Checklist de BAA HIPAA para herramientas de documentación con IA
Una checklist práctica para evaluar acuerdos BAA antes de usar cualquier herramienta de documentación con IA en flujos clínicos.
La forma más rápida de crear riesgo HIPAA es firmar el contrato equivocado
La mayoría de equipos evalúa herramientas de documentación con IA por la calidad del resultado: "¿escribe una nota útil?" Eso importa, pero en cualquier flujo que toque PHI, la capa contractual importa igual o más.
Si un proveedor maneja PHI por cuenta de tu organización, es un Business Associate bajo HIPAA. Eso exige un Business Associate Agreement (BAA) que defina responsabilidades, usos permitidos, salvaguardas y respuesta a incidentes. Sin BAA, no hay uso productivo conforme de PHI, aunque el demo sea excelente.
Esta guía te da una checklist práctica para compra, revisión legal y revalidación anual.
Checklist BAA HIPAA para proveedores de IA documental
Úsala como revisión sí/no antes de aprobar cualquier herramienta.
1) Clasificación correcta y alcance real
- El BAA identifica explícitamente al proveedor como Business Associate
- La Covered Entity está claramente nombrada
- El alcance contractual coincide con el flujo real (intake, progress notes, transcripciones, exportaciones)
- Incluye manejo de subcontratistas (hosting, modelos, analítica)
Señal roja: El proveedor dice "no somos Business Associate" pero ingiere PHI identificable.
2) Usos y divulgaciones permitidos, sin ambigüedad
- El uso de PHI está limitado a prestar el servicio contratado
- No existe derecho amplio para reutilizar PHI en entrenamiento no relacionado
- El acceso interno se limita a personal mínimo necesario
- Toda divulgación a subprocesadores exige obligaciones HIPAA equivalentes por escrito
Señal roja: Lenguaje como "cualquier propósito interno del negocio".
3) Salvaguardas de seguridad explícitas
El BAA debe aterrizar la Security Rule en controles concretos:
- Cifrado en tránsito y en reposo
- Control de acceso (RBAC), MFA y gestión de sesión
- Audit logs y periodo de retención
- Segregación de datos en entornos multi-tenant
- Gestión segura de llaves/secretos
- Backups y recuperación ante desastres
Señal roja: Texto genérico de marketing sin obligaciones exigibles.
4) Respuesta a incidentes con tiempos claros
- Timeline de notificación definido (por ejemplo, 24–72 horas tras confirmación)
- Contenido mínimo de notificación (alcance, sistemas, categorías de PHI, acciones correctivas)
- Obligación de cooperación en investigación y mitigación
- Preservación de logs y evidencia forense
- Canal de comunicación definido (seguridad + legal)
Señal roja: "sin demora irrazonable" sin SLA concreto.
5) Derechos del paciente y cooperación regulatoria
El proveedor debe soportar tus obligaciones para:
- Solicitudes de acceso
- Solicitudes de enmienda
- Contabilidad de divulgaciones (si aplica)
- Revisiones o investigaciones de HHS
6) Retención y eliminación de datos definidas
- Periodo de retención explícito
- Flujo y plazo de eliminación documentados
- Comportamiento de eliminación en backups explicado
- Método de destrucción segura especificado
- Obligación de devolver o destruir datos al terminar la relación
Señal roja: Retención indefinida o sin plazos.
7) Gobernanza de subprocesadores transparente
- Lista de subprocesadores que pueden tocar PHI
- Notificación previa por cambios materiales
- Obligaciones HIPAA equivalentes para subprocesadores
- Ubicación de procesamiento y controles de transferencia documentados
Señal roja: El proveedor no revela dónde procesa PHI.
8) Cláusulas específicas de IA
- Declaración explícita sobre uso (o no uso) de PHI para entrenar modelos base
- Opción de exclusión de entrenamiento o mejora de producto
- Política de retención de prompts/respuestas
- Estándar de desidentificación si hay reutilización
- Política de acceso humano para troubleshooting
Señal roja: "Podemos usar datos enviados para mejorar modelos" sin carve-out para PHI.
9) Derechos de auditoría y acceso a evidencia
- Derecho a solicitar evidencia vigente (SOC 2, resumen de pentest, etc.)
- Derecho a revisar cambios de políticas relevantes
- Derecho a recibir postmortem de incidentes materiales
10) Alineación de responsabilidad e indemnización
- Los límites de responsabilidad no vuelven inútil la protección
- Incidentes por negligencia del proveedor tienen remedios claros
- El costo de respuesta a breach no recae por completo en la covered entity
Señal roja: Alto control del proveedor sobre PHI + responsabilidad casi nula.
Flujo práctico de evaluación
- Filtro pre-venta: ¿Firman BAA? ¿PHI queda fuera de entrenamiento por defecto?
- Revisión paralela legal + seguridad: lo que promete el contrato debe coincidir con el producto.
- Piloto acotado: validar calidad de notas, control de acceso, logs, exportación y borrado.
- Gate de producción: sin BAA firmado, no entra PHI.
- Revalidación anual: revisar términos, subprocesadores y cambios de arquitectura.
Preguntas rápidas para procurement
- ¿Ejecutan BAA para este plan/producto?
- ¿PHI se usa para entrenar modelos propios o de terceros?
- ¿Qué subprocesadores tocan PHI?
- ¿Cuál es el SLA de notificación de incidentes?
- ¿Cuánto retienen prompts, outputs y adjuntos?
- ¿Podemos imponer políticas de retención/borrado por tenant?
- ¿Qué evidencia de seguridad comparten bajo NDA?
Errores frecuentes
- Confundir SOC 2 con BAA (no lo reemplaza).
- Firmar MSA y no revisar anexos de producto.
- Ignorar la cadena completa de subprocesadores.
- Asumir que la configuración por defecto es compliant.
- No revalidar tras cambios fuertes de producto.
Dónde encaja NotuDocs
NotuDocs está diseñado para documentación estructurada y template-first, para que el equipo mantenga control sobre lo que entra en la nota. Si vas a desplegar IA en documentación clínica, combina evaluación de calidad con esta checklist BAA antes de pasar a producción.
El cumplimiento no es una firma única: es precisión contractual + disciplina operativa.
Lectura relacionada:
