HIPAA e IA médica: guía para clínicas en EEUU

El uso incorrecto de IA médica puede acarrear sanciones HIPAA en EEUU. Descubre qué es un BAA, cómo son las auditorías OCR y los requisitos técnicos.

10 jun 2026 14 min de lectura

HIPAA e IA médica: guía para clínicas en EEUU

Este artículo explica qué significa HIPAA para herramientas de IA médica, cuándo un proveedor se convierte en asociado de negocio, qué debe contener el BAA y cómo evitar las infracciones más frecuentes. Revisaremos el marco regulatorio, las obligaciones de las entidades cubiertas y los pasos prácticos para desplegar IA cumpliendo la normativa federal.

¿Qué es HIPAA y por qué afecta a la IA médica?

La Ley de Portabilidad y Responsabilidad de Seguros de Salud (HIPAA) regula el uso y divulgación de información de salud protegida (PHI) y se aplica a cualquier sistema de IA que maneje datos de pacientes. HIPAA establece tres reglas principales: Privacy Rule (qué usos están permitidos), Security Rule (cómo proteger los datos electrónicos) y Breach Notification Rule (cómo notificar brechas de seguridad).

Cuando una clínica adopta un transcriptor de IA, un asistente de documentación o cualquier herramienta que procese conversaciones clínicas, está confiando PHI a un tercero. Ese tercero no actúa en nombre del paciente, sino en nombre de la entidad cubierta: el hospital, la clínica o el médico que transmite información de salud en forma electrónica. Por tanto, el proveedor de IA se convierte en business associate (asociado de negocio) y queda sujeto a HIPAA.

Las tres normas HIPAA se aplican de forma distinta. La Privacy Rule limita el acceso y la divulgación de PHI; la Security Rule exige salvaguardas administrativas, físicas y técnicas para la PHI electrónica; la Breach Notification Rule obliga a notificar al paciente, a HHS y, en brechas grandes, a los medios de comunicación. La clínica sigue siendo responsable de cualquier infracción cometida por el proveedor de IA si no existe un BAA válido.

Qué es un BAA y por qué es obligatorio

Cuando una entidad cubierta por HIPAA comparte información de salud con un proveedor de IA, este se convierte en asociado de negocio y debe firmar un acuerdo (BAA) que garantice el cumplimiento de las salvaguardas de HIPAA. El BAA no es opcional: sin él, cualquier divulgación de PHI al proveedor de IA constituye una infracción.

El BAA debe especificar: qué usos y divulgaciones de PHI están permitidos; qué salvaguardas implementará el asociado para proteger la información; cómo notificará brechas de seguridad a la entidad cubierta; qué ocurre con los datos cuando finaliza la relación (devolución o destrucción certificada); y cómo se auditará el cumplimiento. La carga de exigir el BAA recae en la entidad cubierta, no en el proveedor de IA.

Muchas herramientas de IA generativa ofrecen versiones "enterprise" con BAA, pero eso no significa que la versión gratuita o la versión estándar lo incluyan. Algunas empresas han etiquetado su software como "HIPAA compliant" cuando la entidad no es asociado de negocio y, por tanto, no está sujeta a las normas de privacidad de HIPAA. El médico debe verificar la existencia del BAA y revisar su contenido antes de introducir cualquier dato de paciente.

Cómo saber si tu clínica está cubierta por HIPAA

No todos los médicos ni todas las clínicas están sujetos a HIPAA. La cobertura se activa cuando el proveedor realiza transacciones electrónicas específicas con planes de salud; el ejemplo más frecuente es la transmisión electrónica de formularios de reclamación de seguros, ya sea directamente o a través de un servicio de facturación.

Si tu clínica factura a Medicare, Medicaid o a cualquier aseguradora privada mediante EDI (electronic data interchange), estás cubierto por HIPAA. Si solo aceptas pagos en efectivo y no transmites reclamaciones electrónicas, es posible que no seas una entidad cubierta en sentido estricto. Sin embargo, incluso los proveedores no cubiertos pueden enfrentar responsabilidad penal por violaciones de confidencialidad del paciente bajo las disposiciones penales de HIPAA y bajo leyes estatales.

