Informations personnelles identifiables (IPI) vs. informations de santé protégées (ISP) : quelle est la différence ?

Les termes PII et PHI apparaissent souvent ensemble dans les conversations sur la confidentialité, les soins de santé et la sécurité des données.

Ils ne sont pas interchangeables.

Les informations personnelles identifiables (IPI) permettent d'identifier une personne. Les informations de santé protégées (ISP) associent une personne identifiable à des informations relatives à sa santé, à ses soins de santé ou à ses paiements, dans un contexte couvert par la loi HIPAA.

Cette distinction paraît simple jusqu'à ce que le même nom, la même adresse électronique, le même diagnostic, le même dossier d'assurance, le même identifiant d'appareil ou la même invite d'IA soient transférés entre les prestataires de soins de santé, les employeurs, les applications grand public, les plateformes cloud, les environnements de recherche et les systèmes d'IA.

Le contexte est important.

Le nom d'une personne figurant dans un annuaire d'employés peut être considéré comme une information personnelle identifiable.

Ce même nom associé à un diagnostic dans le dossier patient d'un hôpital peut faire partie des informations de santé protégées.

Les informations de santé stockées par une entité ou un partenaire commercial soumis à la loi HIPAA peuvent être considérées comme des informations de santé protégées (ISP). Des informations similaires saisies indépendamment dans une application utilisateur peuvent ne pas être couvertes par la loi HIPAA, tout en restant protégées par d'autres lois relatives à la protection de la vie privée, à la protection des consommateurs ou aux données de santé au niveau de l'État.

Les données sont importantes. Qui les détient, pourquoi elles sont détenues et comment elles sont utilisées l'est tout autant.

L'IA ajoute une nouvelle dimension. Les organismes de santé doivent désormais déterminer si les données de santé protégées et autres données personnelles peuvent alimenter les invites, les ensembles de données d'entraînement, les systèmes RAG, les bases de données vectorielles, les copilotes, les flux de travail de recherche et les agents autonomes.

Ce guide explique la différence entre les PII et les PHI, leurs points communs, la manière dont la loi HIPAA traite les PHI et comment les organisations peuvent protéger les deux à mesure que les données de santé se répandent dans le cloud, les solutions SaaS, l'analyse de données et l'IA.

Quelle est la différence entre les informations personnelles identifiables (IPI) et les informations de santé protégées (ISP) ?

La principale différence réside dans ce que décrivent les informations et le contexte dans lequel une organisation les traite.

Informations personnelles identifiables (PII) désigne généralement les informations permettant de distinguer, de retracer, d'identifier ou de relier une personne à un individu.

Informations médicales protégées (PHI) En vertu de la loi HIPAA, cela fait généralement référence aux informations de santé identifiables individuellement qu'une entité couverte ou un partenaire commercial crée, reçoit, conserve ou transmet.

Les informations de santé protégées peuvent concerner :

• La santé physique ou mentale passée, présente ou future d'une personne
• soins de santé fournis à cette personne
• Paiement passé, présent ou futur pour les soins de santé

Ces informations doivent également permettre d'identifier la personne ou de fournir une base raisonnable pour son identification.

Un raccourci utile : les données de santé protégées (DSP) contiennent un contexte de santé identifiable. Les données personnelles identifiables (DPI) ne contiennent pas nécessairement d’informations de santé.

Qu’est-ce que les informations personnelles identifiables (IPI) ?

Les informations personnelles identifiables désignent les informations qui permettent d'identifier, de distinguer, de retracer ou de relier une personne, soit isolément, soit combinées à d'autres informations.

Voici quelques exemples courants :

• Nom
• Adresse du domicile
• Adresse email
• Numéro de téléphone
• numéro de sécurité sociale
• Numéro de passeport
• Numéro de permis de conduire
• Informations sur les comptes financiers
• Identifiants biométriques
• Identifiants des employés ou des clients
• Identifiants de l'appareil et en ligne dans les contextes pertinents

Les informations personnelles identifiables (IPI) peuvent exister dans pratiquement tous les secteurs d'activité.

Pour une explication plus détaillée des identifiants directs, des identifiants indirects, des informations personnelles sensibles, des données personnelles et des risques liés à l'IA, consultez Qu'est-ce qu'une donnée IIP ?

Qu'est-ce que PHI ?

