Cumplimiento HIPAA de productos de IA: no existe certificación oficial

Resumen

Entiende entidades, BAAs, PHI, riesgo y evaluaciones privadas sin aval HHS.

Qué es

HIPAA es derecho federal para entidades cubiertas y asociados; HHS no ofrece certificación privada general.

Por qué importa

La IA puede copiar PHI en prompts, embeddings, registros, salidas y entrenamiento.

Cómo obtenerlo o demostrar cumplimiento

1. Define roles y flujos.
2. Firma BAAs.
3. Haz análisis completo de riesgos.
4. Implanta salvaguardas e incidentes.
5. Evalúa y documenta periódicamente.
6. Describe evaluación privada sin afirmar certificación HHS.

Qué revisar

1. No lo presentes como certificación HHS.
2. Define entidad cubierta, asociado, subcontratista y otras leyes.
3. Mapea PHI en prompts, registros, salidas, copias y entrenamiento.
4. Firma BAAs requeridos y obligaciones en cascada.
5. Mantén análisis de riesgo, salvaguardas y proceso de violación.
6. Usa evaluación privada como prueba, no sustituto.

Siguiente paso

HHS no reconoce certificaciones privadas. Revisa mejora del modelo y alcance del BAA.

Fuentes oficiales

• Are organizations required to certify HIPAA Security Rule compliance? — U.S. Department of Health and Human Services
• Covered Entities and Business Associates — U.S. Department of Health and Human Services
• Artificial Intelligence Risk Management Framework: Generative AI Profile — National Institute of Standards and Technology