Разработка ПО для медицинских видеоконференций в 2026: HIPAA, создать с нуля или выбрать готовое решение

Зачем Фора Софт написала этот гайд

Фора Софт разрабатывает продукты для видеосвязи в реальном времени с 2005 года. За 625+ выпущенных решений мы внедряли WebRTC в крупных больницах, интегрировались с Epic и Cerner через SMART on FHIR и строили инфраструктуру, соответствующую требованиям HIPAA, на AWS, GCP и Hetzner. Мы видели, как ИТ-директор больницы подписал контракт с Zoom for Healthcare на 22 млн ₽, потому что младший менеджер не понял: BAA защищает только самого Zoom, но не кастомную обёртку, которую его команда добавила сверху. А мы также видели, как сеть из четырёх клиник психического здоровья запустила собственную HIPAA-совместимую видеоплатформу за 14 недель и потратила на это меньше 6 млн ₽ — потому что объём задач был чётко определён с самого начала.

Этот гайд — документ, который мы сами хотели бы получить в первый день. Он основан на реальном опыте, называет конкретных поставщиков и содержит актуальные цифры за 2026 год. Когда мы ссылаемся на кейс или сервис от Форсофт — это потому, что пример действительно влияет на решение, а не ради бэклинка. Прочитайте материал и прямо на этой странице решите для себя: разрабатывать самостоятельно или использовать готовое решение. Если выбрали разработку — позвоните нам или напишите: договоримся о 30-минутной встрече с командой.

Если хочется узнать наше более широкое мнение о медицинском ПО, начните с гайда по комплаенсу и безопасности в медицинском ПО и с подробного разбора HIPAA-совместимой видеоплатформы. Оба материала подготовила та же инженерная команда, которая разрабатывает продакшен для клиентов из сферы медицины и медтехники.

Видеоконференции в медицине в 2026 — срез рынка

Постковидное плато закончилось. Телемедицина теперь — постоянное направление почти в каждой системе здравоохранения США. В 2025 году глобальный рынок телемедицины оценивается в 6–7,5 трлн ₽, а к 2032 году аналитики прогнозируют 16,5–18 трлн ₽ (CAGR 15–19%). Примерно 38–48% американских систем здравоохранения считают телемедицину статьёй постоянной выручки, а не временной мерой, связанной с пандемией. В Европе регламент European Health Data Space (EHDS) обязывает каждую клиническую платформу передавать данные пациента через FHIR R4, и это стирает границу между «вашим видеоинструментом» и «вашей поверхностью интероперабельности».

Задача покупателя в 2026 году — уже не просто «выбрать альтернативу Zoom». Теперь нужно спроектировать платформу видеоконференций для медицины, которая пройдёт аудит HHS в 2026 году, интегрируется хотя бы с одной EHR без сбоев, поддерживает фоновый AI-скрайбинг без утечек PHI и обойдётся дешевле, чем выручка, которую она создаёт. Остальная часть гайда разбирает четыре решения, которые реально влияют на эти расчёты.

Как выглядит качественная платформа видеоконференций для медицины

Платформа, которую CTO сможет защитить в 2026 году, соответствует всем пунктам ниже — неважно, кастомная она или от вендора:

• Сквозное шифрование на медиапути (SRTP + DTLS) и на хранении (AES-256 с ключами, управляемыми KMS, отдельные для каждого тенанта).
• Покрытие BAA для каждого компонента: SFU, TURN, хранилище записей, наблюдаемость, провайдер идентификации, AI-скрайбинг, перевод.
• Обязательная MFA для врачей, администраторов и всех API-интеграций. WebAuthn или TOTP — но не только SMS.
• Неизменяемые журналы аудита в append-only хранилище (S3 Object Lock, GCS Bucket Lock) со сроком хранения 7 лет.
• UI согласия двух сторон для любой записи и обработки AI, с учётом штата и квитанцией о согласии по каждому звонку.
• Запуск из контекста врача в EHR — SMART on FHIR из Epic / Cerner / Athena, без копирования ID пациента.
• 95-й перцентиль времени соединения меньше 5 секунд, MOS выше 4,0, доля сорванных звонков — менее 1%. Хуже — и врачи уходят с платформы за месяц.
• Документированный план реагирования на инциденты: кого оповещать по пейджеру, кто должен уведомить HHS в течение 60 дней, если утечка затронула более 500 записей.

