Software de cumplimiento HIPAA: guía de compra 2026

Lo esencial

• Un software de cumplimiento HIPAA gobierna su programa de cumplimiento. No convierte a su organización en conforme y no equivale a una aplicación en la que pueda depositar datos sanitarios de forma lícita.
• La reescritura propuesta de la Security Rule sustituye la flexibilidad actual por plazos fijos: inventario de activos tecnológicos y mapa de red revisados cada 12 meses, autenticación multifactor y cifrado obligatorios, análisis de vulnerabilidades semestral y prueba de intrusión anual.
• Un proveedor de IA que trata datos sanitarios por cuenta de usted es un business associate. La mayoría de las herramientas de esta categoría ni siquiera sabe registrar un modelo, un almacén de prompts o un índice vectorial como activo.
• Desde el 1 de mayo de 2025, la Section 1557 obliga a identificar y corregir la discriminación que producen las herramientas de apoyo a la decisión clínica. Ningún producto de la categoría aborda ese punto.
• Compre la herramienta para el programa y añada después un registro de IA que sostenga los modelos. Cuente con reconciliar dos registros, no con fusionarlos.

Qué hace realmente un software de cumplimiento HIPAA y qué no hace

Retirado el envoltorio comercial, todos los productos de la categoría cumplen las mismas cuatro funciones. Alojan el recorrido de un análisis de riesgos de seguridad y conservan su resultado. Guardan una biblioteca de políticas y procedimientos con historial de versiones y acuses de lectura. Registran la finalización de la formación del personal. Mantienen un registro de proveedores, de los contratos de tratamiento y de sus vencimientos. Casi todos añaden un registro de incidentes y de brechas, con los plazos de notificación asociados. Eso es un sistema de gobierno de un programa. Resulta útil y, en una organización de tamaño medio, suele marcar la diferencia entre una postura de cumplimiento documentada y una improvisación permanente. No es, sin embargo, el mismo producto que un software conforme con HIPAA, y la confusión reaparece en casi toda conversación de compra. El software de cumplimiento HIPAA administra sus obligaciones. Un software conforme es una aplicación en la que puede tratar datos sanitarios de forma lícita, porque el proveedor firmó un contrato e implantó las salvaguardas. Una mensajería, una historia clínica electrónica, un servicio de transcripción o un sistema de citas pertenecen a la segunda categoría. Su herramienta de gobierno pertenece a la primera. Comprar una nunca le proporciona la otra. Los límites declarados pesan más que la lista de funcionalidades. Ninguna herramienta define su alcance por usted. Ninguna herramienta realiza el análisis de riesgos, solo aloja el formulario que usted rellena. Ninguna herramienta firma sus contratos ni localiza en ellos las cláusulas inaceptables. Y ninguna autoridad ha aceptado jamás una herramienta como sustituto del trabajo subyacente. Cuando una página de producto sugiere lo contrario, esa es la primera señal de alarma. Nuestro análisis del cumplimiento normativo de la IA como modelo operativo defiende la misma tesis en el lado de la inteligencia artificial: la prueba es el artefacto, la plataforma solo es el lugar donde reside.

