HIPAA-konforme KI für die medizinische Bildgebung: Was eine BAA abdeckt und wie du mit Patientendaten trainierst

Ultralytics hat eine Selbstbewertung nach der HIPAA Security Rule abgeschlossen, die Ultralytics Platform und Ultralytics YOLO umfasst. Ultralytics Platform bietet nun berechtigten Enterprise-Kunden eine Vereinbarung mit Geschäftspartnern (BAA) an. HIPAA bietet keine offizielle Zertifizierung. Ein Krankenhaus prüft daher in der Praxis, ob eine BAA unterzeichnet wurde und ein funktionierendes Sicherheitsprogramm besteht.

Für ein Team aus der Radiologie, Pathologie oder Medizintechnik ändert das, was du mit identifizierbaren Aufnahmen tun kannst. Verwende PHI nur in Diensten und Konfigurationen, die von deiner unterzeichneten BAA abgedeckt sind, und setze für alles andere eigene Schutzmaßnahmen um. Im Folgenden erfährst du, was die Selbstbewertung und die BAA abdecken, wie du innerhalb dieses Rahmens ein Modell für medizinische Bildgebung annotierst, trainierst und bereitstellst und wie sich das im Vergleich dazu verhält, alle Bildpunkte mit selbst gehostetem Ultralytics YOLO vor Ort zu behalten.

„HIPAA-konforme KI“ bedeutet: eine unterzeichnete BAA und deine eigenen Kontrollen#

HIPAA besteht aus drei Hauptteilen: der Security Rule, der Privacy Rule und der Breach Notification Rule. Keiner davon ermöglicht es einem Produkt, eine Prüfung zu bestehen und ein Gütesiegel zu erhalten. Auf der HIPAA-Seite von Google Cloud steht es ganz deutlich: Das HHS „bietet kein Zertifizierungsprogramm für die HIPAA-Compliance an“, und Anbieter und Kunde tragen gemeinsam die Verantwortung für die Compliance.

Der maßgebliche Mechanismus ist die BAA. In seinen Leitlinien zu HIPAA und Cloud Computing erklärt das HHS, dass eine regulierte Einrichtung einen Cloud-Dienst zum Speichern oder Verarbeiten elektronischer geschützter Gesundheitsdaten (ePHI) nur dann nutzen darf, wenn sie mit dem Anbieter eine HIPAA-konforme BAA unterzeichnet und sich anderweitig an die HIPAA-Regeln hält. Drei Punkte aus diesen Leitlinien sind für KI in der Bildverarbeitung wichtig:

• Der Status richtet sich nach dem Dienst, nicht nach dem Papierkram. Ein Cloud-Anbieter, der ePHI für eine regulierte Einrichtung erstellt, empfängt, speichert oder überträgt, ist ein Geschäftspartner – selbst wenn die Daten verschlüsselt sind und der Anbieter keinen Schlüssel besitzt.
• Das Fehlen einer BAA ist der Verstoß. Eine regulierte Einrichtung, die ePHI ohne bestehende BAA von einem Anbieter speichern lässt, verstößt gegen die HIPAA-Regeln.
• Eine BAA erlaubt nicht jede Verwendung. Der Geschäftspartner darf PHI nur so verwenden, wie es der Vertrag erlaubt. Außerdem muss die regulierte Einrichtung selbst zu dieser Verwendung oder Offenlegung berechtigt sein, wie die Leitlinien des HHS zu Geschäftspartnern erklären. Das Training eines Modells mit Patientenakten ist eine Verwendung, die deine Organisation eigenständig bewerten muss.

Für ein Team für medizinische Bildanalyse bedeutet „HIPAA-konforme KI“ in der Praxis drei Dinge: Dein Anbieter unterzeichnet eine BAA, bevor PHI übermittelt wird, der Anbieter betreibt ein Sicherheitsprogramm, das die Security Rule erfüllt, und dein Team kümmert sich weiterhin um Zugriffskontrollen, die De-Identifizierung und die eigene Risikoanalyse.

