Next.js 2026 में HIPAA-अनुपालित AI: Claude, OpenAI, Azure

अगर आप अपने Next.js ऐप में healthcare AI features बना रहे हैं और आपने इस महीने 'क्या OpenAI HIPAA compliant है' दो बार से ज़्यादा Google किया है, तो जवाब आखिरकार architecture decisions लेने के लिए काफ़ी settled है। संक्षिप्त संस्करण: OpenAI API और ChatGPT Enterprise के लिए BAA पर हस्ताक्षर करता है; Anthropic केवल Enterprise plan पर उन पर हस्ताक्षर करता है; Azure OpenAI text inputs के लिए Microsoft के Enterprise Agreement पर डिफ़ॉल्ट रूप से BAA-covered है। Image और audio modalities अभी भी gaps हैं। लंबा संस्करण बिल्कुल बताता है कि कौन से call types आपके Next.js Server Actions से safe हैं और कौन से आपको fine करवाएँगे।Next.js app and you've Googled 'is OpenAI HIPAA compliant' more than twice this month, the answer is finally settled enough to make architecture decisions on. The short version: OpenAI signs BAAs for the API and ChatGPT Enterprise; Anthropic signs them on the Enterprise plan only; Azure OpenAI is BAA-covered by default on Microsoft's Enterprise Agreement for text inputs. Image and audio modalities are still gappy. The longer version explains exactly which call types are safe to make from your Next.js Server Actions and which ones will get you fined.

Anthropic ने मार्च 2026 में SOC 2 Type II + HIPAA को पार किया, जिससे वह आखिरी खरीद आपत्ति दूर हुई जो टीमों को healthcare AI के लिए Azure की ओर धकेल रही थी। तीनों विक्रेता अब BAA के मामले में प्रभावी रूप से समान हैं -- अंतर कीमत में है, किस modalities को कवर किया जाता है इसमें, और BAA scope training data को कैसे संभालता है इसमें। अपने use case के लिए गलत चुनें और आप अपने पहले prototype में HIPAA violation ship कर देंगे।

Healthcare ऐप्स में AI के लिए 2026 BAA scoreboard

OpenAI API -- BAA baa@openai.com के माध्यम से उपलब्ध है। केवल zero-data-retention endpoints को कवर करता है। ईमेल, 1-2 business days के भीतर जवाब। ChatGPT Enterprise और ChatGPT for Healthcare BAAs sales-managed हैं।
Anthropic Claude -- BAA केवल sales-managed Enterprise plan पर उपलब्ध है। Self-serve Enterprise tier में BAA शामिल नहीं है। Enterprise pricing लगभग $50K/year minimum से शुरू होती है, आमतौर पर consumption के आधार पर first-year TCO में $170K-$2.2M होती है।
Azure OpenAI Service -- BAA Microsoft Enterprise Agreements और CSP arrangements में डिफ़ॉल्ट रूप से शामिल है। Text inputs को कवर किया जाता है। Image inputs (DALL-E, vision) mid-2026 तक कवर नहीं हैं। GPT-Realtime audio coverage की घोषणा अभी तक नहीं हुई है।
AWS Bedrock (Claude, Llama, Titan) -- AWS के standard BAA के तहत कवर है। AWS healthcare workloads के लिए साइन करेगा। Bedrock model gateway scope में है; underlying model providers abstracted हैं।
Google Cloud Vertex AI / Gemini -- Vertex पर Google के BAA के तहत कवर है। AI Studio पर Direct Gemini API BAA-eligible नहीं है।
Microsoft Copilot, ChatGPT consumer (free या Plus), Claude.ai consumer subscriptions -- इनमें से कोई भी BAAs को support नहीं करते। PHI के लिए इनका उपयोग एक violation है।

Healthcare apps के लिए OpenAI: zero data retention के साथ API path

अगर आपका Next.js app OpenAI को directly call करता है, तो एकमात्र HIPAA-compliant configuration zero data retention enabled के साथ API है, BAA-eligible endpoints तक scoped, baa@openai.com से एक signed BAA के साथ। BAA team को अपनी company details और use case के साथ email करें, 1-2 business day response की उम्मीद रखें, और BAA contract size के आधार पर click-through या DocuSign agreement के रूप में आता है।