El giro de 2026: la Security Rule cambia flexibilidad por calendario

La Office for Civil Rights presentó una propuesta de norma el 27 de diciembre de 2024, publicada en el Federal Register el 6 de enero de 2025. Es la primera reescritura seria de la Security Rule en dos décadas y redefine lo que una herramienta de cumplimiento debe ser capaz de sostener. El cambio estructural cabe en una frase: desaparece la distinción entre especificaciones de implantación obligatorias y «dirigibles». Casi todo pasa a ser obligatorio, salvo excepciones estrechas y documentadas. La maniobra habitual, redactar una nota que explique por qué el cifrado no resultaba razonable en su entorno, deja de funcionar. El detalle es donde se decide la compra. Las entidades cubiertas y sus proveedores deberían mantener un inventario de activos tecnológicos que enumere cada activo, su ubicación, la persona que responde de él y su versión. Junto a él figura un mapa de red que muestre cómo entran los datos sanitarios electrónicos en el entorno, cómo circulan, cómo salen y cómo se accede a ellos desde fuera, incluidos los activos que emplean sus proveedores. Ambos documentos deben revisarse y actualizarse al menos cada 12 meses. El resto es cadencia. La autenticación multifactor pasa a ser obligatoria para acceder a los sistemas que alojan esos datos, salvo excepciones limitadas. El cifrado se exige en reposo y en tránsito, de nuevo con excepciones limitadas y documentadas. El análisis de vulnerabilidades se ejecuta cada seis meses. La prueba de intrusión, una vez al año. Las políticas y los procedimientos deben redactarse, revisarse, probarse y actualizarse conforme a un calendario, y no cuando alguien se acuerda. La secuencia merece anticiparse aunque el texto definitivo no haya salido. El HHS señala que una norma final entraría en vigor 60 días después de su publicación, con adecuación exigible como máximo 180 días después. Ocho meses son pocos para migrar un registro de activos. Cambia, por tanto, la pregunta que hay que hacer al proveedor. Ya no es si la herramienta tiene un campo de inventario. Es si ese inventario puede atestiguarse, versionarse, exportarse y defenderse una vez al año, y si admite todo lo que usted explota realmente. Es la misma disciplina que describimos en nuestra guía de cumplimiento y gobernanza, aplicada a una norma más antigua.

El punto ciego: sus sistemas de IA tratan datos sanitarios

Aquí está el desajuste que define este mercado. El software de cumplimiento HIPAA se diseñó para sistemas que almacenan datos de pacientes. Los sistemas que hoy generan la mayor exposición no los almacenan: infieren a partir de ellos. La posición jurídica no es ambigua. Un proveedor que crea, recibe, conserva o transmite datos sanitarios por cuenta de usted es un business associate, y el HHS aplica el criterio a la función desempeñada, no a la tecnología empleada. Un asistente que transcribe una consulta entra en la definición. Un agente conversacional del portal del paciente que orienta un síntoma o concierta una cita también. Un asistente de codificación que lee la historia para proponer un acto, igualmente. Cada uno exige un contrato y ninguno queda exento porque el tratamiento sea estadístico en lugar de persistente. La segunda mitad de la regla es la que las organizaciones siguen pasando por alto: usted no puede delegar sus obligaciones en el proveedor. El contrato reparte responsabilidades, no transfiere su deber de proteger los datos. Nuestro artículo hermano sobre lo que un BAA no cubre muestra el punto exacto donde se abre la brecha. Para una organización española la dificultad se superpone. HIPAA le alcanza en cuanto actúa como encargado de una entidad cubierta estadounidense, mientras sigue sujeta al RGPD, a los criterios de la AEPD sobre datos de salud y, para el apoyo a la decisión clínica, al régimen de alto riesgo del reglamento europeo de IA que supervisará la AESIA. Los tres regímenes piden un inventario. Ninguno se conforma con el de los otros dos.

Lo que su herramienta no consigue inscribir en el inventario

Enfrente la obligación de inventario a un solo asistente en producción y cuente los campos para los que su software de cumplimiento HIPAA no tiene sitio. El modelo o el punto de acceso de API y su versión. El proveedor y el contrato que lo rige. Las plantillas de prompts y el prompt de sistema, que son configuración capaz de alterar el comportamiento. El almacén de recuperación y su índice vectorial, que constituyen una copia derivada de texto clínico. Los registros de conversación y las transcripciones, que son documentos nuevos. El corpus de ajuste fino, si existe. Y el responsable designado, que en la mayoría de las organizaciones es un referente clínico y no un perfil informático. Un registro construido en torno a servidores, puestos y aplicaciones anotará una línea titulada «asistente de IA» y perderá todo lo demás. Ese es el fallo concreto, y por eso un registro de IA dedicado se sitúa junto a la herramienta HIPAA y no dentro de ella, como explicamos en nuestra guía de gestión de riesgos de IA.

