GLEIF ja DirectTrust kehittävät käytännöllistä mallia todennettavalle organisaatioidentiteetille Yhdysvaltain terveydenhuollossa
Mistä sairaala voi olla varma, mikä organisaatio on tietoja pyytävän digitaalisen järjestelmän takana? Ja miten se voi varmistaa, että lääkäri, työntekijä tai automaattinen sovellus todella toimii sen organisaation puolesta, jota se väittää edustavansa?
Nämä kysymykset korostuvat yhä enemmän, kun sairaalat, laboratoriot, vakuutusyhtiöt ja terveydenhuollon organisaatiot vaihtavat yhä enemmän tietoa digitaalisten järjestelmien kautta.
Global Legal Entity Identifier Foundation (GLEIF) ja DirectTrust, yhdysvaltalainen digitaaliseen luottamukseen terveydenhuollossa keskittyvä organisaatio, ilmoittivat 19. lokakuuta 2026 kumppanuudesta todennettavan organisaatioidentiteetin edistämiseksi Yhdysvaltain terveydenhuollossa.
Aloitteen keskiössä ovat Legal Entity Identifier (LEI) ja sen digitaalinen vastine, verifiable LEI (vLEI).
Kumppanuus menee pidemmälle kuin pelkkä keskustelu siitä, voisiko LEI olla hyödyllinen terveydenhuollossa. Kumppanit ovat tunnistaneet konkreettisia sovelluskohteita aina terveydenhuollon organisaatioiden ja delegoidun valtuutuksen vahvistamisesta digitaalisten tunnistetietojen käyttöön API-yhteyksissä ja automaattisissa transaktioissa.
Aloite merkitsee näin merkittävää askelta LEI:n roolin laajentamisessa rahoituspalveluiden ulkopuolelle.
Terveydenhuollossa on jo tunnisteita – miksi tarvitaan uusi lähestymistapa?
Yhdysvaltain terveydenhuolto nojaa useisiin tunnistejärjestelmiin. Yksi tunnetuimmista on National Provider Identifier (NPI), joka tunnistaa terveydenhuollon palveluntarjoajat hallinnollisissa ja taloudellisissa transaktioissa.
Tunnisteen olemassaolo ei kuitenkaan vastaa kaikkiin kysymyksiin organisaation identiteetistä tai siitä, kuka voi toimia sen puolesta.
Terveydenhuollon organisaatioilla on usein monimutkaisia rakenteita. Esimerkiksi sairaala voi kuulua suurempaan konserniin, toimia useassa toimipaikassa, ulkoistaa laboratoriopalveluja ja yhdistää järjestelmänsä ulkoisiin teknologiatoimittajiin.
Terveydenhuollon palveluntarjoaja, hoidon tapahtumapaikka ja palvelusta vastaava oikeushenkilö eivät välttämättä ole sama asia.
Kun kaksi järjestelmää kommunikoi, herää useita kysymyksiä. Mikä oikeushenkilö on transaktion takana? Onko kukaan varmistanut sen identiteetin? Kuka toimii sen puolesta, ja millainen valtuutus hänellä on?
Nykyiset terveydenhuollon tunnisteet eivät anna yhtä vastausta kaikkiin näihin kysymyksiin. Esimerkiksi NPI tunnistaa palveluntarjoajan, mutta se ei välttämättä määritä tarkkaa oikeushenkilöä tietyn terveydenhuoltotoiminnan takana. Tämä luo käytännön tarpeen täydentävälle tavalle vahvistaa organisaation identiteetti.
DirectTrust käsitteli tätä haastetta ViVE 2026 -terveydenhuoltokonferenssissa helmikuussa, istunnossa nimeltä ”No Identity, No Interop”. Keskustelussa pohdittiin, miten todennettava organisaatioidentiteetti voisi täydentää nykyisiä tunnisteita, mukaan lukien LEI:n ja vLEI:n mahdollinen rooli.
Lokakuussa 2026 GLEIF ja DirectTrust ilmoittivat kumppanuudestaan kehittääkseen tätä lähestymistapaa edelleen.
