HIPAA はアナログ時代に構築されましたが、ヘルスケア AI はそれを追い越しました

医療システムが AI テクノロジーの導入を加速するにつれて、医療イノベーションは急速に進んでいます。 2025年には、 ヘルスケア AI への支出 は14億ドルに達し、2024年の投資額のほぼ3倍となった。

このテクノロジーに関する規制も強化されています。 47 の州で 250 以上の法案が提出され、非営利団体から追加の枠組みが生まれ始めています。最新の報告は、今年初めにCoalition for Health AIと提携した合同委員会からのもので、 新しいガイダンスをリリースしました ヘルスケアにおける AI ツールの導入に向けて。

新しい政策の導入により、シリコンバレーの急速な反復文化と、ヘルスケア AI ツールが最初からより高いコンプライアンス基準を必要とする医療機器として分類されるより厳格な監視が行われる市場との間に顕著な溝が生じています。この相違は、スピード重視の開発モデルが医療の複雑なプライバシーと安全性の要件に適切に対処できるかどうかについて、重要な疑問を引き起こします。

現在明らかになっているのは、米国のヘルスケア AI は、従来の HIPAA スタイルのコンプライアンスだけではもはや適切ではないところまで進歩しているということです。規制と市場の期待の次の段階では、継続的な医療グレードの AI ガバナンスが必要となり、今適応しない企業は取り残されることになります。

なぜ今?市場はすでに動き始めています

HIPAA は、医療保険のポータビリティ、管理の簡素化、患者データの保護を可能にするために、1990 年代の医療向けに構築されました。インテリジェンスではなく記録に焦点を当てており、機械ではなく人間向けに設計されているため、データ フローに関する時代遅れの前提が含まれています。つまり、データは静的でサイロに保存され、少数の既知の人々のみがアクセスできるというものです。これは対象となる事業体と取引先にのみ適用され、消費者向け健康アプリ、AI 基礎モデルプロバイダー、シャドー IT および分析プラットフォームにはギャップが残されます。アクセス制限と匿名化による患者データ保護に依存しています。

その結果、現在 HIPAA は一部のデータを保護し、多くのリスクを見逃し、システムの安全性ではなくチェックボックスの遵守を奨励しています。 HIPAA が規制や指導を通じてゆっくりと変化する様子と、毎週、反復的に、そして新たな行動を通じて進化する AI を対比できます。医療分野における AI テクノロジーの急速な導入により、HIPAA は基礎モデル、マルチモーダル システム、エージェント ワークフロー、リアルタイムの臨床副操縦士にまったく対応できなくなっています。 研究によると、 AI モデルは展開後にパフォーマンスが頻繁に低下しますが、ドリフトやバイアスなどを検出するためのリアルタイム監視を保証するための正式なポリシーは存在しません。

その結果、医療システムは規制当局がまだ成文化していない保証を要求するようになっている。歴史的に、米国では市場に合わせて規制が行われてきました。現在、米国の医療システムの半数以上がすでに臨床および運用のワークフロー全体に AI を導入しており、多くの場合、正式な規制ガイドラインよりもはるかに先んじています。最も急速に成長しているヘルスケア AI 企業の 1 つで最高医療責任者としての私の立場から見ると、市場はすでにより深い疑問を投げかけています。過去数か月間、ハイジでは、モデルのガバナンス、モニタリング、リスク所有権に関するより深い質問をする顧客が殺到しました。この場合、顧客はこれらのテクノロジーを安全かつ責任を持って導入するために、規制よりも早く移行しています。

規制上の格差

世界的な観点から見ると、米国は AI に対して最も自由な市場の 1 つであり、その決定的な特徴がますます欠点になりつつあります。多くの新興企業がこの柔軟性の恩恵を受けていますが、監視の欠如により、AI ツールの構築方法と、医療などの高リスク業界で安全性と信頼性を確保するために最終的に期待されるパフォーマンスとの間にギャップが生じています。

ヨーロッパなどの市場では、多くの政府がケア提供に使用される AI ツールに対して厳格なフレームワークを採用しています。たとえば、英国では現在、アンビエント音声 AI が医療機器として規制されています。同じテクノロジーが米国で導入された場合、ほとんど規制のない環境で動作します。これと同じ規制上の決定が、臨床意思決定のサポートに使用される医学知識と証拠のプラットフォームにも適用されます。

