HIPAA Compliance 是一个面向美国医疗健康合规任务的专用入口技能。它被有意设计得轻量且规范：本身不承担全部实现工作，而是作为 HIPAA 相关任务的统一入口，引导到更具体的技能上。
一、用途 当任务明确涉及 HIPAA、PHI、受覆盖实体（covered entities）、业务伙伴（business associates）或 BAA 时，使用该技能。典型情况包括：构建或审查存储、处理、导出、传输 PHI 的美国医疗软件；评估日志、分析、LLM 提示、存储或支持工作流是否造成 HIPAA 暴露；设计面向患者或临床医生的系统，其中最小必要访问与可审计性很重要。
二、与其他技能的关系 该技能将 HIPAA 视为更广泛医疗隐私技能之上的叠加层：
- healthcare-phi-compliance 仍是 PHI/PII 处理、数据分类、审计日志、加密与防泄漏的主要实现技能。
- 当代码、架构或产品行为需要医疗场景感知的二次审查时，交由 healthcare-reviewer。
- 对于通用认证、输入处理、密钥、API 与部署加固，仍由 security-review 适用。
三、工作方式 从 healthcare-phi-compliance 获取具体实现规则，然后应用 HIPAA 专属决策门：
- 这是否为 PHI？
- 该行为主体是受覆盖实体还是业务伙伴？
- 供应商或模型提供方在接触数据前是否需要 BAA？
- 访问是否限于最小必要范围？
- 读、写、导出事件是否可审计？ 如果任务影响患者安全、临床工作流或受监管的生产架构，则升级到 healthcare-reviewer。
四、HIPAA 专属防护规则
- 绝不将 PHI 放入日志、分析事件、崩溃报告、提示词或对客户端可见的错误字符串中。
- 绝不在 URL、浏览器存储、截图或复制的示例负载中暴露 PHI。
- 对 PHI 的读取与写入要求已认证访问、范围化授权与审计追踪。
- 第三方 SaaS、可观测性、支持工具与 LLM 提供方默认阻止，直到 BAA 状态与数据边界明确。
- 遵循最小必要访问：合适的用户只能看到完成任务所需的最小 PHI 片段。
- 优先使用不透明的内部 ID，而非姓名、MRN、电话号码、地址或其他标识符。
五、示例 示例 1：以 HIPAA 表述的产品需求 请求：为临床医生仪表板添加 AI 生成的就诊摘要。我们服务美国诊所，需保持 HIPAA 合规。 响应模式：激活 hipaa-compliance；用 healthcare-phi-compliance 审查 PHI 流动、日志、存储与提示词边界；在发送任何 PHI 前，确认摘要提供方是否受 BAA 覆盖；若摘要影响临床决策，升级到 healthcare-reviewer。
示例 2：供应商/工具决策 请求：能否将支持记录与患者消息发送到分析栈？ 响应模式：假设这些消息可能含 PHI；除非分析供应商获批用于 HIPAA 约束负载且数据路径已最小化，否则阻止该设计；尽可能要求脱敏或非 PHI 事件模型。
六、相关技能 healthcare-phi-compliance、healthcare-reviewer、healthcare-emr-patterns、healthcare-eval-harness、security-review。
限制：上述内容为技能说明本身，未提供具体价格、收费、平台支持或使用步骤等信息。