Was die Selbstbewertung und BAA von Ultralytics tatsächlich abdecken#

Auf unserer Trust- und Sicherheitsseite sind verschiedene Arten von Sicherheitsnachweisen aufgeführt. Sie unterscheiden sich darin, wer die Kontrollen wie geprüft hat. Bei einer Prüfung durch ein Krankenhaus werden sie einzeln abgefragt.

Die Selbstbewertung belegt das Programm, nicht eine Zertifizierung#

Die FAQ des Ultralytics Trust Center erklärt, dass wir die Selbstbewertung nach der HIPAA Security Rule anhand von NIST SP 800-66 Rev. 2 abgeschlossen haben, dem NIST-Leitfaden zur Umsetzung der Security Rule. Sie umfasst Ultralytics Platform und Ultralytics YOLO und baut auf unserem nach ISO/IEC 27001:2022 zertifizierten ISMS und unserem SOC 2-Bericht auf. Das Handbuch des Ultralytics-Sicherheitsteams vermerkt, dass die Bewertung im Oktober 2026 abgeschlossen wurde. Es handelt sich um eine Selbstbewertung, nicht um ein unabhängiges Audit.

Die zugrunde liegenden Kontrollen gelten für alle Platform-Tarife: Verschlüsselung ruhender und übertragener Daten, verpflichtende MFA, IAM nach dem Prinzip der geringsten Berechtigungen und jährliche Penetrationstests. Zertifikate, Auditberichte und Richtlinien sind über das Trust Center verfügbar, wie unsere Dokumentation zu Sicherheitsrichtlinien erklärt.

Eine BAA legt zulässige Verwendungen von PHI und Schutzpflichten fest#

Die Musterbestimmungen des HHS für Vereinbarungen mit Geschäftspartnern beschreiben, was jede BAA regeln muss. Dabei handelt es sich um allgemeine, nach HIPAA vorgeschriebene Bestimmungen und nicht um wörtlich zitierte Klauseln einer Vereinbarung mit Ultralytics:

• Zulässige Verwendungen und Offenlegungen. Der Geschäftspartner darf PHI nur verwenden oder offenlegen, wie es der Vertrag erlaubt oder das Gesetz vorschreibt.
• Schutzmaßnahmen. Der Geschäftspartner muss angemessene Schutzmaßnahmen umsetzen, einschließlich der Schutzvorkehrungen der Security Rule für ePHI.
• Meldungen. Der Geschäftspartner muss nicht vertraglich zugelassene Verwendungen oder Offenlegungen melden, einschließlich Verletzungen des Schutzes ungesicherter PHI und Sicherheitsvorfällen.
• Unterauftragnehmer. Jeder Unterauftragnehmer, der mit PHI umgeht, muss denselben Einschränkungen zustimmen.
• Vertragsende. Der Geschäftspartner muss PHI bei Vertragsende zurückgeben oder vernichten, soweit dies durchführbar ist.

Abschnitt 3.5 der Ultralytics-Nutzungsbedingungen legt fest, wie das auf Platform funktioniert:

• Keine PHI ohne BAA. Solange keine BAA gilt, darfst du keine PHI hochladen.
• Nur Enterprise. Enterprise-Kunden können für eine BAA infrage kommen; für keinen anderen Tarif ist eine BAA verfügbar. Sie ist eine separate Vereinbarung, die erst mit der Unterzeichnung durch beide Parteien in Kraft tritt.
• Der Geltungsbereich ist vertraglich festgelegt. Ultralytics kann eine BAA auf bestimmte Dienste oder Konfigurationen beschränken. Kläre den genauen Geltungsbereich während der Vertragsverhandlungen, bevor du deinen Arbeitsablauf darauf ausrichtest.
• Du bleibst für deine Pflichten verantwortlich. Du entscheidest, ob du eine regulierte Einrichtung oder ein Geschäftspartner bist, und bist für deine HIPAA-Compliance verantwortlich, einschließlich einer etwaigen De-Identifizierung gemäß 45 C.F.R. § 164.514.

