Definición
HIPAA es la ley federal de EE. UU. cuyas Reglas de Privacidad, Seguridad y Notificación de Brechas rigen la información de salud protegida que tienen las entidades cubiertas y sus asociados comerciales. Un proveedor de agentes de voz que atiende llamadas de pacientes para una clínica puede ser un asociado comercial y entonces necesita un acuerdo de asociado comercial.
Qué abarca
La Ley de Portabilidad y Responsabilidad del Seguro Médico de 1996 se aplica mediante las Reglas HIPAA de 45 CFR Partes 160 y 164. La Regla de Privacidad limita cómo puede usarse y divulgarse la información de salud protegida (PHI). La Regla de Seguridad fija salvaguardas para la PHI electrónica. La Regla de Notificación de Brechas exige un aviso tras una brecha de PHI no protegida.
Las reglas se aplican a las entidades cubiertas, que 45 CFR 160.103 define como planes de salud, centros de intercambio de información de salud y proveedores de atención médica que transmiten información de salud por vía electrónica en relación con ciertas transacciones. También se aplican directamente a los asociados comerciales. Un asociado comercial es una persona que, en nombre de una entidad cubierta, crea, recibe, mantiene o transmite PHI para una función regulada, o que presta ciertos servicios a la entidad que implican PHI.
La PHI es información de salud individualmente identificable que se relaciona con la salud de una persona, con la atención que recibe o con su pago. Una llamada para pedir cita en una clínica puede producirla: un nombre y un teléfono vinculados a una cita con un proveedor ya son información de salud. El audio, la transcripción y los registros de esa llamada pueden contener PHI.
Qué exige
Una entidad cubierta solo puede dejar que un asociado comercial maneje PHI después de obtener garantías satisfactorias de que protegerá la información. Según 45 CFR 164.502(e), esa garantía debe documentarse en un contrato escrito, comúnmente llamado acuerdo de asociado comercial (BAA), que debe cumplir los requisitos de contenido de 45 CFR 164.504(e). Un asociado comercial que use a un subcontratista para la PHI debe obtener de este la misma garantía. HHS señala que los asociados comerciales responden directamente de algunas disposiciones de las reglas.
HIPAA no tiene certificado. HHS afirma en su guía sobre computación en la nube que la Oficina de Derechos Civiles no avala, certifica ni recomienda tecnologías o productos concretos. «Cumple con HIPAA» describe cómo se comporta una organización y cómo ha contratado a sus proveedores, no un estatus que conceda HHS. «Apto para HIPAA» es una expresión de proveedores y no es un término que definan las reglas.
Qué significa para un agente de voz
Si un agente atiende o hace llamadas para una consulta, un hospital o un plan de salud, todo proveedor de la cadena de la llamada que toque PHI es candidato a un BAA. Eso puede incluir el reconocimiento de voz, la síntesis de voz, el proveedor del LLM, el operador de telefonía si graba y la plataforma que ejecuta el agente. Pregunte a cada uno, por escrito, si firma.
Las decisiones de diseño importan tanto como el papeleo. Decida qué puede decir el agente antes de verificar a quien llama, envíe los mínimos identificadores a herramientas y prompts, y fije cuánto tiempo se guardan el audio, las transcripciones y los registros. Véase conservación de datos y retención cero de datos. Los recordatorios salientes plantean las reglas de consentimiento aparte de la TCPA y, donde se hacen grabaciones, el consentimiento para grabar llamadas.
Una atestación de seguridad como SOC 2 es una prueba sobre los controles de un proveedor. No sustituye a un BAA. Para un caso sanitario práctico, véase la guía sobre IA conversacional en sanidad.
Preguntas para el asesor jurídico
- ¿Somos una entidad cubierta, un asociado comercial o ninguna de las dos cosas en este despliegue?
- ¿Qué proveedores de la cadena de la llamada necesitan un BAA y cada uno firma uno que cubra los servicios que usamos de verdad?
- ¿El audio o la transcripción de una llamada ordinaria para pedir cita cuenta como PHI en nuestro caso?
- ¿Qué plazo de conservación se aplica a grabaciones y transcripciones, según la ley estatal y nuestras políticas?
- Si un proveedor dice que no guarda nada, ¿seguimos necesitando un BAA con él?
Términos relacionados
Guías
Casos de uso
Fuentes
- HHS Office for Civil Rights, Business Associates guidance
- 45 CFR 160.103, Definitions (eCFR)
- 45 CFR 164.502(e), Disclosures to business associates (eCFR)
- HHS Office for Civil Rights, Guidance on HIPAA and cloud computing
Esta página ofrece información general, no asesoramiento jurídico. Las normas varían según el país, el estado y el caso de uso, y cambian. Consulta las fuentes enlazadas y pide consejo a un abogado cualificado antes de basarte en ella.
Última revisión el 19 de octubre de 2026