HIPAA в 2026 — что реально меняет NPRM от декабря 2024

Notice of Proposed Rulemaking, выпущенный HHS в декабре 2024 года, — крупнейшее обновление HIPAA Security Rule с 2013 года. Пять требований переходят из категории «рекомендуется» в категорию «обязательно» и кардинально меняют подход к защите медицинского видеостека.

1. Сквозное шифрование больше не опциональное. Любая передача ePHI должна быть защищена сквозным шифрованием с документированным управлением ключами. SRTP + DTLS для медиа, TLS 1.3 для сигнализации, AES-256 для хранения. Обычный HTTP между микросервисами — даже внутри VPC — не пройдёт аудит.

2. MFA обязательна для всего административного и API-доступа. Врачам, администраторам и любой интеграции «сервис – сервис», касающейся PHI, нужен второй фактор аутентификации. Для обмена данными между сервисами используются токены с коротким сроком действия (OAuth 2.0 с короткоживущими JWT). SMS-OTP в одиночку больше не считается надёжным методом.

3. Непрерывная инвентаризация активов и проверка BAA. NPRM требует автоматического обнаружения каждого стороннего SDK, библиотеки и облачного сервиса, обрабатывающего PHI, с подтверждённым BAA для каждого. Классический провал: разработчик подключил Sentry для сбора ошибок — и случайно отправил PHI в стек-трейсы.

4. Ежемесячное сканирование уязвимостей и SLA 48 часов на критические CVE. Системы, обращённые к клиенту, должны сканироваться не реже одного раза в месяц. Критические уязвимости (CVE с CVSS ≥ 9,0) необходимо устранить или закрыть компенсирующими мерами в течение 48 часов. Подходят Snyk, Dependabot, AWS Inspector — при условии сохранения логов.

5. Неизменяемые журналы аудита с форензик-уровнем таймстампов. Хранилище только для добавления записей. Минимум 90 дней — в онлайн-доступе, 7 лет — в архиве. Datadog и Splunk подойдут, если с ними заключён BAA — но в стандартных тарифах Datadog его нет. CloudTrail в связке с S3 Object Lock — надёжный выбор по умолчанию на AWS.

Для деплоев вне США статья 32 GDPR, классификация EU AI Act как «высокий риск» для клинико-решающего видео и обязательная выгрузка FHIR R4 по EHDS добавляют к стоимости инфраструктуры примерно 20–40%. Стандартное решение — хранить данные пациентов из ЕС в европейских регионах (AWS Frankfurt, GCP Belgium, Hetzner Falkenstein) с использованием отдельных ключей KMS.

Разработка или покупка готового — четыре условия, которые меняют выбор

Покупка готового — правильный выбор по умолчанию. Кастомная разработка оправдана, только если выполняются хотя бы три из четырёх условий:

1. Больше 50 врачей и рост. Уже при примерно 50 врачах Zoom for Healthcare и AmWell обходятся дороже, чем эксплуатация собственного кластера LiveKit на двух серверах Hetzner AX-линейки. После 100 врачей разница становится значительной.

2. Две и более EHR или редкая EHR. Вендоры аккуратно интегрируются с Epic и Cerner. Athena — «как повезёт». Meditech, NextGen и региональные EHR — обычно нет. Если вы работаете сразу в двух и более системах EHR, стоимость лицензий на интеграцию у вендоров съедает экономию от покупки готового решения.

3. Клинический сценарий, который вендоры не выпустят. Фоновый AI-скрайбинг под кастомный онкологический шаблон; согласие нескольких сторон для телепсихиатрии с родителем в другом штате; AR-наложения в дерматологии. Любой такой сценарий — и набор готовых решений сокращается до двух-трёх платформ, требующих болезненной настройки.