Zero data retention actually क्या मतलब है

Zero data retention के साथ, OpenAI response return होने के बाद आपके prompt या completion data को store नहीं करता। कोई training नहीं, कोई logging नहीं, कोई abuse-monitoring retention नहीं। पकड़ यह है: केवल कुछ specific endpoints qualify करते हैं। flagship models पर Chat Completions API eligible है। कुछ newer specialty endpoints नहीं हैं। अपने BAA में eligible-endpoints list check करें -- PHI को non-eligible endpoint पर भेजने से उस call के लिए agreement void हो जाता है।

Non-API use cases के लिए ChatGPT Enterprise और ChatGPT for Healthcare

अगर आपकी team को ChatGPT-the-product (chat interface, API नहीं) की जरूरत है clinical research, drafting, या PHI को छूने वाले knowledge-work के लिए, ChatGPT Enterprise और ChatGPT for Healthcare दोनों OpenAI के sales team के माध्यम से BAA support करते हैं। Pricing custom है; $60-100/seat/month range की annual commitment के साथ उम्मीद करें। Healthcare-specific tier February 2026 में आया था और इसमें BAA-by-default plus enhanced retention controls शामिल हैं।

Anthropic Claude स्वास्थ्य सेवा ऐप्स के लिए: Enterprise-केवल और इसकी लागत क्या है

Claude मार्च 2026 में SOC 2 Type II के साथ HIPAA-readiness तक पहुँचा। BAA sales-managed Enterprise plan के पीछे gated है -- self-serve Enterprise tier में BAA शामिल नहीं है। Healthcare के लिए Claude को engage करने का मतलब है एक sales call, seat count और committed API consumption पर contract negotiation, और pricing जो लगभग $50K/year minimum से शुरू होती है। First-year all-in TCO Anthropic के published guidance के अनुसार scale के आधार पर $170K और $2.2M के बीच होती है।

यदि आपके स्वास्थ्य सेवा ऐप की AI विशेषताएं लंबे-संदर्भ दस्तावेज़ विश्लेषण (नैदानिक नोट्स, पूर्व प्राधिकार, चिकित्सा रिकॉर्ड सारांश) पर भारी हैं, तो Claude की 500K-token संदर्भ विंडो मूल्य टैग अर्जित करती है। यदि आपकी AI छोटी-फॉर्म चैट या कॉपी जनरेशन है, तो OpenAI API पथ समान अनुपालन स्थिति पर अर्थपूर्ण रूप से सस्ता है।

Azure OpenAI: सबसे अधिक enterprise स्वास्थ्य सेवा टीमें जिस पथ को डिफ़ॉल्ट करती हैं

Azure OpenAI Microsoft Enterprise Agreements या CSP arrangements पर ग्राहकों के लिए डिफ़ॉल्ट रूप से BAA-covered है। Text inputs एक separate BAA negotiation के बिना HIPAA-eligible हैं -- Microsoft BAA standard EA terms में fold किया गया है। Required configuration non-trivial है: virtual networks (VNet), private endpoints, Azure AD-based access control, RBAC, और Conditional Access, ये सभी आपकी Microsoft team को पहले से ही deploy करना आना चाहिए।

क्या शामिल है और क्या नहीं है

Chat Completions पर टेक्स्ट इनपुट और आउटपुट: EA BAA के अंतर्गत शामिल। प्रॉम्प्ट और प्रतिक्रियाओं में PHI कवर किया गया है।
Embeddings (text-embedding-3-large, आदि): शामिल। PHI को वेक्टर खोज के लिए एम्बेड किया जा सकता है।
Image inputs (vision models, DALL-E): मध्य-2026 तक शामिल नहीं है। Microsoft के अनुपालन दस्तावेज़ स्पष्ट रूप से image modalities को बाहर करते हैं। PHI मानों के तहत Azure OpenAI vision endpoints को चिकित्सा चित्र न भेजें।
GPT-Realtime audio API: BAA scope अभी घोषित नहीं किया गया है। PHI workloads के लिए तब तक बचें जब तक Microsoft मार्गदर्शन प्रकाशित न कर दे, जिसकी प्रत्याशा प्रारंभिक 2026 audit cycle है।
डिफ़ॉल्ट व्यवहार: Azure OpenAI प्रॉम्प्ट्स या कंपलीशन्स को प्रशिक्षण, उत्पाद सुधार, या टेलीमेट्री के लिए स्टोर नहीं करता है, और प्लेटफ़ॉर्म लॉग्स PHI एकत्र नहीं करते हैं। यह डिफ़ॉल्ट है, ऑप्ट-इन नहीं है -- लेकिन यह कॉन्फ़िगरेबल है, इसलिए अपने टेनेंट की डेटा-हैंडलिंग सेटिंग्स को सत्यापित करें।

