HIPAA encadre les informations de santé protégées (PHI) pour les entités couvertes et leurs business associates. Sa Security Rule exige des garanties administratives, physiques et techniques — contrôles d'accès, contrôles d'audit, intégrité et sécurité de la transmission — et la Privacy Rule limite l'usage au minimum nécessaire. Lorsqu'un agent consulte un dossier patient ou rédige une demande d'autorisation préalable, il traite des PHI. Cortex impose l'accès au minimum nécessaire au niveau de la propriété et scelle chaque accès aux PHI dans un registre à altération détectable.
Pensé pour les Security Rule et Privacy Rule de HIPAA · BAA sur demande
HIPAA (Health Insurance Portability and Accountability Act) protège les informations de santé identifiables individuellement. La Security Rule (45 CFR Part 164, Subpart C) impose des garanties techniques : contrôle d'accès (§164.312(a)), contrôles d'audit (§164.312(b)), intégrité (§164.312(c)) et sécurité de la transmission (§164.312(e)). La Privacy Rule y ajoute la règle du minimum nécessaire — n'utiliser et ne divulguer que les PHI nécessaires à la tâche. Pour les agents IA, le risque tient à un accès trop large et à une piste indémontrable. Cortex traite les deux : les permissions d'ontologie au niveau des propriétés imposent le minimum nécessaire au moment de la lecture, le DLP filtre les PHI à l'entrée et à la sortie des appels d'outils, et le Trust Ledger chaîné par hachage vous donne des contrôles d'audit dont l'intégrité est elle-même démontrable.
s'applique à ▸ Santé aux États-Unis · entités couvertes et business associates
Les garanties techniques de HIPAA et la règle du minimum nécessaire se projettent directement sur les contrôles de la couche données de Cortex. Chaque accès aux PHI passe par un point de contrôle et est consigné, de sorte qu'un audit de l'OCR trouve une piste complète et à altération détectable.
Toute obligation se réduit à une porte d'exécution à fermeture sécurisée dont le verdict est consigné dans un registre inviolable que vous pouvez remettre à un examinateur. C'est le tableau qu'un Compliance Pack exporte pour ce cadre.
| Obligation | Contrôle Cortex appliqué | Preuve dans le registre |
|---|---|---|
| §164.312(a) — contrôle d'accès / identité unique | Permissions d'ontologie + Agent IAM | 403 sur lecture restreinte |
| §164.312(b) — contrôles d'audit | Trust Ledger (chaîné par hachage) | verifyChain ▸ ok:true |
| §164.312(c) — intégrité des PHI | chaîne value_hash + record_hash | hashOk:false signale les modifications |
| Usage et divulgation au minimum nécessaire | DLP + garde-fous de sortie | 451 PHI expurgé |
| §164.312(e) — sécurité de la transmission | TLS en transit · AES-256 au repos | chiffré · isolé par tenant |
| Responsable de chaque accès aux PHI | Lignage à 10 sauts + reçus | lineage/:correlationId |
Une enquête de l'OCR ou une revue après violation repose sur vos journaux d'accès et d'audit. Un Compliance Pack fait correspondre les garanties de la Security Rule à leurs contrôles Cortex et exporte les enregistrements scellés des accès aux PHI — dont verifyChain peut prouver l'intégrité, comblant la faille que laisse ouverte un journal modifiable.
Ce ne sont pas des promesses de présentation — ce sont les codes et les reçus littéraux que le runtime renvoie lorsque vous le mettez à l'épreuve des contrôles de ce cadre.
Choisissez HIPAA. Cortex aligne chaque obligation sur la porte d'exécution qui l'applique — sans archéologie de tableurs.
Chaque exécution d'agent franchit les mêmes portes à fermeture sécurisée. Un contrôle refusé renvoie un code réel (402 / 403 / 409) — jamais un passage silencieux.
Exportez un Compliance Pack : le tableau de correspondance et les enregistrements scellés du registre montrant que chaque contrôle s'est déclenché, vérifiables hors ligne.
Cortex est pensé pour et aligné sur les Security Rule et Privacy Rule de HIPAA, et signera un Business Associate Agreement. Il n'existe pas de certification HIPAA ; la conformité est votre obligation en tant qu'entité couverte ou business associate, soutenue par les contrôles et les preuves que Cortex applique.
Chaque obligation ci-dessus est appliquée par une capacité réelle du runtime. Explorez celles qui font le travail pour ce cadre.
Les permissions au niveau des propriétés imposent l'accès au minimum nécessaire aux champs PHI dès la lecture.
La journalisation à altération détectable vous donne des contrôles d'audit dont l'intégrité est elle-même démontrable.
Le DLP filtre les PHI à l'entrée et à la sortie de chaque appel d'outil, avec un coupe-circuit pour le confinement.
Les mêmes contrôles appliqués et le même export de preuves en un clic couvrent les autres cadres cités par vos auditeurs.
Aligné sur SOC 2 — les obligations, les portes d'exécution qui les appliquent et la preuve que chacune laisse dans le registre.
Aligné sur EU AI Act — les obligations, les portes d'exécution qui les appliquent et la preuve que chacune laisse dans le registre.
Aligné sur ISO/IEC 42001 — les obligations, les portes d'exécution qui les appliquent et la preuve que chacune laisse dans le registre.
Le hub conformité complet — tous les cadres auxquels Cortex se rattache, avec le modèle contrôle-vers-preuve partagé.
Le registre scellé, les reçus signés et le graphe de traçabilité correspondent aux obligations de chaque régime auquel vous rendez compte — aligné sur, sans jamais revendiquer une certification que vous n'avez pas.
Découvrez comment Cortex met HIPAA en correspondance avec des contrôles appliqués et exporte à la demande des preuves de niveau audit.