4. Продукт — это сама платформа. Если вы цифровой здравоохранительный стартап и весь ваш питч строится на видеосвязи, его нельзя арендовать. Инвесторы сочтут защиту нулевой. Остался только один путь — разработка.

Сравнительная матрица — семь решений, реально попадающих в шорт-лист

Все цены — по публичному прайсу 2026 года. Поддержка EHR означает «запуск из контекста врача», а не «есть коннектор Zapier».

Эталонная архитектура видеоплатформы уровня HIPAA

Медицинский видеостек 2026 года состоит из шести слоёв. У каждого — безопасный выбор по умолчанию и одна-две проверенные альтернативы.

Медиаплоскость — SFU + TURN

LiveKit (Apache 2.0) — выбор по умолчанию. Self-hosted на AWS EC2 или Hetzner AX-линейки, покрытие BAA на AWS, около 1,1 млн ₽ в год эксплуатационных расходов на ~500 одновременных врачей. mediasoup — более низкоуровневая альтернатива, когда нужна нестандартная маршрутизация медиа: выбирайте её для AR-наложений, узкоспециализированных сценариев с несколькими потоками или обратной связи под 100 мс. Janus — лёгкий вариант для развёртывания на краю клиники. Мы тестировали все три решения; подробности — в нашем гайде по AI-агентам на LiveKit и разборе альтернативной архитектуры под Agora.io.

Сигнализация и SIP

WebSocket-сигнализация поверх TLS 1.3, токены комнаты на основе JWT, выдаваемые вашим сервисом аутентификации. SIP-транкинг через Asterisk или Kamailio для подключения к устаревшей телефонной системе неизбежен в больничной среде — паттерны интеграции мы разбираем в нашей статье про интеграцию OpenAI Realtime API + WebRTC + SIP.

Идентификация, MFA и авторизация

Okta или Auth0 с приложением BAA, WebAuthn или TOTP, провижининг SCIM из Active Directory больницы. Аутентификация «сервис – сервис» — короткоживущие JWT (TTL 15 минут), подписанные AWS KMS. Никогда только SMS-OTP — SIM-своп уже признан документированным вектором утечки по HIPAA.

Слой данных

AWS RDS PostgreSQL с шифрованием через KMS — используется по умолчанию. Каждое поле с PHI токенизируйте; сопоставление храните в отдельной схеме-хранилище. Данные помещайте в S3 с включённым Object Lock для защиты от изменений и используйте ключи KMS, привязанные к каждому тенанту. Для развёртываний за пределами США подойдут GCP Cloud SQL или Postgres на Hetzner — главное, чтобы ключи KMS находились в том же регионе.

Наблюдаемость без утечек PHI

CloudTrail для AWS API, CloudWatch с фильтрами, обрезающими PHI, и Sentry — только в конфигурации без тел запросов. Datadog и New Relic можно использовать только при наличии дополнительного BAA — стандартные контракты не покрывают PHI. Классическая ошибка: в стек-трейс исключения попадает фамилия пациента из SQL-запроса.

AI-сервисы — скрайбинг, перевод, поддержка решений

Abridge, Suki или Microsoft DAX Copilot для скрайбинга — у всех есть BAA по HIPAA на 2026 год. AWS Transcribe Medical или Google Healthcare Natural Language API — варианты для создания собственных решений. Перевод в реальном времени — через Google Cloud Translation + Speech-to-Text в BAA Workspace или Amazon Translate + Transcribe. Для поддержки клинических решений подключитесь к серверу CDS Hooks и используйте консультативные вызовы через ваш CDR. Не передавайте врачам «сырые» выводы модели без обязательной проверки человеком.

Интеграция с EHR — FHIR R4, SMART on FHIR и где всё ломается

Интеграция с EHR — именно туда уходит основная часть бюджета на медицинское видео. С видеоядром всё понятно. А вот с интеграцией — нет.

