Tıbbi görüntüleme için HIPAA uyumlu yapay zekâ: BAA neleri kapsar ve hasta verileriyle nasıl eğitim yapılır?

Ultralytics, Ultralytics Platform ve Ultralytics YOLO'yu kapsayan bir HIPAA Güvenlik Kuralı öz değerlendirmesini tamamladı ve Ultralytics Platform artık uygun Enterprise müşterilerine iş ortağı sözleşmesi (BAA) sunuyor. HIPAA'nın resmî bir sertifikası olmadığından, hastane güvenlik değerlendiricilerinin gerçekten kontrol ettiği şey imzalı bir BAA ve işleyen bir güvenlik programıdır.

Radyoloji, patoloji veya tıbbi cihaz ekipleri için bu durum, kimliği belirlenebilir taramalarla neler yapabileceğini değiştirir. PHI'yi yalnızca yürürlüğe girmiş BAA'nızın kapsadığı hizmet ve yapılandırmalarda kullan; diğer her şey için kendi koruma önlemlerini al. Aşağıda öz değerlendirmenin ve BAA'nın neleri kapsadığını, bu sınırlar içinde tıbbi görüntüleme modeline nasıl açıklama ekleyebileceğini, modeli nasıl eğitip dağıtabileceğini ve bunun her pikseli şirket içinde tutarak kendi sunucunda barındırdığın Ultralytics YOLO ile nasıl karşılaştırıldığını bulabilirsin.

“HIPAA uyumlu yapay zekâ”, imzalı bir BAA ve senin kendi kontrollerin demektir#

HIPAA'nın üç ana bölümü vardır: Güvenlik Kuralı, Gizlilik Kuralı ve İhlal Bildirimi Kuralı. Bunların hiçbiri bir ürünün testten geçip rozet sergilemesine olanak tanımaz. Google Cloud'un HIPAA sayfası bunu açıkça belirtiyor: HHS, “HIPAA uyumluluğu için bir sertifika programı sunmuyor” ve uyumluluk, sağlayıcı ile müşteri arasında paylaşılıyor.

İşleyişi sağlayan mekanizma BAA'dır. HHS, HIPAA ve bulut bilişim hakkındaki rehberinde kapsamdaki bir kuruluşun elektronik korunan sağlık bilgilerini (ePHI) depolamak veya işlemek için bir bulut hizmetini yalnızca sağlayıcıyla HIPAA uyumlu bir BAA imzalaması ve HIPAA Kurallarına başka yönlerden de uyması hâlinde kullanabileceğini belirtiyor. Görsel yapay zekâ açısından bu rehberdeki üç nokta önem taşıyor:

• Statü, evraklara değil hizmete bağlıdır. Kapsamdaki bir kuruluş için ePHI oluşturan, alan, saklayan veya ileten bir bulut sağlayıcısı; veriler şifrelenmiş ve sağlayıcının elinde hiçbir anahtar bulunmuyor olsa bile iş ortağıdır.
• BAA'nın olmaması ihlaldir. Bir sağlayıcıya ePHI'yi BAA olmadan saklatan kapsamdaki bir kuruluş, HIPAA Kurallarını ihlal eder.
• BAA her kullanıma izin vermez. İş ortağı, PHI'yi yalnızca sözleşmenin izin verdiği şekilde kullanabilir ve kapsamdaki kuruluşun da bu kullanıma veya açıklamaya kendisinin izin vermesi gerekir; HHS'nin iş ortağı rehberinde açıklandığı gibi. Bir modeli hasta kayıtlarıyla eğitmek, kuruluşunun kendi koşullarına göre değerlendirmesi gereken bir kullanımdır.

Bir tıbbi görüntü analizi ekibi için “HIPAA uyumlu yapay zekâ” uygulamada üç anlama gelir: herhangi bir PHI sisteme ulaşmadan önce sağlayıcın BAA imzalar, sağlayıcı Güvenlik Kuralı'nı karşılayan bir güvenlik programı yürütür ve ekibin erişimi, kimlikten arındırmayı ve kendi risk analizini yönetmeye devam eder.