La shadow AI es un problema de descubrimiento fuera de alcance

El problema del inventario presupone que usted sabe que el sistema existe. A menudo no es así. Personal clínico y administrativo pega texto de la historia en asistentes de consumo porque ahorra veinte minutos, sin contrato, sin registro, sin línea en el inventario. Nada en una herramienta de cumplimiento HIPAA lo detecta, porque el descubrimiento nunca formó parte del alcance de la categoría. Los controles que funcionan son la visibilidad de red y de puesto, acompañada de una alternativa autorizada que alguien quiera usar de verdad. Es el argumento que desarrollamos en detalle sobre la IA en la sombra.

Section 1557: la obligación sobre algoritmos clínicos que su herramienta ignora

Sobre el mismo equipo recae una segunda obligación, y ya está en vigor. La norma final de 2024 adoptada al amparo de la Section 1557 de la Affordable Care Act extiende la prohibición de discriminación a lo que denomina herramientas de apoyo a la decisión clínica. La definición es deliberadamente amplia: comprende tanto modelos de IA como algoritmos clínicos no automatizados. Las entidades cubiertas deben realizar esfuerzos razonables para identificar las herramientas que utilizan raza, color, origen nacional, sexo, edad o discapacidad como variables de entrada, y después mitigar el riesgo de discriminación resultante. La fecha de adecuación fue el 1 de mayo de 2025, de modo que no se trata de un asunto de planificación. La dificultad operativa es real. Un análisis de 2025 publicado en npj Digital Medicine enumera los tres problemas que nadie ha resuelto con limpieza: cómo priorizar auditorías cuando un hospital universitario opera centenares de algoritmos, cómo tratar la discriminación por variable sustitutiva cuando un criterio aparentemente neutro ocupa el lugar de uno protegido, y cómo abordar combinaciones de atributos protegidos en vez de uno cada vez. La estimación de la función renal corregida por etnia sigue siendo el caso de manual, pero la exposición real vive en la larga cola de puntuaciones de riesgo y heurísticas de triaje. Su software de cumplimiento HIPAA no le ayudará en ninguno de esos puntos. Su modelo de datos desconoce qué es un modelo, una variable de entrada, un atributo protegido o una métrica de equidad. Puede archivar la nota resultante del análisis, lo cual es archivo y no gobierno. Los métodos útiles proceden del campo de los sesgos y la equidad, que tratamos en nuestra guía del sesgo algorítmico.

Doce preguntas que separan a las herramientas en 2026

Llévelas a la demostración y exija el recorrido de clics, no la respuesta verbal.

1. Muéstreme el análisis de riesgos de hace dos años, la lista de activos sobre la que se hizo y qué ha cambiado desde entonces.
2. ¿Puedo hacer atestiguar una política, ver quién la atestiguó y exportar el rastro en un formato que un tercero acepte como prueba?
3. ¿Qué ocurre 30 días antes de que venza un contrato de tratamiento y quién recibe el aviso?
4. ¿Puedo registrar un modelo o un punto de acceso de API como activo, con su propio campo de versión?
5. ¿Puede ese activo sostener proveedor, contrato, configuración de prompts y almacén de recuperación?
6. ¿Puedo adjuntar a un activo una revisión de sesgo o de equidad y fijarle una periodicidad?
7. ¿Señala la herramienta los activos sin responsable y puede impedir su creación sin uno?
8. ¿Puedo generar el mapa de red que describe la propuesta o debo mantenerlo aparte y subir una imagen?
9. ¿Puedo ejecutar y evidenciar un ciclo de revisión a 12 meses sobre todo el inventario, y no registro a registro?
10. ¿Qué aspecto tiene la exportación cuando un inspector pide todo lo relativo a un sistema, y sigue siendo legible fuera de su plataforma?
11. ¿Cómo gestionan un activo sujeto a la vez a HIPAA y a otro régimen?
12. ¿Cuánto cuesta con el triple de plantilla y cuáles de estas funciones pasan a un plan superior?