Запуск SMART on FHIR — современный подход: Epic, Cerner / Oracle Health и Athenahealth поддерживают сценарий, когда врач запускает ваше видеоприложение прямо из электронной медицинской карты через JWT с данными пациента. Стоимость интеграции — от 3,7 до 13 млн ₽ на каждую систему в зависимости от требований к сертификации. Epic — самая дорогая (6–11 млн ₽), потому что требует разработки по стандарту EMP. Athenahealth — самая доступная (3,7–6 млн ₽), так как API у них изначально построены «с нуля» для работы с внешними приложениями. Meditech — самая сложная и затратная (9–15 млн ₽), потому что часть интерфейсов до сих пор использует устаревший стандарт HL7 v2.

Запись назад через FHIR R4 — передача сводки приёма, клинической записи или метаданных визита обратно в электронную карту — второй ключевой элемент интеграции. Тестирование соответствия для каждой EHR стоит от 375 тыс. до 1,5 млн ₽. Без этого видеозвонки остаются в изоляции, и врачи перестают пользоваться системой.

Где всё ломается: лимит 30 TPS у Epic API в часы пиковой нагрузки, коллизии MRN при интеграции двух EHR с пересекающимися диапазонами числовых ID и расхождения журналов аудита, когда отчёт «кто смотрел эту карту» в EHR не совпадает с тем, что показывает ваша видеоплатформа. На каждое подключение к EHR закладывайте четыре недели послерелизной стабилизации.

Модель затрат — реальные цифры 2026 года для agent engineering

Фора Софт применяет «agent engineering» с использованием Claude и Codex на всём цикле поставки — это позволяет сократить до 25–35% рутинной работы (каркасы тестов, маппинг FHIR, логирование аудита, конфигурация Terraform). Приведённые ниже цифры учитывают это преимущество — они консервативные, а не завышенные.

MVP — 3–5 специальностей, 1 EHR, без AI

Разработка: 3–6,7 млн ₽. Команда: 1 архитектор (0,5 FTE), 2–3 инженера (1,5 FTE), 1 QA (0,5 FTE). Сроки: 3–5 месяцев. Поставка: WebRTC SFU + TURN, MFA + Okta, Postgres + KMS, журналы аудита в S3, запуск SMART on FHIR из одной EHR, базовая панель врача. Эксплуатация в первый год: 750 тыс.–1,5 млн ₽ в месяц.

Средний — мультиспециальность, 1–2 EHR, AI-скрайбинг

Разработка: 11–21 млн ₽. В команду добавляются клинический советник (0,3 FTE), больше QA, отдельный инженер интеграции для второй EHR. Сроки: 6–9 месяцев. Поставка: полный интерфейс для мультиспециальности, поддержка 2 EHR, генерация клинических записей с помощью ИИ (интеграция Abridge или Suki либо собственная реализация на основе Whisper + LLM, если требуется резидентность данных), программа аудита HIPAA. Эксплуатация в первый год: 1,5–2,6 млн ₽ в месяц.

Enterprise — мультитенант, 3+ EHR, полный клинический AI

Разработка: 26–52 млн ₽. Команда: ведущий архитектор, 6–8 инженеров, 2 QA, выделенный комплаенс-офицер, клинический советник. Сроки: 12–18 месяцев. Поставка: мультитенантный SaaS, 3+ интеграции с EHR, AI-скрайбинг, поддержка решений, аудит SOC 2, выделенная команда реагирования на инциденты. Эксплуатация в первый год: 3–6 млн ₽ в месяц. Затраты на интеграцию с EHR (15–45 млн ₽) идут отдельно и зависят от выбранного набора.

Мини-кейс — сеть из четырёх клиник психического здоровья выпускает продукт за 14 недель

Группа из четырёх клиник по поведенческому здоровью с 22 врачами перешла в Форсофт после 14 месяцев использования Zoom for Healthcare. Контракт обходился в 30 000 ₽ за врача в месяц, фоновый AI-скрайбинг оплачивался отдельно по лицензии Abridge — 22 500 ₽ за врача в месяц, а формы интейка оставались в формате PDF. Им нужна была единая платформа: видеосвязь, интейк и скрайбинг — всё под одной HIPAA-совместимой системой.