Ultralytics'in öz değerlendirmesi ve BAA'sı gerçekte neleri kapsıyor?#

Güven ve Güvenlik sayfamızda çeşitli güvenlik kanıtı türleri listeleniyor. Bu kanıtlar, kontrolleri kimin ve nasıl denetlediğine göre farklılık gösterir; hastane değerlendiricisi her biri hakkında ayrı ayrı soru sorar.

Öz değerlendirme sertifikayı değil, programı gösterir#

Ultralytics Trust Center SSS, Güvenlik Kuralı'nı uygulamaya yönelik NIST rehberi olan NIST SP 800-66 Rev. 2'yi kullanarak HIPAA Güvenlik Kuralı öz değerlendirmesini tamamladığımızı belirtiyor. Bu değerlendirme, Ultralytics Platform ve Ultralytics YOLO'yu kapsıyor ve ISO/IEC 27001:2022 sertifikalı ISMS'miz ile SOC 2 raporumuzun üzerine inşa ediliyor. Ultralytics güvenlik ekibi el kitabında bu çalışmanın Ekim 2026'da tamamlandığı kayıtlı. Bu, bağımsız denetim değil, bir öz değerlendirmedir.

Bu değerlendirmeyi destekleyen kontroller tüm Platform planları için geçerlidir: bekleyen ve aktarım hâlindeki verilerin şifrelenmesi, zorunlu MFA, en az ayrıcalık ilkesini uygulayan IAM ve yıllık sızma testleri. Güvenlik politikası belgelerimizde açıklandığı gibi sertifikalara, denetim raporlarına ve politikalara Trust Center üzerinden ulaşabilirsin.

BAA, izin verilen PHI kullanımını ve koruma yükümlülüklerini tanımlar#

HHS'nin örnek iş ortağı sözleşmesi hükümleri, her BAA'nın neleri ele alması gerektiğini ortaya koyuyor. Bunlar genel olarak HIPAA'nın zorunlu kıldığı hükümlerdir; Ultralytics sözleşmesinden alıntılanmış maddeler değildir:

• İzin verilen kullanımlar ve açıklamalar. İş ortağı PHI'yi yalnızca sözleşmenin izin verdiği şekilde veya kanunun gerektirdiği durumlarda kullanabilir ya da açıklayabilir.
• Koruma önlemleri. İş ortağı, ePHI için Güvenlik Kuralı korumaları dâhil uygun koruma önlemlerini uygulamalıdır.
• Bildirim. İş ortağı, güvenli olmayan PHI ihlalleri ve güvenlik olayları dâhil olmak üzere sözleşmenin izin vermediği kullanımları veya açıklamaları bildirmelidir.
• Alt yükleniciler. PHI'yi işleyen her alt yüklenici aynı kısıtlamaları kabul etmelidir.
• Fesih. Sözleşme sona erdiğinde, mümkünse PHI'yi iade etmeli veya imha etmelidir.

Ultralytics Hizmet Koşulları'nın 3.5. bölümü, bunun Platform'da nasıl işlediğini belirler:

• BAA olmadan PHI yükleme. BAA yürürlükte değilse PHI yüklememelisin.
• Yalnızca Enterprise. Enterprise müşterileri BAA almaya uygun olabilir; başka hiçbir plan BAA alamaz. BAA ayrı bir sözleşmedir ve yalnızca her iki taraf da imzaladığında yürürlüğe girer.
• Kapsam sözleşmede belirlenir. Ultralytics, BAA'yı belirli hizmet veya yapılandırmalarla sınırlayabilir. İş akışını buna göre tasarlamadan önce sözleşme aşamasında kapsamın tam olarak ne olduğunu doğrula.
• Yükümlülüklerin sana ait olmaya devam eder. Kapsamdaki bir kuruluş mu yoksa iş ortağı mı olduğuna sen karar verirsin ve 45 C.F.R. § 164.514 kapsamındaki kimlikten arındırma dâhil HIPAA uyumluluğundan sen sorumlusun.

