KI-Voice-Agent für HIPAA im eigenen AWS-Konto (2026)

Das Problem beginnt zehn Sekunden nach Gesprächsbeginn

Der KI-Voice-Agent einer Klinik hört fast sofort geschützte Gesundheitsinformationen (PHI). Ein Name, ein Geburtsdatum, „Ich rufe wegen meiner Laborwerte an“. Ab diesem Moment verarbeitet jeder Dienst, den das Audio berührt, PHI: die Speech-to-Text-API, das LLM, die Sprachausgabe, die Gesprächsaufzeichnung, die Logs und jedes Tracing-Tool, das jemand während des Pilotprojekts angebunden hat. Jeder davon ist entweder ein Business Associate, mit dem Sie einen Vertrag brauchen, oder ein Ort, an den Sie diese Daten überhaupt nicht senden dürfen.

Wenn der gesamte Agent in Ihrem eigenen AWS-Konto läuft, ändert sich die Form dieses Problems. Audio, Transkript und Prompt verlassen nie Ihre VPC, und die Liste der Unternehmen, mit denen Sie ein Business Associate Agreement (BAA) schließen, wird kurz. Dieser Leitfaden zeigt, wo PHI in einem Voice-Agenten tatsächlich fließen, welche Verträge Sie weiterhin brauchen, welche Risiken speziell bei Sprache auftreten (die Prüfung des Anrufers ist das größte) und wie ein Referenz-Stack aussieht. Er ist ein technischer Leitfaden, keine Rechtsberatung. Lassen Sie Ihr Ergebnis von Ihrem Compliance-Verantwortlichen oder Ihrer Rechtsberatung prüfen.

Wo PHI in einem KI-Voice-Agenten fließen

Die meisten Voice-Agenten sind eine Kette: Audio des Anrufers rein, Sprachaktivitäts- und Sprecherwechselerkennung, Speech-to-Text, ein LLM, Text-to-Speech, Audio raus. Unser Leitfaden zum selbst gehosteten Stack für KI-Voice-Agenten behandelt jede Schicht und die passende Open-Source-Wahl dafür. Für HIPAA lautet die Frage anders: Was sieht jede Schicht, und wo bewahrt sie es auf?

Drei Wege, ihn auf AWS zu bauen

Was Sie vor dem Bau prüfen sollten: vLLM 0.8 bis 0.10 hatte eine Sicherheitslücke (CVE-2026-15430), die den Confidential-Computing-Modus innerhalb einer Trusted Execution Environment (TEE) betrifft. Verwenden Sie vLLM 0.10.1 oder neuer und das SafeTensors-Format für die Modellgewichte. Außerhalb des TEE-Modus ist das Risiko geringer, aber SafeTensors ist in jedem Fall die richtige Voreinstellung.

Gut zu wissen: Amazon Bedrock AgentCore wurde am 10. Februar 2026 HIPAA-fähig, zusammen mit Bedrock selbst. Wenn Sie Agenten-Workflows statt eines einfachen LLM-Aufrufs bauen, bietet AgentCore Sitzungsisolation, richtlinienbasierte Zugriffskontrolle und auditfähiges Logging unter demselben BAA.

Die ersten beiden Wege lassen sich kombinieren. Viele Teams hosten das LLM selbst, weil dort der sensibelste Kontext ankommt, und nutzen Amazon Transcribe für Speech-to-Text, solange sie ihre GPUs noch dimensionieren. Unser Vergleich LiveKit Agents vs. Pipecat behandelt die Wahl des Frameworks, die in beiden Fällen dieselbe ist.

Die BAAs, die Sie weiterhin brauchen

Selbst hosten lässt den Cloud-Anbieter nicht verschwinden. Ein Anbieter, der ePHI speichert oder verarbeitet, ist ein Business Associate, auch wenn die Daten verschlüsselt sind, wie unser HIPAA-Leitfaden für selbst gehostete Telemedizin-Videos erklärt. Die Vertragsliste für einen Voice-Agenten sieht also so aus:

Die fünf Schutzmaßnahmen bei einem Voice-Agenten

Die technischen Schutzmaßnahmen der HIPAA Security Rule in 45 CFR 164.312 entstanden lange vor Voice-Agenten, lassen sich aber sauber auf einen übertragen.

Für die Anmeldung der Mitarbeiter bietet Keycloak auf AWS SSO mit MFA im selben Konto. Und denken Sie daran, dass sich die Regel selbst bewegt: Das HHS hat im Januar 2025 eine Überarbeitung der Security Rule vorgeschlagen, die Verschlüsselung im Ruhezustand und bei der Übertragung verpflichtend machen würde, statt sie wie bisher als „addressable“ einzustufen, also abhängig von der Risikobewertung. Die endgültige Regel wurde auf Juli 2027 verschoben und gilt daher noch nicht, aber die Richtung ist klar. Bauen Sie so, als gälte sie bereits.

Anruferprüfung: das Risiko, das es nur am Telefon gibt

Webportale haben einen Login. Telefonleitungen haben den, der gerade anruft. Ein Voice-Agent, der Termindetails oder Befunde jedem vorliest, der den Namen eines Patienten kennt, gibt PHI an eine nicht geprüfte Person preis, und genau diesen Fehler übergehen die meisten Demos von Voice-Agenten.