HHS ofrece una herramienta en línea para determinar si una organización es entidad cubierta. Si la respuesta es sí, todas las salvaguardas de HIPAA se aplican a cualquier sistema que maneje PHI, incluidos los transcriptores de IA.

Infracciones frecuentes al usar IA sin BAA

Un escenario realista es un médico de urgencias que introduce datos de un paciente en una herramienta de IA pública sin que exista un acuerdo de asociado de negocio válido. Esa acción constituye una divulgación impermisible de PHI. La clínica puede ser considerada responsable incluso si el médico actuó de forma individual.

Otras infracciones habituales documentadas en resoluciones de OCR incluyen: permitir que representantes de ventas farmacéuticas accedan a historiales clínicos; no cancelar el acceso remoto de un empleado despedido; enviar información de VIH al empleador del paciente en lugar de a su domicilio; no tener un BAA con el proveedor de calendario web que contenía PHI; y acceder a registros de pacientes de alto perfil sin propósito legítimo, detectado mediante auditorías internas.

El uso de IA amplifica estos riesgos. Un transcriptor sin cifrado de extremo a extremo puede exponer PHI durante la transmisión; un LLM que entrena sus modelos con datos de usuarios puede retener información del paciente indefinidamente; una herramienta que no elimina grabaciones tras procesarlas puede incumplir el principio de minimización de datos. Todo ello constituye infracción si el proveedor de IA no está sujeto a un BAA.

Qué debe incluir el BAA con un proveedor de IA

El contenido del BAA está regulado. El documento debe permitir únicamente los usos y divulgaciones de PHI que sean necesarios para cumplir el servicio contratado, y prohibir expresamente el uso o divulgación con cualquier otro fin.

El BAA debe obligar al asociado a implementar salvaguardas administrativas, físicas y técnicas que protejan razonablemente la confidencialidad, integridad y disponibilidad de la PHI electrónica; a notificar cualquier brecha de seguridad en un plazo definido (habitualmente 60 días desde el descubrimiento); y a devolver o destruir toda PHI al finalizar el contrato, certificando esa destrucción por escrito. Debe permitir también que la entidad cubierta audite el cumplimiento del asociado.

Un BAA con un proveedor de transcripción médica IA debe especificar: dónde se almacenan los audios y las transcripciones (residencia de datos); durante cuánto tiempo se conservan; si el proveedor los utiliza para mejorar el modelo o para cualquier otro fin secundario; qué cifrado se aplica en reposo y en tránsito; qué empleados del proveedor tienen acceso a PHI; y cómo se registra ese acceso (audit logs).

Sin estas cláusulas, el BAA no ofrece protección real.

Sanciones civiles y penales por infracciones de HIPAA

Las consecuencias de incumplir HIPAA con herramientas de IA son sustanciales. Las sanciones civiles siguen una estructura escalonada; el secretario de HHS tiene discreción para determinar el importe basándose en la naturaleza y el alcance de la infracción y del daño resultante, pero está prohibido imponer sanciones civiles si la infracción se corrige en 30 días, salvo en casos de negligencia intencionada.

Cómo verificar que el proveedor de IA cumple HIPAA

Antes de contratar un transcriptor de IA médica para tu clínica, solicita al proveedor el texto del BAA y revísalo con tu asesor jurídico. Verifica que el proveedor no utiliza tus datos para entrenar modelos, a menos que tengas consentimiento explícito documentado del paciente para ese fin secundario (lo cual casi nunca se da en la práctica clínica).

Pregunta dónde se alojan los servidores. Si el proveedor utiliza infraestructura de nube, confirma que los servidores estén en EEUU o en una jurisdicción con acuerdo de adecuación reconocido. La localización de datos es relevante para HIPAA cuando el almacenamiento se produce fuera de EEUU, porque complica la aplicación de las salvaguardas de la Security Rule.