Las preguntas de la cuarta a la séptima son las que hoy separan de verdad a la categoría. La mayoría de los productos responde bien a las tres primeras y remite el resto a una hoja de ruta. Si la respuesta apunta a una hoja de cálculo, trate el inventario como un riesgo abierto y goérnelo como tal, con el método de nuestra guía de gestión de riesgos de cumplimiento.

Qué aspecto debe tener la prueba cuando la OCR la pide

Un hallazgo se repite en casi todas las resoluciones recientes y no tiene nada de exótico: el análisis de riesgos de seguridad falta o es insuficiente. La Office for Civil Rights construyó una iniciativa de supervisión en torno a ese solo punto, y sigue produciendo acuerdos porque el mismo hueco reaparece. La escala se subestima con facilidad. En enero de 2026, la OCR había cerrado acuerdos o impuesto sanciones en más de 50 expedientes al amparo de sus iniciativas sobre análisis de riesgos y derecho de acceso. El 24 de abril de 2026 se anunciaron el mismo día cuatro acuerdos vinculados a ransomware, que afectaban a más de 427.000 personas por un total de 1.165.000 dólares. Las sanciones civiles de 2026 van de 145 a 2.190.294 dólares por infracción según el grado de culpabilidad, un intervalo tan amplio que la calificación pesa más que la cifra del titular. Lo que sobrevive al contacto con una inspección es un conjunto pequeño y aburrido de artefactos. Un análisis de riesgos fechado, con autor identificado. El inventario de activos sobre el que se hizo realmente, en el estado que tenía esa fecha. Las decisiones adoptadas en respuesta, con responsables y fechas. El riesgo residual aceptado a sabiendas y la firma de quien lo aceptó. Y después lo mismo al año siguiente, para que se lea una trayectoria. El trabajo de su herramienta consiste en mantener ese conjunto reproducible un año después de que se marche la persona que lo construyó. Someta la herramienta a esa prueba: pida reconstruir la situación tal como estaba en una fecha pasada. Un sistema que solo sabe mostrar el estado actual es un registro, no un dispositivo de prueba. El mismo criterio gobierna una auditoría de IA, donde la reconstrucción es el ejercicio entero.

Dónde termina la herramienta HIPAA y dónde empieza la gobernanza de la IA

La mayoría de las organizaciones sanitarias mantiene ya dos registros de activos, los llamen así o no. Uno enumera los sistemas que guardan datos de pacientes. El otro debería enumerar los modelos que actúan sobre esos datos. Se solapan ampliamente y ningún producto del mercado sostiene hoy bien los dos. La causa está en el vocabulario. HIPAA habla de sistemas, salvaguardas y comunicaciones. Nada dice sobre la procedencia de los datos de entrenamiento, la deriva de un modelo, los umbrales de evaluación o la supervisión humana, porque esos conceptos no existían en la forma que nos sirve cuando se redactó el texto. El vocabulario del sistema de gestión viene de la ISO/IEC 42001, el del riesgo viene del NIST AI RMF. Ninguno sustituye a HIPAA. Ambos aportan los campos que a HIPAA le faltan. Quien opera a ambos lados del Atlántico suma una tercera capa: el apoyo a la decisión clínica y el software sanitario como producto sanitario entran en la categoría de alto riesgo del reglamento europeo de IA, con documentación técnica, registro de eventos y supervisión humana propias sobre los mismos sistemas. La forma práctica no es complicada. Conserve la herramienta HIPAA para el programa: análisis de riesgos, políticas, formación, contratos, incidentes. Site los modelos en una capa de gobierno que trate a cada uno como un activo tutelado, con responsable, clasificación de riesgo, ciclo de revisión y su propio rastro de prueba. Reconcilie después los dos registros en fechas fijas, porque en la reconciliación aparece el asistente que nadie había declarado. Ahí se juega exactamente la responsabilidad de la IA.