Das Trust Center führt auf, wofür du auch nach der Unterzeichnung verantwortlich bist: die von dir hochgeladenen Daten zu klassifizieren, den Benutzerzugriff zu verwalten und die Arbeitsstationen deines Teams zu sichern. In den Abrechnungsdokumenten zu Platform ist die HIPAA-BAA für berechtigte Kunden als Enterprise-Funktion aufgeführt, neben SSO/SAML und On Premise für Daten und Rechenleistung.

Für de-identifizierte Aufnahmen ist keine BAA erforderlich#

Nicht jedes medizinische Bild enthält PHI. Auf unserer Seite zu Lösungen für das Gesundheitswesen steht, dass de-identifizierte Daten keine PHI sind. Korrekt de-identifizierte Datensätze können daher mit jedem Tarif auf Platform hochgeladen werden.

Die Leitlinien des HHS zur De-Identifizierung beschreiben zwei Methoden. Beim Safe Harbor werden die 18 in 45 C.F.R. § 164.514(b)(2) aufgeführten Identifikatoren entfernt. Außerdem darf kein tatsächliches Wissen darüber vorliegen, dass die verbleibenden Daten eine Person identifizieren könnten. Ein qualifizierender Code zur erneuten Identifizierung ist zulässig. Bei Expert Determination dokumentiert eine qualifizierte Fachperson, dass das Risiko einer erneuten Identifizierung sehr gering ist. Wenn die Analyse der Fachperson dies stützt, können so beispielsweise Datumsangaben beibehalten werden. Bei Bilddaten gibt es besondere Risiken: DICOM-Header enthalten Patientenidentifikatoren, Ganzgesichtsfotos gehören zu den 18 Identifikatoren, und auch in die Bildpunkte eingebrannter Text muss geprüft werden – ebenso wie die Metadaten.

Erfüllt der Datensatz weder die Anforderungen von Safe Harbor noch die von Expert Determination, behandle ihn als PHI. Dann gibt es drei Möglichkeiten:

Annotieren, trainieren und bereitstellen – mit unterzeichneter BAA#

Verwende PHI nur in den Diensten und Konfigurationen, die von deiner unterzeichneten BAA abgedeckt sind. Innerhalb dieses Geltungsbereichs musst du bei jedem Schritt die folgenden Entscheidungen treffen.

1. Modellfertige Bilder lokal vorbereiten#

Bereite lokal modellfertige PNG- oder TIFF-Bilder vor, prüfe die Metadaten und eingebrannten Identifikatoren und kontrolliere die konvertierten Bilder vor dem Hochladen. Platform unterstützt gängige Bildformate, die in den unterstützten Upload-Formaten aufgeführt sind. Konvertiere DICOM-Aufnahmen daher als Teil deiner eigenen Verarbeitungskette in eines dieser Formate und verwalte das Konvertierungsskript mit Versionskontrolle. Durch die Konvertierung allein werden die Daten nicht de-identifiziert: Ein entfernter Header ist zwar nicht mehr vorhanden, aber in den Bildausschnitt eingebrannter Text bleibt in den Bildpunkten erhalten.

2. Arbeitsbereich vor dem ersten Upload einrichten#

Wähle während der Einrichtung deine Datenregion aus. Laut der Dokumentation zu Platform bleiben Datensätze, Modelle und verwaltete Trainingsdaten in deiner Region: USA (Iowa), EU (Belgien) oder AP (Taiwan). Anschließend kannst du die Region nicht selbst ändern; für einen Wechsel musst du eine Supportanfrage stellen. Daten auf Kontoebene, etwa Profil- und Abrechnungsdaten, werden weltweit verarbeitet, wie die Datenverarbeitungsvereinbarung beschreibt.