Les informations de santé protégées sont des informations de santé identifiables individuellement qu'une entité couverte par la loi HIPAA ou un partenaire commercial détient ou transmet.

Le Directives du HHS concernant la règle de confidentialité HIPAA explique que les informations de santé protégées peuvent exister sous forme électronique, papier ou orale.

Par exemple :

• dossiers médicaux
• Diagnostics
• Résultats de laboratoire
• Ordonnances
• Enregistrements d'imagerie
• Informations sur le traitement
• Informations sur le régime d'assurance maladie
• réclamations d'assurance
• Dossiers de facturation
• Informations relatives aux paiements liés aux soins de santé
• Information génétique dans un contexte couvert
• Identifiants des patients associés aux informations de santé

Un diagnostic à lui seul ne suffit pas à dresser un tableau complet de la situation réglementaire.

L'organisation et le contexte de traitement sont importants.

Les données de santé protégées (PHI) sont-elles un type de données personnelles identifiables (PII) ?

Les catégories se chevauchent, mais considérer les PHI comme un simple synonyme de PII occulte une distinction juridique importante.

Les informations de santé protégées (PHI) contiennent des informations qui identifient ou peuvent identifier une personne, ainsi que des informations relatives à la santé, aux soins de santé ou aux paiements dans un contexte réglementé par la loi HIPAA.

Considérez ces exemples :

Nom + adresse courriel professionnelle
Cela peut constituer une information personnelle identifiable (IPI), mais cela ne devient pas une information de santé protégée (ISP) simplement parce que cela permet d'identifier une personne.

Nom + diagnostic hospitalier
Lorsqu'une entité ou un partenaire commercial couvert par la loi HIPAA détient ces informations dans le contexte pertinent, elles peuvent être qualifiées d'informations de santé protégées (PHI).

Informations sur la fréquence cardiaque dans une application de fitness grand public
Ces informations concernent la santé, mais la loi HIPAA ne les couvre pas automatiquement. La réponse dépend de qui crée, reçoit, conserve ou transmet ces informations et pourquoi.

Ce troisième exemple est devenu de plus en plus important à mesure que les applications de santé grand public, les objets connectés, les appareils connectés, les plateformes de santé numérique et les services d'IA collectent des informations relatives à la santé en dehors des systèmes de santé traditionnels.

Les données de santé et les informations de santé protégées ne sont pas automatiquement la même chose.

Quand les informations personnelles identifiables (IPI) deviennent-elles des informations de santé protégées (ISP) ?

Un identifiant direct peut être intégré aux informations de santé protégées (ISP) lorsqu'il est associé à des informations de santé identifiables dans un contexte réglementé par la loi HIPAA.

Cette approche contextuelle permet aux équipes d'éviter une erreur fréquente : classer les données uniquement par modèle sans tenir compte de leur relation avec la personne, l'activité de soins de santé et l'environnement réglementé.

Qu’est-ce que l’ePHI ?

Les informations de santé protégées électroniques, ou ePHI, sont des informations de santé protégées que les organisations créent, reçoivent, conservent ou transmettent électroniquement.

Exemples :

• dossiers médicaux électroniques
• Résultats de laboratoire numérique
• Réclamations électroniques
• Informations du portail patient
• Les informations de santé protégées sont stockées dans des bases de données cloud.
• PHI dans les applications SaaS
• Notes cliniques électroniques
• enregistrements d'imagerie numérique
• Sauvegardes électroniques contenant des données de santé protégées

Cette distinction est importante car la règle de sécurité HIPAA traite spécifiquement des informations de santé électroniques protégées (ePHI) par le biais de mesures de protection administratives, physiques et techniques.

Quelles données ne sont pas considérées comme des informations de santé protégées (PHI) en vertu de la loi HIPAA ?

Toutes les informations relatives à la santé ne sont pas considérées comme des informations de santé protégées.

Par exemple :

• Informations de santé qu'un consommateur saisit de manière indépendante dans certaines applications personnelles en dehors de toute relation avec une entité couverte ou un partenaire commercial
• Les dossiers d'emploi qu'une entité concernée conserve dans le cadre de ses fonctions d'employeur
• Certains dossiers scolaires couverts par FERPA
• Les informations de santé qui ne sont plus considérées comme individuellement identifiables après une dépersonnalisation appropriée en vertu de la loi HIPAA

Cette distinction est devenue particulièrement importante à mesure que l'information en matière de santé circule via des applications de bien-être, des appareils grand public, des services en ligne, des produits d'IA et d'autres systèmes extérieurs au système de santé traditionnel.

