.svg)
El cumplimiento de HIPAA en el desarrollo de software implica crear y operar software que maneje información de salud protegida (PHI, por sus siglas en inglés) bajo las salvaguardas de la Regla de Seguridad: cifrado en todas partes, autenticación de usuario única, registro de auditoría de cada acceso a la PHI, controles de integridad y el paso organizativo que la mayoría de los equipos pasan por alto: firmar Acuerdos de Asociado Comercial (BAA) en toda la cadena de proveedores.
Cifre la PHI en tránsito (TLS) y en reposo; autentique a los usuarios individualmente con tiempo de espera de sesión automático; registre de forma inmutable cada creación, lectura, actualización y eliminación de PHI; aplique el acceso de menor privilegio en el modelo de permisos de la aplicación; y diseñe para la respuesta ante brechas: debe ser capaz de determinar exactamente qué datos se vieron afectados en un incidente. Desidentifique o utilice datos sintéticos en entornos de desarrollo y prueba; la PHI de producción en una base de datos de prueba es una brecha notificable a punto de ocurrir.
Cada servicio que toque la PHI, ya sea alojamiento, almacenamiento, análisis, correo electrónico o API de IA, debe firmar un BAA o mantenerse fuera del flujo de la PHI. Aquí es donde los servicios de IA de terceros suelen fallar a los equipos: enviar PHI a una API sin un BAA es una violación, independientemente de la seguridad técnica de la API. La respuesta arquitectónica es mantener el procesamiento de la PHI dentro de límites cubiertos por BAA o autohospedados.
Los equipos que crean productos de atención médica utilizan ioMoVo como la capa de contenido segura para PHI, respaldada por BAA, con registro de auditoría, cifrada y con despliegue local y en entornos aislados (air-gapped) para que la PHI nunca cruce límites no cubiertos. Consulte la página de atención médica de ioMoVo.
No existe una certificación oficial. El cumplimiento se demuestra mediante salvaguardas implementadas, documentación, auditorías de terceros (SOC 2, HITRUST) y BAA ejecutados.
Solo con un BAA que cubra ese servicio, o ejecutando los modelos dentro de su propio entorno cubierto, razón por la cual las arquitecturas BYOLLM son importantes en la atención médica.