HIPAA, datos privados y modelos privados: el BAA es el piso, no el producto

La PHI (protected health information, información de salud protegida) es cualquier dato de salud que identifique a una persona y que esté en manos de una entidad cubierta o de sus proveedores: nombres junto con padecimientos, motivos de cita, datos del seguro, incluso una dirección de correo en un contexto médico. Un BAA es el contrato que HIPAA exige entre una organización de salud y cualquier proveedor que maneje PHI en su nombre. Sin BAA no se debe manejar PHI, punto. Un chatbot en el sitio web de una clínica que deja a un visitante escribir “¿puedo agendar una cita por mi medicamento para la diabetes?” está recibiendo PHI, lo que convierte al proveedor del chatbot en socio comercial, lo haya planeado o no.

La frase que los proveedores evitan decir en voz alta: no existe un modelo de IA “certificado para HIPAA”. El Departamento de Salud y Servicios Humanos de EE. UU. (HHS) no certifica a nadie. “Apto para HIPAA” (HIPAA-eligible) significa que el proveedor firmará un BAA y tiene las salvaguardas técnicas para respaldarlo; el cumplimiento es una propiedad de todo el despliegue(contratos + cifrado + control de acceso + registro de auditoría + procesos del personal), nunca de un modelo.

La forma más limpia de usar un modelo de frontera con PHI es a través de una plataforma en la nube cuyo BAA cubra el servicio de modelos, porque los datos nunca llegan al laboratorio del modelo:

AWS Bedrock: apto para HIPAA bajo el BAA estándar de AWS, sin exclusiones de modelos. Claude, Llama, Mistral y los demás corren dentro de la infraestructura de AWS; Anthropic es un subencargado que no puede ver las entradas ni las salidas. Los prompts no se guardan ni se usan para entrenar. Para un equipo que ya está en AWS, es una casilla en una cuenta que probablemente ya tiene un BAA, y por eso “el servicio de AWS” es la respuesta por defecto cuando un cliente del sector salud pregunta por acceso privado a modelos.

Google Vertex AI: está en la lista de servicios aptos para HIPAA de Google Cloud; los modelos Gemini llamados a través de Vertex están cubiertos por el BAA de GCP. Es justo el arreglo que Jotform declara para sus cuentas HIPAA (“utilizamos los modelos Gemini de Google a través de Vertex AI”): una prueba útil de que una plataforma de chatbots puede heredar el cumplimiento si enruta su nivel HIPAA por una vía de nube cubierta en lugar de la API de consumo del laboratorio.

Azure OpenAI: acceso a la familia GPT bajo el BAA de Microsoft, con la identidad, la red y los registros de Azure alrededor. Es lo más sólido cuando la revisión de seguridad de la organización ya pasa por Microsoft.

Los laboratorios ahora firman sus propios BAA, con aristas más filosas que las vías en la nube:

Anthropic: ofrece un BAA para la API de Claude y (desde diciembre de 2025) planes Enterprise preparados para HIPAA bajo un solo contrato. La cobertura está acotada por funciones: a mediados de 2026 están cubiertas la Messages API, la caché de prompts, las salidas estructuradas, la memoria y la búsqueda web; la Batch API, la Files API, la ejecución de código y el uso de computadora explícitamente no lo están. Los modelos cubiertos exigen retención de 30 días (no están disponibles con retención cero de datos), mientras que algunos productos (Claude Code) están cubiertos solo con la retención cero (ZDR) activada. Traducción: lea la lista de funciones cubiertas de cada producto, siempre; el BAA es un mapa con huecos, no una cobija.

OpenAI: una vía con BAA para la API usando endpoints aptos para retención cero, más un espacio de trabajo ChatGPT for Healthcare (2026). El ChatGPT de consumo y los espacios de trabajo estándar para equipos siguen sin cobertura: la violación de HIPAA más común en la práctica sigue siendo un médico que pega un expediente en una pestaña de chat gratuita.

El patrón en ambos: los BAA se negocian con el área de ventas, están acotados por funciones y tienen matices de retención. La vía de las grandes nubes es más amplia y más tosca; la vía directa recibe antes las funciones nuevas, pero le exige llevar el control de una matriz de cobertura.

La tercera vía elimina por completo al proveedor del modelo: ejecutar un modelo de pesos abiertos (Llama 4, Qwen 3.5, Mistral Large 3, Gemma 4) en infraestructura que usted controla. No hace falta un BAA con un proveedor de modelos porque no hay proveedor de modelos: la PHI nunca sale de su perímetro. Es la arquitectura más defendible para cargas de trabajo con PHI dentro del prompt, y en 2026 los modelos abiertos ya son lo bastante buenos para un chatbot de recepción y respuesta.

Las advertencias honestas vienen de nuestra propia realidad del autoalojamiento: usted hereda el problema de servir el modelo (concurrencia, disponibilidad, actualizaciones), y rentar una GPU en lugar de tenerla vuelve a traer la obligación del BAA: el arrendador de la GPU puede acceder físicamente a la máquina, así que él se convierte en su socio comercial. Un despliegue aislado en una VPC dentro de una nube con la que usted ya tiene BAA (capacidad privada en Bedrock, un servidor vLLM dentro de una cuenta de AWS cubierta) suele ser el punto medio pragmático: control de autoalojamiento, papeleo de gran nube.

La vía del modelo es quizá un tercio del trabajo. Un chatbot que recibe PHI también necesita, según las salvaguardas técnicas de la Regla de Seguridad (Security Rule) de HIPAA: TLS 1.2+ en tránsito y AES-256 en reposo para cada transcripción guardada; control de acceso basado en roles y MFA en cada superficie de administración; registro de auditoría de cada acceso a PHI (45 CFR § 164.312(b): registrar y examinar la actividad en los sistemas que contienen ePHI); controles de retención de datos que el cliente pueda configurar; y un proceso de notificación de brechas. Además está la capa administrativa (evaluaciones de riesgo, capacitación del personal, respuesta a incidentes), que ningún proveedor le puede vender.

Y la regla de la cadena: un BAA debe cubrir a cada subencargado que toque los datos. El BAA de una plataforma de chatbots vale lo mismo que sus propios BAA con su proveedor de base de datos, su proveedor de modelos y su sistema de registros. Un solo script de analítica sin cobertura dentro del widget rompe la cadena.

Un BAA firmado cubre la parte del proveedor. No impide que alguien del personal pegue el expediente de un paciente en una herramienta sin cobertura; no oculta la PHI dentro de un PDF subido; no produce la evidencia de auditoría que pide un auditor; y no hace que la salida del modelo sea clínicamente segura: un chatbot fundamentado que se abstiene cuando no sabe importa más en un contexto médico que en cualquier otro. El cumplimiento es el boleto de entrada; la calidad de las respuestas sigue siendo el producto.

¿Ya está en AWS, GCP o Azure? Use el servicio de modelos de esa nube bajo el BAA que probablemente ya tiene: Bedrock para Claude, Vertex para Gemini, Azure para GPT. ¿Necesita primero las funciones más nuevas del laboratorio? BAA directo con el laboratorio, y lleve el control de la matriz de funciones cubiertas. ¿La PHI nunca debe salir de su perímetro? Pesos abiertos en su propia VPC o en hardware propio. ¿Va a comprar una plataforma de chatbots? Haga tres preguntas: quién firma el BAA, qué vía de modelo atiende el nivel HIPAA y dónde viven las transcripciones; y pida la lista de subencargados. Un proveedor que responde las tres por escrito es real; uno que responde con un muro de logotipos, no.