Мы заложили 14 недель: SFU на базе LiveKit в AWS, Auth0 с приложением BAA и WebAuthn, Postgres с ключами под управлением KMS, S3 + Object Lock для записей, запуск SMART on FHIR из Athenahealth и Whisper + дообученная 8B-модель для фонового скрайбинга, целиком внутри VPC. Три инженера, один QA, архитектор (0,4 FTE) и клинический советник — психиатр с подтверждённой квалификацией (0,2 FTE). Общая стоимость разработки: 5,7 млн ₽.

Итоги через полгода: точность скрайбинга — 89% на выписных эпикризах (бенчмарк Abridge — 91%, разница приемлемая при стоимости эксплуатации в четыре раза ниже), доля сорванных звонков — 0,4%, P95 времени соединения — 3,6 секунды, MOS — 4,3. Годовая экономия на лицензиях по сравнению с прежней связкой Zoom + Abridge — около 13 млн ₽. Разработка окупилась за пять месяцев. Хотите аналогичный результат за 14 недель для вашей команды?

Фреймворк решения — выбираем путь за пять вопросов

Q1. Сколько врачей будет через 24 месяца? Меньше 50 → покупайте готовое. 50–150 → покупайте сейчас, планируйте разработку на 18-й месяц. Больше 150 → разрабатывайте.

Q2. Сколько у вас EHR? Одна популярная EHR (Epic, Cerner) → подойдут готовые интеграции с вендором. Две и больше или любая непопулярная → нужно разрабатывать самостоятельно.

Q3. Есть ли клинический сценарий, который не выпустит ни один вендор? Если да — фоновый скрайбинг под кастомный онкологический шаблон, AR-наложения для дерматологии, согласие телепсихиатрии между штатами — арендовать это нельзя.

Q4. Платформа — ваша дифференциация? Если в вашем инвестпитче ключевое — сам видеоформат, разрабатывайте платформу сами. Если видео — лишь обёртка для другого продукта, покупайте готовое решение.

Q5. Сможете долго тянуть 3 млн ₽ в месяц на эксплуатацию? Если ответ «пока нет», правильный путь — сначала купить готовое, потом развивать. Мы помогали клиентам выстраивать обе фазы так, чтобы первая работа не пропадала зря.

Пять ошибок, которые губят кастомные проекты в медицинском видео

1. TURN-серверы вне зоны BAA. Запустить TURN в дешёвом потребительском облаке или на личном AWS-аккаунте без BAA. Медиа всё равно проходит через него, а BAA задним числом его не покрывает. Что делать: каждый компонент, связанный с медиа или сигнализацией, должен находиться внутри аккаунта с BAA — без исключений.

2. PHI утекает в Datadog, New Relic или Sentry. Стек-трейс с SQL-запросом и фамилией пациента, исключение с ID приёма из-за фича-флага. Что делать: фильтры, обрезающие PHI на источнике; приложение BAA для каждого инструмента наблюдаемости, где хранится PHI; CloudTrail + S3 Object Lock как безопасная альтернатива по умолчанию.

3. Запись без явного согласия двух сторон. Во многих штатах — Калифорнии, Флориде, Пенсильвании и других — требуется согласие всех участников. Общего баннера вроде «присоединяясь, вы соглашаетесь» недостаточно для записи клинической сессии. Что делать: использовать модальное окно с согласием, учитывающее требования штата, и размещать рядом с записью неизменную квитанцию о согласии.

4. Считать BAA Zoom SDK покрытием для собственной обёртки. BAA Zoom отвечает за безопасность клиента Zoom. Ваше кастомное React-приложение со встроенным Zoom SDK — ваша зона ответственности: аутентификация, логирование, управление ключами, весь ваш код. Что делать: провести отдельное ревью безопасности обёртки перед запуском, чётко задокументировать, какие аспекты покрывает Zoom, а какие — вы.

5. Кастомное E2EE без независимого крипто-аудита. Собственная обёртка над AES, ключи с низкой энтропией или уверенность, что TLS + KMS = end-to-end. Что делать: использовать проверенные протоколы (Signal Protocol, SRTP + DTLS, MLS для групповых звонков); провести внешний крипто-аудит (1,1–3 млн ₽) до запуска. Собственную криптографию не пишите.

