Definição
A HIPAA é a lei federal dos EUA cujas Regras de Privacidade, Segurança e Notificação de Violações regem as informações de saúde protegidas mantidas por entidades cobertas e seus associados de negócios. Um fornecedor de agentes de voz que atende ligações de pacientes para uma clínica pode ser um associado de negócios e então precisa de um acordo de associado de negócios.
O que abrange
A Lei de Portabilidade e Responsabilidade dos Seguros de Saúde de 1996 é implementada pelas Regras da HIPAA nas Partes 160 e 164 do 45 CFR. A Regra de Privacidade limita como as informações de saúde protegidas (PHI) podem ser usadas e divulgadas. A Regra de Segurança define salvaguardas para as PHI eletrônicas. A Regra de Notificação de Violações exige aviso após uma violação de PHI não protegidas.
As regras se aplicam a entidades cobertas, que o 45 CFR 160.103 define como planos de saúde, câmaras de compensação de saúde e prestadores de assistência à saúde que transmitem informações de saúde eletronicamente em conexão com certas transações. Também se aplicam diretamente a associados de negócios. Um associado de negócios é uma pessoa que, em nome de uma entidade coberta, cria, recebe, mantém ou transmite PHI para uma função regulada, ou que presta à entidade certos serviços que envolvem PHI.
PHI é informação de saúde individualmente identificável que se relaciona com a saúde de uma pessoa, com o atendimento que ela recebe ou com o pagamento dele. Uma ligação para marcar consulta em uma clínica pode gerá-la: um nome e um telefone ligados a uma consulta com um prestador já são informação de saúde. O áudio, a transcrição e os logs dessa chamada podem conter PHI.
O que exige
Uma entidade coberta só pode permitir que um associado de negócios trate PHI depois de obter garantia satisfatória de que ele protegerá a informação. Pelo 45 CFR 164.502(e), essa garantia deve ser documentada em contrato escrito, comumente chamado de acordo de associado de negócios (BAA), que deve cumprir os requisitos de conteúdo do 45 CFR 164.504(e). Um associado de negócios que use um subcontratado para PHI deve obter dele a mesma garantia. O HHS observa que os associados de negócios respondem diretamente por algumas disposições das regras.
A HIPAA não tem certificado. O HHS afirma em seu guia sobre computação em nuvem que o Office for Civil Rights não endossa, certifica nem recomenda tecnologias ou produtos específicos. “Em conformidade com a HIPAA” descreve como uma organização se comporta e como contratou seus fornecedores, não um status concedido pelo HHS. “Elegível para HIPAA” é uma expressão de fornecedores e não é um termo definido pelas regras.
O que significa para um agente de voz
Se um agente atende ou faz ligações para um consultório, hospital ou plano de saúde, todo fornecedor na cadeia da chamada que toca PHI é candidato a um BAA. Isso pode incluir reconhecimento de fala, síntese de voz, o fornecedor do LLM, a operadora de telefonia se gravar e a plataforma que executa o agente. Pergunte a cada um, por escrito, se assina.
As decisões de projeto importam tanto quanto a papelada. Decida o que o agente pode dizer antes de verificar quem liga, envie o mínimo de identificadores a ferramentas e prompts e defina por quanto tempo áudio, transcrições e logs são guardados. Veja retenção de dados e retenção zero de dados. Lembretes de saída levantam as regras de consentimento separadas da TCPA e, onde há gravações, o consentimento para gravar chamadas.
Uma atestação de segurança como o SOC 2 é evidência sobre os controles de um fornecedor. Não substitui um BAA. Para um cenário prático de saúde, veja o guia sobre IA conversacional na saúde.
Perguntas para o jurídico
- Somos uma entidade coberta, um associado de negócios ou nenhum dos dois nesta implantação?
- Quais fornecedores na cadeia da chamada precisam de um BAA, e cada um assina um que cubra os serviços que de fato usamos?
- O áudio ou a transcrição de uma ligação comum de agendamento conta como PHI no nosso caso?
- Que prazo de retenção se aplica a gravações e transcrições, dadas a lei estadual e nossas políticas?
- Se um fornecedor diz que não guarda nada, ainda precisamos de um BAA com ele?
Termos relacionados
Guias
Casos de uso
Fontes
- HHS Office for Civil Rights, Business Associates guidance
- 45 CFR 160.103, Definitions (eCFR)
- 45 CFR 164.502(e), Disclosures to business associates (eCFR)
- HHS Office for Civil Rights, Guidance on HIPAA and cloud computing
Esta página traz informação geral, não aconselhamento jurídico. As regras variam conforme o país, o estado e o caso de uso, e mudam. Consulte as fontes indicadas e peça orientação a um advogado qualificado antes de se basear nela.
Última revisão em 19 de outubro de 2026