D'autres lois fédérales ou étatiques peuvent encore protéger ces informations même lorsque la loi HIPAA ne le fait pas.

Comment la dépersonnalisation HIPAA affecte-t-elle les informations de santé protégées (PHI) ?

La loi HIPAA prévoit des méthodes de dépersonnalisation des informations de santé protégées (ISP) afin que ces informations ne permettent plus d'identifier un individu et que le risque d'identification réponde aux normes applicables.

Le HHS reconnaît deux approches :

• Détermination d'expert : Un expert qualifié applique les principes statistiques et scientifiques reconnus pour déterminer que le risque d'identification d'un individu demeure très faible.
• Refuge sûr : L'organisation supprime les identifiants spécifiés par la règle de confidentialité HIPAA et n'a aucune connaissance réelle du fait que les informations restantes pourraient permettre d'identifier la personne.

La dépersonnalisation mérite un traitement attentif.

Supprimer le nom d'une personne ne rend pas automatiquement un ensemble de données anonyme.

D'autres attributs peuvent encore permettre d'identifier un individu, notamment lorsque des équipes combinent des ensembles de données.

Dans le domaine de l'IA et de l'analyse de données, les organisations doivent évaluer le risque de réidentification avant de supposer que les données de santé transformées ne présentent plus de risque pour la vie privée.

Quelles sont les règles qui protègent les informations personnelles identifiables (IPI) et les informations de santé protégées (ISP) ?

Les informations personnelles identifiables (PII) et les informations de santé protégées (PHI) ne sont pas soumises à une loi universelle sur la protection de la vie privée.

Les différentes lois utilisent des définitions, des champs d'application, des droits et des obligations différents.

HIPAA

La loi HIPAA établit des exigences fédérales concernant les informations de santé protégées (PHI) pour les entités couvertes et leurs partenaires commerciaux.

Ses principales règles comprennent :

• Règle de confidentialité : Réglemente l'utilisation et la divulgation des renseignements personnels sur la santé et confère aux individus des droits concernant leurs informations de santé.
• Règle de sécurité : Établit des mesures de protection pour les informations de santé électroniques protégées.
• Règle de notification de violation : Établit les exigences de notification en cas de violation des données de santé protégées non sécurisées.

Une correction importante aux anciennes explications de la loi HIPAA : La loi HIPAA n'exige pas le consentement du patient avant chaque collecte, utilisation ou divulgation de renseignements personnels sur la santé. La règle relative à la protection de la vie privée autorise certaines utilisations et divulgations, notamment pour les traitements, les paiements et les activités de soins de santé, sans autorisation individuelle. D'autres utilisations peuvent nécessiter une autorisation.

GDPR

Le RGPD utilise le terme données personnelles, pas des informations personnelles identifiables.

Elle traite également les données relatives à la santé comme une catégorie particulière de données personnelles et impose des conditions supplémentaires à leur traitement.

Les organisations ne doivent pas transposer directement le concept de données de santé protégées (PHI) de la loi HIPAA dans la terminologie du RGPD. Les deux cadres juridiques ont des portées et des structures juridiques différentes.

Lois américaines sur la protection de la vie privée et la santé des consommateurs

Les exigences étatiques en matière de protection de la vie privée peuvent s'appliquer aux informations personnelles et médicales non couvertes par la loi HIPAA.

Cela a une importance pour les plateformes de santé numérique, les services de bien-être, les applications grand public, les écosystèmes publicitaires, les appareils connectés et les produits d'IA qui traitent des informations relatives à la santé sans être des entités couvertes par la loi HIPAA ou des partenaires commerciaux.

La conformité à la loi HIPAA ne devrait jamais être le seul critère pour déterminer si les données de santé nécessitent une protection.

Pourquoi la protection des informations personnelles et des données de santé est devenue plus difficile

Les données de santé ne restent plus confinées au système d'information hospitalier.