KPI, по которым видно, что платформа работает на самом деле

Клинические KPI. Доля неявок на приём ниже на 15–25% по сравнению с очным приёмом. Среднее время обработки — 18–25 минут для повторных визитов. Более 70% направлений завершаются в течение 48 часов. Более 80% AI-записей врачи принимают без правок (это единственная метрика, важная для окупаемости AI-скрайбинга).

Бизнес-цели. Доля телемедицины в новых записях — 30–50% за 12 месяцев. Выручка с одного визита — на уровне очного приёма (телемедицина не должна терять 20–30% дохода из-за ошибок в кодировке). Конверсия предложенных визитов в проведённые — выше 85%.

KPI надёжности. Доля сорванных звонков — ниже 1% (цель — 0,5%). MOS выше 4,0. P95 времени соединения — меньше 5 секунд. Полнота журналов аудита — 100%. Пустой час в журнале означает провал аудита. Подробно о методике измерений — в нашем гайде по тестированию качества WebRTC-стримов.

AI-функции — где они окупаются и где утекает PHI

Фоновый клинический скрайбинг — AI-функция с самым высоким ROI в медицинском видео 2026 года. Бенчмарк Abridge — 85–92% точности на выписных эпикризах; Suki — 88–95%; Microsoft DAX Copilot интегрирован с Teams Premium. Своя связка Whisper-Large + дообученная 8B-модель даёт 70–85%, но снижает стоимость эксплуатации примерно до 3 750–11 250 ₽ за врача в месяц. Выбирайте собственную систему только при необходимости резидентности данных; по умолчанию — Abridge или Suki.

Перевод в реальном времени для пациентов, плохо владеющих английским, сокращает среднее время обработки на 12–18% в наших системах. Google Cloud Translation + Speech-to-Text поддерживают более 200 языков в рамках BAA Workspace, медианная задержка — 2 секунды. Для тем, связанных с высоким клиническим риском (онкология, психическое здоровье), используйте API лицензированного переводчика, например Interpretation.com, по тарифу 150–375 ₽/мин — в таких случаях точность важнее скорости.

Поддержка клинических решений через CDS Hooks — алерты по лекарственным взаимодействиям, флаги противопоказаний, оверлеи калькуляторов риска — окупается только тогда, когда проверка человеком обязательна. Выдавайте рекомендации только в консультативном режиме, никогда — автономно. Наш гайд по AI call assistants API описывает паттерны интеграции; ту же архитектуру можно использовать для клинических интерфейсов с обязательным согласием и полным логированием.

Вектор утечки, за которым следить: любая AI-функция, обращающаяся к стороннему API, требует BAA. OpenAI предлагает HIPAA BAA через Enterprise; Anthropic — через Claude for Business; Google — через Workspace; AWS Bedrock — через мастер-BAА AWS. Стандартные эндпоинты API НЕ обрабатывают PHI — это самая частая претензия на аудитах в 2026 году.

Программа комплаенса вокруг платформы

Совместимый стек без программы комплаенса всё равно провалит аудит. Минимально жизнеспособная программа для медицинской видеоплатформы 2026 года:

• Назначенные Privacy Officer и Security Officer — это конкретные люди, а не должности.
• Письменные политики: контроль доступа, реагирование на инциденты, уведомление об утечках данных, использование личных устройств (BYOD), работа с поставщиками, сроки хранения логов.
• Ежегодное обучение сотрудников — основы HIPAA для инженеров, углублённая защита от фишинга для клинического персонала.
• Ежеквартальная ревизия доступа — у кого ещё есть права администратора? Кто уволился, но сохранил доступ через SSO?
• Ежегодная оценка рисков с документированным планом устранения.
• Учения по реагированию на инциденты минимум раз в год — единственный способ проверить, действительно ли 60-дневный счётчик уведомления запускается вовремя.

