BAA — это не сертификат соответствия

При закупках в сфере медицины вопрос «Вы подпишете BAA?» задают первым и часто считают на этом процесс завершённым. На самом деле это только старт.

Что на самом деле делает BAA

Соглашение с бизнес-партнёром (Business Associate Agreement, BAA) — это договор. В рамках HIPAA он обязывает поставщика защищать охраняемую медицинскую информацию, использовать её только в разрешённых целях, сообщать об утечках и передавать те же обязательства своим субподрядчикам. Это важно: договор создаёт ответственность и ясную границу обязанностей.

Чего он не делает

Подписанный BAA не подтверждает, что необходимые меры защиты существуют. Это не сертификат. HHS не сертифицирует продукты или поставщиков как соответствующие HIPAA, поэтому любой бейдж с таким утверждением — маркетинг, а не знак регулятора. Два поставщика могут подписать одинаковые соглашения, но на практике обеспечить совершенно разный уровень безопасности.

Цепочка субподрядчиков в голосовом ИИ

Один телефонный звонок может пройти через телефонию, преобразование речи в текст, языковую модель и синтез речи. Если пациент сообщает что-то, что позволяет его идентифицировать, каждый из этих уровней может соприкоснуться с PHI, и каждый должен быть охвачен договором. Фраза «У нас с вами есть BAA» мало значит, если аудио проходит через трёх поставщиков, у которых нет BAA с нами.

Какие вопросы стоит задавать

Где обрабатывается и хранится аудио? Какие субподрядчики участвуют? Как долго хранятся записи и расшифровки и кто имеет к ним доступ? Что входит в журналы аудита и как быстро вам сообщат об утечке?

Поставщик, который ясно отвечает на эти вопросы, действительно проделал работу. Поставщик, который снова указывает на подпись, выполнил только бумажную часть.

Oleksii Kocherev

CEO, Optima Voice

Голосовые AI-агенты для бизнеса, образования и государства

Оригинал статьи опубликован на Medium.