符合 HIPAA 的 AI 會議記錄工具：BAA 究竟涵蓋什麼

並不存在「取得 HIPAA 認證」的 AI 會議記錄工具。 沒有任何機構會把軟體認證為符合 HIPAA（美國《健康保險可攜與責任法》）。當廠商網站寫著「已取得 HIPAA 認證」時，這句話出自行銷團隊，而不是稽核人員。真正重要的問題更為具體，也容易查證得多：他們是否簽署業務夥伴協議（BAA），而該協議是否涵蓋你打算用在病患資料上的那項功能？

團隊出錯的正是後半句。幾家大型平台會為核心產品簽下 BAA，卻把 AI 功能留在外面——而那恰恰是你為之而來的功能。

最後更新於 2026年8月。廠商條款變動很快，在傳送任何內容之前請先確認目前的涵蓋範圍。

如果廠商代表你建立、接收、儲存或傳輸受保護的健康資訊（PHI），HIPAA 就把它視為業務夥伴。由此產生一份簡短而具體的清單：

• 一份已簽署的 BAA。 這份合約讓廠商對你交付的 PHI 承擔法律責任。沒有它，向廠商傳送 PHI 本身就是違規，無論加密做得多好。
• 安全規則要求的保護措施。 存取控制、稽核日誌、傳輸與靜態加密，以及書面的事件應變流程。
• 外洩通知。 他們必須在無不合理延遲的情況下告知你未受保護 PHI 的外洩，好讓你趕上自己的期限。
• 最小必要原則。 只能依 BAA 允許的方式使用 PHI。這排除了次要用途，其中最需要盯住的就是用你的病患資料訓練 AI 模型。
• 向分包方傳遞義務。 如果你的音訊轉到第三方模型供應商，那就是分包方，需要簽署自己的 BAA。問清楚這條鏈上有哪些廠商。

2026年常見的失誤不是廠商拒簽 BAA，而是簽了一份悄悄不涵蓋 AI 的 BAA。幾家最大的平台中，就有兩家是這樣運作的：

Zoom。 Zoom 為 Zoom for Healthcare 以及符合資格的 Business 與 Enterprise 方案提供 BAA，涵蓋 Meetings、Webinars、Phone、Team Chat 與 Rooms。但啟用 HIPAA 模式會停用一部分 AI Companion，剩下的功能中也只有智慧錄製、會議摘要等少數落在 BAA 範圍內。合規的那套組態反而能力較弱。 Zoom 的 HIPAA 文件

Notion。 Notion 會簽署 BAA，但僅限席次數超過下限的 Enterprise 客戶，且 Notion AI 在所有方案中都在該涵蓋範圍之外。你可以把 PHI 存進 Notion 資料庫。但不能對它使用 Notion AI。 Notion 的 HIPAA 說明頁面

這個模式反覆出現，與這些產品的打造方式有關。合規團隊審查平台，AI 稍後以另一套法律前提上線，而這項排除從未出現在銷售對話中。所以請以書面形式、逐項功能地索取 BAA 的涵蓋範圍，而不是就整家公司要一個「是」或「否」。

多數安全頁面只回答容易的問題，跳過那些決定你能否真正使用該產品的問題。以下五個請以書面形式提出：

1. 你們簽 BAA 嗎？需要哪個方案？ 如果答案是「僅限 Enterprise」，在愛上這個產品之前，先把價格問清楚。合規層級的費用常常是最初報價的數倍。
2. BAA 有沒有點名 AI 功能？ 不是問「產品是否被涵蓋」，而是問轉錄、摘要以及任何 AI 聊天或代理功能是否各自在範圍內。Zoom 與 Notion 與自家宣傳出現落差的地方正在於此。
3. 哪些次處理者會拿到 PHI？ 如果音訊流向 OpenAI、Anthropic、Google 或某個代管語音服務，它們各自都是分包方，需要各自的 BAA 與不用於訓練的承諾。請索取名單，而不是一句寬慰。
4. 我們的資料會用於訓練或產品改進嗎？ 「我們不出售你的資料」是另一種承諾，而且弱得多。你要的是合約層面禁止訓練、禁止人工檢視你的錄音。
5. 音訊保留多久？能否設為零？ 即時處理並立即刪除，和保留九十天再給一個刪除按鈕，完全不是一回事。無法設定的保留期，就是將來要在稽核中辯解的保留期。

上面所有問題之所以存在，都是因為 PHI 離開了你的機構、落在別人的伺服器上。當音訊從不離開裝置，絕大部分分析就不再適用：

• 不存在向業務夥伴的揭露，因為廠商從未收到 PHI。
• 沒有需要稽核的次處理鏈，因為路徑上沒有第三方模型供應商。
• 沒有需要談判的保留政策，因為伺服器端不存在副本。
• 不會因廠商日後改政策而受影響，因為模型跑在你自己掌控的硬體上。
• 無需連網即可執行，這在臨床裝置被刻意保持離線的機構裡很重要。

取捨是真實存在的，值得說明。本機模型需要一台還算新的機器，最大最準確的那些在舊硬體上會更慢，而且你放棄了讓會議機器人代你加入會議的便利。對許多臨床聽寫來說這筆帳划算。對大型診所的大量環境記錄需求來說，未必如此。

OpenWhispr 正是圍繞這一點設計的，也正因如此，我們認為本機這個選項比我們持有的任何證書都更重要。

這三者在採購溝通中常被混為一談，但它們回答的確實是不同的問題。分清楚能為安全審查的雙方省下時間：

• SOC 2 是一份報告，不是證書。 由獨立稽核人員依據 Trust Services Criteria 出具。Type I 看的是某個時點上控制措施如何設計。Type II 檢驗它們在一段時間內是否真的有效，通常為三到十二個月，值得索取的是後者。自稱「取得 SOC 2 認證」的人，描述的是一種並非如此運作的文件。
• ISO 27001 確實是一項認證。 由認證機構依據標準對組織的資訊安全管理系統進行驗證，三年為一週期並搭配監督稽核。請索取證書編號、發證機構，以及最關鍵的適用範圍聲明，它說明實際涵蓋了什麼。
• HIPAA 是一部法律，根本沒有證書。 合規是一項持續義務，透過保護措施、政策、風險分析與已簽署的 BAA 來證明。SOC 2 與 ISO 27001 能有力說明廠商認真對待安全。但兩者都不能取代 BAA。