Les données de santé protégées (PHI), les données personnelles identifiables (PII), les informations cliniques, les données de recherche, les informations de facturation, les titres de compétences et les données génomiques peuvent être réparties sur :

• Systèmes de dossiers médicaux électroniques (DME) et de systèmes de dossiers de santé électroniques (DSE)
• Stockage en nuage
• Applications SaaS
• Bases de données
• Partages de fichiers
• Plateformes de collaboration
• Environnements analytiques
• dépôts de recherche
• lacs de données et entrepôts de données
• Sauvegardes
• Applications tierces
• ensembles de données d'entraînement pour l'IA
• Systèmes RAG
• Bases de données vectorielles
• invites et réponses de l'IA
• Copilotes et agents IA

Chaque nouvelle copie peut introduire une nouvelle voie d'accès.

Chaque nouvelle intégration peut introduire une autre identité.

Chaque nouveau flux de travail basé sur l'IA peut créer une nouvelle façon de faire circuler des données de santé sensibles.

Comment l'IA modifie les risques liés aux informations personnelles et aux données de santé protégées

Les anciens débats sur l'IA portaient essentiellement sur l'utilisation de l'apprentissage automatique pour détecter les menaces de sécurité.

Le problème majeur maintenant, c'est que L'IA elle-même est devenue consommatrice de données de santé sensibles.

RAG Can Surface PHI

Un système RAG (Research Analytics, Agility, Group) de soins de santé peut extraire des informations à partir de notes cliniques, de documents de recherche, de dossiers de patients ou d'autres sources.

La pertinence de la récupération ne suffit pas à elle seule à établir l'autorisation.

Les organisations doivent également savoir si l'utilisateur demandeur, l'application ou Identité IA devraient recevoir les informations sensibles.

Les agents IA peuvent hériter d'un large accès

Un agent peut accéder aux données de santé via un compte utilisateur, une application, un compte de service, une API, identité de la machine, ou autorisation déléguée.

Des autorisations trop larges peuvent donner à l'agent accès à plus d'informations personnelles ou de données de santé protégées que ce que la tâche exige.

Les messages et les réponses peuvent contenir des données sensibles

Les cliniciens, les chercheurs, les employés, les applications et les patients peuvent saisir des informations personnelles ou de santé dans les champs prévus à cet effet.

Les systèmes d'IA peuvent également renvoyer des informations sensibles dans leurs réponses.

Les équipes ont donc besoin de mécanismes de contrôle tant au niveau des entrées que des sorties.

L'IA peut combiner des données provenant de sources multiples.

L'IA peut rassembler des documents que les équipes consultaient auparavant séparément.

Cela crée des problèmes supplémentaires de confidentialité et de réidentification, notamment lorsqu'une source contient des identifiants directs et qu'une autre contient des informations sanitaires, comportementales, démographiques ou génomiques.

L'IA ne modifie pas la définition des informations de santé protégées (PHI) au sens de la loi HIPAA. Elle modifie le nombre et la complexité des voies de circulation possibles pour ces données sensibles.

Comment les organisations doivent-elles protéger les informations personnelles identifiables (IPI) et les informations de santé protégées (ISP) ?

La protection des données de santé commence par les données elles-mêmes.

1. Découvrez les informations personnelles identifiables (IPI) et les informations de santé protégées (ISP) partout

Identifier en continu les données de santé sensibles dans les environnements structurés et non structurés.

Ne limitez pas la recherche au dossier médical électronique.

Inclure le cloud, le SaaS, les bases de données, les fichiers, les environnements de recherche, l'analyse, les systèmes de collaboration, les sauvegardes et les données connectées à l'IA.

2. Classer les données en fonction du contexte

Un numéro de sécurité sociale, un diagnostic, un identifiant de patient, un dossier génomique, un justificatif d'identité et un dossier de facturation ne devraient pas tous recevoir le même traitement.

La classification doit identifier le contenu des données, leur sensibilité, leur contexte réglementaire, leur emplacement, leur propriétaire et leur finalité.

3. Comprendre l'accès

Associer les données sensibles à :

• Les cliniciens
• Employés
• entrepreneurs
• tiers
• Applications
• Comptes de service
• Identités des machines
• Systèmes et agents d'IA

La question de sécurité ne se limite pas à l'authentification d'une identité.

Il s'agit de déterminer si cette identité a besoin d'accéder à ces données sensibles à cette fin.

4. Réduire l'accès excessif

Trouver large, rassis, hérité, autorisations externes, inutiles ou à haut risque liées aux informations de santé protégées (ISP) et aux informations personnelles identifiables (IPI).

