Ce que la HIPAA exige d'un système téléphonique
Un patient divulgue des informations de santé protégées dès l'instant où il donne un nom et un motif d'appel. Cela fait entrer le service de permanence téléphonique dans le champ de la réglementation en tant que business associate, et quatre obligations en découlent.
Un BAA signé est le premier, et celui que les gens sautent. Ensuite le chiffrement des données en transit et au repos — l'audio, la transcription et tout ce qui est écrit dans vos systèmes. Ensuite le contrôle d'accès avec une piste d'audit, pour que vous puissiez dire qui a consulté un dossier donné. Ensuite une politique de rétention avec un mécanisme derrière, car une politique annoncée sans tâche de suppression est une déclaration d'intention.
Deux choses que la HIPAA n'exige pas, mais que les fournisseurs laissent souvent entendre le contraire : un rapport SOC 2 et une quelconque certification. Ce sont des preuves utiles d'une pratique de sécurité générale, mais ce n'est pas la réglementation.
Le BAA et qui le signe
L'entité couverte — votre cabinet — signe avec chaque business associate qui touche aux PHI. Cela inclut le service de permanence téléphonique, et cela inclut toute partie à qui ce service transmet les données, ce qui est le maillon de la chaîne que la plupart des évaluations ne remontent pas. Un agent IA a un fournisseur de modèle derrière lui, et son comportement en matière de conservation fait partie de votre exposition, qu'il figure ou non dans votre contrat.
Finn signe des BAA pour les engagements entreprise qui traitent des PHI, par engagement plutôt que comme clause générale sur chaque forfait, à demander via le trust centre. Signez-le avant tout transfert de données patient. Un BAA conclu après coup ne couvre pas rétroactivement ce qui s'est déjà produit.
Il vaut la peine d'être clair sur l'endroit où passe la ligne : le fournisseur est responsable des contrôles de la plateforme, et vous restez responsable de l'usage que vous en faites — quels appels vous passez, sur quelle base, à qui. Cette répartition est exposée dans les consignes de consentement et juridiques, et aucun fournisseur ne peut vous en décharger.
Les PHI dans les transcriptions et les enregistrements
C'est là que les services de permanence téléphonique par IA diffèrent nettement des services humains, et c'est là que l'évaluation doit se concentrer. Un service humain produit un message : une note courte et filtrée que quelqu'un a saisie. Un service IA produit une transcription mot pour mot de tout ce que le patient a dit, plus l'audio, plus les données structurées extraites — plusieurs copies des mêmes PHI dans différents systèmes, chacune avec son propre comportement de conservation.
Plus de données n'est pas automatiquement pire ; une transcription est réellement plus utile et plus auditable qu'une paraphrase. Mais cela fait plus de surface d'exposition, et il faut la traiter comme telle. Finn chiffre les enregistrements, les transcriptions et les données personnelles avec AES-256 au repos et TLS 1.3 en transit par défaut, et peut masquer automatiquement les numéros de carte, les numéros de sécurité sociale et les identifiants de compte dans les transcriptions, avec des motifs personnalisés pour tout ce qui est propre à votre organisation — de sorte que certaines catégories ne sont jamais conservées sous forme lisible.
La couche modèle est la partie que la plupart des évaluations oublient. Finn n'entraîne pas ses modèles sur les données clients et utilise des API de modèles à rétention zéro, ce qui signifie que l'audio n'est pas conservé par le fournisseur de modèle après l'appel. Posez cette question précise à chaque fournisseur, car « nous ne nous entraînons pas sur vos données » et « nos sous-traitants ne les conservent pas » sont deux affirmations différentes, et une seule est généralement faite.
Conservation et contrôle d'accès
Un contrôle d'accès ne vaut que ce que vous pouvez prouver. Finn inscrit chaque accès aux données dans un journal d'audit immuable et exportable, aux côtés des appels API et des changements de configuration, ce qui est l'élément qui compte lors d'une enquête — la question n'est jamais « avez-vous des contrôles d'accès » mais « montrez-moi qui a ouvert ce dossier ».
Sur les certifications, clairement : Finn détient les certifications ISO/IEC 27001:2022 et ISO/IEC 20000-1:2018. Finn n'est pas attesté SOC 2 à ce jour — un audit est en cours avec A-LIGN et le rapport est attendu en août 2026. C'est indiqué ici pour la raison même qui justifie cette page : un guide qui vous dit d'interroger les affirmations des fournisseurs n'a pas à rester vague sur les siennes.
Check-list
Six questions à poser à tout fournisseur, Finn compris. Les réponses sont plus révélatrices que la page conformité.
- 1
Signerez-vous un BAA, et à partir de quel forfait ?
Si la réponse implique une montée en gamme, c'est un prix, pas une posture de conformité. Faites mettre le palier par écrit.
- 2
Qu'est-ce qui est chiffré exactement, et où sont les clés ?
« Chiffré » sans complément n'est pas une réponse. Posez la question séparément pour l'audio, les transcriptions, les sauvegardes et les logs.
- 3
Combien de temps les enregistrements et les transcriptions sont-ils conservés, et qu'est-ce qui les supprime ?
Une politique de rétention sans mécanisme de suppression est une déclaration d'intention.
- 4
Vos fournisseurs de modèles conservent-ils l'audio ou s'en servent-ils pour l'entraînement ?
Les sous-traitants ultérieurs de votre fournisseur constituent votre exposition. Posez la question sur la couche modèle en particulier, pas seulement sur la plateforme.
- 5
Pouvez-vous produire un journal d'accès pour un enregistrement précis ?
Le test consiste à savoir s'ils peuvent vous montrer qui a lu une transcription donnée, pas si la journalisation existe en principe.
- 6
Quelles certifications détenez-vous aujourd'hui, et lesquelles sont en cours ?
« En cours » est acceptable et fréquent. « Conforme », employé pour laisser entendre un audit que personne n'a terminé, ne l'est pas.
