HIPAA-konforme KI-Infrastruktur für Gesundheitssysteme, die sich weigern, ihre Patientenintelligenz zu mieten.

Ja. OrenGen Worldwide LLC ist BAA-fähig und schließt Business Associate Agreements im Rahmen des standardmäßigen Onboardings mit Covered Entities und anderen Business Associates ab. Die Unterzeichnung der BAA erfolgt, bevor jegliche PHI-bezogene Arbeitsumfang beginnt. Das Unternehmen betreibt eine HIPAA-Enabled Architecture auf einer SOC 2 Typ 2 zertifizierten Plattformschicht und unterhält eine HIPAA Workforce Attestation, die ab 2026 30 Mitglieder umfasst.

Die PHI-Residenz verbleibt standardmäßig unter der Kontrolle des Gegenübers. Die Architektur von OrenHealth unterstützt Bereitstellungen hinter der Firewall und in privaten Clouds, bei denen PHI keine Modelltrainingspipelines von Drittanbietern durchläuft. Verschlüsselung im Ruhezustand und während der Übertragung, rollenbasierte Zugriffskontrollen, eine umfassende Audit-Trail-Architektur und Muster zur Minimierung der Datenexposition werden standardmäßig eingesetzt. Die Dokumentation des PHI-Flusses wird als Teil des Bereitstellungsumfangs erstellt.

Die Architektur ist auf die technischen Sicherheitsvorkehrungen der HIPAA Security Rule abgestimmt – Zugriffskontrollen einschließlich eindeutiger Benutzeridentifikation und Notfallzugriffsprozeduren, Audit-Kontrollen einschließlich Hardware- und Software-Audit-Trail-Architektur, Integritätskontrollen zum Schutz von PHI vor unsachgemäßer Änderung, Personen- oder Entitätsauthentifizierung und Übertragungssicherheit einschließlich Verschlüsselung während der Übertragung und im Ruhezustand. Mitarbeiterschulungen und die Ausführung von BAAs unterstützen die Ebene der administrativen und organisatorischen Sicherheitsvorkehrungen.

Ja. Die Säule „Legacy EHR Modernization“ von OrenHealth erweitert bestehende elektronische Patientenakten, elektronische Krankenakten und Praxisverwaltungssysteme um AI-Funktionen durch dokumentierte API-Integrationsmuster. Das Unternehmen reißt bestehende klinische Investitionen nicht ab und ersetzt sie nicht. Gängige Integrationsmuster umfassen Dokumentationsunterstützung, Automatisierung von Vorabgenehmigungen, Überweisungsrouting, Erweiterung von Patientenportalen und Workflow im Erlöszyklus.

Die Plattformschicht, auf der OrenHealth betrieben wird, verfügt über eine SOC 2 Typ 2 Attestierung. Eine direkte OrenGen SOC 2 Typ 1 Zertifizierung ist für die Roadmap 2026 vorgesehen, gefolgt von einer HITRUST-Evaluierung. Das Unternehmen führt diese als Roadmap-Punkte und nicht als beanspruchte Zertifizierungen an. Gegenüber, deren Beschaffungsanforderungen eine direkte SOC 2- oder HITRUST-Zertifizierung als zwingende Voraussetzung nennen, werden bereits im Briefing-Stadium über die aktuelle Position des Unternehmens informiert, um ehrliche Zeiterwartungen zu schaffen.

Die Residenz von Forschungsdaten verbleibt unter der Kontrolle der Forschungsorganisation. Das Behind-Firewall-Bereitstellungsmuster von OrenHealth unterstützt klinische Studiendaten, die aus regulatorischen oder IRB-Gründen innerhalb der institutionellen Perimeter verbleiben müssen. Die Teilnahme am EU-US Data Privacy Framework und Swiss-US DPF unterstützt internationale Forschungskooperationen. De-Identifikation, Workflows für begrenzte Datensätze und Zugriffsmuster nach dem Prinzip der minimalen Notwendigkeit sind Teil des Standard-Architekturvokabulars.

Die Infrastruktur für die Patientenkommunikation ist auf die HIPAA-Marketingregeln, die TCPA-Einwilligungsanforderungen und die bundesstaatlichen Beschränkungen für die Kontaktaufnahme abgestimmt. Terminerinnerungen, behandlungsbezogene Mitteilungen und Nachrichten zur Versorgungskoordination folgen den Grenzen der einwilligungsbasierten und behandlungs-, zahlungs- und betriebsbezogenen Vorgaben. Marketingkommunikation erfordert eine explizite Genehmigung. Audit-Trails der Einwilligungserfassung und Nachrichtenübermittlung werden gemäß dem Aufbewahrungsplan der Organisation erstellt und aufbewahrt.