Công ty phát triển AI tuân thủ HIPAA phù hợp nhất với bạn là công ty ký Business Associate Agreement (BAA) trước khi đụng tới PHI, có dự án y tế bạn kiểm chứng được, giao source code và IP bằng văn bản, và báo giá theo cách bạn lập được ngân sách. Hãy chấm mọi ứng viên theo 5 tiêu chí đó, kể cả chúng tôi.
Phần lớn danh sách "top 10 công ty AI y tế" là chỗ đặt quảng cáo trả tiền, hoặc do chính một công ty trong danh sách viết. Bài này cũng do một công ty trong danh sách viết, nên chúng tôi làm hai việc để nó vẫn hữu ích. Một là đặt tiêu chí trước và áp dụng như nhau cho mọi cái tên, kể cả BeevR. Hai là chỉ ghi những gì mỗi công ty tự nói trên website công khai của họ, đọc ngày 12/11/2026. Website không nhắc tới thì chúng tôi ghi rõ là không nhắc. Điều đó không có nghĩa họ không làm được, chỉ là một câu bạn nên hỏi ngay trong cuộc gọi đầu.
Thế nào là một công ty phát triển AI tuân thủ HIPAA?
Không có chứng chỉ nào biến một đơn vị phát triển thành "tuân thủ HIPAA". Một công ty đạt yêu cầu khi đóng vai business associate theo BAA đã ký, bảo vệ PHI bằng các biện pháp Security Rule đòi hỏi, và xây hệ thống của bạn sao cho chính hệ thống đó cũng đáp ứng được các biện pháp ấy. Ai bán "chứng nhận HIPAA" cho phần mềm là đang bán marketing.
Đơn vị phát triển trở thành business associate ngay khi họ tạo, nhận, lưu hoặc truyền PHI thay bạn. Debug bằng dữ liệu production, vận hành môi trường cloud hay hỗ trợ hệ thống đang chạy đều tính. Theo 45 CFR 164.504(e), BAA phải giới hạn việc dùng PHI, buộc có biện pháp bảo vệ, buộc báo cáo sự cố rò rỉ, ràng buộc nhà thầu phụ theo cùng điều khoản, và buộc trả lại hoặc huỷ PHI khi kết thúc hợp đồng. Một công ty trong danh sách dưới đây viết thẳng trên website: "There is no HIPAA certification for software." Câu đó đúng.
Với AI, chuỗi có thêm một mắt xích là model. Nếu PHI đi vào prompt, chỉ mục truy xuất hay log, dịch vụ xử lý nó cũng phải nằm trong BAA. Ví dụ trên AWS, Amazon Bedrock có trong danh sách HIPAA Eligible Services (cập nhật 15/10/2026), nên model có thể chạy dưới BAA AWS mà bạn đã ký. Tài khoản chatbot dành cho người tiêu dùng thì không. Lý do có trong bài ChatGPT có tuân thủ HIPAA không?
Nên so sánh các công ty phát triển AI tuân thủ HIPAA thế nào?
So theo 5 tiêu chí, đúng thứ tự này: ký BAA trước khi truy cập PHI, có khách hàng y tế kiểm chứng được, quyền sở hữu code và IP bằng văn bản, mô hình giá hợp với ngân sách, và đội ngũ đặt ở đâu. Công ty trượt tiêu chí đầu thì loại khỏi danh sách, demo đẹp đến mấy cũng vậy.
1. Có ký BAA không, và ký khi nào
Đừng chỉ hỏi "có ký BAA không", mà hỏi "ký khi nào". Câu trả lời tốt là "trước khi có bất kỳ môi trường nào chứa dữ liệu bệnh nhân thật". Hỏi thêm những nhà thầu phụ và công cụ nào sẽ đụng tới PHI (hosting, nhà cung cấp model, công cụ theo dõi lỗi, nhà cung cấp SMS) và từng bên có BAA chưa.