Appliquer moindre privilège selon les besoins légitimes des entreprises et des services cliniques.

5. Surveiller l'activité relative aux données sensibles

Comprendre comment les personnes et les systèmes accèdent aux informations de santé, les téléchargent, les partagent, les modifient, les déplacent et les suppriment.

Le contexte de l'activité peut aider les équipes à distinguer les accès légitimes des comportements suspects ou inhabituels.

6. Minimiser et conserver intentionnellement les données

La collecte inutile de données sensibles engendre une exposition inutile.

Identifier les éléments périmés, redondants, obsolètes, en double, expirés et informations de santé conservées de manière excessive, puis appliquer les politiques applicables en matière de conservation, de mise sous séquestre légal, de minimisation et de suppression.

7. Protéger les flux de travail d'IA

Identifiez quels modèles d'IA, copilotes, agents, applications RAG, magasins de vecteurs, invites et ensembles de données peuvent accéder aux PII ou aux PHI.

Reliez cet accès à l'identité, à la finalité, à la politique et au risque.

8. Se préparer à l'enquête sur la violation

Lorsqu'un incident survient, les équipes de sécurité et de protection de la vie privée doivent répondre :

• Quelles informations sensibles ont été affectées par cet incident ?
• Où vivait-il ?
• À quelles personnes cela concernait-il ?
• Qui ou quoi pourrait y accéder ?
• Quelle activité s'est produite ?
• Quelles sont les obligations réglementaires applicables ?
• Quelle action permet de réduire l'exposition supplémentaire ?

Le contexte des données permet de transformer un incident d'infrastructure générique en une évaluation beaucoup plus claire de son impact réel sur les données de santé.

Comment BigID contribue à protéger les informations personnelles et les données de santé.

BigID aide les organismes de santé à relier la découverte de données sensibles à la sécurité, la confidentialité, l'accès, la conformité, la gouvernance de l'IA et la remédiation.

Le point de départ est simple :

On ne peut pas protéger des informations de santé protégées qu'on ne trouve pas, et on ne peut pas hiérarchiser les risques sans comprendre le contexte.

BigID aide les organisations :

• Découvrez des données de santé sensibles : Trouvez des informations personnelles identifiables (IPI), des informations de santé protégées (ISP), des informations cliniques, des données génétiques, des dossiers financiers, des diplômes, des données de recherche et d'autres informations sensibles dans des environnements structurés et non structurés.
• Classer les données en fonction de leur contexte : Identifier les données personnelles, de santé, réglementées, confidentielles, propriétaires et connectées à l'IA dans les environnements cloud, SaaS, hybrides et sur site.
• Mettre en œuvre la conformité à la loi HIPAA : Reliez la découverte des informations de santé protégées (ISP) aux données d'accès, d'activité, d'exposition, de conservation, de correction, d'enquête sur les violations de données, de signalement et d'audit.
• Comprendre l'accès : Connectez les données de santé sensibles aux utilisateurs, aux groupes, aux applications, aux comptes de service, aux identités des machines, aux tiers et aux systèmes d'IA.
• Ajouter le contexte de l'activité : Comprendre comment les informations de santé sensibles sont consultées, téléchargées, déplacées, partagées, modifiées et supprimées.
• Réduire les données inutiles : Identifier les informations périmées, redondantes, obsolètes, triviales, dupliquées et conservées en excès qui augmentent l'exposition des données de santé.
• IA sécurisée dans le secteur de la santé : Comprendre les données sensibles utilisées par l'IA et connecter les modèles, les agents, les copilotes, les RAG, les ensembles de données, les identités, l'accès, la traçabilité, les politiques et les risques.
• Remise en état du lecteur : Réduire l'accès, supprimer les informations inutiles, appliquer une période de conservation, masquer les données sensibles, attribuer la propriété et coordonner les mesures correctives lorsque cela est possible.

L’approche santé de BigID suit une progression claire :

Découvrir → Comprendre → Protéger → Gouverner → Agir

L'objectif va au-delà de la simple recherche de données de santé protégées.

Les organismes de santé doivent savoir où se trouvent les données sensibles, qui et quoi peut y accéder, comment les équipes et les systèmes les utilisent, où l'exposition crée un risque et quelles mesures permettent de réduire ce risque.