Comprueba la política de retención de datos. El incumplimiento de los requisitos de HIPAA puede resultar en sanciones legales significativas, multas y daño reputacional; esta regulación juega un papel crucial en la gestión de la calidad operativa de los sistemas de IA al obligar a implementar medidas sólidas de privacidad y seguridad. Un proveedor que conserva grabaciones indefinidamente incumple el principio de minimización de datos y aumenta el riesgo de brecha.

Exige acceso a audit logs. El proveedor debe poder mostrarte quién ha accedido a qué registros y cuándo. La trazabilidad del acceso es una salvaguarda técnica obligatoria bajo la Security Rule y es fundamental en caso de investigación por parte de OCR.

Diferencias entre cumplimiento HIPAA y cumplimiento técnico

Que un proveedor de IA afirme ser "HIPAA compliant" no significa que lo sea.

En lugar de intentar que los LLMs cumplan HIPAA, todas las herramientas de IA generativa para uso sanitario deberían diseñarse desde el inicio con privacidad de datos integrada; además, algunas empresas han engañado al público etiquetando su software como "HIPAA compliant" cuando la entidad no era asociado de negocio y, por tanto, no estaba sujeta a las normas de privacidad de HIPAA.

El cumplimiento técnico incluye cifrado AES-256, autenticación multifactor, separación lógica de datos por cliente (tenancy aislado), backups cifrados, logs de auditoría inmutables y parches de seguridad actualizados. Pero el cumplimiento HIPAA va más allá: exige políticas administrativas, formación del personal, análisis de riesgos periódico, procedimientos de respuesta ante brechas y, sobre todo, el BAA.

Una herramienta con cifrado perfecto pero sin BAA no cumple HIPAA. Una herramienta con BAA pero sin cifrado en tránsito incumple la Security Rule. Ambas dimensiones son necesarias, y la ausencia de cualquiera de ellas expone a la clínica a sanciones.

Cómo implementar IA cumpliendo HIPAA: pasos prácticos

Primero, confirma que tu clínica es una entidad cubierta mediante la herramienta de HHS. Si lo es, designa un responsable de privacidad (privacy officer) que supervise el cumplimiento. Ese rol puede recaer en el administrador de la clínica, en un socio o en un consultor externo.

Segundo, elabora un inventario de todos los sistemas que manejan PHI: EHR, transcriptor, correo electrónico, calendario, portal de pacientes, facturación. Para cada sistema pregunta: ¿existe un BAA con el proveedor? ¿Cuándo se firmó? ¿Se ha actualizado conforme a la Omnibus Rule?

Un hospital fue sancionado por no actualizar un BAA según los requisitos de la Omnibus Rule, y como resultado toda la información proporcionada al asociado tras la fecha de no conformidad fue considerada divulgación impermisible.

Tercero, antes de adoptar cualquier herramienta de IA, solicita el BAA al proveedor y revísalo con tu asesor jurídico. Si el proveedor no ofrece BAA, descártalo. Si ofrece BAA solo en planes empresariales, evalúa el coste frente al riesgo; una clínica pequeña puede enfrentar las mismas sanciones que un hospital grande.

Cuarto, forma a todo el equipo clínico y administrativo. Las responsabilidades institucionales incluyen ejecutar BAAs con cualquier proveedor de IA que pueda manejar PHI, proporcionar formación del personal sobre las limitaciones legales y éticas del uso de IA en atención clínica, y requerir aprobación previa de herramientas de IA antes de su uso en documentación, comunicación o apoyo a decisiones.

Los médicos deben saber que introducir PHI en ChatGPT, Gemini o cualquier LLM público sin BAA constituye infracción, incluso si lo hacen desde su dispositivo personal.

Quinto, realiza un análisis de riesgos anual conforme a la Security Rule. Ese análisis debe identificar todas las amenazas y vulnerabilidades a la PHI electrónica, valorar la probabilidad y el impacto de cada una, e implementar medidas de mitigación. La falta de ese análisis ha motivado sanciones millonarias en resoluciones de OCR.

Preguntas frecuentes

No. Un médico de urgencias que introduce datos de paciente en una herramienta de IA pública sin un acuerdo de asociado de negocio válido comete una infracción de HIPAA. Eliminar el nombre no convierte la información en desidentificada en sentido legal. La desidentificación bajo HIPAA exige eliminar 18 identificadores específicos y que un experto certifique que el riesgo de reidentificación es mínimo.