Bei Enterprise ist die Sichtbarkeit standardmäßig auf „Private“ gesetzt, bis ein Inhaber oder Administrator sie ändert. Vergewissere dich vor dem Hochladen von PHI, dass jeder Datensatz und jedes Projekt auf „Private“ gesetzt ist. Die Standardeinstellung für die Sichtbarkeit lässt sich konfigurieren. Die Sichtbarkeit einzelner Ressourcen kann später geändert werden.

Nutze die vier Teamrollen (Owner, Admin, Editor, Viewer), um Berechtigungen auf das notwendige Maß zu beschränken. Viewer ermöglicht eine schreibgeschützte Ansicht. Kliniker, die Labels korrigieren und speichern, benötigen die Rolle Editor oder eine höhere Rolle. Aktiviere SSO/SAML, damit der Zugriff über deinen Identitätsanbieter verwaltet wird.

3. Innerhalb des Geltungsbereichs deiner BAA annotieren#

Der Anmerkungseditor bietet manuelle Werkzeuge für Detektion, Segmentierung, Klassifizierung, Pose und OBB. Außerdem unterstützt er SAM 3.1 zur Segmentierung per Klick, deine eigenen trainierten YOLO-Modelle und Modelle mit Klassen-Prompts, die die Klassen deines Datensatzes im gesamten Bild kennzeichnen. Zehn Modelle mit Klassen-Prompts, darunter Moondream 3.1, Qwen3.8 27B und SAM 3.1 Text, werden auf Platform gehostet. „Kein Anbieterschlüssel erforderlich“ bezieht sich auf die Abrechnung, nicht auf den Geltungsbereich der BAA. Vergewissere dich daher, dass jedes gehostete Modell, das du mit PHI verwendest, vom Geltungsbereich deiner BAA abgedeckt ist.

Kostenpflichtige Modelle von OpenAI, Anthropic, Google und anderen Anbietern werden mit deinem eigenen Anbieterschlüssel für die API ausgeführt. Jedes Bild wird unter deinem Konto an den jeweiligen Anbieter übermittelt. Behandle die Auswahl dieses Anbieters als separate Anbieterentscheidung: Die BAA des Anbieters muss genau die API, das Modell und die von Platform verwendete Konfiguration abdecken. Google ist ein klares Beispiel. Die Gemini-Integration von Platform verwendet einen API-Schlüssel von AI Studio, für den die Gemini-API-Bedingungen gelten. Die BAA von Google Cloud deckt hingegen die in ihrem HIPAA-Geltungsbereich aufgeführten Google-Cloud-Dienste ab. Es ist nicht bestätigt, ob die Gemini-Integration in Platform mit PHI verwendet werden darf. Verwende sie daher nicht mit PHI.

Unabhängig davon, welches Werkzeug die Begrenzungsrahmen vorschlägt: Kliniker sollten sie prüfen, korrigieren und freigeben. Annotation mit menschlicher Überprüfung macht eine Datenkennzeichnung klinisch vertretbar.

4. YOLO26 in deiner Region trainieren#

Das Cloud-Training startest du auf der Projektseite. Wähle die Dataset-Version, ein Ultralytics-YOLO26-Modell und eine GPU aus. Während der Ausführung überträgt Platform Messwerte, Konsolenausgaben und den besten Prüfpunkt. Speichere für jeden Durchlauf eine Dataset-Version. Wenn ein Prüfer fragt, welche Labels das in der Produktionsumgebung eingesetzte Modell hervorgebracht haben, ist die Versionsangabe deine Antwort.

Die Datenregion garantiert den Speicherort. Falls ein Vertrag auch den Ort der Verarbeitung einschränkt, kläre vor dem Training mit Ultralytics, wo sich die GPUs befinden und was die BAA abdeckt.

