conformidade-hipaa

Conformidade HIPAA

Use este como o ponto de entrada específico para HIPAA quando uma tarefa for claramente sobre conformidade de saúde dos EUA. Este skill mantém-se intencionalmente enxuto e canônico:

• healthcare-phi-compliance permanece o skill de implementação principal para tratamento de PHI/PII, classificação de dados, auditoria, criptografia e prevenção de vazamentos.
• healthcare-reviewer permanece o revisor especializado quando código, arquitetura ou comportamento de produto precisam de uma segunda verificação com foco em saúde.
• security-review ainda se aplica para autenticação geral, tratamento de entradas, segredos, API e hardening de implantação.

Quando Usar

• A solicitação menciona explicitamente HIPAA, PHI, entidades cobertas, parceiros de negócios ou BAAs
• Construir ou revisar software de saúde dos EUA que armazena, processa, exporta ou transmite PHI
• Avaliar se logs, análises, prompts de LLM, armazenamento ou fluxos de suporte criam exposição à HIPAA
• Projetar sistemas voltados para pacientes ou clínicos onde o acesso mínimo necessário e a auditabilidade são importantes

Como Funciona

Trate a HIPAA como uma camada sobreposta ao skill mais amplo de privacidade na saúde:

1. Comece com healthcare-phi-compliance para as regras de implementação concretas.
2. Aplique os portões de decisão específicos da HIPAA:
   • Este dado é PHI?
   • Este ator é uma entidade coberta ou parceiro de negócios?
   • Um fornecedor ou provedor de modelo exige um BAA antes de tocar nos dados?
   • O acesso está limitado ao escopo mínimo necessário?
   • Os eventos de leitura/escrita/exportação são auditáveis?
3. Escale para healthcare-reviewer se a tarefa afetar a segurança do paciente, fluxos de trabalho clínicos ou arquitetura de produção regulamentada.

Salvaguardas Específicas da HIPAA

• Nunca coloque PHI em logs, eventos de análise, relatórios de falhas, prompts ou strings de erro visíveis ao cliente.
• Nunca exponha PHI em URLs, armazenamento do navegador, capturas de tela ou exemplos de payload copiados.
• Exija acesso autenticado, autorização com escopo definido e trilhas de auditoria para leituras e gravações de PHI.
• Trate fornecedores terceirizados (SaaS, observabilidade, ferramentas de suporte, provedores de LLM) como bloqueados por padrão até que o status do BAA e os limites de dados estejam claros.
• Siga o acesso mínimo necessário: o usuário certo deve ver apenas a menor fatia de PHI necessária para a tarefa.
• Prefira IDs internos opacos em vez de nomes, MRNs, números de telefone, endereços ou outros identificadores.

Exemplos

Exemplo 1: Solicitação de produto enquadrada como HIPAA

Solicitação do usuário:

Adicione resumos de visitas gerados por IA ao nosso painel de clínicos. Atendemos clínicas nos EUA e precisamos estar em conformidade com a HIPAA.

Padrão de resposta:

• Ative hipaa-compliance
• Use healthcare-phi-compliance para revisar movimentação de PHI, logs, armazenamento e limites de prompts
• Verifique se o provedor de sumarização está coberto por um BAA antes de qualquer PHI ser enviado
• Escale para healthcare-reviewer se os resumos influenciarem decisões clínicas

Exemplo 2: Decisão sobre fornecedor/ferramenta

Solicitação do usuário:

Podemos enviar transcrições de suporte e mensagens de pacientes para nossa stack de análises?

Padrão de resposta:

• Presuma que essas mensagens podem conter PHI
• Bloqueie o design, a menos que o fornecedor de análises seja aprovado para cargas de trabalho vinculadas à HIPAA e o caminho de dados seja minimizado
• Exija anonimização ou um modelo de eventos sem PHI quando possível

Skills Relacionados

• healthcare-phi-compliance
• healthcare-reviewer
• healthcare-emr-patterns
• healthcare-eval-harness
• security-review