Trust Center, imzadan sonra da senin sorumluluğunda kalanları ekliyor: yüklediğin verileri sınıflandırmak, kullanıcı erişimini yönetmek ve ekibinin kullandığı iş istasyonlarını güvence altına almak. Platform faturalandırma belgelerinde HIPAA BAA, uygun müşterilere yönelik bir Enterprise özelliği olarak SSO/SAML ve Şirket İçi veri ve işlem kaynaklarıyla birlikte listeleniyor.

Kimlikten arındırılmış taramalar BAA gerektirmez#

Her tıbbi görüntü PHI değildir. Sağlık hizmetleri çözümleri sayfamızda belirtildiği gibi kimlikten arındırılmış veriler PHI değildir; bu nedenle usulüne uygun şekilde kimlikten arındırılmış veri kümelerini her planda Platform'a yükleyebilirsin.

HHS'nin kimlikten arındırma rehberi iki yöntemi açıklıyor. Güvenli Liman, 45 C.F.R. § 164.514(b)(2)'de listelenen 18 tanımlayıcı türünü kaldırır ve geri kalan bilgilerin bir kişiyi tanımlayabileceğine dair gerçek bir bilginin bulunmamasını gerektirir; koşulları karşılayan bir yeniden kimliklendirme koduna izin verir. Uzman Değerlendirmesi, yeniden kimliklendirme riskinin çok düşük olduğunu belgeleyen yetkin bir uzman kullanır; uzmanın analizi destekliyorsa tarih gibi verilerin kullanılmasına olanak tanıyabilir. Tıbbi görüntülemenin kendine özgü riskleri vardır: DICOM başlıkları hasta tanımlayıcıları içerir, yüzün tamamının göründüğü fotoğraflar 18 tanımlayıcıdan biridir ve piksellere işlenmiş metin de üst veriler gibi kontrol edilmelidir.

Veri kümesi Güvenli Liman veya Uzman Değerlendirmesi koşullarını karşılamıyorsa onu PHI olarak ele al. Bu durumda üç yolun var:

İmzalı BAA kapsamında açıklama ekleme, eğitim ve dağıtım#

PHI'yi yalnızca yürürlüğe girmiş BAA'nızın kapsadığı hizmet ve yapılandırmalarda kullan. Bu kapsam dâhilinde, her adımda vermen gereken kararlar şunlardır.

1. Model kullanımına hazır görüntüleri yerel olarak hazırla#

Model kullanımına hazır PNG veya TIFF görüntülerini yerel olarak hazırla, üst verileri ve görüntüye işlenmiş tanımlayıcıları kontrol et ve yüklemeden önce dönüştürülmüş görüntüleri incele. Platform, desteklenen yükleme biçimleri arasında listelenen yaygın görüntü biçimlerini kabul eder; bu nedenle DICOM incelemelerini kendi iş akışının bir parçası olarak bu biçimlerden birine dönüştür ve dönüştürme betiğini sürüm denetimi altında tut. Dönüştürme tek başına kimlikten arındırma sağlamaz: kaldırılan bir başlık kaybolur, ancak kareye işlenmiş metin piksellerle birlikte taşınır.

2. İlk yüklemeden önce çalışma alanını ayarla#

Katılım sırasında veri bölgelerini seç. Platform belgelerine göre veri kümeleri, modeller ve yönetilen eğitim verileri seçtiğin bölgede kalır: ABD (Iowa), AB (Belçika) veya AP (Tayvan). Daha sonra bölgeyi kendin değiştiremezsin; taşıma için destek talebi gerekir. Veri İşleme Sözleşmesi'nde açıklandığı gibi profil ve faturalandırma kayıtları gibi hesap düzeyindeki veriler küresel olarak işlenir.