HIPAA-अनुपालनशील AI कॉल के लिए Next.js Server Actions पैटर्न

आपके Next.js ऐप से हर AI कॉल एक Server Action या Route Handler के पीछे होना चाहिए जिसमें ये प्रॉपर्टीज़ हों: यह request body में raw PHI के साथ क्लाइंट तक कभी नहीं पहुँचता, यह कॉल से पहले और बाद में एक non-PHI audit row लॉग करता है, यह आपके zero-retention कॉन्फ़िगरेशन के साथ initialize किए गए vendor SDK का उपयोग करता है, और इसमें explicit error handling होती है जो PHI को किसी भी thrown error से scrub करती है उससे पहले कि वह Sentry या आपके error logger तक पहुँचे।

न्यूनतम-व्यावहारिक संरचना

Server Action एक sanitised request payload प्राप्त करता है जिसे आपके RLS या session-bound role check द्वारा pre-validated किया गया है।
Audit log row लिखी गई: user_id, action ('ai_call'), model, timestamp। कभी prompt content नहीं।
Vendor SDK के माध्यम से AI कॉल की गई है जिसमें zero-retention headers explicitly सेट हैं (OpenAI: 'X-OpenAI-Beta: zero-data-retention' या आपके project-level कॉन्फ़िगरेशन के माध्यम से)।
Response प्राप्त, parsed, calling Server Component को या क्लाइंट को वापस किया गया। Response स्वयं PHI है; इसे किसी भी अन्य PHI read की तरह treat करें।
Audit log row को status (success, error, content_filter_triggered) और response token count के साथ अपडेट किया गया। कभी response content स्वयं नहीं।
Error की स्थिति में: PHI को error message से scrub करें logging से पहले। Sentry का beforeSend hook इस enforce करने के लिए standard जगह है।

डी-आइडेंटिफिकेशन: जब आप BAA से पूरी तरह बच सकते हैं

सबसे सस्ता HIPAA-अनुपालन AI आर्किटेक्चर वह है जहाँ आप PHI को शुरुआत में ही AI को नहीं भेजते। HIPAA का Safe Harbor डी-आइडेंटिफिकेशन स्टैंडर्ड 18 विशिष्ट आइडेंटिफायर्स को हटाता है -- नाम, वर्ष से अधिक विस्तृत तारीखें, राज्य से छोटी भौगोलिक इकाइयाँ, खाता नंबर, बायोमेट्रिक ID, पूर्ण-चेहरा फ़ोटो, और 11 अन्य। यदि आपके प्रॉम्प्ट्स डी-आइडेंटिफाइड डेटा से बनाए जा सकते हैं, तो AI विक्रेता को कभी PHI नहीं मिलता है और उस कॉल पाथ के लिए कोई BAA आवश्यक नहीं है।

व्यावहारिक पैटर्न: एक Server Action रोगी-बंधी request को स्वीकार करता है, आपके डेटाबेस में डी-आइडेंटिफाइड context को देखता है, आइडेंटिफायर्स के बिना prompt को तैयार करता है, AI विक्रेता को भेजता है, response प्राप्त करता है, फिर client-side पर या downstream Server Component में रोगी का context फिर से जोड़ता है। AI कॉल को केवल क्लिनिकल कंटेंट दिखाई देता है। यह पैटर्न निदान समर्थन, क्लिनिकल डॉक्यूमेंटेशन ड्राफ्टिंग, prior-auth पत्र लेखन, और अधिकांश LLM उपयोग मामलों के लिए काम करता है जहाँ रोगी की वास्तविक पहचान की जरूरत नहीं है।