2. Khách hàng y tế kiểm chứng được
Logo trên trang chủ chỉ là bước đầu. Cái bạn cần là 20 phút gọi điện với một khách hàng đang chạy production hệ thống do công ty đó xây, với bệnh nhân thật. Hãy hỏi người đó tháng đầu cái gì hỏng và được sửa nhanh đến đâu.
3. Quyền sở hữu code và IP
Hợp đồng phải chuyển source code, repository và IP cho bạn, và quyền sở hữu không được phụ thuộc vào hợp đồng bảo trì. Tài khoản cloud, repository và key model phải đứng tên bạn từ ngày đầu. Các bẫy thường gặp có trong bài bạn có sở hữu mã nguồn khi thuê công ty phần mềm?
4. Mô hình giá
Giá cố định theo giai đoạn chuyển rủi ro ước lượng sang bên làm. Time and materials thì rủi ro nằm ở bạn. Cả hai đều có thể trung thực. Điều quan trọng là bên làm có ghi rõ những gì nằm ngoài phạm vi không. Xem bài giá cố định hay tính theo giờ.
5. Đội ngũ đặt ở đâu
Vị trí ảnh hưởng tới chi phí, số giờ trùng với giờ làm việc của bạn và nơi lưu dữ liệu. Nó không quyết định bạn có tuân thủ được hay không. HIPAA không cấm developer offshore. Điều quan trọng là BAA, kiểm soát truy cập, và giữ PHI trong tài khoản cloud ở Mỹ của bạn thay vì trên laptop.
Những công ty nào xây AI và phần mềm tuân thủ HIPAA?
Dưới đây là 5 công ty công khai quảng bá dịch vụ phát triển phần mềm hoặc AI y tế tuân thủ HIPAA, kèm những gì mỗi bên tự viết trên website tính đến 12/11/2026. Danh sách phủ các lựa chọn chính của người mua: boutique tại Mỹ, công ty trụ sở Mỹ có trung tâm phát triển offshore, công ty dịch vụ IT lớn có mảng y tế, và studio offshore do founder trực tiếp dẫn dắt.
| Công ty | Địa điểm (theo website) | BAA trên website | Bằng chứng y tế họ nêu | Giá công bố | Sở hữu code/IP trên website |
|---|---|---|---|---|---|
| LaunchPad Lab | Chicago, IL | Có: ký BAA trước khi làm việc có PHI | Case study nêu tên MD Anderson Cancer Center và Lurie Children's Hospital | Báo giá theo từng dự án; bắt đầu bằng Blueprint Workshop phạm vi cố định; không có gói giá cố định | Hosting trên tài khoản cloud HIPAA-eligible do khách sở hữu; trang này không nói rõ về code |
| Topflight | Địa chỉ Irvine, CA; không nói kỹ sư ở đâu | Có mục "BAAs & compliance documentation" trong dịch vụ HIPAA | Nêu tên Stanford Medicine, Merck; case study mã hoá y khoa GaleAI tích hợp athena | Không có trên trang chủ | Không nêu trên trang chủ |
| ScienceSoft | McKinney (vùng Dallas), TX | Trang y tế không nhắc tới; cần hỏi | Làm IT y tế từ 2005; "150+" dự án y tế; ISO 13485 và ISO 27001 | Ước tính theo phạm vi; ước tính sơ bộ miễn phí | Trang này không nêu |
| Taction Software | Văn phòng ở Mỹ (Chicago, Austin và nơi khác) và trung tâm phát triển ở Noida, Ấn Độ | Có: ký BAA trước khi có môi trường chứa dữ liệu bệnh nhân thật | Nêu dự án cho Voyant Health, PainKare, CHIPSS | Công bố khung giá: MVP $40K–$80K; nền tảng đầy đủ $80K–$200K; enterprise từ $200K | Trang này không nêu |
| BeevR (chúng tôi) | Hà Nội, Việt Nam; đội senior do founder dẫn dắt | Có: ký BAA với tư cách business associate | Một EHR multi-tenant chạy thật ở bốn phòng khám tại Mỹ, khoảng 300 bệnh nhân/ngày; 5.0 trên Clutch. Không công bố tên khách | Phạm vi cố định, giá cố định theo giai đoạn, từ $10K mỗi giai đoạn | Khách sở hữu source code và IP từ ngày đầu; không thu phí theo người dùng |
Cách đọc bảng: "không nêu" nghĩa là trang chúng tôi đọc không nêu. Đó không phải lời chê. Nhiều công ty ở đây có thể trả lời rất tốt trong proposal. Hãy dùng các ô trống làm danh sách câu hỏi cho cuộc gọi đầu. Ngoài ra nên xem hồ sơ Clutch, xin bản tóm tắt penetration test gần nhất và một mẫu BAA.
