Che cosa richiede HIPAA a un sistema telefonico
Un paziente comunica informazioni sanitarie protette nel momento in cui dà un nome e un motivo della chiamata. Questo porta il servizio di risposta dentro il perimetro della norma come business associate, e ne derivano quattro obblighi.
Un BAA firmato è il primo requisito, ed è quello che le persone saltano. Poi la cifratura dei dati in transito e a riposo — l'audio, la trascrizione e tutto ciò che viene scritto nei vostri sistemi. Poi il controllo degli accessi con una traccia di audit, così da poter dire chi ha letto un determinato record. Poi una politica di conservazione con un meccanismo che la applica, perché una politica dichiarata senza un processo di cancellazione è una dichiarazione di intenti.
Due cose che HIPAA non richiede, ma che i fornitori spesso lasciano intendere come obbligatorie: un report SOC 2 e una qualsiasi certificazione specifica. Sono prove utili di buone pratiche di sicurezza generali, ma non sono la norma.
Il BAA e chi lo firma
L'entità coperta — il vostro studio — lo firma con ogni business associate che tratta PHI. Questo include il servizio di risposta e chiunque il servizio di risposta trasmetta i dati, che è l'anello su cui gran parte delle valutazioni si ferma. Dietro un agente AI c'è un fornitore del modello, e il suo comportamento di conservazione dei dati fa parte della vostra esposizione, che compaia o meno nel vostro contratto.
Finn stipula BAA per i contratti enterprise che trattano PHI, per singolo contratto anziché come clausola generale su ogni piano, richiedibili tramite il trust centre. Firmatelo prima che qualsiasi dato dei pazienti venga trasferito. Un BAA concordato in seguito non copre retroattivamente ciò che è già avvenuto.
Vale la pena chiarire dove passa il confine: il fornitore è responsabile dei controlli della piattaforma, e voi restate responsabili dell'uso che ne fate — quali chiamate effettuate, su quale base, verso chi. Questa divisione è illustrata nelle linee guida su consenso e aspetti legali, e nessun fornitore può assumersi la vostra metà.
PHI in trascrizioni e registrazioni
È qui che i servizi di risposta AI differiscono in modo sostanziale da quelli umani, ed è qui che la valutazione dovrebbe concentrarsi. Un servizio umano produce un messaggio: una nota breve e curata scritta da qualcuno. Un servizio AI produce una trascrizione letterale di tutto ciò che il paziente ha detto, più l'audio, più i dati strutturati estratti — diverse copie delle stesse PHI in sistemi diversi, ciascuno con il proprio comportamento di conservazione.
Più dati non significa automaticamente peggio; una trascrizione è davvero più utile e più verificabile di una parafrasi. Ma è più superficie esposta, e va trattata come tale. Finn cifra registrazioni, trascrizioni e PII con AES-256 a riposo e TLS 1.3 in transito per impostazione predefinita, e può oscurare automaticamente numeri di carta, codici fiscali e identificativi di conto dalle trascrizioni, con pattern personalizzati per qualsiasi elemento specifico della vostra organizzazione — così alcune categorie non vengono mai conservate in forma leggibile.
Il livello del modello è la parte che la maggior parte delle verifiche trascura. Finn non addestra sui dati dei clienti e usa API del modello a conservazione zero, il che significa che l'audio non resta al fornitore del modello dopo la chiamata. Ponete questa domanda in modo esplicito a ogni fornitore, perché «non addestriamo sui vostri dati» e «i nostri subresponsabili non li conservano» sono due affermazioni diverse e di solito ne viene fatta una sola.
Conservazione e controllo degli accessi
Il controllo degli accessi vale solo quanto riuscite a dimostrare. Finn registra ogni accesso ai dati in un log di audit immutabile ed esportabile, insieme alle chiamate API e alle modifiche di configurazione: è questo l'elemento che conta in un'indagine — la domanda non è mai «avete controlli di accesso» ma «mostratemi chi ha aperto questo record».
Sulle certificazioni, in breve: Finn possiede ISO/IEC 27001:2022 e ISO/IEC 20000-1:2018. Finn non ha oggi un'attestazione SOC 2 — un audit è in corso con A-LIGN e il report è atteso ad agosto 2026. Lo indichiamo qui per la stessa ragione per cui esiste questa pagina: una guida che vi dice di interrogare le dichiarazioni dei fornitori non può essere vaga sulle proprie.
Checklist
Sei domande da porre a qualsiasi fornitore, Finn incluso. Le risposte dicono più della pagina sulla conformità.
- 1
Firmate un BAA, e con quale piano?
Se la risposta prevede un upgrade, quello è un prezzo, non una postura di conformità. Fatti mettere per iscritto il tier.
- 2
Che cosa è cifrato esattamente, e dove sono le chiavi?
"Crittografato" senza complemento oggetto non è una risposta. Chiedi separatamente di audio, trascrizioni, backup e log.
- 3
Quanto a lungo restano registrazioni e trascrizioni, e che cosa le cancella?
Una policy di retention senza un meccanismo di cancellazione è una dichiarazione di intenti.
- 4
I vostri provider di modelli conservano l'audio o lo usano per l'addestramento?
I subprocessor del tuo fornitore sono la tua esposizione. Chiedi nello specifico del livello del modello, non solo della piattaforma.
- 5
Potete produrre un log degli accessi per uno specifico record?
La verifica sta nel farti mostrare chi ha letto una determinata trascrizione, non nel sapere se il logging esiste in linea di principio.
- 6
Quali certificazioni avete oggi, e quali sono in corso?
"In corso" va bene ed è comune. "Conforme" usato per lasciar intendere un audit che nessuno ha completato, no.
