HIPAA y asistentes de IA: qué se puede automatizar en un consultorio y qué no

Sábado, once de la mañana. Alguien escribe al WhatsApp de un consultorio dental en Plantation: "¿ustedes toman Cigna? ¿tienen algo el lunes en la tarde?"

Nadie contesta hasta el lunes. Para entonces esa persona ya tiene cita en otro lado.

Cuando le propongo a un consultorio automatizar esa respuesta, la conversación se detiene siempre en el mismo punto: "¿y eso cumple HIPAA?".

Es la pregunta equivocada, y por eso no tiene respuesta. HIPAA no certifica tecnologías. No existe un sello de "software aprobado por HIPAA" que uno compre y ya. La pregunta que sí se puede responder es otra: ¿qué información toca este flujo concreto?

Qué es información de salud protegida

La norma define la información de salud protegida —PHI por sus siglas en inglés— como aquella que cumple tres condiciones a la vez: la crea o recibe un proveedor de salud, un plan o una entidad similar; se relaciona con la salud de una persona, con la atención que recibe o con el pago de esa atención; y identifica a esa persona o permite identificarla razonablemente (45 CFR §160.103).

Las tres condiciones tienen que darse juntas. Ahí está la puerta que casi nadie ve.

La distinción que resuelve la mayoría de los casos

Hay dos preguntas que se parecen y son legalmente distintas:

"¿Ustedes toman Cigna?" — no menciona a ningún paciente. Es información del negocio, igual que el horario o la dirección. Responderla no toca información de salud de nadie.

"Soy María Pérez y quiero cita el lunes" — aquí sí hay una persona identificable relacionándose con la atención médica. Eso es información protegida.

Y aquí viene la parte que sorprende a casi todos: que sea información protegida no significa que esté prohibido usarla. La norma permite usar y divulgar esta información para tratamiento, pago y operaciones sin pedir autorización previa (45 CFR §164.506).

El HHS lo dice de forma explícita sobre los recordatorios de cita: "Sí, los recordatorios de cita se consideran parte del tratamiento de un individuo y, por lo tanto, pueden hacerse sin autorización" (preguntas frecuentes oficiales). Y en otra respuesta confirma que tampoco hace falta consentimiento previo para agendar por teléfono (FAQ 260).

Traducido a la práctica: agendar, recordar una cita, decir el horario o confirmar qué seguros se aceptan son cosas que se pueden automatizar. No porque estén fuera de HIPAA, sino porque la norma las permite expresamente y no exigen abrir el expediente clínico de nadie.

Eso resuelve la enorme mayoría de lo que un consultorio pierde un sábado.

Dónde sí empieza a pesar

La cosa cambia cuando la conversación se mete en lo clínico: síntomas, motivo de consulta, resultados de un examen, medicación, historia previa.

Esa información sigue siendo protegida, pero además cambia de naturaleza: ya no es logística, es contenido médico. Un asistente automático no tiene por qué tocarla, y en mi opinión no debería intentarlo.

La regla que aplicamos es simple: cuando la conversación cruza esa línea, el asistente deja de responder y pasa la conversación a una persona. No improvisa una respuesta clínica, no pide detalles del síntoma, no guarda esa parte de la conversación como si fuera un dato más.

Hay además una obligación que conviene conocer: si un paciente pide recibir comunicaciones por otro medio o en otro lugar, el proveedor debe atender esa solicitud cuando sea razonable, y no puede exigirle que explique por qué (45 CFR §164.522(b)). Si alguien no quiere que le escriban por WhatsApp, eso hay que poder cumplirlo.

Qué es un BAA y por qué toda la cadena lo necesita

Cualquier persona o empresa que cree, reciba, mantenga o transmita información protegida por cuenta del consultorio es lo que la norma llama un business associate (45 CFR §160.103). Con cada uno hace falta un acuerdo firmado —el BAA— que fija qué puede hacer con esa información, qué salvaguardas aplica, cómo avisa si hay una brecha y qué pasa con los datos al terminar el contrato (45 CFR §164.504(e)).

Dos cosas que cuestan caro cuando se ignoran.

El cifrado no exime. La oficina de derechos civiles del HHS fue explícita con los proveedores de nube: son business associates "incluso si el proveedor no puede ver la información porque está cifrada y no tiene la llave" (guía sobre computación en la nube). Que su proveedor no lea los datos no lo saca de la cadena.

Los subcontratistas también. La definición incluye expresamente a quien subcontrata un business associate, y ese subcontratista necesita su propio acuerdo. Si su proveedor de automatización se apoya en un tercero para alojar o procesar, ese tercero está dentro.

Existe una excepción llamada de mero conducto, pero es mucho más estrecha de lo que la gente cree: cubre a quien solo transporta información sin acceder a ella, como el correo postal o un proveedor de internet. El HHS lo explicó al publicar la regla de 2013: una entidad que mantiene información protegida es business associate y no conducto, "aunque no llegue a ver la información"; la diferencia está en el carácter transitorio o persistente del acceso (preámbulo oficial, 78 FR 5571).

Una plataforma de mensajería que guarda el historial de conversaciones no es un conducto. Es un business associate.

Cinco preguntas antes de firmar con cualquiera

1. ¿Firman un BAA? Si la respuesta se demora o viene con condiciones, ya tiene su respuesta.
2. ¿Quiénes son sus subcontratistas y tienen acuerdo con cada uno? Pida la lista. Un proveedor serio la tiene a mano.
3. ¿Qué se almacena exactamente, dónde, y por cuánto tiempo? Lo que no se guarda no se puede filtrar.
4. ¿Qué pasa cuando la conversación se vuelve clínica? Si la respuesta es "el sistema responde", huya.
5. ¿Cómo me avisan si hay una brecha, y en cuánto tiempo? Debe estar en el contrato, con plazo.

Una advertencia sobre proveedores que se promocionan como "IA que cumple HIPAA": el HHS no ha emitido ninguna guía específica sobre inteligencia artificial y HIPAA. Quien diga que su producto está certificado bajo una norma de IA que no existe, está vendiendo algo que no puede respaldar. Lo que sí existe es la norma de siempre aplicada a un proveedor nuevo: si toca información protegida, es business associate y firma BAA.

Lo único que afirmo sobre nosotros

Firmamos BAA con consultorios y clínicas, y lo que construimos no almacena información clínica. El asistente atiende lo que está en el guion aprobado con el consultorio —horarios, seguros aceptados, disponibilidad, agendamiento, recordatorios— y todo lo que se sale de ahí lo pasa a una persona del equipo.

No es una promesa de cumplimiento normativo, que sería una promesa que nadie puede hacer por usted. Es una descripción de cómo está construido.

Si va a decidir esta semana

Haga el ejercicio en una hoja: escriba las diez preguntas que más le llegan por teléfono y por mensaje. Marque cuáles son logísticas y cuáles son clínicas.

Va a ver que casi todas son logísticas. Esa es exactamente la parte que se puede automatizar sin acercarse al expediente de nadie, y es la parte que se está perdiendo los sábados.

Después lléveselo a su abogado o a su oficial de cumplimiento con las preguntas de arriba. Que la decisión salga de esa conversación, no de una página web —ni de esta.