Qué exige HIPAA a un sistema telefónico
Un paciente revela información médica protegida en cuanto da su nombre y el motivo de la llamada. Eso sitúa al servicio de contestación dentro de la regulación como business associate, y de ahí se derivan cuatro obligaciones.
Un BAA firmado es lo primero y lo que la gente se salta. Después, el cifrado de los datos en tránsito y en reposo: el audio, la transcripción y todo lo que se escriba en tus sistemas. Después, control de acceso con registro de auditoría, para que puedas decir quién leyó un registro determinado. Después, una política de retención con un mecanismo detrás, porque una política declarada sin un proceso de borrado es una declaración de intenciones.
Dos cosas que HIPAA no exige, aunque los proveedores suelen dar a entender que sí: un informe SOC 2 y cualquier certificación concreta. Son evidencia útil de una práctica de seguridad general, pero no son la regulación.
El BAA y quién lo firma
La entidad cubierta —su consulta— lo firma con cada business associate que toca PHI. Eso incluye al servicio de contestación, e incluye a cualquiera a quien el servicio de contestación pase los datos, que es el eslabón de la cadena donde se detienen la mayoría de las evaluaciones. Detrás de un agente de IA hay un proveedor de modelos, y su comportamiento de retención forma parte de su exposición, aparezca o no en su contrato.
Finn firma BAA para contratos empresariales que procesan PHI, por contrato y no como cláusula general en todos los planes, solicitados a través del centro de confianza. Fírmalo antes de que se mueva cualquier dato de pacientes. Un BAA acordado después no cubre retroactivamente lo que ya ocurrió.
Conviene dejar claro dónde está la línea: el proveedor responde por los controles de la plataforma, y tú sigues siendo responsable de lo que hagas con ella: qué llamadas realizas, con qué base y a quién. Esa división está expuesta en la guía de consentimiento y aspectos legales, y ningún proveedor puede asumir esa mitad por ti.
PHI en transcripciones y grabaciones
Aquí es donde los servicios de contestación con IA se diferencian de forma sustancial de los humanos, y donde debería concentrarse la evaluación. Un servicio humano produce un mensaje: una nota breve y depurada que alguien escribió. Un servicio con IA produce una transcripción literal de todo lo que dijo el paciente, más el audio, más los datos estructurados que se hayan extraído: varias copias de la misma PHI en sistemas distintos, cada uno con su propio comportamiento de retención.
Más datos no es automáticamente peor; una transcripción es realmente más útil y más auditable que una paráfrasis. Pero es más superficie de exposición, y hay que tratarla como tal. Finn cifra grabaciones, transcripciones y PII con AES-256 en reposo y TLS 1.3 en tránsito de forma predeterminada, y puede redactar automáticamente números de tarjeta, SSN e identificadores de cuenta de las transcripciones con patrones personalizados para lo que sea específico de su organización, de modo que algunas categorías nunca llegan a almacenarse en forma legible.
La capa del modelo es la parte que se le escapa a la mayoría de las revisiones. Finn no entrena con datos de clientes y usa API de modelos con retención cero, lo que significa que el proveedor del modelo no conserva el audio después de la llamada. Haga esa pregunta concreta a todos los proveedores, porque «no entrenamos con sus datos» y «nuestros subprocesadores no los retienen» son dos afirmaciones distintas y normalmente solo se hace una.
Retención y control de acceso
El control de acceso solo vale lo que se pueda demostrar. Finn registra cada acceso a los datos en un log de auditoría inmutable y exportable, junto con las llamadas a la API y los cambios de configuración, que es el artefacto que importa en una investigación: la pregunta nunca es «¿tienen controles de acceso?», sino «muéstrenme quién abrió este registro».
Sobre certificaciones, con claridad: Finn tiene ISO/IEC 27001:2022 e ISO/IEC 20000-1:2018. Finn no cuenta hoy con la atestación SOC 2: hay una auditoría en curso con A-LIGN y el informe se espera en agosto de 2026. Se indica aquí por la misma razón por la que existe esta página: una guía que te dice que interrogues las afirmaciones de los proveedores no puede ser vaga sobre las propias.
Lista de comprobación
Seis preguntas para plantear a cualquier proveedor, Finn incluido. Las respuestas son más reveladoras que la página de cumplimiento.
- 1
¿Firmarán un BAA, y en qué plan?
Si la respuesta implica una actualización de plan, eso es un precio, no una postura de cumplimiento. Consigue el nivel por escrito.
- 2
¿Qué se cifra exactamente, y dónde están las claves?
«Cifrado» sin objeto no es una respuesta. Pregunta por el audio, las transcripciones, las copias de seguridad y los registros por separado.
- 3
¿Cuánto tiempo se conservan las grabaciones y las transcripciones, y qué las elimina?
Una política de retención sin mecanismo de eliminación es una declaración de intenciones.
- 4
¿Sus proveedores de modelos conservan el audio o entrenan con él?
Los subencargados de tu proveedor son tu exposición. Pregunta por la capa del modelo en concreto, no solo por la plataforma.
- 5
¿Pueden generar un registro de accesos para un registro concreto?
La prueba es si pueden mostrarte quién leyó una transcripción concreta, no si el registro existe en principio.
- 6
¿Qué certificaciones tienen hoy, y cuáles están en curso?
«En curso» está bien y es habitual. «Conforme», usado para dar a entender una auditoría que nadie ha completado, no.
