Amazon QuickがHIPAA対象に

この発表は、エージェント型AIがソフトウェアにとって保護対象保健情報に「触れる」ことの意味を変えつつある中で出た。従来の分析ツールはデータを読み取って応答を返すだけだが、Amazon Quickのようなワークスペースは非構造化・構造化のソースから取得し、コネクタ経由で他のシステムを呼び出し、複数ステップのタスクを完遂できる。だからこそAWSは対象認定に、ACLを考慮した取得、チャットとフィードバックのログ記録、各エージェントが実行できる操作の制御といったガバナンス機能を組み合わせている。

AWSは、署名済みBAAのもとでPHIの処理・保存・送信を許可する自社サービスに対する「HIPAA対象」と、顧客環境全体の性質である「HIPAA準拠」を明確に区別する。取り消せない決定がいくつかあり、リソースの作成やユーザーのオンボーディング前に済ませる必要がある。特に暗号化キーは初回のデータ作成時に一度設定され、後から変更できない。こうした決定の一部は元に戻せないため、事前に確定させるよう guidance している。

この設計は責任を意図的に分ける。匿名化、ETL、レイクレベルの権限付与は上流のAWS Glue、AWS Glue DataBrew、AWS Lake Formationで行い、Amazon QuickはID、取得、ガードレール、監査証跡を担う。またPHI処理に関する注意点として、チャット応答へのユーザーフィードバックは顧客管理キーやAmazon QuickのAIインデックスデータを保護するキーで暗号化されないため、PHIが含まれ得る領域として扱うべきだとしている。