Neljä käytännön aluetta, joilla LEI ja vLEI voisivat tehdä eron
GLEIF:n ja DirectTrustin kumppanuus tunnistaa neljä aluetta todennettavan organisaatioidentiteetin soveltamiselle terveydenhuollossa.
1. Terveydenhuollon organisaatioiden vahvistaminen
LEI tarjoaa maailmanlaajuisesti tunnustetun tunnisteen, joka on linkitetty oikeushenkilöä koskeviin viitetietoihin.
Sähköisissä terveydenhuoltotransaktioissa tämä voi auttaa osapuolia määrittämään, mikä organisaatio on vuorovaikutuksen takana. Heidän ei enää tarvitsisi luottaa kokonaan erillisiin hakemistoihin tai kahdenvälisiin sopimuksiin.
2. Ihmisten ja digitaalisten järjestelmien yhdistäminen vastuullisiin organisaatioihin
Ihmiset eivät ole ainoita, jotka käynnistävät terveydenhuollon transaktioita. Myös ohjelmistosovellukset, automaattiset järjestelmät ja yhä useammin tekoälyä hyödyntävät työkalut vaihtavat tietoa ja käynnistävät pyyntöjä.
Aloitteen tavoitteena on auttaa osapuolia määrittämään, mikä vahvistettu organisaatio vastaa näistä vuorovaikutuksista.
3. Organisaation roolien ja delegoidun valtuutuksen todistaminen
vLEI laajentaa organisaation vahvistetun identiteetin digitaalisiksi tunnistetiedoiksi, jotka osapuolet voivat tarkistaa kryptografisesti.
Esimerkiksi valtuutettu sairaalan edustaja voisi esittää tunnistetiedon, joka osoittaa hänen yhteytensä sairaalaan ja hänen määritellyn organisaatioroolinsa. Ehdotettu malli kattaa myös käyttöoikeudet ja terveydenhuoltokohtaiset käyttötarkoitukset, mikä auttaa muita osapuolia vahvistamaan paitsi mukana olevan organisaation myös tiettyyn vuorovaikutukseen liittyvän valtuutuksen.
4. Tunnistetietojen käyttö jokapäiväisissä digitaalisissa transaktioissa
Suunnitellut sovellukset sisältävät turvallisen viestinnän, API-yhteydet ja automaattiset työnkulut.
Tämä on merkityksellistä, koska yhä suurempi osa terveydenhuollon tietojenvaihdosta tapahtuu suoraan järjestelmien välillä, usein ilman, että kukaan tarkistaa jokaista transaktiota.
Näin ollen yhteinen lähestymistapa todennettavaan identiteettiin voisi vähentää tarvetta rakentaa jokaiselle uudelle kumppanille erillinen identiteettitarkistus.
Yhdessä nämä käyttötapaukset osoittavat aloitteen käytännön suunnan. Tavoitteena ei ole pelkästään antaa terveydenhuollon organisaatioille jälleen yksi tunniste. Sen sijaan kumppanit haluavat tehdä vahvistetusta organisaatioidentiteetistä hyödyllisen niissä digitaalisissa transaktioissa, joita organisaatiot tekevät päivittäin.
Miten GLEIF ja DirectTrust aikovat viedä mallin käytäntöön
Tärkeä osa kumppanuutta on uuden Qualification Agent -mallin kehittäminen.
Nykyisessä vLEI-kehyksessä Qualified vLEI Issuers (QVI:t) myöntävät digitaalisia tunnistetietoja. Näiden organisaatioiden on läpäistävä GLEIF:n pätevöitymisprosessi ennen kuin ne voivat myöntää tunnistetietoja.
GLEIF ylläpitää jo julkista listaa pätevöidyistä vLEI-myöntäjistä. Tämä osoittaa, että tunnistetieto-ekosysteemi on jo olemassa.
Uuden mallin tavoitteena on auttaa tätä ekosysteemiä laajentumaan sektoreille, joilla on jo omat sertifiointi- ja akkreditointiverkostonsa.