FAQ sur les informations personnelles identifiables (IPI) et les informations de santé protégées (ISP)

Quelle est la principale différence entre les informations personnelles identifiables (IPI) et les informations de santé protégées (ISP) ?

Les informations personnelles identifiables (IPI) permettent d'identifier ou de se lier à une personne. Les informations de santé protégées (ISP) au sens de la loi HIPAA combinent les informations identifiables avec des informations relatives à la santé, aux soins de santé ou au paiement des soins de santé dans le contexte d'une entité couverte ou d'un partenaire commercial.

Les informations de santé protégées (PHI) sont-elles considérées comme des informations personnelles identifiables (PII) ?

Les termes « PHI » et « PII » se recoupent car les PHI contiennent des informations qui identifient ou peuvent identifier une personne. Les PHI sont soumises au contexte spécifique de la loi HIPAA relatif à la santé et aux entités réglementées ; par conséquent, les organisations ne doivent pas utiliser ces termes de manière interchangeable.

Les informations personnelles peuvent-elles devenir des informations de santé protégées ?

Oui. Un identifiant tel qu'un nom, une adresse ou un numéro de sécurité sociale peut être intégré aux informations de santé protégées (ISP) lorsqu'il est associé à des informations identifiables relatives à la santé, aux soins de santé ou aux paiements dans un contexte réglementé par la loi HIPAA.

Toutes les informations de santé sont-elles des informations de santé protégées (ISP) ?

Non. Les informations de santé ne sont pas automatiquement considérées comme des informations de santé protégées (ISP). La définition des ISP selon la loi HIPAA dépend à la fois des informations de santé identifiables et du contexte de l'entité couverte ou du partenaire commercial.

Quels sont des exemples de données de santé protégées (DSP) ?

Il peut s'agir, par exemple, de dossiers médicaux identifiables, de diagnostics, d'ordonnances, de résultats de laboratoire, de dossiers d'imagerie, de demandes de remboursement d'assurance, d'informations de facturation, de dossiers de traitement et d'autres informations de santé qu'une entité couverte par la loi HIPAA ou un partenaire commercial détient ou transmet.

Qu’est-ce que l’ePHI ?

Les ePHI désignent les informations de santé protégées électroniques. Elles comprennent les informations de santé protégées que les entités couvertes ou leurs partenaires commerciaux créent, reçoivent, conservent ou transmettent électroniquement.

La loi HIPAA protège-t-elle les informations personnelles identifiables (IPI) ?

La loi HIPAA protège les informations de santé nominatives qui sont considérées comme des informations de santé protégées (ISP). Elle ne constitue pas une loi fédérale générale applicable à toutes les formes d'informations personnelles identifiables (IPI).

La loi HIPAA s'applique-t-elle aux applications de santé ?

Pas automatiquement. L’application de la loi HIPAA dépend du statut de l’organisation (entité couverte ou partenaire commercial) et de la nature des données utilisées. D’autres exigences fédérales ou étatiques peuvent s’appliquer aux informations de santé des consommateurs en dehors du cadre de la loi HIPAA.

Le fait de supprimer le nom d'un patient rend-il les données non protégées contre la divulgation de renseignements personnels sur la santé (RPS) ?

Pas nécessairement. D'autres identifiants peuvent rendre les informations de santé identifiables. La loi HIPAA prévoit des méthodes d'anonymisation spécifiques, notamment la clause de non-responsabilité et l'expertise.

Quel est l'impact de l'IA sur la sécurité des données de santé protégées ?

L'IA peut créer des voies d'accès supplémentaires aux données de santé protégées (DSP) grâce à des ensembles de données d'entraînement, la récupération RAG (Rang, A, G, I), des invites, des réponses, des bases de données vectorielles, des copilotes, des applications, des API et des agents autonomes. Les organisations doivent comprendre à la fois les données sensibles et les identités, les autorisations, les systèmes et les flux de travail qui peuvent y accéder.

Comment BigID contribue-t-il à protéger les informations personnelles identifiables (IPI) et les informations de santé protégées (ISP) 

BigID aide les organisations à découvrir et à classer les PII et les PHI, à comprendre l'accès et l'activité, à identifier l'exposition, à réduire les autorisations excessives, à appliquer la conservation et la minimisation, à soutenir la conformité HIPAA et la réponse aux violations, à gouverner l'IA dans le secteur de la santé et à favoriser la remédiation.