BAA — це не сертифікат відповідності

У закупівлях у сфері медицини питання «Ви підпишете BAA?» ставлять першим і часто вважають фінішем. Насправді це лише старт.

Що насправді робить BAA

Угода з бізнес-партнером (Business Associate Agreement, BAA) — це договір. Відповідно до HIPAA він зобов'язує постачальника захищати захищену медичну інформацію, використовувати її лише для дозволених цілей, повідомляти про витоки та передавати ті самі зобов'язання власним субпідрядникам. Це важливо: угода створює відповідальність і чітко визначає, хто за що відповідає.

Чого він не робить

Підписаний BAA не підтверджує, що засоби захисту існують. Це не сертифікація. HHS не сертифікує продукти або постачальників як такі, що відповідають HIPAA, тож будь-який бейдж із таким твердженням — це маркетинг, а не знак регулятора. Два постачальники можуть підписати однакові угоди, але на практиці мати дуже різний рівень безпеки.

Ланцюг субпідрядників у голосовому AI

Один телефонний дзвінок може пройти через телефонію, перетворення мовлення на текст, мовну модель і перетворення тексту на мовлення. Якщо пацієнт повідомляє щось, що дозволяє його ідентифікувати, кожен із цих рівнів може працювати з PHI, і кожен має бути охоплений угодою. Фраза «У нас із вами є BAA» мало що означає, якщо аудіо проходить через трьох постачальників, у яких немає BAA з нами.

Питання, які варто поставити

Де обробляється та зберігається аудіо? Які субпідрядники його обробляють? Як довго зберігаються записи й транскрипції та хто має до них доступ? Що містять журнали аудиту і як швидко вам повідомлять про витік?

Постачальник, який чітко відповідає на ці питання, справді зробив потрібну роботу. Постачальник, який знову вказує на підпис, виконав лише паперову частину.

Oleksii Kocherev

CEO, Optima Voice

Голосові AI-агенти для бізнесу, освіти та держави

Оригінал статті опубліковано на Medium.