Apps de dictado conformes a la HIPAA: qué comprobar
Si dictas notas de pacientes, cartas o resúmenes de sesiones, tu app de dictado maneja información de salud protegida. Muchas apps se presentan como «conformes a la HIPAA», pero la HIPAA no certifica productos, y la etiqueta puede significar cosas muy distintas. Esto es lo que de verdad importa al elegir una app de dictado conforme a la HIPAA, con una lista de comprobación antes de dictar una sola nota.
No existe una etiqueta oficial de «conforme a la HIPAA»
El Departamento de Salud y Servicios Humanos de EE. UU. (HHS) no certifica ni respalda productos como conformes a la HIPAA. El HHS también ha dicho que no reconoce las «certificaciones» de organizaciones privadas y que estas no eximen a los profesionales de sus propias obligaciones. Así que, cuando un proveedor dice «conforme a la HIPAA», trátalo como una afirmación que hay que comprobar, no como una garantía. El cumplimiento depende de cómo la herramienta trata los datos, de los acuerdos vigentes y de cómo la usas.
La pregunta clave: ¿recibe el proveedor datos de pacientes en algún momento?
Según la HIPAA, una empresa que crea, recibe, mantiene o transmite información de salud protegida en nombre de un profesional sanitario es un business associate. Antes de compartir con ella información de pacientes, necesitas un business associate agreement (BAA): un contrato en el que el proveedor se compromete a proteger los datos.
Por eso importa tanto adónde va tu audio:
- Dictado en la nube. Tu grabación se sube y se transcribe en los servidores del proveedor. El proveedor recibe datos de pacientes, así que necesitas un BAA, y dependes de su seguridad, sus normas de conservación y su personal.
- Almacenamiento cifrado en la nube. Aunque un proveedor no pueda leer tus archivos, la guía del HHS dice que un proveedor de nube que almacena datos de pacientes cifrados sin la clave sigue siendo un business associate. Sigues necesitando un BAA.
- Dictado en el dispositivo. Si la grabación, la transcripción y el almacenamiento se hacen en tu propio teléfono y el desarrollador nunca recibe los datos, el desarrollador no maneja información de pacientes en tu nombre. Tus propias obligaciones según la HIPAA siguen vigentes, empezando por proteger el dispositivo.
El cifrado: tu red de seguridad si pierdes el teléfono
Los teléfonos se pierden y se roban. Según la norma de notificación de brechas de la HIPAA, la información de salud protegida cifrada conforme a la guía del HHS se considera «asegurada», así que perder un dispositivo cifrado no suele ser una brecha notificable, siempre que la clave de descifrado no se haya visto comprometida también. En una app de dictado, busca:
- Grabaciones y transcripciones cifradas en el dispositivo, idealmente con un bloqueo propio de la app, para que un teléfono desbloqueado no las deje al descubierto.
- Una clave protegida por el hardware de seguridad del teléfono, como Face ID y el Secure Enclave del iPhone, en lugar de una contraseña guardada en otro lugar.
- Cifrado en tránsito para todo lo que sí salga del teléfono, como las exportaciones a tu historia clínica electrónica.
Lista de comprobación para elegir una app de dictado
- ¿Dónde se transcribe el audio? ¿En tu dispositivo o en los servidores del proveedor? Pruébalo en modo Avión.
- ¿Firmará el proveedor un BAA? Si algún dato de pacientes llega a sus servidores, necesitas uno, y puede que solo venga con ciertos planes.
- ¿Se cifran los datos en reposo y en tránsito? Pregunta qué estándar se usa y quién tiene las claves.
- ¿Se usan tus datos para entrenar IA? Busca un «no» claro, no un «pueden usarse datos anonimizados».
- ¿Quién puede acceder a las grabaciones? ¿Personal, contratistas, transcriptores, proveedores de IA?
- ¿Cuánto tiempo se conservan los datos, y puedes borrarlos por completo?
- ¿Controlas las exportaciones? Enviar una nota a tu historia clínica electrónica o a tu software de consulta debe ser decisión tuya, cada vez.
El resto de la HIPAA sigue vigente
Ninguna app te hace cumplir la norma por sí sola. Mantén actualizado el software de tu teléfono, usa un código seguro y Face ID, no compartas el dispositivo y sigue las políticas de tu organización sobre dispositivos móviles. Los terapeutas también deben recordar que las notas de psicoterapia tienen protecciones adicionales según la HIPAA. Si trabajas en una consulta o un hospital, consulta con tu responsable de cumplimiento o de privacidad antes de adoptar una herramienta nueva.
¿No tienes claro qué pasa con tu voz con el dictado integrado del iPhone? Consulta ¿Es privado el dictado del iPhone?
Preguntas frecuentes
¿Existe una lista oficial de apps de dictado conformes a la HIPAA?
No. El HHS no certifica ni respalda productos, así que una etiqueta de «conforme a la HIPAA» es una afirmación del propio proveedor. Comprueba cómo trata la app los datos y si el proveedor firmará un business associate agreement en caso de recibir información de pacientes.
¿Necesito un business associate agreement para una app de dictado?
Lo necesitas si el proveedor crea, recibe, mantiene o transmite información de pacientes en tu nombre, por ejemplo al transcribir tu audio en sus servidores o al guardar tus notas en su nube. Si todo se queda en tu propio dispositivo y el proveedor nunca lo recibe, no hay datos de pacientes en manos del proveedor, pero consúltalo con tu responsable de cumplimiento.
¿El dictado integrado del iPhone es conforme a la HIPAA?
No está diseñado como herramienta clínica. Según tu idioma y tu iPhone, el dictado puede procesarse en el teléfono o enviarse a los servidores de Apple, y el texto va a la app en la que estés escribiendo. Nuestra guía sobre la privacidad del dictado del iPhone explica qué ajustes revisar.
¿El cifrado hace que una app cumpla la HIPAA?
No por sí solo, pero importa mucho. Un cifrado conforme a la guía del HHS significa que un dispositivo perdido o robado no suele ser una brecha notificable. Sigues necesitando controles de acceso, políticas sensatas y, cuando un proveedor recibe datos, un business associate agreement.
Esta guía ofrece información general sobre la HIPAA, no asesoramiento jurídico. Las políticas de tu organización y tu responsable de cumplimiento tienen la última palabra.