Большинство digital-health стартапов недооценивают эти затраты. Закладывайте около 3–6 млн ₽ в год на программу, как только в управлении окажется более 1000 пациентских записей. SOC 2 Type II добавляет ещё 1,8–4,5 млн ₽ и всё чаще требуется при закупках в больницах — если вы работаете с enterprise-клиентами, начинайте проходить сертификацию уже в первый год.

Когда НЕ нужно разрабатывать кастомную видеоплатформу для медицины

Есть сценарии, в которых кастомная разработка — не лучший выбор, и мы об этом скажем уже на первом созвоне. Пропустите разработку, если выполняется хотя бы одно из условий:

• Вы ещё не достигли product-market fit. Работаете через Doxy.me или Zoom, пока не поймёте, какой сценарий действительно удерживает пациентов. Слишком ранняя разработка приведёт к переделке, как только нужный сценарий станет ясен.
• У вас меньше 20 врачей и одна популярная EHR-система. Лицензия у поставщика обходится дешевле, чем содержание минимальной инженерной команды.
• Вы не можете финансировать 18 месяцев эксплуатации. Кастомные разработки требуют бюджета на операционную поддержку на второй и третий годы, а не только на саму поставку. Если денег в запасе мало — покупайте готовое решение.
• Нет клинического голоса внутри команды. Без врача в команде вы создадите продукт, которым врачи не станут пользоваться. Нанимайте врача в штат или на контракт до начала проекта.
• Решение по закупке — «Microsoft на всё». Если ваша больница полностью зависит от M365, то Teams Healthcare в комплекте за 1 350–3 750 ₽ на пользователя становится почти неоспоримым с точки зрения TCO. Разрабатывайте только то, чего нет в Teams.

Прагматичный подход — сначала купить, потом разрабатывать

Для большинства растущих систем здравоохранения и digital-health стартапов правильнее двигаться поэтапно. В первый год — использовать Doxy.me или Zoom for Healthcare, чтобы понять клинический сценарий. Во второй год — перейти на кастомный MVP, который реализует уникальный сценарий (интейк, скрайбинг, мультизапуск из EHR), а остальное — покрыть видеоот вендора. С третьего года — строить полноценную кастомную платформу.

Такая последовательность исключает два самых распространённых провала: преждевременную разработку на основе гипотез, которые врачи потом опровергают, и многолетние переплаты за лицензии из-за того, что этап разработки никто не описал честно. Мы помогаем клиентам пройти обе фазы так, чтобы вложения первого года не терялись — полученные знания сразу применяются к объёму разработки.

Если хотите глубже разобраться в вопросе «разработка с нуля или покупка готового решения» для видеопродуктов в целом, наш анализ build vs buy для видеоплатформ применяет те же компромиссы к немедицинским направлениям; особенности медицины — большой объём требований по соответствию нормам и интеграция с системами электронных медицинских карт (EHR) — уже рассмотрены выше.

FAQ

Zoom совместим с HIPAA «из коробки»?

Нет. Обычный Zoom не соответствует требованиям HIPAA. Для работы с медицинскими данными нужен Zoom for Healthcare и подписанное соглашение BAA. Это соглашение защищает только инфраструктуру самого Zoom — всё, что вы делаете поверх: кастомные обёртки, приложения на базе SDK или внешние хранилища записей — остаётся на вашей ответственности и должно соответствовать вашему BAA.

Сколько реально стоит кастомная HIPAA-совместимая видеоплатформа в 2026 году?

MVP с одной EHR и без ИИ обходится в 3–6,7 млн ₽ при скорости разработки через agent engineering. Средний уровень с поддержкой мультиспециальности, 1–2 EHR и AI-скрайбингом — 11–21 млн ₽. Мультитенантный enterprise-решение с 3+ EHR и полным клиническим ИИ — 26–52 млн ₽, плюс интеграция с каждой EHR — 3,7–15 млн ₽ в зависимости от системы. Эксплуатация в первый год добавляет 750 тыс. – 6 млн ₽ в месяц в зависимости от уровня.

Какой WebRTC SFU выбрать для медицинского развертывания?