Nên thuê công ty onshore ở Mỹ hay đội offshore cho dự án HIPAA?
Chọn onshore nếu bạn cần người ngồi cùng phòng, cần chính sách chỉ xử lý dữ liệu tại Mỹ ghi vào hợp đồng, hoặc quy trình mua sắm bắt buộc nhà cung cấp Mỹ. Chọn offshore nếu bạn muốn nhiều năng lực kỹ thuật senior hơn trên mỗi đô la và làm việc bất đồng bộ được, với một khung giờ trùng mỗi ngày. Dù chọn bên nào, PHI vẫn phải nằm trong tài khoản cloud ở Mỹ của bạn.
Vị trí đội ngũ không làm thay đổi mức tuân thủ. Kiểm soát của bạn mới làm thay đổi: ai được vào production, từ thiết bị nào, ghi log thế nào. Một công ty Mỹ để kỹ sư tải database production về laptop rủi ro hơn một đội offshore chỉ chạm được PHI qua quyền truy cập theo vai trò, có audit, vào tài khoản AWS của bạn. Hãy hỏi mọi công ty cùng một câu: "Cho tôi xem kỹ sư vào dữ liệu production bằng cách nào và việc đó được ghi log ở đâu."
Chi phí chênh nhau nhiều. Cục Thống kê Lao động Mỹ (BLS) ghi lương trung vị của software developer là $135,980 (tháng 5/2025), và đó là lương chứ chưa phải giá tính cho khách. Giá senior offshore có trong bài giá thuê ngoài phần mềm tại Việt Nam.
Dấu hiệu nào nên loại ngay một nhà cung cấp AI y tế?
Loại ngay nhà cung cấp không chịu ký BAA, tự nhận có "chứng nhận HIPAA", muốn dùng tài khoản cloud của họ hoặc tài khoản đăng nhập dùng chung cho PHI của bạn, hoặc không giải thích được AI làm gì khi nó sai. Mỗi dấu hiệu cho thấy tuân thủ chỉ là một slide bán hàng chứ không phải cách họ thật sự xây sản phẩm.
- "Chúng tôi có chứng nhận HIPAA." Không có chứng nhận chính thức nào như vậy. Hãy xin chính sách, bản đánh giá rủi ro gần nhất và mẫu BAA.
- Gửi PHI vào model khi chưa có BAA. Hỏi dùng endpoint model nào, theo thoả thuận nào, prompt có bị lưu hay dùng để train không.
- Agent ghi vào EHR mà không cần người duyệt. Với việc liên quan tới lâm sàng hoặc gửi cho bệnh nhân, phải có người xác nhận trước khi ghi hoặc gửi. Xem bài AI có người giám sát.
- Dùng chung tài khoản admin EHR hoặc hệ thống billing. Tích hợp phải qua API chính thức hoặc app connection với quyền hẹp, để mỗi hành động đều truy được ai làm.
- Không có audit trail. Nếu nhà cung cấp không cho xem được ai đã xem gì và lúc nào, bạn không làm được phần rà soát hoạt động mà Security Rule yêu cầu.
- Quyền sở hữu gắn với hợp đồng hỗ trợ. Nếu họ giữ code cho tới khi bạn ký retainer, bạn đang thuê lại chính sản phẩm của mình.