जहाँ यह विफल हो जाता है: कुछ भी जहाँ AI को रोगी की पहचान से जुड़ी कार्रवाई करनी हो (अपॉइंटमेंट बुक करना, notification भेजना, किसी विशिष्ट रोगी रिकॉर्ड को देखना)। उन उपयोग मामलों के लिए, BAA पाथ आवश्यक है।

जहाँ 2026 में healthcare apps में AI अभी भी गलत जाता है

PHI एरर लॉग्स में -- Sentry, Datadog, PostHog, LogRocket। उनके HIPAA टियर के साथ भी, आपके AI एरर पाथ को एरर फायर होने से पहले PHI को स्क्रब करने की आवश्यकता है। अधिकांश टीमें इसे अपने पहले ऑडिट में खोजती हैं, पहले नहीं।
Streaming responses बिना partial-response audit logging के। अगर आप tokens को client तक stream करते हैं और कनेक्शन drop हो जाता है, तो आपके audit log को पता होना चाहिए कि क्या भेजा गया था और क्या नहीं। अधिकांश Next.js streaming AI implementations यह छोड़ देते हैं।
Embedding pipelines जो non-BAA embedding provider को hit करते हैं। Voyage, Cohere, और अधिकांश third-party embedding services के पास शुरुआत में BAA नहीं है। अगर आप vector search के लिए PHI को embed करते हैं, तो embedding कॉल को OpenAI (BAA के साथ) या Azure OpenAI (EA BAA के साथ) पर जाना चाहिए, सस्ते specialty providers पर नहीं।
Function-calling और tool use जो PHI को non-BAA tool पाथ में फिर से लाते हैं। अगर आपका Claude या OpenAI tool-call किसी third-party API को invoke करता है AI की response के लिए, तो उस third party के पास भी आपके stack में BAA होना चाहिए।
Vector stores जो HIPAA-eligible नहीं हैं। Pinecone के पास एक HIPAA tier है; Weaviate Cloud के पास Enterprise में है; AWS पर open-source self-hosted route आपकी जिम्मेदारी है AWS के BAA के अंतर्गत। अगर आप PHI को non-HIPAA vector store में embed करते हैं, तो storage layer violation है चाहे embedding API का compliance कुछ भी हो।

FAQ

क्या ChatGPT HIPAA अनुपालन है?

Consumer ChatGPT (Free, Plus, Pro) किसी भी कॉन्फ़िगरेशन में HIPAA अनुपालन नहीं है और PHI स्वीकार नहीं कर सकता। ChatGPT Enterprise और ChatGPT for Healthcare बिक्री-प्रबंधित उत्पाद हैं जो Business Associate Agreement का समर्थन करते हैं और BAA पर हस्ताक्षर के बाद PHI वर्कफ़्लो के लिए उपयोग किए जा सकते हैं। OpenAI API एक अलग मार्ग है: BAA baa@openai.com के माध्यम से उपलब्ध है, 1 से 2 कार्य दिवसों में प्रतिक्रिया, लेकिन केवल zero-data-retention endpoints ही योग्य हैं।

क्या OpenAI 2026 में HIPAA अनुपालन है?

हाँ, एक हस्ताक्षरित BAA और शून्य डेटा रिटेंशन सक्षम के साथ, योग्य API एंडपॉइंट्स पर। BAA के लिए अनुरोध करने के लिए baa@openai.com को ईमेल करें -- सामान्य प्रतिक्रिया 1-2 व्यावसायिक दिन। ChatGPT Enterprise और ChatGPT for Healthcare भी OpenAI की बिक्री टीम के माध्यम से BAA का समर्थन करते हैं। उपभोक्ता ChatGPT (मुक्त या Plus) BAA-योग्य नहीं है और PHI के लिए उपयोग नहीं किया जा सकता है।

क्या Anthropic Claude HIPAA अनुपालन है?

