Conformidade com HIPAA

Use este ponto de entrada específico para HIPAA quando uma tarefa for claramente sobre conformidade com o sistema de saúde dos EUA. Esta habilidade intencionalmente permanece simples e canônica:

• healthcare-phi-compliance continua sendo a habilidade de implementação principal para tratamento de PHI/PII, classificação de dados, registro de auditoria, criptografia e prevenção de vazamentos.
• healthcare-reviewer continua sendo o revisor especializado quando código, arquitetura ou comportamento do produto precisam de uma segunda análise com conhecimento de saúde.
• security-review ainda se aplica para autenticação geral, tratamento de entrada, segredos, API e fortalecimento de implantação.

Quando Usar

• A solicitação menciona explicitamente HIPAA, PHI, entidades cobertas, associados de negócios ou BAAs
• Construindo ou revisando software de saúde dos EUA que armazena, processa, exporta ou transmite PHI
• Avaliando se o registro, a análise, os prompts de LLM, o armazenamento ou os fluxos de trabalho de suporte criam exposição à HIPAA
• Projetando sistemas voltados para pacientes ou clínicos onde o acesso mínimo necessário e a auditabilidade são importantes

Como Funciona

Trate a HIPAA como uma sobreposição à habilidade mais ampla de privacidade em saúde:

1. Comece com healthcare-phi-compliance para as regras concretas de implementação.
2. Aplique portões de decisão específicos da HIPAA:
   • Esses dados são PHI?
   • Esse ator é uma entidade coberta ou um associado de negócios?
   • Um fornecedor ou provedor de modelo requer um BAA antes de tocar nos dados?
   • O acesso é limitado ao escopo mínimo necessário?
   • Os eventos de leitura/escrita/exportação são auditáveis?
3. Escalone para healthcare-reviewer se a tarefa afetar a segurança do paciente, fluxos de trabalho clínicos ou arquitetura de produção regulamentada.

Salvaguardas Específicas da HIPAA

• Nunca coloque PHI em logs, eventos de análise, relatórios de falhas, prompts ou strings de erro visíveis para o cliente.
• Nunca exponha PHI em URLs, armazenamento do navegador, capturas de tela ou exemplos de cargas úteis copiadas.
• Exija acesso autenticado, autorização com escopo e trilhas de auditoria para leituras e gravações de PHI.
• Trate SaaS de terceiros, observabilidade, ferramentas de suporte e provedores de LLM como bloqueados por padrão até que o status do BAA e os limites de dados estejam claros.
• Siga o acesso mínimo necessário: o usuário certo deve ver apenas a menor fatia de PHI necessária para a tarefa.
• Prefira IDs internos opacos em vez de nomes, MRNs, números de telefone, endereços ou outros identificadores.

Exemplos

Exemplo 1: Solicitação de produto enquadrada como HIPAA

Solicitação do usuário:

Adicione resumos de consulta gerados por IA ao nosso painel clínico. Atendemos clínicas dos EUA e precisamos permanecer em conformidade com a HIPAA.

Padrão de resposta:

• Ative hipaa-compliance
• Use healthcare-phi-compliance para revisar o movimento de PHI, registro, armazenamento e limites de prompt
• Verifique se o provedor de sumarização é coberto por um BAA antes que qualquer PHI seja enviado
• Escalone para healthcare-reviewer se os resumos influenciarem as decisões clínicas

Exemplo 2: Decisão de fornecedor/ferramenta

Solicitação do usuário:

Podemos enviar transcrições de suporte e mensagens de pacientes para nossa pilha de análise?

Padrão de resposta:

• Assuma que essas mensagens podem conter PHI
• Bloqueie o design, a menos que o fornecedor de análise seja aprovado para cargas de trabalho vinculadas à HIPAA e o caminho dos dados seja minimizado
• Exija redação ou um modelo de evento sem PHI quando possível

Habilidades Relacionadas

• healthcare-phi-compliance
• healthcare-reviewer
• healthcare-emr-patterns
• healthcare-eval-harness
• security-review