Dự án AI tuân thủ HIPAA năm 2026 tốn bao nhiêu?
Theo các khung giá công bố trên thị trường, một MVP tuân thủ HIPAA khoảng $40K–$80K, còn một nền tảng đầy đủ từ $80K–$200K trở lên. Taction Software là một ví dụ công bố đúng các mức này. Tính theo giờ, công ty tầm trung ở Mỹ tính $100–$300, agency Đông Nam Á $25–$65, theo bảng giá 2026 của FullStack Labs.
BeevR báo giá cố định theo giai đoạn, từ $10K mỗi giai đoạn.
Chi phí vận hành là một dòng riêng, và bạn nên có nó bằng văn bản trước khi ký: hosting cloud, chi phí model (token), gửi tin nhắn, monitoring, backup và giờ hỗ trợ. Tính năng agentic tốn chi phí chạy hơn một khung chat, vì một tác vụ có thể nối nhiều lần gọi model và gọi công cụ. Hãy xin mỗi công ty bản ước tính theo tháng ở mức sử dụng dự kiến của bạn, và mức trần chi phí họ sẽ cài cứng trong code. Chi tiết từng hạng mục có trong bài chi phí ứng dụng HIPAA.
Nên hỏi gì trong cuộc gọi đầu tiên?
Hỏi 7 câu sau và đặt các câu trả lời cạnh nhau. Công ty đáng thuê sẽ trả lời cụ thể cả 7 câu, bằng văn bản, trước khi bạn ký.
- Anh/chị có ký BAA của chúng tôi (hoặc gửi mẫu của anh/chị) trước khi chạm PHI không? Những nhà thầu phụ nào nằm trên đường đi của PHI?
- Chúng tôi có thể nói chuyện với một khách hàng y tế đang chạy hệ thống của anh/chị trên production không?
- Ai sở hữu code, repository, tài khoản cloud và key model từ ngày đầu?
- Phần nào cố định, phần nào không, và thay đổi yêu cầu tính giá thế nào?
- AI làm những việc gì mà không cần người, và phần còn lại chúng tôi duyệt thế nào?
- Mọi hành động được ghi log ở đâu, ai đọc được log?
- Khi đã chạy thật, mỗi tháng tốn bao nhiêu, ghi rõ từng dòng?
BeevR làm việc này thế nào
Chúng tôi là đội senior do founder trực tiếp dẫn dắt ở Hà Nội, xây AI tuân thủ HIPAA cho các tổ chức y tế và startup health-tech ở Mỹ. Chúng tôi ký BAA với tư cách business associate. Model AI có thể chạy trong chính tài khoản AWS của bạn, dưới BAA của AWS, và chỉ phần PHI tối thiểu cần thiết được đưa vào model. Những hành động của agent ghi vào hồ sơ lâm sàng hoặc liên hệ bệnh nhân phải qua bước người duyệt. Quyền truy cập theo vai trò, truy cập khẩn cấp (break-glass) phải ghi lý do và phát cảnh báo, mọi hành động đều vào audit log truy vấn được. Tích hợp đi qua API chính thức với quyền giới hạn, không bao giờ dùng chung tài khoản admin.
Bằng chứng chúng tôi chia sẻ được: một EHR multi-tenant chạy thật ở bốn phòng khám tại Mỹ, khoảng 300 bệnh nhân mỗi ngày, và điểm 5.0 trên Clutch. Điều khoản thương mại: phạm vi cố định, giá cố định theo giai đoạn (từ $10K mỗi giai đoạn), demo chạy được mỗi thứ Sáu, bạn sở hữu source code và IP từ ngày đầu, không thu phí theo người dùng. Xem trang phát triển AI agent tuân thủ HIPAA hoặc cách chúng tôi làm phát triển AI agent cho y tế.
Nếu bạn đang lập danh sách ứng viên, hãy hỏi chúng tôi đúng 7 câu trên. Đặt lịch gọi 30 phút, chúng tôi sẽ trả lời từng câu bằng văn bản.