5. Auf einem dedizierten Endpunkt bereitstellen oder exportieren#

Dedizierte Endpunkte laufen in 42 Regionen, davon 9 in den USA. Jeder Endpunkt ist ein Dienst für einen einzelnen Mandanten mit eigener URL und eigener Bindung an einen API-Schlüssel. Nur mit diesem Schlüssel kann der Endpunkt aufgerufen werden. Wenn du den gebundenen Schlüssel löschst oder deaktivierst, wird der direkte Zugriff auf den Endpunkt dadurch nicht widerrufen. Beende oder lösche die Bereitstellung und erstelle sie nach dem Wechsel des Schlüssels neu.

Die Endpunktregion ist unabhängig von deiner Datenregion. Da jedes Anfragebild dort verarbeitet wird, wo der Endpunkt läuft, musst du eine Region wählen, die deine Vereinbarung zulässt. Bei der Überwachung des Endpunkts werden Beispielbilder nur im Arbeitsspeicher der Bereitstellungsinstanz gespeichert. Durch das Beenden oder erneute Bereitstellen können diese Bilder gelöscht werden. Wenn die Inferenz im Krankenhaus ausgeführt werden muss, exportiere das Modell in Formate wie ONNX, TensorRT oder OpenVINO und führe es auf deinen eigenen Servern oder Geräten aus.

Patientendaten mit selbst gehostetem YOLO vor Ort behalten#

Manche Organisationen entscheiden, dass Bilddaten mit Patientenbezug ihr Netzwerk niemals verlassen dürfen – unabhängig von den Vertragsbedingungen. Ultralytics unterstützt das mit zwei Optionen, die den Geltungsbereich unterschiedlich abgrenzen.

Platform On Premise bewahrt die Pixel auf deiner Hardware#

Die Integration vor Ort verbindet einen Linux-, macOS- oder Windows-Computer mit einem Enterprise-Arbeitsbereich – mit einem einzigen Installationsbefehl. Die Pixel der Quelldatensätze und der daraus abgeleiteten Datensätze bleiben beim Einlesen, in der Vorschau und beim Training auf diesem Computer. Dein Browser lädt Vorschauen direkt vom verbundenen Computer, öffne Platform also in einem Browser auf diesem Computer. Der Datensatzordner ist schreibgeschützt eingebunden, und das Training läuft lokal auf der CPU oder einer NVIDIA-GPU, ohne dass Daten an Cloud-Rechenressourcen gesendet werden.

Lies die Grenzen genau. Klassen, Labels und Annotationen werden in Platform gespeichert, ebenso Trainingsmetriken und der beste Checkpoint. In der Dokumentation wird darauf hingewiesen, dass Gewichte, Labels und Metriken Informationen enthalten können, die aus deinen Bildern gelernt wurden; nur die Pixel bleiben also strikt lokal. Die Forschung zur Modellinversion erklärt, weshalb der Checkpoint in deine Risikoanalyse gehört und weshalb die Nutzung von On Premise mit aus PHI abgeleiteten Labels in den Geltungsbereich deines BAA fallen sollte. Da die Bilder deinen Host nie verlassen, funktionieren die intelligente Annotation, die automatische Annotation und das Cloud-Training von Platform nicht mit On-Premise-Datensätzen.

Selbst gehostetes YOLO hält Bilder in deinem Netzwerk#

Wenn du das Python-Paket ultralytics auf deinen eigenen Servern ausführst, bleiben Trainings- und Inferenzbilder in deinem Netzwerk. Laut unseren Sicherheits-FAQ verarbeitet oder speichert Ultralytics keine Inferenzdaten, wenn YOLO außerhalb von Platform ausgeführt wird. In den Nutzungsbedingungen wird außerdem ergänzt, dass die DPA in diesem Fall nicht gilt und du für HIPAA verantwortlich bist, sofern HIPAA Anwendung findet. Die anonymen Analysedaten des Pakets sind standardmäßig aktiviert und enthalten laut unserer Dokumentation zur Datenerfassung niemals Bilder. Wenn du sync=False in den Ultralytics-Einstellungen festlegst, werden Analysedaten und Absturzberichte deaktiviert.

