Lo que HIPAA espera.
Lo que aporta un AI Actor.
La HIPAA Security Rule espera que las covered entities mantengan controles de auditoría que registren la actividad en sistemas que contienen electronic Protected Health Information. Los agentes de IA ahora están dentro de esos sistemas. El registro que un agente produce sobre sí mismo es estructuralmente insuficiente bajo esa expectativa — ese es el hueco que un AI Actor existe para cerrar.
Un encuadre breve
HIPAA, en breve.
La Health Insurance Portability and Accountability Act de 1996 establece protecciones federales para la información de salud de las personas en poder de covered entities y sus business associates. Dos reglamentos la operacionalizan: la Privacy Rule, que gobierna cómo se usa y divulga la Protected Health Information (PHI), y la Security Rule, que fija salvaguardas administrativas, físicas y técnicas para la PHI electrónica (ePHI). La Breach Notification Rule completa el trío.
La Security Rule es la parte que más importa para la observabilidad de agentes de IA. Se organiza en tres familias de salvaguardas. Las salvaguardas técnicas incluyen controles de acceso bajo §164.312(a), controles de auditoría bajo §164.312(b), controles de integridad bajo §164.312(c), autenticación de persona o entidad bajo §164.312(d) y seguridad de transmisión bajo §164.312(e).
Las covered entities son planes de salud, clearinghouses sanitarios y proveedores sanitarios que transmiten información de salud electrónicamente. Los business associates son organizaciones que realizan funciones en nombre de covered entities que implican el uso o la divulgación de PHI. Ambas categorías tienen obligaciones directas; los business associates deben firmar un Business Associate Agreement (BAA) con cada covered entity a la que sirven.
Los agentes de IA que actúan en nombre de una covered entity — triaje de mensajes, resumen de historiales, sugerencia de derivaciones, redacción de comunicaciones con pacientes — suelen ocupar un rol de Business Associate respecto a la covered entity. La infraestructura que registra esos agentes está una capa más afuera, como Business Associate subcontratista.
La cláusula relevante
§164.312(b) Controles de auditoría.
La cláusula que convierte el registro de auditoría de un «estaría bien» en una salvaguarda técnica exigida para la PHI electrónica.
45 CFR §164.312(b)
Implement hardware, software, and/or procedural mechanisms that record and examine activity in information systems that contain or use electronic protected health information.
Leída al pie de la letra, esto es lo que produce un Actor. Hardware o software — Trustvice es software. Mecanismos que registran actividad — cada acción consecuente del agente aterriza en la superficie Witness, encadenada por hash y append-only. Mecanismos que examinan actividad — Council, Historian, Conscience y Custodian ofrecen cada uno una superficie de examen distinta sobre el mismo registro.
La Office for Civil Rights ha rehusado históricamente prescribir qué datos concretos deben registrarse, reconociendo que lo «apropiado» varía por sistema. La postura del Actor es capturar cada decisión consecuente: qué decidió el agente, qué alternativas consideró, qué reglas estaban en vigor, quién revisó la salida y quién accedió después al registro. El listón está por encima del suelo de HIPAA porque el mismo formato de registro también sirve al EU AI Act, TRAIGA y escenarios de auditoría en sectores regulados más allá de la sanidad.
Postura de hoja de ruta
Lo que el workspace elegible para HIPAA ofrecerá.
La lista de abajo describe la forma eventual del workspace Trustvice elegible para HIPAA. Ninguno de estos puntos está disponible de forma general hoy. La página no afirma un plazo; afirma un destino.
BAA firmado.
Un Business Associate Agreement ejecutado con cada cliente covered-entity o cliente business-associate aguas arriba, cubriendo el rol de Trustvice como business associate subcontratista. Términos estándar primero; addenda específicos del cliente negociables.
Salvaguardas técnicas mapeadas a la Security Rule.
Controles de acceso bajo §164.312(a) implementados vía el modelo de permisos del workspace y SSO. Controles de integridad bajo §164.312(c) vía el formato de registro encadenado por hash. Autenticación de persona/entidad bajo §164.312(d). Seguridad de transmisión bajo §164.312(e) vía TLS 1.3 sin downgrade.
Controles de auditoría — de primera clase.
§164.312(b) es la superficie para la que se diseñó el Actor. Los mismos registros de Witness, Custodian y Conscience que cubren las obligaciones del artículo 12 del EU AI Act cubren la expectativa de controles de auditoría bajo HIPAA. Sin añadido, sin sistema de registro paralelo.
Mapa de controles documentado y evaluación de gaps.
Un mapa de controles actual que cruza la implementación técnica de Trustvice con la Security Rule, el estándar de mínimo necesario de la Privacy Rule y la Breach Notification Rule. Disponible para clientes elegibles para HIPAA bajo NDA en cuanto se publique internamente.
Postura de subprocesadores.
Cada subprocesador de Trustvice en la ruta de despliegue elegible para HIPAA será elegible para HIPAA o estará detrás de un BAA firmado. La lista publicada de subprocesadores marcará explícitamente las entradas elegibles para HIPAA para que los clientes puedan hacer su propia Transfer Impact Assessment si hace falta.
Alineación con la Breach Notification Rule.
Flujo de respuesta a incidentes afinado a la ventana de notificación de 60 días exigida a los business associates tras descubrir una brecha, con un runbook documentado que cubre identificación, alcance, notificación al cliente y los registros de Custodian que viajan con el informe del incidente.
Estado actual — versión honesta
Trustvice todavía no es un procesador de datos elegible para HIPAA. No firmamos BAAs actualmente. Los clientes en contextos sanitarios pueden usar Trustvice hoy — solo necesitan mantener la PHI fuera de los registros que fluyen a Trustvice, ya sea no usando el Actor para agentes que tratan PHI o configurando las reglas de depurado del Actor para redactar PHI antes de persistir. La página de producto de arriba describe el destino, no el presente.
Mantente al tanto
Entérate el primero cuando abra.
Deja tu correo y te escribiremos cuando el nivel de workspace elegible para HIPAA esté disponible de forma general. Doble opt-in: recibirás un correo de confirmación antes de añadirte a la lista de notificación, y no se enviará otro marketing a esta dirección.
Esta página es informativa y no constituye asesoramiento legal ni una representación del estado actual de cumplimiento del producto. Las entidades cubiertas por HIPAA deben consultar a su propio consejo de cumplimiento antes de adoptar cualquier plataforma de observabilidad de agentes de IA. Las referencias a cláusulas de HIPAA describen la ley tal como está publicada; las obligaciones bajo HIPAA recaen en las entidades a las que la ley aplica. Legal.
Trustvice 360Declara las reglas. Que cada ejecución se compruebe.
Agentes, evidencias, gobernanza, comercio y divulgación están en Trustvice 360. Regístrate gratis y abre todas las suites desde un solo panel.