Amazon Nova Act 获得 HIPAA 合规认证，医疗 AI 代理可处理受保护健康信息

一句话看懂

AWS 的 Nova Act 现在符合 HIPAA 合规要求，医疗行业可用它来自动化处理涉及受保护健康信息的浏览器工作流。

详细发生了什么

Amazon Nova Act 是 AWS 提供的一项服务，用于构建和管理可靠的 AI 代理集群，以自动化生产环境中的 UI 工作流。它能在浏览器中完成重复性任务，并在适当时升级给人类监督员。Nova Act 支持通过 API 调用、远程 MCP 或 Strand Agents 等代理框架与外部工具集成。用户可以用自然语言和 Python 代码结合来定义工作流。

现在，Nova Act 已被列入 HIPAA 合格服务参考列表，这意味着医疗和生命科学组织可以在签署 AWS BAA（业务伙伴协议）后，使用 Nova Act 处理电子受保护健康信息（ePHI）。具体用例包括：自动预约安排、保险资格验证、预先授权、理赔状态查询、申诉提交、报销追踪、跨机构转诊以及合规报告数据收集等。

使用前需执行以下步骤：通过 AWS 管理控制台自助签署 BAA 并指定账户为 HIPAA 账户；查阅 Nova Act 文档配置安全设置；实施 IAM 访问策略、KMS 加密和 CloudTrail 日志记录；使用 AWS Well-Architected Tool 进行设计审查。

中文圈视角

对国内医疗 AI 用户来说，这条消息有几点值得关注：

直接可用性有限：Nova Act 目前仅在美国东部（弗吉尼亚北部）区域可用，国内用户直接使用需要 AWS 海外账户，且涉及 ePHI 的数据处理可能面临数据出境合规问题。国内医疗 IT 系统通常需要等保三级和《个人信息保护法》合规，HIPAA 认证本身不直接适用于中国法规。
国产替代方案：国内云厂商如阿里云、华为云、腾讯云也有类似的 AI 代理服务，但尚未看到专门针对医疗合规的 HIPAA 级别认证。国内医疗 AI 自动化更多依赖定制化 RPA 工具或私有化部署的大模型。如果国内云厂商能推出类似“等保三级+医疗数据合规”的 AI 代理服务，将填补市场空白。
场景启发：尽管直接使用有门槛，但 Nova Act 定义的医疗自动化场景（理赔、预约、转诊）在国内同样存在巨大需求。国内医院和保险公司可以借鉴其技术架构（浏览器代理+API 集成+人工升级），在本地合规框架下开发类似方案。
监管盲点：目前中文圈对“AI 代理处理医疗数据”的合规讨论较少，大多数讨论集中在生成式 AI 的内容安全上。Nova Act 的 HIPAA 合规路径提示我们，未来国内可能也需要出台针对 AI 代理操作医疗系统的专项监管指引。

几条值得记住的细节

Nova Act 支持通过自然语言和 Python 代码混合定义工作流，降低开发门槛。
它集成了 Strand Agents 框架、Amazon Bedrock AgentCore、CloudWatch 和 IAM。
使用前必须在 AWS 管理控制台签署 BAA 并指定 HIPAA 账户。
定价详情需访问 Nova Act 定价页面，目前未公开具体价格。
HIPAA 合格意味着服务本身设计符合要求，但用户仍需自行配置安全控制。

一句话总结

Nova Act 的 HIPAA 合规为医疗 AI 自动化打开了合规大门，但国内用户需关注数据出境和本地替代方案。