Ehdotetussa rakenteessa GLEIF pätevöisi Qualification Agent -toimijoita. Nämä toimijat voisivat sitten pätevöidä vLEI-myöntäjiä omissa verkostoissaan. GLEIF valvoisi Qualification Agent -toimijoita, kun taas kukin toimija valvoisi itse pätevöimiään myöntäjiä.
DirectTrust tuo mukanaan kokemusta terveydenhuollon akkreditoinnista, sertifioinnista ja digitaalisen identiteetin varmentamisesta. GLEIF puolestaan tuo kansainvälisen organisaatioidentiteetin kehyksen ja vLEI:n hallintorakenteen.
Kumppanit kehittävät parhaillaan tämän ehdotetun mallin pätevöitymis-, hallinto- ja valvontavaatimuksia. DirectTrustin odotetaan hakevan Qualification Agent -pätevöintiä, edellyttäen vaaditun prosessin läpäisyä. Uuden kehyksen on tarkoitus täydentää nykyisiä pätevöintijärjestelyjä, ei korvata niitä.
Tämä on merkittävä osa kokonaisuutta. Kumppanit eivät ehdota pelkästään teknistä ratkaisua. He työstävät myös tapaa viedä se käytäntöön organisaatioiden ja luottamusverkostojen kautta, jotka jo toimivat terveydenhuollossa.
Käytännössä tämä voisi helpottaa käyttöönottoa verrattuna siihen, että jokaisen terveydenhuollon organisaation pitäisi rakentaa täysin uusi luottamusjärjestely tyhjästä.
Vahvistettu identiteetti ei ole sama asia kuin pääsy potilastietoihin
Henkilön organisaatioroolin todistamisen ja lääketieteellisiin tietoihin pääsyn myöntämisen välillä on tärkeä ero.
Digitaalinen tunnistetieto voi vahvistaa, että henkilö on tietyn sairaalan valtuutettu edustaja. Se ei kuitenkaan automaattisesti anna hänelle oikeutta tarkastella potilaan sairauskertomusta.
Pääsy terveystietoihin riippuu edelleen terveydenhuoltolainsäädännöstä, potilaan ja palveluntarjoajan välisestä suhteesta sekä kyseisen tietojärjestelmän käyttöoikeussäännöistä.
Ero on selkeä.
LEI tunnistaa oikeushenkilön. vLEI voi auttaa vahvistamaan sen puolesta toimivan henkilön identiteetin ja organisaatioroolin. Erilliset valtuutuksen valvontamekanismit määräävät edelleen, voiko kyseinen henkilö päästä käsiksi potilastietoihin.
Juuri tässä piilee vLEI:n potentiaalinen arvo. Sen ei tarvitse korvata nykyisiä terveydenhuollon tietoturvajärjestelmiä. Sen sijaan se voi tarjota näille järjestelmille todennettavan perustan sen määrittämiseksi, kuka toimii ja mitä organisaatiota hän edustaa.
Eurooppa ratkoo samankaltaista haastetta
Tarve luotettavalle digitaaliselle identiteetille ei rajoitu vain Yhdysvaltain terveydenhuoltoon.
Euroopan unioni kehittää European Health Data Space (EHDS) -kehystä, jonka tarkoituksena on parantaa sähköisten terveystietojen saatavuutta ja vaihtoa.
MyHealth@EU-järjestelmän kautta osallistujamaat vaihtavat jo tiettyjä terveystietoja rajojen yli, mukaan lukien sähköiset reseptit ja potilasyhteenvedot.
EU on myös ottanut käyttöön tarkempia sääntöjä identiteetin vahvistamiselle.
Syyskuussa 2026 Euroopan komissio antoi täytäntöönpanoasetuksen (EU) 2026/2099, jossa säädetään vaatimuksista potilaiden, terveydenhuollon ammattilaisten ja palveluntarjoajien yhteentoimivalle rajat ylittävälle tunnistamiselle ja todentamiselle.
Asetus tuli voimaan lokakuussa 2026 ja sitä sovelletaan pääosin 26. maaliskuuta 2027 alkaen. Tietyt säännökset, kuten eurooppalaisten digitaalisten identiteettilompakoiden käyttöä koskevat säännökset, tulevat sovellettaviksi 26. maaliskuuta 2029.
