亚马逊 Nova Act 现在符合HIPAA标准

TL;DR

• Amazon Nova Act 正式成为 HIPAA 合格服务，允许在受 BAA 保护的账户中处理电子保护健康信息（ePHI）。
• 该服务旨在自动化医疗领域基于浏览器的重复性工作流，如索赔处理、转诊协调和保险验证。
• Nova Act 支持通过自然语言和 Python 代码定义工作流，并集成 Strands Agents 框架及 MCP 协议。
• 目前该服务仅在 US East (N. Virginia) 区域可用，且需通过 AWS 控制台执行 BAA 并配置 IAM、KMS 和 CloudTrail 等安全控制。

为什么值得看

对于 AI 从业者和医疗技术领导者而言，这一更新标志着自主代理（Agentic AI）正式进入受监管的医疗合规领域，打破了传统合规壁垒。它展示了如何将大模型能力应用于高风险、高敏感性的生产环境，为医疗自动化提供了可落地的合规路径。

关键数据

• HIPAA 合格状态：Amazon Nova Act 已被列入 HIPAA Eligible Services Reference 列表，是明确的服务合规事实。
• 可用区域：Amazon Nova Act 当前仅可用 US East (N. Virginia) AWS Region，这是具体的地理限制指标。
• 集成框架：服务明确集成 Strands Agents 框架以及 Amazon Bedrock AgentCore，这是具体的技术依赖事实。
• 安全组件：实施指南中明确列出 IAM、AWS KMS 和 AWS CloudTrail 为必要的安全控制组件。

技术解析

• 架构模式：Nova Act 采用混合定义方式，允许用户结合自然语言指令与 Python 代码来构建复杂的浏览器自动化工作流，支持处理多步骤任务如表单填写和信息提取。
• 代理行为逻辑：系统具备自主执行与人工升级（escalate）机制，当遇到不确定性或高风险操作时，可将任务转交人类主管，确保关键医疗流程的安全性。
• 扩展性与协议支持：通过远程 Model Control Protocol (MCP) 和 API 调用，Nova Act 能够与外部工具交互，增强了其在复杂医疗信息系统中的连接能力。
• 合规实施流程：部署 HIPAA 合格的工作流需执行 AWS BAA，并使用 AWS Well-Architected Tool 进行设计审查，以确保在基础设施层面的合规性。

行业启示

• 合规即竞争力：随着 AI 代理涉足医疗、金融等受监管行业，获得 HIPAA 等合规认证将成为云服务商和 AI 开发商的核心竞争壁垒，直接决定市场准入。
• 自动化边界扩展：Agentic AI 正从简单的文本生成向操作型自动化（Operational Automation）演进，医疗行业将成为验证该趋势的重要前沿阵地，推动从“辅助决策”向“自动执行”转变。

zon Nova Act 处理医疗数据是否意味着 AWS 承担所有合规责任？
A: 不，根据 AWS 共享责任模型，AWS 负责底层基础设施的安全，但客户（HCLS 组织）仍需负责配置具体的安全控制（如 IAM 策略、KMS 加密）以满足其自身的 HIPAA 合规义务。

Q: 目前 Amazon Nova Act 可以在全球任意 AWS 区域部署吗？
A: 不可以，根据公告，该服务目前仅在 US East (N. Virginia) 区域可用，其他区域的支持需参考 AWS 按区域能力列表。