Enterprise planı, sahibi veya yöneticisi ayarı değiştirene kadar varsayılan olarak Private durumundadır; PHI yüklemeden önce her veri kümesinin ve projenin Private olduğunu doğrula. Varsayılan görünürlük ayarı yapılandırılabilir ve her bir kaynağın görünürlüğü daha sonra değiştirilebilir.

En az ayrıcalık ilkesi için dört ekip rolünü kullan (Owner, Admin, Editor, Viewer). Viewer yalnızca görüntülemeye izin verir; etiketleri düzeltip kaydetmesi gereken klinisyenler için Editor veya daha üst bir rol gerekir. Erişimin kimlik sağlayıcını izlemesi için SSO/SAML'ı etkinleştir.

3. BAA kapsamın içinde açıklama ekle#

Açıklama düzenleyicisi, nesne algılama, segmentasyon, sınıflandırma, poz ve OBB için manuel araçlar sunar. Ayrıca SAM 3.1 ile tıklayarak segmentasyonu, kendi eğittiğin YOLO modellerini ve veri kümesindeki sınıfları tüm görüntü boyunca etiketleyen sınıf istemli modelleri destekler. Moondream 3.1, Qwen3.8 27B ve SAM 3.1 Text dâhil on sınıf istemli model Platform'da barındırılır. “Sağlayıcı anahtarı yok” ifadesi faturalandırmayı açıklar, BAA kapsamını değil; bu nedenle PHI üzerinde kullandığın barındırılan modellerin BAA kapsamına girdiğini doğrula.

OpenAI, Anthropic, Google ve diğer sağlayıcılardan ücretli modeller kendi sağlayıcı API anahtarınla çalışır ve her görüntü hesabın üzerinden ilgili sağlayıcıya gönderilir. Bu sağlayıcıyı ayrı bir tedarikçi kararı olarak değerlendir: sağlayıcının BAA'sı, Platform tarafından kullanılan API'yi, modeli ve yapılandırmayı tam olarak kapsamalıdır. Google bunun açık bir örneğidir. Platform'un Gemini entegrasyonu, Gemini API koşullarına tabi olan bir AI Studio API anahtarı kullanırken Google Cloud'un BAA'sı, HIPAA kapsamındaki Google Cloud hizmetlerini kapsar. Platform'daki Gemini entegrasyonunun PHI kullanımı için uygunluğu doğrulanmamıştır; bu nedenle Gemini'yi PHI üzerinde kullanma.

Kutuları hangi araç taslak hâline getirirse getirsin, klinisyenler bunları kontrol etmeli, düzeltmeli ve onaylamalıdır. Döngüde insan bulunan açıklama ekleme, veri etiketleme iş akışını klinik açıdan savunulabilir kılan unsurdur.

4. YOLO26'yı kendi bölgenizde eğit#

Bulut eğitimi proje sayfasından başlar. Veri kümesi sürümünü, bir Ultralytics YOLO26 modelini ve GPU'yu seç; Platform, çalışma devam ederken ölçümleri, konsol çıktısını ve en iyi kontrol noktasını aktarır. Her çalışma için bir veri kümesi sürümü kaydet: denetçi, üretimdeki modeli hangi etiketlerin oluşturduğunu sorduğunda yanıtın bu sürüm olur.

Veri bölgesi, verilerin nerede saklanacağını garanti eder. Sözleşme ayrıca işlemenin nerede gerçekleşeceğini kısıtlıyorsa eğitimden önce GPU konumlarını ve BAA kapsamını Ultralytics ile doğrula.

