HIPAA & AI Compliance

Overview

La Ley de Portabilidad y Responsabilidad del Seguro Médico (HIPAA) es la principal ley federal de Estados Unidos que regula la privacidad y la seguridad de la información de salud protegida (PHI). Promulgada en 1996 y actualizada de forma continua mediante la Ley HITECH y normas posteriores, HIPAA establece estándares nacionales para la protección de la información de salud que permite identificar a una persona. Para las organizaciones que desarrollan IA en el ámbito sanitario, HIPAA es de aplicación obligatoria. Las sanciones civiles se escalonan según el grado de culpabilidad y se ajustan cada año por inflación, y en el nivel más alto el tope anual por infracciones de una misma disposición supera los US$2 millones.

El ámbito de HIPAA abarca a todas las «entidades cubiertas» (planes de salud, cámaras de compensación sanitarias y proveedores de atención médica) y a sus «socios comerciales», es decir, cualquier organización que cree, reciba, mantenga o transmita PHI por cuenta de una entidad cubierta. Cuando un proveedor de IA trata historiales de pacientes, notas clínicas, imágenes diagnósticas o cualquier dato que pueda identificar a un paciente por cuenta de una entidad cubierta, pasa a ser un socio comercial sujeto a los requisitos regulatorios de HIPAA. Esto tiene profundas implicaciones en el diseño de los flujos de entrenamiento de IA y en los lugares por los que pueden circular los datos de los pacientes.

La normativa se basa en tres reglas principales: la Regla de Privacidad, la Regla de Seguridad y la Regla de Notificación de Brechas. La Regla de Privacidad establece quién puede acceder a la PHI y en qué condiciones. La Regla de Seguridad especifica las salvaguardas para la PHI electrónica (ePHI), entre ellas los controles de acceso, los controles de auditoría, los controles de integridad y la seguridad de las transmisiones. La Regla de Notificación de Brechas obliga a las entidades cubiertas a notificar a las personas afectadas, al HHS y, en algunos casos, a los medios de comunicación cuando se ve comprometida PHI no protegida.

AI-Specific Requirements

Los sistemas de IA en el ámbito sanitario reciben un escrutinio más intenso en materia de HIPAA porque a menudo necesitan grandes volúmenes de datos de pacientes para el entrenamiento. Los requisitos de salvaguardas técnicas de la Regla de Seguridad (45 CFR 164.312) exigen controles de acceso que limiten el acceso al sistema a los usuarios autorizados, controles de auditoría que registren y examinen la actividad en los sistemas que contienen ePHI, controles de integridad que protejan la ePHI frente a alteraciones o destrucciones indebidas, y seguridad en las transmisiones que evite el acceso no autorizado durante la transmisión electrónica.

El estándar del mínimo necesario es especialmente relevante para la preparación de datos de entrenamiento de IA. Según este principio, las organizaciones deben limitar el uso y la divulgación de PHI al mínimo necesario para lograr el fin previsto. Para los equipos de IA, esto supone acotar los conjuntos de datos de entrenamiento a los elementos de datos clínicos que requiere el caso de uso concreto del modelo, en lugar de incluir historiales completos de pacientes. Los datos desidentificados mediante el método Safe Harbor de HIPAA (que elimina 18 identificadores concretos) o el método de determinación por experto dejan de ser PHI y pueden usarse fuera de las restricciones de HIPAA, pero la desidentificación debe ser exhaustiva y verificable.

Los acuerdos de socio comercial (BAA) son obligatorios siempre que un proveedor de servicios cree, reciba, mantenga o transmita PHI por cuenta de una entidad cubierta. En el desarrollo de IA, eso abarca cualquier plataforma en la nube, servicio de anotación o proveedor de alojamiento de modelos que maneje PHI. No todos los servicios de IA firman un BAA, y algunos de los que lo firman limitan cuáles de sus servicios pueden usarse con PHI. Eso deja a las organizaciones sanitarias dos opciones prácticas para el trabajo con IA: desidentificar los datos antes de que lleguen a un proveedor externo, o mantener las cargas de trabajo con PHI dentro de una infraestructura que ya controlan.

How Ertas Helps

Ertas Studio entrena en las GPU en la nube de Ertas, por lo que cada ejemplo de entrenamiento se sube a Ertas y se almacena para poder repetir la ejecución. Use Studio con datos desidentificados: elimine los 18 identificadores de Safe Harbor, u obtenga una determinación por experto, antes de subirlos, para que el conjunto de entrenamiento deje de ser PHI. Data Craft, el generador de conjuntos de datos de Studio, le permite editar cada ejemplo y hacer seguimiento de su estado de aprobación antes del entrenamiento, y puede eliminar un conjunto de datos subido en cualquier momento. Si su caso de uso necesita PHI identificable en el entrenamiento, háblelo con nosotros antes de subir nada, para dejar resuelta primero la situación contractual, incluida la necesidad o no de un BAA.

La inferencia es donde suele aparecer la PHI, porque el personal clínico y administrativo introduce historiales reales en las peticiones. Exporte el modelo entrenado en GGUF o safetensors y ejecútelo dentro de su propio entorno: ese tráfico de inferencia nunca llega a Ertas. El modelo es suyo, y la versión que validó no cambia hasta que decida volver a entrenarlo. Si quiere que otro ejecute el modelo por usted, el endpoint de modelo adaptativo y los desarrollos empresariales a medida pueden ejecutarlo en su propia nube o en sus propias instalaciones (on-premise).

El programa de HIPAA sigue siendo suyo: el análisis de riesgos de la Regla de Seguridad, los BAA con sus propios proveedores, los controles de acceso, los controles de auditoría y el cifrado en el entorno donde se ejecuta el modelo, la respuesta ante brechas y la formación del personal. Ertas no proporciona esos controles para su entorno.

Compliance Checklist