI genutzt werden dürfen, und den Associate verpflichtet, Verletzungen zu melden. Ohne ein unterzeichnetes BAA ist das Teilen von PHI mit einem Anbieter unter HIPAA in der Regel nicht zulässig.
HIPAA im AI-Zeitalter
AI-Tools führen einen schnell wachsenden Kanal ein, über den PHI außerhalb kontrollierter Systeme gelangen können — oft ohne dass jemand dies als Offenlegung behandelt. Drei Punkte stechen hervor.
Erstens, in AI-Tools eingefügte PHI. Klinisches Personal und Mitarbeitende nutzen zunehmend universelle AI-Assistenten, um Notizen zu verfassen, Aufzeichnungen zusammenzufassen oder Fragen zu beantworten. Wenn ein Name, eine Diagnose oder ein Datensatz in einen Verbraucher-Chatbot eingefügt wird, haben PHI die kontrollierte Umgebung der Covered Entity verlassen, häufig ohne Audit-Trail und ohne bestehendes BAA.
Zweitens, AI-Anbieter als Business Associates. Wenn ein AI-Anbieter PHI im Auftrag einer Covered Entity erstellt, empfängt, vorhält oder übermittelt, erfüllt er in der Regel die Definition eines Business Associate und benötigt ein BAA. Viele Verbraucher-AI-Dienste werden nicht unter einem BAA angeboten, was bedeutet, dass das Leiten von PHI durch sie außerhalb der zulässigen Offenlegungen von HIPAA liegen kann.
Drittens, Kontrolle und Prüfung des AI-Zugriffs auf PHI. Die technischen Schutzmaßnahmen der Security Rule — Zugriffskontrolle, Audit-Kontrollen, Übertragungssicherheit — setzen voraus, dass die Organisation sehen und regeln kann, wohin ePHI fließen. AI-Prompts, Modell-Antworten und autonome Agenten-Tool-Calls sind genau die Oberflächen, die traditionelle Kontrollen nicht prüfen, und hinterlassen eine Lücke zwischen der Richtlinie auf dem Papier und dem, was tatsächlich an der Tastatur geschieht.
Fragen, die eine HIPAA-bewusste AI-Kontrolle beantwortet
- Werden PHI in externe AI-Tools eingefügt? — Erkennung auf Prompt-Ebene mit Schwärzung oder Blockierung vor der Übermittlung.
- Hat ein AI-Tool PHI aus einem angebundenen System zutage gefördert? — Antwort-Prüfung, bevor die Ausgabe den Nutzer erreicht.
- Welche PHI hat ein AI-Agent an einen externen Dienst gesendet? — Tool-Call-Prüfung und eine manipulationssichere Audit-Aufzeichnung.
- Welche AI-Tools sind zur Verarbeitung von PHI freigegeben, und für wen? — Rollenbasierte Zugriffskontrolle, zugeordnet zu BAA-abgedeckten Diensten.