5. Tek kiracılı bir uç noktaya dağıt veya dışa aktar#

Özel uç noktalar 42 bölgede çalışır ve bu bölgelerin 9'u ABD'dedir. Her biri kendine ait bir URL ve API anahtarı bağlantısı olan tek kiracılı bir hizmettir; dolayısıyla uç noktayı yalnızca bu anahtar çağırabilir. Bağlı anahtarı silmek veya devre dışı bırakmak, uç noktaya doğrudan erişimi iptal etmez. Dağıtımı durdur veya sil; anahtarı yeniledikten sonra dağıtımı yeniden oluştur.

Uç noktanın bölgesi, veri bölgenizden ayrıdır ve her istek görüntüsü uç noktanın çalıştığı yerde işlenir; bu nedenle sözleşmenizin izin verdiği bir bölge seç. Uç nokta izleme sistemi, örnek görüntüleri yalnızca hizmet sunan örneğin belleğinde tutar; hizmeti durdurmak veya yeniden dağıtmak bunları temizleyebilir. Çıkarımın hastane içinde çalışması gerekiyorsa modeli ONNX, TensorRT veya OpenVINO gibi biçimlere aktar ve kendi sunucularında ya da cihazlarında çalıştır.

Kendi sunucunda barındırdığın YOLO ile hasta verilerini şirket içinde tut#

Bazı kuruluşlar, hangi sözleşme yürürlükte olursa olsun hasta görüntülerinin ağlarından hiç çıkmamasına karar verir. Ultralytics bunu sınırı farklı noktalarda çizen iki seçenekle destekler.

Platform On Premise, pikselleri kendi donanımında tutar#

On Premise entegrasyonu, tek bir kurulum komutuyla Linux, macOS veya Windows bilgisayarını bir Enterprise çalışma alanına bağlar. Kaynak veri kümesindeki ve türetilen veri kümelerindeki pikseller, içe aktarma, önizleme ve eğitim için bu bilgisayarda kalır. Tarayıcın önizlemeleri doğrudan bağlı makineden yükler; bu nedenle Platform'u o bilgisayardaki bir tarayıcıda aç. Veri kümesi klasörü salt okunur olarak bağlanır ve eğitim, bulut işlem kaynaklarına veri gönderilmeden yerel CPU'da veya NVIDIA GPU'da çalışır.

Sınırları dikkatle incele. Sınıflar, etiketler ve açıklamalar Platform'da saklanır; eğitim metrikleri ve en iyi kontrol noktası da Platform'a yüklenir. Belgelerde, ağırlıkların, etiketlerin ve metriklerin görüntülerinden öğrenilen bilgileri kodlayabileceği, bu nedenle yalnızca piksellerin kesin olarak yerel kaldığı belirtiliyor. Model tersine mühendisliği araştırmaları, kontrol noktasının neden risk analizine dahil edilmesi gerektiğini ve PHI'den türetilen etiketlerle On Premise kullanımının neden BAA kapsamına girmesi gerektiğini açıklıyor. Görüntüler ana makinenin dışına hiç çıkmadığı için Platform'un akıllı açıklama, otomatik açıklama ve bulut eğitimi özellikleri On Premise veri kümelerinde çalışmaz.

Kendi sunucunda barındırdığın YOLO, görüntüleri ağında tutar#

ultralytics Python paketini kendi sunucularında çalıştırmak, eğitim ve çıkarım görüntülerini ağının içinde tutar. Güvenlik SSS'mizde, YOLO Platform dışında çalıştığında Ultralytics'in çıkarım verilerini işlemediği veya saklamadığı belirtiliyor; Hizmet Şartları'nda da DPA'nın bu durumda geçerli olmadığı ve HIPAA'nın geçerli olduğu her yerde sorumluluğun sana ait olduğu ekleniyor. Veri toplama belgelerimize göre paketin anonim analizleri varsayılan olarak açıktır ve hiçbir zaman görüntü içermez. Ultralytics ayarlarında sync=False ayarını yapmak analizleri ve kilitlenme raporlarını kapatır.