LiveKit — выбор по умолчанию на 2026 год: зрелый, с лицензией Apache 2.0, хорошо работает при self-hosted на AWS и дружелюбен к BAA, а также хорошо документирован. Используйте mediasoup, если нужна тонкая маршрутизация медиа — например, AR-наложения или сценарии со специалистами с задержкой менее 100 мс. Janus — только для лёгких развёртываний на краю клиники. От коммерческих PaaS SFU вроде Agora стоит воздержаться, пока не появится понятный путь к BAA на уровне контракта.

Нужно ли сквозное шифрование (E2EE) под HIPAA?

Да — NPRM HHS от декабря 2024 года переводит E2EE из рекомендации в обязательное требование. SRTP + DTLS для медиа теперь — минимальная планка. Для групповых звонков формирующимся стандартом становится MLS (Messaging Layer Security). Только TLS между клиентом и SFU в одиночку больше не считается достаточным.

Сколько занимает интеграция с Epic и почему она такая дорогая?

Закладывайте 4–6 месяцев и 6–11 млн ₽. Стоимость складывается из процесса сертификации EMP (Epic-managed program), трудозатрат на тестирование и лимита API в 30 TPS, из-за которого приходится тщательно продумывать повторные попытки и очереди. Athenahealth (3,7–6 млн ₽, 2–3 месяца) и Cerner / Oracle Health (4,5–9 млн ₽, 3–5 месяцев) обычно реализуются быстрее.

Можно ли использовать OpenAI Whisper или GPT для клинического скрайбинга?

Да, но только при использовании OpenAI Enterprise BAA — стандартные эндпоинты OpenAI API не соответствуют требованиям HIPAA. То же самое касается Anthropic Claude (BAA доступен через Claude for Business), Google Gemini (BAA — через Google Workspace) и AWS Bedrock (покрытие обеспечивается через мастер-соглашение AWS). Если развернуть полностью self-hosted Whisper-Large внутри VPC и использовать дообученную open-weight-модель, вы остаётесь под своим BAA, но теряете в точности.

Что добавляет GDPR для американской медицинской платформы, обслуживающей пациентов из ЕС?

Деплой в регионе ЕС с отдельными ключами KMS, Data Processing Agreement с каждым субпроцессором и стандартные договорные условия (SCC) на любые передачи данных обратно в США. EU AI Act классифицирует видео для поддержки клинических решений как «высокий риск»; ждите требований к маркировке прозрачности и документации по тестированию на предвзятость. EHDS добавляет выгрузку FHIR R4. Совокупный рост стоимости инфраструктуры — примерно 20–40% относительно деплоя только в США.

Как обрабатывать межштатные лицензии телемедицины внутри платформы?

Правила лицензирования действуют независимо от платформы — они определяют, кто и в каком штате может работать, — но платформа обязана их соблюдать. Практичный подход: хранить срок действия лицензии каждого врача по штатам, проверять его при записи на приём с учётом штата проживания пациента и блокировать начало консультации, если лицензия недействительна. Каждое такое решение фиксируется в журнале аудита — чтобы при проверке со стороны медицинского совета всё было прозрачно и понятно.

Что читать дальше

Готовы запустить медицинское видео, которое пройдёт аудит 2026 года?

ПО для видеоконференций в медицине в 2026 году — это не выбор между Zoom и Teams. Это задача из четырёх частей: соблюдение NPRM HHS 2024 года, решение «разработать или купить» по четырём жёстким условиям, правильная интеграция с EHR и запуск полноценной программы комплаенса вокруг платформы. Соберите всё это вместе — и получите продукт, который врачи будут использовать, который выдержит аудит HHS и окупится за год.

Фора Софт занимается этим с 2005 года. На этапе «купить и быстро внедрить» или при бюджете на кастомную разработку в 22 млн ₽ — самый выгодный час, который вы потратите на это решение, — первый созвон с командой, которая делала это более 30 раз. Модели стоимости, оценка интеграции с EHR, выбор AI-скрайба — всё дерево решений обсудим на созвоне.