この規制の相違は、米国のヘルスケア AI スタートアップ企業にとって、より広範な文化的評価を引き起こしています。 「早く作り、物を壊す」というシリコンバレーの有名なマントラは、物を壊すことが重大なリスクを引き起こす可能性がある医療環境にはまったく当てはまりません。

AI ガバナンスは魅力的でも楽しい仕事でもないことは承知しています。確かに、お金、時間、才能の投資、そして多大な忍耐が必要です。しかし、医療システムがより洗練された購入者になるにつれて、ガバナンスの強化は避けられません。

米国におけるヘルスケア AI の次の時代において、ヘルスケア AI スタートアップには 2 つの選択肢があると私は見ています。医療グレードの AI に必要なリソースに投資するか、規制の少ない市場を選択してヘルスケアから完全に撤退するかです。

HIPAA 2.0 が正しく理解しなければならないこと

ヘルスケア AI が臨床ワークフローにますます深く浸透するにつれて、業界は多くの人が「HIPAA 2.0」の瞬間と考え始めている時期に近づいています。これは必ずしも法律自体の正式な書き換えではなく、むしろコンプライアンスが実際に何をカバーすることが期待されるかについて医療制度からの期待が根本的に変化することになる。問題は、この次のフェーズで AI ガバナンスに有意義に取り組むのか、それとも単に既に時代遅れのフレームワークにセキュリティ要件を段階的に重ねるだけなのかということです。危機に瀕しているのは、データのセキュリティだけではなく、受けているケアに対する患者の信頼です。

要件を最小限に抑え、これらの問題の核心をほとんど手つかずのままにしておくという圧力がかかることは間違いありません。大規模なプラットフォーム プロバイダーやクラウド ベンダーは、摩擦や導入の遅れを引き起こすガバナンスの義務に抵抗する可能性があります。しかし、何もしないことによる代償ははるかに高くなります。患者は自分のデータが責任を持って取り扱われることを信頼する必要があり、医療提供者は AI システムが確実に動作することを信頼する必要があり、医療システムはガバナンス メカニズムが問題が発生する前に問題を表面化すると信頼する必要があります。

HIPAA 2.0 は、AI リスクが静的ではないことを認識する必要があります。プライバシーとセキュリティの保護措置は必要ですが、AI システムが導入後にどのように動作するか、つまりモデルが時間の経過とともにどのように変動するか、どのようにバイアスが生じるか、またはエラーが大規模にどのように伝播するかなどには対処できません。これらのダイナミクスに明確に注意を払わなければ、HIPAA は再び時代遅れになる危険があります。

監視が強化されるにつれ、成功するスタートアップは、規制を最も長く回避した企業ではなく、最初からより安全で信頼性の高いシステムを構築するための強制機能として規制を利用した企業になるだろう。

未来はどのようになるのか

今後、最高のヘルスケア AI 企業は、従来のチェックリストや単に HIPAA に準拠するだけではないツールをゼロから構築するでしょう。この新しいチェックリストは次のようになります。

• 継続的なモニタリングと 1 回限りの監査 – モデルのパフォーマンス、幻覚率、故障パターンをリアルタイムで観察可能
• 要件としての透明性 – モデルカード、説明可能性のドキュメント、偏見、アクセント、言語のバリエーションにわたる厳格なテスト
• 協調的なガバナンス – 共有の標準操作手順、共同リスク所有権、既製のソフトウェア配信ではなく継続的なパートナーシップ モデル

移行の最も重要な部分は、この現世代の AI システムが静的ではないということをすべての関係者が認識することです。これらは複雑で適応性のあるシステムであり、さまざまな臨床状況にわたって管理する必要があります。次世代の責任あるヘルスケア IT リーダーは、医療システム内とそれにサービスを提供する企業の両方において、ガバナンスを製品に意図的に組み込まれ、購入者によって追求され、実際の使用において共同で管理される中核機能として扱う人になるでしょう。

写真：イルド・フラザオ、ゲッティイメージズ

この投稿は、 メッドシティのインフルエンサー プログラム。誰でも、MedCity インフルエンサーを通じて MedCity News でヘルスケアにおけるビジネスとイノベーションに関する視点を公開できます。 方法を確認するにはここをクリックしてください。