Bu ayar indirmeleri durdurmaz. Ağırlıklar, yazı tipleri ve eksik bağımlılıklar, paketin indirme ve bağımlılık denetimleri tarafından ilk kullanımda indirilir. Ağ bağlantısı olmayan ortamlarda kullanmak için bağımlılıkları, ağırlıkları ve yazı tiplerini önceden yükle, harici günlük kaydı entegrasyonlarını devre dışı bırak ve giden trafiği engelle.

Analizler devre dışıyken yerel eğitim, doğrulama ve dışa aktarma örneği:

from ultralytics import YOLO, settings

# Turn off anonymous analytics and crash reports on this machine
settings.update({"sync": False})

# On an air-gapped server, copy yolo26n.pt in beforehand
model = YOLO("yolo26n.pt")

# Train on a local dataset in YOLO format
model.train(data="path/to/your_dataset.yaml", epochs=100, imgsz=640)

# Validate, then export for on-site inference
metrics = model.val()
print(f"mAP50-95: {metrics.box.map:.3f}")
model.export(format="onnx")

Hasta verileri işlem hattına girmeden önce, bunu internete bağlı bir geliştirme makinesinde herkese açık beyin tümörü veri kümesiyle (1.116 MRI ve CT görüntüsü, 2 sınıf) test et. data="brain-tumor.yaml" öğesini geçirmek veri kümesini otomatik indirir; bu nedenle testi ağ bağlantısı olmayan ortamın dışında yap.

Bunun karşılığı operasyonel sorumluluktur. Platform'un normalde yönettiği GPU'ları, etiketleme aracını, sürümlemeyi, dağıtımı ve izlemeyi ekibin yürütür. Yönetilen bulut ile kendi barındırdığın bilgisayarlı görü çözümlerini karşılaştıran yazımız, bu maliyetleri ayrıntılı olarak ele alıyor.

Ekibine hangi yol uygun#

Kuruluşun bir bulut iş ortağını kabul ediyorsa ve ihtiyaç duyduğun hizmetler imzalanmış BAA'n kapsamındaysa Platform'u seç. Açıklama ekleme, eğitim ve dağıtım tek bir çalışma alanında bir araya gelir; sürümleme ve erişim denetimi de yerleşik olarak sunulur.

Politikan pikselleri bina içinde tutmayı gerektiriyor, ancak bağlı bilgisayarda elle etiketleme, deney takibi ve model yönetimi istiyorsan Platform On Premise'i seç. Yüklenen etiketleri ve kontrol noktalarını risk analizine ve BAA kapsamına dahil et.

Hasta verilerinden türetilen hiçbir şeyin ağından çıkmasına izin verilmiyorsa veya çıkarımın tarayıcının yanındaki cihazlarda çalışması gerekiyorsa kendi barındırdığın YOLO'yu seç. Aynı YOLO26 modellerini ve en geniş denetim olanağını elde edersin; altyapıyı da ekibin yönetir.

Her seçenekte model bir karar destek aracıdır. Tanı onayı, kullanım alanının gerektirdiği mevzuat kapsamındaki izinlere tabi olarak klinisyenin sorumluluğunda kalır. Radyolojide yapay zekâ hakkındaki genel bakışımız, bu modellerin klinik iş akışlarında nasıl kullanılabileceğini açıklıyor; kurumsal satın alma rehberimiz ise güvenlik ekiplerinin tedarikçi incelemesine hazırlanmasına yardımcı oluyor. BAA sürecini başlatmak için Ultralytics hesap temsilcinle iletişime geç veya fiyatlandırma sayfasından Enterprise demosu iste. Uygunluğunu teyit eder, kapsamı seninle kararlaştırır ve herhangi bir PHI yüklenmeden önce BAA'yı imzalarlar. Bu, PHI'nın destek talepleri veya profesyonel hizmet çalışmaları aracılığıyla bize ulaşma ihtimali olan, kendi barındırdığı YOLO'yu kullanan müşterileri de kapsar.