Diese Einstellung verhindert keine Downloads. Gewichte, Schriftarten und fehlende Abhängigkeiten werden bei der ersten Verwendung durch die Download- und Abhängigkeitsprüfungen des Pakets abgerufen. Für den Einsatz in einer Umgebung ohne Internetverbindung installierst du Abhängigkeiten, Gewichte und Schriftarten vorab, deaktivierst externe Protokollierungsintegrationen und sperrst ausgehenden Datenverkehr.

Hier ist ein Beispiel für lokales Training, Validierung und Export bei deaktivierter Analyse:

from ultralytics import YOLO, settings

# Turn off anonymous analytics and crash reports on this machine
settings.update({"sync": False})

# On an air-gapped server, copy yolo26n.pt in beforehand
model = YOLO("yolo26n.pt")

# Train on a local dataset in YOLO format
model.train(data="path/to/your_dataset.yaml", epochs=100, imgsz=640)

# Validate, then export for on-site inference
metrics = model.val()
print(f"mAP50-95: {metrics.box.map:.3f}")
model.export(format="onnx")

Bevor Patientendaten in die Pipeline gelangen, teste sie auf einem Computer mit Internetverbindung anhand des öffentlichen Hirntumor-Datensatzes (1.116 MRT- und CT-Bilder, 2 Klassen). Mit data="brain-tumor.yaml" wird der Datensatz automatisch heruntergeladen; führe diesen Test daher außerhalb der Umgebung ohne Internetverbindung durch.

Der Kompromiss betrifft den Betrieb. Dein Team betreibt die GPUs, das Werkzeug für die Beschriftung, die Versionsverwaltung, die Bereitstellung und die Überwachung, die Platform sonst übernimmt. Unser Vergleich von verwalteter Cloud und selbst gehosteter Computer Vision schlüsselt diese Kosten auf.

Welcher Weg passt zu deinem Team?#

Wähle Platform unter einem BAA, wenn deine Organisation einen Cloud-Dienstleister als Geschäftspartner akzeptiert und die benötigten Dienste durch dein unterzeichnetes BAA abgedeckt sind. Annotation, Training und Bereitstellung nutzen denselben Arbeitsbereich; Versionsverwaltung und Zugriffskontrolle sind integriert.

Wähle Platform On Premise, wenn deine Richtlinien verlangen, dass die Pixel im Gebäude bleiben, du aber dennoch manuelle Beschriftungen auf dem verbundenen Computer, Experimentverfolgung und Modellverwaltung nutzen möchtest. Berücksichtige die hochgeladenen Labels und Checkpoints in deiner Risikoanalyse und im Geltungsbereich deines BAA.

Wähle selbst gehostetes YOLO, wenn nichts, was aus Patientendaten abgeleitet wurde, dein Netzwerk verlassen darf oder die Inferenz auf Geräten neben dem Scanner laufen muss. Du erhältst dieselben YOLO26-Modelle und die größtmögliche Kontrolle; die Infrastruktur betreibt dein Team.

Unabhängig vom gewählten Weg ist das Modell eine Entscheidungshilfe. Die diagnostische Freigabe bleibt Sache der Ärztin oder des Arztes und unterliegt den behördlichen Zulassungen, die dein Anwendungsfall erfordert. Unser Überblick zu KI in der Radiologie erläutert, wie diese Modelle in klinische Arbeitsabläufe passen. Unser Leitfaden zur Beschaffung für Unternehmen hilft Sicherheitsteams bei der Vorbereitung einer Lieferantenprüfung. Um ein BAA abzuschließen, wende dich an deine Ansprechperson bei Ultralytics oder fordere über die Preisseite eine Enterprise-Demo an. Dort wird deine Berechtigung bestätigt, der Geltungsbereich mit dir vereinbart und das BAA abgeschlossen, bevor PHI hochgeladen wird. Das gilt auch für Kunden, die YOLO selbst hosten und deren PHI uns über Supportanfragen oder Arbeiten im Rahmen professioneller Dienstleistungen erreichen könnte.