हाँ, केवल बिक्री-प्रबंधित Enterprise plan पर। self-serve Enterprise tier में BAA शामिल नहीं है। Enterprise मूल्य निर्धारण लगभग $50K/वर्ष न्यूनतम से शुरू होता है। Anthropic ने मार्च 2026 में SOC 2 Type II और HIPAA-readiness प्राप्त किया, इसलिए खरीद मार्ग अब स्पष्ट है, लेकिन OpenAI के API + BAA मार्ग की तुलना में लागत की न्यूनतम सीमा काफी अधिक है।

क्या Azure OpenAI डिफ़ॉल्ट रूप से HIPAA अनुपालन है?

टेक्स्ट इनपुट्स डिफ़ॉल्ट रूप से Microsoft के Enterprise Agreement BAA के तहत कवर होते हैं -- कोई अलग BAA वार्तालाप आवश्यक नहीं है। छवि इनपुट्स (DALL-E, विज़न) मध्य-2026 तक कवर नहीं हैं। GPT-Realtime ऑडियो अभी तक स्कोप में नहीं है। ग्राहकों को VNet अलगाव, निजी एंडपॉइंट्स, Azure AD प्रमाणीकरण, RBAC, और परिनियोजन के लिए सशर्त पहुँच को कॉन्फ़िगर करना चाहिए ताकि यह HIPAA-रक्षायोग्य हो।

क्या मैं Claude.ai या consumer ChatGPT को PHI भेज सकता हूँ?

नहीं। उपभोक्ता Claude.ai सदस्यताएं और उपभोक्ता ChatGPT (मुफ्त, Plus, Pro) BAA का समर्थन नहीं करते हैं और किसी भी कॉन्फ़िगरेशन में HIPAA-अनुपालक नहीं हैं। इन सेवाओं को PHI भेजना HIPAA का उल्लंघन है, चाहे आपकी सदस्यता स्तर कुछ भी हो। BAA के साथ API पाथ, BAA के साथ ChatGPT Enterprise, या BAA के साथ Claude Enterprise का उपयोग करें।

क्या मुझे BAA की आवश्यकता है यदि मैं पहले डेटा को डी-आइडेंटिफाई करूँ?

यदि आपका डेटा HIPAA के Safe Harbor डी-आइडेंटिफिकेशन स्टैंडर्ड को पूरा करता है -- 18 विशिष्ट आइडेंटिफायर्स हटाए गए हैं -- तो डेटा अब HIPAA के तहत PHI नहीं है, और उस डेटा फ्लो के लिए आपको AI विक्रेता के साथ BAA की आवश्यकता नहीं है। डी-आइडेंटिफिकेशन रक्षायोग्य होना चाहिए: अधिकांश टीमें अंडर-डी-आइडेंटिफाई करती हैं और Safe Harbor मान लेती हैं जब उन्होंने वास्तव में सभी 18 आइडेंटिफायर्स को हटाया नहीं होता है। Expert Determination विधि उन मामलों के लिए वैकल्पिक पाथ है जहाँ Safe Harbor बहुत अधिक उपयोगिता को नष्ट कर देगा।

कौन सा वेक्टर डेटाबेस HIPAA को बॉक्स से बाहर समर्थन करता है?

Pinecone के पास इसकी Enterprise योजना पर एक हस्ताक्षरित BAA के साथ एक HIPAA-योग्य स्तर है। Weaviate Cloud Enterprise पर HIPAA का समर्थन करता है। Supabase pgvector Team या Enterprise योजना पर $350/माह HIPAA ऐड-ऑन के साथ HIPAA-योग्य है। AWS या Azure पर स्व-होस्ट किए गए वेक्टर स्टोर क्लाउड प्रदाता के BAA को विरासत में पाते हैं। तीसरे पक्ष के वेक्टर सेवाओं से बचें जो HIPAA स्तर प्रकाशित नहीं करते -- PHI एंबेडिंग्स के लिए उनका उपयोग करना एक उल्लंघन है।Supabase pgvector is HIPAA-eligible on the Team or Enterprise plan with the $350/month HIPAA add-on. Self-hosted vector stores on AWS or Azure inherit the cloud provider's BAA. Avoid third-party vector services that do not publish a HIPAA tier -- using them for PHI embeddings is a violation.

Pick your view

Next.js ऐप्स में HIPAA-अनुपालित AI: Claude, OpenAI, और Azure OpenAI 2026 में