Die Lösung ist ein Prüfschritt, bevor irgendein PHI-Tool läuft: Geburtsdatum plus ein zweites Merkmal, etwa die hinterlegte Postleitzahl oder ein per SMS gesendeter Code. Und das Entscheidende: Setzen Sie es im Code durch. Ein Prompt mit der Anweisung „Prüfe immer zuerst den Anrufer“ ist ein Vorschlag, den man dem Modell ausreden kann. Ein Tool, das sich weigert zu laufen, nicht.

# Every PHI tool checks the session, not the prompt.
class CallSession:
    def __init__(self):
        self.verified_patient_id = None

def verify_caller(session, dob, postcode):
    patient = ehr.find_patient(dob=dob, postcode=postcode)
    if patient is None:
        return "I couldn't match those details."
    session.verified_patient_id = patient.id
    return "Thanks, you're verified."

def get_next_appointment(session):
    if session.verified_patient_id is None:
        raise PermissionError("caller not verified")
    return ehr.next_appointment(session.verified_patient_id)

Zwei weitere Regeln, die Ärger ersparen. Begrenzen Sie die Prüfversuche pro Anruf und übergeben Sie nach Erreichen des Limits an einen Menschen. Und lassen Sie den Agenten nie bestätigen, welcher Teil der Angaben falsch war, denn „Dieses Geburtsdatum stimmt nicht“ verrät einem Fremden, dass der Name stimmte.

Aufzeichnungen, Transkripte und Logs

1. Entscheiden Sie, ob Sie überhaupt aufzeichnenViele Teams speichern kein Audio, nur eine strukturierte Zusammenfassung in der Patientenakte. Wenn Sie aufzeichnen, dann bewusst, mit Einwilligung und aus einem Grund, den Sie benennen können.
2. Alles im Ruhezustand verschlüsselnEBS-Volumes und S3-Buckets, verschlüsselt mit KMS-Schlüsseln, die Sie selbst kontrollieren. Snapshots und Backups kopieren die PHI mit, also brauchen sie dieselbe Behandlung.
3. Request-Logging in der Produktion abschaltenInferenzserver und STT-Dienste können Anfragen protokollieren. Prüfen Sie, was Ihre schreiben, und halten Sie Transkripte und Prompts aus den Anwendungslogs heraus.
4. Aufbewahrung festlegen und durchsetzenS3-Lifecycle-Regeln löschen Aufzeichnungen und Transkripte nach dem Zeitplan, den Ihre Richtlinie vorgibt. Eine Aufbewahrungsrichtlinie, die nichts durchsetzt, ist nur ein Dokument.
5. Zugriffe protokollieren, nicht InhalteWer welche Aufzeichnung wann geöffnet hat. CloudTrail-Datenereignisse auf dem Bucket liefern genau das, ohne PHI in ein weiteres System zu kopieren.

Für den Transport gelten dieselben Verschlüsselungsregeln wie in unserem Leitfaden zu WebRTC für KI-Voice-Agenten: Medien sind bei der Übertragung standardmäßig verschlüsselt, und Ihre Aufgabe ist es, das TURN-Relay und den Agenten innerhalb Ihrer Grenzen zu halten.

Ein Referenz-Stack auf AWS

Hier ein vollständig selbst gehostetes Layout, das PHI in einem einzigen Konto innerhalb HIPAA-fähiger Services hält.

Jeder AWS-Service in dieser Tabelle steht auf der Liste der HIPAA-fähigen Services. Prüfen Sie die Verfügbarkeit für Ihre Region, bevor Sie loslegen, denn sie kann abweichen. Bei den Kosten macht die GPU den Großteil aus: Unser GPU-Kostenvergleich für LLM-Inferenz enthält aktuelle Instanzpreise, und der vLLM-Entwicklerleitfaden zeigt, wie Sie den Inferenzserver starten.

Was HIPAA hier aushebelt

Der Fallback verdient einen zweiten Blick. Er ist die naheliegendste technische Entscheidung der Welt und hebelt still das ganze Design aus. Wenn die GPU keine Kapazität mehr hat, stellen Sie den Anruf in eine Warteschlange oder übergeben Sie ihn an einen Menschen.

Wo Sie anfangen sollten

Beginnen Sie mit der Risikoanalyse und dem AWS BAA, nicht mit dem Modell. Bauen Sie dann die Anruferprüfung und die Logging-Regeln, bevor der Agent irgendetwas Interessantes tun kann, denn sie lassen sich viel schwerer nachrüsten als ein besserer Prompt.

Halten Sie den Umfang beim ersten Einsatz eng: Terminbuchung und Erinnerungen, keine Befunde und keine medizinische Beratung. Hosten Sie das LLM selbst, weil dort der sensibelste Kontext ankommt, und entscheiden Sie bei Speech-to-Text nach Volumen. Bei ein paar hundert Anrufen im Monat ist eine verwaltete Plattform mit BAA günstiger als eine GPU, die rund um die Uhr im Leerlauf läuft (unser Kostenvergleich für KI-Telefonagenten liefert die Zahlen). Bei Tausenden Anrufen am Tag gewinnt Ihr eigenes AWS-Konto bei den Kosten und bei der Länge Ihrer Anbieterliste. Wenn Sie das Modell selbst betreiben möchten, finden Sie auf der vLLM-Seite im Store die Images für AWS und Google Cloud.