Pitanje koje dobijemo gotovo na svakom prodajnom pozivu: „jeste li HIPAA-certificirani?“ Iskreni odgovor jest da HIPAA ne certificira proizvode. Dobavljači mogu biti usklađeni sa zahtjevima HIPAA-inih zaštita, ali nijedno državno tijelo ne izdaje žig „HIPAA-certified“.
Isti obrazac vidimo i s GDPR-om, EU AI Actom, ISO 27001 i SOC 2. Neki od njih imaju certifikacijska tijela (ISO, SOC 2). Neki imaju put do certifikacije (EU AI Act, MDR). A neki su čisti regulatorni okviri prema kojima se tvrtka mora dizajnirati i sama se revidirati.
Naše interno pravilo: opisujemo svoju poziciju iskreno. Koristimo ove riječi, a ne one.
Kažemo „implementirano“ kada je kontrola živa u proizvodu i možemo je pokazati. Kažemo „put do spremnosti“ kada radimo na tome da steknemo certifikat, ali ga još nemamo. Kažemo „dizajnirano u skladu s“ kada smo gradili prema okviru, ali okvir sam ne certificira proizvode. Ne kažemo „certificirano“, „usklađeno“ ili „revidirano“ bez imenovanja konkretnog certifikacijskog tijela i datuma izvješća o reviziji.
Disciplina je važna jer smo dobavljač kliničkog AI-ja, a riječi koje koristimo u marketinškim materijalima završavaju u nabavnim procjenama klinika. Kada kupac vjeruje našem opisu naše pozicije, treba ga moći uzeti zdravo za gotovo.