Cos'è HIPAA?

Definizione

HIPAA è la legge federale statunitense le cui regole sulla privacy, sulla sicurezza e sulla notifica delle violazioni disciplinano le informazioni sanitarie protette detenute dalle entità coperte e dai loro business associate. Un fornitore di agenti vocali che gestisce le chiamate dei pazienti per una clinica può essere un business associate e allora ha bisogno di un accordo di business associate.

Cosa comprende

L’Health Insurance Portability and Accountability Act del 1996 è attuato tramite le regole HIPAA nelle parti 160 e 164 del 45 CFR. La Privacy Rule limita il modo in cui le informazioni sanitarie protette (PHI) possono essere usate e divulgate. La Security Rule stabilisce le salvaguardie per le PHI elettroniche. La Breach Notification Rule richiede una notifica dopo una violazione di PHI non protette.

Le regole si applicano alle entità coperte, che il 45 CFR 160.103 definisce come piani sanitari, centri di scambio di informazioni sanitarie e fornitori di assistenza sanitaria che trasmettono informazioni sanitarie per via elettronica in relazione a certe transazioni. Si applicano direttamente anche ai business associate. Un business associate è una persona che, per conto di un’entità coperta, crea, riceve, conserva o trasmette PHI per una funzione regolamentata, o che fornisce all’entità certi servizi che comportano PHI.

Le PHI sono informazioni sanitarie individualmente identificabili che riguardano la salute di una persona, le cure che riceve o il loro pagamento. Una chiamata per fissare un appuntamento in una clinica può produrle: un nome e un numero di telefono legati a un appuntamento con un fornitore sono già informazioni sanitarie. L’audio, la trascrizione e i log di quella chiamata possono contenere PHI.

Cosa richiede

Un’entità coperta può lasciare che un business associate gestisca PHI solo dopo aver ottenuto una garanzia soddisfacente che proteggerà le informazioni. Ai sensi del 45 CFR 164.502(e) tale garanzia deve essere documentata in un contratto scritto, comunemente chiamato business associate agreement (BAA), che deve rispettare i requisiti di contenuto del 45 CFR 164.504(e). Un business associate che si serve di un subappaltatore per le PHI deve ottenere la stessa garanzia da questo. L’HHS osserva che i business associate sono direttamente responsabili di alcune disposizioni delle regole.

HIPAA non ha un certificato. L’HHS afferma nella propria guida sul cloud computing che l’Office for Civil Rights non approva, certifica né raccomanda tecnologie o prodotti specifici. «Conforme a HIPAA» descrive come si comporta un’organizzazione e come ha vincolato i propri fornitori, non uno status concesso dall’HHS. «HIPAA eligible» è una formula dei fornitori e non è un termine definito dalle regole.

Cosa significa per un agente vocale

Se un agente risponde o effettua chiamate per uno studio, un ospedale o un piano sanitario, ogni fornitore della catena della chiamata che tocca PHI è candidato a un BAA. Possono rientrarvi il riconoscimento vocale, la sintesi vocale, il fornitore dell’LLM, l’operatore telefonico se registra e la piattaforma che esegue l’agente. Si chieda a ciascuno, per iscritto, se ne firma uno.

Le scelte di progetto contano quanto le carte. Si decida cosa può dire l’agente prima che chi chiama sia verificato, si inviino agli strumenti e ai prompt il minor numero possibile di identificativi e si stabilisca per quanto tempo si conservano audio, trascrizioni e log. Si vedano conservazione dei dati e zero data retention. I promemoria in uscita sollevano le distinte regole sul consenso del TCPA e, dove si fanno registrazioni, il consenso alla registrazione delle chiamate.

Un’attestazione di sicurezza come SOC 2 è una prova sui controlli di un fornitore. Non sostituisce un BAA. Per uno scenario sanitario concreto, si veda la guida sull’IA conversazionale in sanità.

Domande da porre al consulente legale

Siamo un’entità coperta, un business associate o nessuno dei due per questa implementazione?
Quali fornitori della catena della chiamata richiedono un BAA, e ciascuno ne firma uno che copra i servizi che usiamo davvero?
L’audio o la trascrizione di una normale chiamata per fissare un appuntamento conta come PHI nel nostro caso?
Quale periodo di conservazione si applica a registrazioni e trascrizioni, in base alla legge statale e alle nostre policy?
Se un fornitore dice di non conservare nulla, ci serve comunque un BAA con lui?

Guide

IA conversazionale in sanità: chiamate pazienti

Casi d'uso

Fonti

Questa pagina offre informazioni generali, non consulenza legale. Le regole cambiano da paese a paese, da stato a stato e da caso d'uso a caso d'uso, e si evolvono. Consulta le fonti indicate e chiedi a un legale qualificato prima di farvi affidamento.

Ultima verifica il 19 ottobre 2026