Esta guía no constituye asesoría jurídica.
Qué es
La Regla de Seguridad de HIPAA exige a las entidades cubiertas y sus asociados comerciales proteger la ePHI mediante salvaguardas administrativas, físicas y técnicas. Las salvaguardas técnicas de 45 CFR 164.312 abarcan control de acceso, controles de auditoría, integridad, autenticación de personas o entidades y seguridad de transmisión.
HHS publicó un aviso de propuesta normativa sobre la Regla de Seguridad el 6 de enero de 2025 (RIN 0945-AA22; 90 FR 898). En la consulta del 5 de octubre de 2026, el registro del Federal Register seguía identificándola como propuesta, sin fecha de entrada en vigor; por ello, aquí no se presenta como aprobada ni vigente.
Qué pide respecto a IA y datos
| Salvaguarda | Qué exige |
|---|---|
| Control de acceso | Permita el acceso a ePHI solo a personas y software autorizados, incluida la identificación individual de usuarios. |
| Controles de auditoría | Registrar y examinar la actividad en sistemas que contienen o utilizan ePHI. |
| Integridad | Proteger la ePHI frente a alteraciones o destrucción indebidas. |
| Autenticación de personas o entidades | Verificar que quien solicite acceso sea quien afirma ser. |
| Seguridad de transmisión | Proteja la ePHI transmitida por una red frente al acceso no autorizado. |
Cuando una herramienta de IA procesa ePHI, pasa a formar parte de los sistemas a los que se aplican estas salvaguardas. La propuesta normativa de 2025 (NPRM) puede ser relevante para la planificación, pero sigue siendo una propuesta hasta que HHS la finalice.
Cómo ayuda Matrix
| Salvaguarda | Cómo ayuda Matrix |
|---|---|
| Control de acceso | Cuentas individuales, acceso por roles y archivos privados de forma predeterminada. Su equipo conserva todas las cuentas de administrador. |
| Controles de auditoría | Los registros locales de auditoría pueden revisarse y exportarse; el alcance de eventos y la conservación se acuerdan según sus requisitos. |
| Integridad | Las referencias a fuentes y los puntos de aprobación del flujo facilitan la revisión; los controles de integridad para el uso previsto se acuerdan con usted. |
| Autenticación de personas o entidades | Inicio de sesión individual con MFA; la integración del directorio se confirma para su entorno. |
| Seguridad de transmisión | En la instalación estándar, Matrix no tiene conexión a internet, por lo que no envía ePHI fuera de su red. Cualquier servicio externo que usted apruebe se rige por sus propias políticas. |
Como Synexas no recibe sus datos, la relación con el proveedor difiere de la de un servicio de IA alojado. Una prueba centrada en su tarea, si usted la solicita, utiliza datos que usted autorice, bajo un NDA, y que se eliminan después. Antes de que la prueba incluya ePHI, su asesor jurídico decide si esa información puede compartirse y qué acuerdo se necesita, como un acuerdo de asociado comercial. En los demás casos, la necesidad de un acuerdo de asociado comercial depende de su situación, incluidos los acuerdos de mantenimiento en las instalaciones. Consulte a su asesor jurídico. La implementación local no implica por sí sola el cumplimiento de HIPAA ni una certificación.
Qué sigue a su cargo
- Su análisis de riesgos y plan de gestión de riesgos
- Políticas, capacitación del personal y sanciones
- Procedimientos de acceso de emergencia
- Revisar los registros de auditoría según el alcance de eventos y la conservación requeridos
- Seguridad física del dispositivo
- Protección de su red interna
- Decidir si los resultados de IA forman parte del conjunto de registros designado
Preguntas para cualquier proveedor de IA
- ¿Saldrá ePHI de nuestra red? Si es así, ¿adónde irá y quién podrá acceder?
- ¿Firmarán un acuerdo de asociado comercial y es necesario para esta implementación?
- ¿Se utilizan nuestros datos para entrenar o mejorar modelos?
- ¿Qué actividad se registra, dónde y quién puede leer los registros?
- ¿Cómo se impide que el personal del proveedor acceda a ePHI durante el soporte?