cumplimiento-hipaa

Cumplimiento HIPAA

Utiliza este skill como punto de entrada específico para HIPAA cuando una tarea trate claramente sobre cumplimiento sanitario en EE. UU. Este skill se mantiene deliberadamente ligero y canónico:

• healthcare-phi-compliance sigue siendo el skill principal de implementación para manejo de PHI/PII, clasificación de datos, registro de auditoría, cifrado y prevención de fugas.
• healthcare-reviewer sigue siendo el revisor especializado cuando el código, la arquitectura o el comportamiento del producto necesitan una segunda revisión con conciencia sanitaria.
• security-review sigue aplicándose para cuestiones generales de autenticación, manejo de entradas, secretos, API y endurecimiento del despliegue.

Cuándo Usarlo

• La solicitud menciona explícitamente HIPAA, PHI, entidades cubiertas, asociados comerciales o BAAs
• Construir o revisar software sanitario estadounidense que almacena, procesa, exporta o transmite PHI
• Evaluar si el registro, análisis, prompts de LLM, almacenamiento o flujos de soporte crean exposición a HIPAA
• Diseñar sistemas orientados al paciente o al médico donde sea importante el acceso mínimo necesario y la auditabilidad

Cómo Funciona

Trata HIPAA como una capa superpuesta sobre el skill más amplio de privacidad sanitaria:

1. Comienza con healthcare-phi-compliance para las reglas de implementación concretas.
2. Aplica compuertas de decisión específicas de HIPAA:
   • ¿Este dato es PHI?
   • ¿Este actor es una entidad cubierta o un asociado comercial?
   • ¿Un proveedor o modelo necesita un BAA antes de tocar los datos?
   • ¿El acceso está limitado al ámbito mínimo necesario?
   • ¿Los eventos de lectura/escritura/exportación son auditables?
3. Escala a healthcare-reviewer si la tarea afecta la seguridad del paciente, flujos de trabajo clínicos o arquitectura de producción regulada.

Barreras de Protección Específicas de HIPAA

• Nunca coloques PHI en registros, eventos de análisis, informes de fallos, prompts o cadenas de error visibles para el cliente.
• Nunca expongas PHI en URLs, almacenamiento del navegador, capturas de pantalla o cargas de ejemplo copiadas.
• Exige acceso autenticado, autorización con ámbito definido y registros de auditoría para lecturas y escrituras de PHI.
• Trata a los SaaS de terceros, herramientas de observabilidad, herramientas de soporte y proveedores de LLM como bloqueados por defecto hasta que su estatus BAA y los límites de datos estén claros.
• Sigue el principio de acceso mínimo necesario: el usuario adecuado debe ver solo la porción más pequeña de PHI necesaria para la tarea.
• Prefiere identificadores internos opacos sobre nombres, MRNs, números de teléfono, direcciones u otros identificadores.

Ejemplos

Ejemplo 1: Solicitud de producto enmarcada como HIPAA

Petición del usuario:

Añadir resúmenes de visitas generados por IA a nuestro panel de clínicos. Damos servicio a clínicas estadounidenses y necesitamos mantener el cumplimiento HIPAA.

Patrón de respuesta:

• Activar hipaa-compliance
• Usar healthcare-phi-compliance para revisar el movimiento de PHI, registro, almacenamiento y límites de prompts
• Verificar que el proveedor de resúmenes esté cubierto por un BAA antes de enviar cualquier PHI
• Escalar a healthcare-reviewer si los resúmenes influyen en decisiones clínicas

Ejemplo 2: Decisión sobre proveedor/herramienta

Petición del usuario:

¿Podemos enviar transcripciones de soporte y mensajes de pacientes a nuestra pila de análisis?

Patrón de respuesta:

• Asumir que esos mensajes pueden contener PHI
• Bloquear el diseño a menos que el proveedor de análisis esté aprobado para cargas de trabajo sujetas a HIPAA y la ruta de datos esté minimizada
• Exigir redacción o un modelo de eventos sin PHI cuando sea posible

Skills Relacionados

• healthcare-phi-compliance
• healthcare-reviewer
• healthcare-emr-patterns
• healthcare-eval-harness
• security-review