Yhdysvallat ja Eurooppa käsittelevät siis toisiinsa liittyviä kysymyksiä. Miten organisaatiot ja yksilöt voivat luotettavasti vahvistaa identiteettinsä, kun terveystiedot liikkuvat eri järjestelmien ja laitosten välillä?
Lähestymistavat kuitenkin eroavat toisistaan.
Eurooppa rakentaa yhteentoimivuutta kansallisten identiteettijärjestelmien ja rajat ylittävän terveystietoinfrastruktuurin ympärille. GLEIF:n ja DirectTrustin Yhdysvaltain-aloite puolestaan tutkii mallia, joka perustuu kansainvälisesti todennettavaan organisaatioidentiteettiin ja roolikohtaisiin tunnistetietoihin.
EHDS ei velvoita terveydenhuollon organisaatioita käyttämään LEI- tai vLEI-tunnisteita.
Yhtäläisyys on silti kuvaava. Molemmat kehityskulut heijastavat kasvavaa tunnustusta siitä, että terveystietojen turvallinen vaihto vaatii enemmän kuin turvallisia teknisiä yhteyksiä. Myös vaihtoon osallistuvien tahojen identiteetin ja valtuutuksen on oltava luotettavia.
Voisiko terveydenhuollosta tulla LEI:n seuraava merkittävä sektori?
GLEIF:n ja DirectTrustin kumppanuus on merkittävä kauas terveydenhuoltoalan ulkopuolelle.
LEI tunnetaan parhaiten roolistaan rahoitusmarkkinoilla, joilla se tukee oikeushenkilöiden tunnistamista ja sääntelyraportointia. Terveydenhuollossa ehdotettu sovellus on kuitenkin erilainen.
Keskeinen kysymys on, miten vahvistetaan jokapäiväiseen tietojenvaihtoon osallistuvat organisaatiot, ihmiset ja digitaaliset järjestelmät.
Tämä korostuu erityisesti, kun automaattiset työnkulut ja tekoälyagentit ottavat hoitaakseen yhä useampia tehtäviä.
Jos esimerkiksi ohjelmistoagentti pyytää tietoja tai käynnistää transaktion terveydenhuollon organisaation puolesta, vastaanottavan järjestelmän on voitava luotettavasti määrittää, mikä organisaatio sen takana seisoo ja minkä valtuutuksen organisaatio on sille delegoinut.
GLEIF:n ja DirectTrustin aloite liittää tämän haasteen jo olemassa olevaan kansainväliseen identiteettikehykseen.
Seuraava koetinkivi on muuttaa ehdotettu pätevöintimalli käytännön toteutuksiksi terveydenhuollon organisaatioiden ja teknologiatoimittajien kanssa. Lokakuun ilmoitus ei vielä osoita, että vLEI-pohjaisia sairaalapilotteja olisi käynnissä. Se kuitenkin tunnistaa konkreettisia sovelluskohteita ja etenemistien niiden käyttöönotolle.
Tässä on myös laajempi opetus.
Terveydenhuolto ei välttämättä tarvitse jälleen yhtä erillistä tunnistejärjestelmää. Se tarvitsee parempia tapoja rakentaa luottamusta organisaatioiden, ihmisten ja teknologia-alustojen välille, jotka jo käyttävät eri järjestelmiä.
Juuri siinä kansainvälisesti todennettava organisaatioidentiteetti voisi osoittautua arvokkaaksi.
Yhdysvaltain terveydenhuollosta voisi tulla yksi tärkeimmistä vLEI:n tosielämän testeistä rahoituspalveluiden ulkopuolella. Kysymys ei enää ole siitä, voisiko vahvistettu organisaatioidentiteetti olla hyödyllinen terveydenhuollossa, vaan siitä, pystyvätkö GLEIF ja DirectTrust muuttamaan ehdottamansa mallin joksikin, jota terveydenhuollon organisaatiot käyttävät päivittäin.