Una conversación clínica sin nombre sigue conteniendo información diagnóstica, procedimientos, fechas y contexto que permiten reidentificar al paciente.

Los hospitales, clínicas y sistemas de salud son entidades cubiertas bajo HIPAA y tienen la responsabilidad principal de garantizar el cumplimiento de todas las normas de privacidad y seguridad, incluida la verificación de cualquier proveedor externo que maneje PHI, la garantía de protecciones de datos adecuadas y la ejecución de BAAs con dichos proveedores; cuando un médico usa una herramienta de IA sin un BAA válido y se divulga PHI, la institución puede ser considerada responsable de la brecha.

La entidad cubierta es siempre responsable de verificar que el asociado de negocio cumple HIPAA. Si el proveedor de IA sufre una brecha, la clínica debe notificarla a los pacientes afectados, a OCR y, si afecta a más de 500 personas, a medios de comunicación. La sanción civil puede recaer sobre la entidad cubierta, el asociado de negocio o ambos.

El coste principal es el BAA, que suele exigir planes empresariales o profesionales del proveedor de IA; esos planes pueden multiplicar por cinco el precio de los planes estándar. Además, la clínica debe invertir en formación del personal, análisis de riesgos anual (puedes hacerlo internamente o contratar un consultor por unos pocos miles de dólares), cifrado de dispositivos, gestión de contraseñas y políticas de respuesta ante brechas.

Para una clínica pequeña, el coste anual total ronda entre cinco mil y quince mil dólares, dependiendo del número de herramientas y del grado de externalización. Ese coste es inferior a la sanción mínima por una sola infracción con negligencia intencionada no corregida.

No. HIPAA regula cómo se usan y protegen los datos, no qué tecnología puedes emplear. La IA generativa solo debe usarse donde existan políticas adecuadas dentro de la práctica u organización sanitaria para gobernar su uso y mitigar riesgos asociados, y debe seguir leyes y regulaciones estatales y federales aplicables, incluido un acuerdo de asociado de negocio conforme a HIPAA.

Las clínicas pueden adoptar transcriptores de IA, asistentes de documentación y herramientas de codificación diagnóstica siempre que se cumplan las salvaguardas de privacidad y seguridad. El requisito clave es el BAA y la verificación técnica del cumplimiento.

Deja de introducir PHI inmediatamente y contacta al proveedor para solicitar el BAA. Si el proveedor no puede o no quiere firmarlo, migra a una alternativa que sí lo ofrezca. El secretario de HHS está prohibido de imponer sanciones civiles si la infracción se corrige en 30 días, excepto en casos de negligencia intencionada.

Documenta la corrección: correo electrónico al proveedor solicitando BAA, decisión interna de suspender uso hasta firmar el acuerdo, y formación al equipo sobre la prohibición. Si OCR inicia una investigación, esa documentación demuestra diligencia razonable y puede evitar la sanción o reducirla significativamente.

Depende. Si despliegas un modelo de IA en servidores propios de la clínica, sin transmitir PHI a un tercero, no hay asociado de negocio y no necesitas BAA. Pero sigues sujeto a las salvaguardas técnicas de la Security Rule: cifrado, control de acceso, audit logs, backups seguros y gestión de parches.

Si contratas a una empresa externa para instalar o mantener ese sistema, y esa empresa tiene acceso potencial a PHI, entonces sí se convierte en asociado de negocio y necesitas BAA con ella. El modelo de despliegue local reduce, pero no elimina, las obligaciones de cumplimiento.

No. El consentimiento del paciente para grabar la consulta o para usar IA en su atención es un requisito ético y, en muchos estados, legal, pero no sustituye al BAA. HIPAA permite que las entidades cubiertas compartan PHI con asociados de negocio sin consentimiento del paciente para fines de tratamiento, pago y operaciones sanitarias, siempre que exista un BAA. El consentimiento del paciente y el BAA con el proveedor son obligaciones independientes y complementarias.