符合 HIPAA 的 AI 会议记录工具：BAA 究竟覆盖什么

并不存在「通过 HIPAA 认证」的 AI 会议记录工具。 没有任何机构会把软件认证为符合 HIPAA（美国《健康保险流通与责任法案》）。当厂商网站写着「已通过 HIPAA 认证」时，这句话出自市场团队，而不是审计师。真正重要的问题更为具体，也容易核实得多：他们是否签署业务伙伴协议（BAA），而该协议是否覆盖你打算用在患者数据上的那项功能？

团队栽跟头的正是后半句。几家大型平台会为核心产品签下 BAA，却把 AI 功能留在外面——而那恰恰是你为之而来的功能。

最后更新于 2026年8月。厂商条款变动很快，在向厂商发送任何内容之前请先确认当前的覆盖范围。

如果厂商代表你创建、接收、存储或传输受保护的健康信息（PHI），HIPAA 就把它视为业务伙伴。由此产生一份简短而具体的清单：

• 一份已签署的 BAA。 这份合同让厂商对你交付的 PHI 承担法律责任。没有它，向厂商发送 PHI 本身就是违规，无论加密做得多好。
• 安全规则要求的保护措施。 访问控制、审计日志、传输与静态加密，以及书面的事件响应流程。
• 泄露通知。 他们必须不得无故拖延地告知你未受保护 PHI 的泄露，好让你赶上自己的期限。
• 最小必要原则。 只能按 BAA 允许的方式使用 PHI。这排除了二次用途，其中最需要盯住的就是用你的患者数据训练 AI 模型。
• 向分包方传递义务。 如果你的音频转到第三方模型提供商，那就是分包方，需要签署自己的 BAA。问清楚链路上都有谁。

2026年常见的失误不是厂商拒签 BAA，而是签了一份悄悄不覆盖 AI 的 BAA。该品类中两家最大的平台正是如此：

Zoom。 Zoom 为 Zoom for Healthcare 以及符合条件的 Business 和 Enterprise 套餐提供 BAA，覆盖 Meetings、Webinars、Phone、Team Chat 和 Rooms。但启用 HIPAA 模式会停用一部分 AI Companion 功能，剩下的功能中也只有智能录制、会议摘要等少数落在 BAA 范围内。合规的那套配置反而能力更弱。 Zoom 的 HIPAA 文档

Notion。 Notion 会签署 BAA，但仅限席位数超过下限的 Enterprise 客户，且 Notion AI 在所有套餐中都在该覆盖范围之外。你可以把 PHI 存进 Notion 数据库。但不能对它使用 Notion AI。 Notion 的 HIPAA 帮助页面

这个模式反复出现，与这些产品的构建方式有关。合规团队审查平台，AI 稍后以另一套法律前提上线，而这项排除从未出现在销售对话中。所以请以书面形式、逐项功能地索取 BAA 的覆盖范围，而不是就整家公司要一个「是」或「否」。

多数安全页面只回答容易的问题，跳过那些决定你能否真正使用该产品的问题。以下五个请以书面形式提出：

1. 你们签 BAA 吗？需要哪个套餐？ 如果答案是「仅限 Enterprise」，在对产品动感情之前先问价。合规层级的费用常常是最初报价的数倍。
2. BAA 有没有点名 AI 功能？ 不是问「产品是否被覆盖」，而是问转录、摘要以及任何 AI 聊天或智能体功能是否各自在范围内。Zoom 和 Notion 与自家宣传出现落差的地方正在于此。
3. 哪些次级处理方会拿到 PHI？ 如果音频流向 OpenAI、Anthropic、Google 或某个托管语音服务，它们各自都是分包方，需要各自的 BAA 和不用于训练的承诺。请索取名单，而不是一句宽慰。
4. 我们的数据会用于训练或产品改进吗？ 「我们不出售你的数据」是另一回事，而且是弱得多的承诺。你要的是合同层面禁止训练、禁止人工查看你的录音。
5. 音频保留多久？能否设为零？ 实时处理并立即删除，和保留九十天再给一个删除按钮，完全不是一回事。无法配置的保留期，就是将来要在审计中辩解的保留期。

上面所有问题之所以存在，都是因为 PHI 离开了你的机构、落在别人的服务器上。当音频从不离开设备，绝大部分分析就不再适用：

• 不存在向业务伙伴的披露，因为厂商从未收到 PHI。
• 没有需要审计的分包方链条，因为路径上没有第三方模型提供商。
• 没有需要谈判的保留策略，因为服务器端不存在副本。
• 不会因厂商日后改政策而受影响，因为模型跑在你自己掌控的硬件上。
• 无需联网即可运行，这在临床设备被刻意保持离线的机构里很重要。

取舍是真实存在的，值得说明。本地模型需要一台还算新的机器，最大最准确的那些在旧硬件上会更慢，而且你放弃了让机器人代你参会的便利。对许多临床听写来说这笔账划算。对大型诊所的大批量环境记录来说，未必如此。

OpenWhispr 正是围绕这一点设计的，也正因如此，我们认为本地这个选项比我们持有的任何证书都更重要。

这三者在采购沟通中常被混为一谈，但它们回答的确实是不同的问题。分清楚能为安全审查的双方省下时间：

• SOC 2 是一份报告，不是证书。 由独立审计师依据 Trust Services Criteria 出具。Type I 看的是某个时点上控制措施如何设计。Type II 检验它们在一段时间内是否真的有效，通常为三到十二个月，值得索取的是后者。自称「通过 SOC 2 认证」的人，描述的其实是一份根本不以这种方式运作的文件。
• ISO 27001 确实是一项认证。 由认可机构依据标准对组织的信息安全管理体系进行认证，三年为一周期并配合监督审核。请索取证书编号、颁发机构，以及最关键的适用范围声明，它说明实际覆盖了什么。
• HIPAA 是一部法律，根本没有证书。 合规是一项持续义务，通过保护措施、政策、风险分析和已签署的 BAA 来证明。SOC 2 和 ISO 27001 能有力说明厂商认真对待安全。但两者都不能替代 BAA。