AWSの対話型AI「Amazon Quick」、米医療データ保護基準を満たす環境に対応

米アマゾン・ウェブ・サービス（AWS）は、自社が提供するAIワークスペース「Amazon Quick」において、米国の医療情報保護法（HIPAA）の要件を満たす環境で保護対象保健情報（PHI）を扱える構成基準を示した。医療機関や保険者などの組織が、厳格に規制された患者データや診療記録を取り扱うAIエージェントを自社の業務環境へ安全に導入するための設計指針を提示している。

医療分野におけるAI活用では、カルテや異議申し立て書などの非構造化文書と、保険請求データや加入者記録といった構造化データが混在する。従来の分析ツールはデータを読み取って回答を返すにとどまっていたが、Amazon Quickのようなエージェント型ワークスペースでは、両方のデータソースから情報を取得し、SlackやMicrosoft Outlook、Salesforceなどの外部システムと連携して複数段階の作業を自動実行する機能を持つ。そのため、AIが独自に実行した動作に対する監査証跡や、厳格なアクセス制御といったガバナンスが不可欠となる。

Amazon QuickはHIPAA適格サービスとして位置づけられており、Web、デスクトップ、モバイルの各クライアント環境に適用される。ただし、クラウド基盤全体の準拠には、AWS Artifactを通じた事業提携覚書（BAA）の締結や、利用者側でのアクセス権限の設定、物理的・管理的保護措置の実施が必要となる。第三者監査機関による評価は、FedRAMPやPCI DSS、SOC、ISOを含むAWSのコンプライアンスプログラムの一環として実施されている。

プラットフォーム内のデータ保護において、Amazon Quickに入力された顧客データは基盤となる学習して、人間のように文章を理解・生成できるAI。ChatGPTやGeminiの中身。">大規模言語モデル（LLM）のトレーニングや改善には使用されない。保存データはAWSが管理する鍵によってデフォルトで暗号化され、EnterpriseサブスクリプションではAWS Key Management Service（KMS）の顧客管理キーをインメモリエンジン「SPICE」のデータセットや認証情報に適用できる。通信経路の暗号化にはTLSが用いられる。

監査ログの収集では、API操作履歴を記録するAWS CloudTrailに加え、Amazon CloudWatchを通じてAI固有のログが出力される。出力されるログは、対話内容（CHAT_LOGS）、利用者フィードバック（FEEDBACK_LOGS）、エージェント稼働時間（AGENT_HOURS_LOGS）、索引ストレージ使用量（INDEX_USAGE_LOGS）、ナレッジベース同期（KB_FILE_SYNC_LOGS）の5種類に分類され、何が質問されAIがどう回答したかの追跡が可能となっている。