Preguntas frecuentes

¿Existe un ChatGPT conforme con HIPAA? En el producto de consumo, no. La pregunta que importa es si el proveedor firmará un contrato para el despliegue concreto que usted compra, y qué dice ese contrato sobre conservación, entrenamiento con sus entradas y subencargados. Algunas ofertas empresariales o alojadas de los grandes proveedores de modelos lo firman. La interfaz web pública no: quien pega ahí texto de la historia realiza una comunicación de datos, no un atajo de productividad. Obtenga el contrato por escrito y registre después el despliegue como un activo con responsable nombrado. ¿Un software de cumplimiento HIPAA hace conforme a mi organización? No. Gobierna el programa que produce el cumplimiento. El análisis de riesgos sigue siendo suyo, el alcance sigue definiéndolo usted y las salvaguardas deben existir en los propios sistemas. Los expedientes de supervisión afectan con regularidad a organizaciones que tenían una plataforma de cumplimiento y nunca completaron en ella un análisis de riesgos defendible. Trate la herramienta como el lugar donde reside la prueba, no como la prueba. ¿Necesito un contrato con mi proveedor de IA? Si el proveedor crea, recibe, conserva o transmite datos sanitarios por cuenta de usted, sí. Eso abarca asistentes de documentación, transcripción, resumen de historia, apoyo a la codificación, chatbots de triaje y la mayoría de los sistemas de recuperación construidos sobre documentación clínica. La anonimización puede sacar un caso de uso del alcance, pero solo si alcanza el estándar fijado por la norma, y las afirmaciones de los proveedores al respecto merecen el mismo examen que cualquier otro control. Nuestra guía de evaluación de proveedores de IA recoge las preguntas que van más allá del contrato. ¿Qué diferencia hay entre software de cumplimiento HIPAA y software conforme con HIPAA? El primero administra sus obligaciones: análisis de riesgos, políticas, formación, contratos, incidentes. El segundo es una aplicación en la que puede tratar datos sanitarios de forma lícita, porque el proveedor firmó e implantó las salvaguardas. Por lo general necesita ambos, y comprar el primero no le dice nada del segundo. Los proveedores de este mercado no siempre son rigurosos con la distinción: lea la página de producto para saber cuál de los dos describe. ¿Cuánto cuesta y qué no está incluido? El precio suele fijarse por usuario o por entidad con compromiso anual, y la amplitud del mercado vuelve poco significativo un presupuesto sin el alcance que lo acompaña. Casi nunca se incluyen: el análisis de riesgos en sí si lo quiere ejecutado y no solo plantillado, la prueba de intrusión, los trabajos de remediación que el análisis saca a la luz y cualquier revisión jurídica de sus contratos. Pregunte qué funciones vistas en la demostración pertenecen a un plan superior y calcule la herramienta con la plantilla que tendrá dentro de tres años. ¿Cubrirá mi herramienta las obligaciones de la Section 1557 sobre apoyo a la decisión? Casi con seguridad no. La obligación exige identificar las herramientas que usan atributos protegidos como variables de entrada y mitigar el riesgo resultante, lo que requiere un registro de los modelos, de sus entradas y de sus resultados de evaluación. El modelo de datos de una herramienta HIPAA no conoce nada de eso. Podrá archivar allí la nota final, pero el análisis debe realizarse en un sistema que entienda qué es un modelo, con un rastro que apunte a un responsable nombrado por cada herramienta, como describe nuestra guía de auditabilidad de la IA.

Conclusión

La categoría merece comprarse. Solo es más estrecha que su relato, y su frontera cae ahora en un sitio incómodo. Un software de cumplimiento HIPAA hará girar su ciclo de análisis de riesgos, custodiará sus políticas e impedirá que sus contratos venzan en silencio, y la reescritura propuesta de la Security Rule vuelve esas cadencias más difíciles de fingir. Lo que no hará es ver los modelos. El asistente que redacta el informe, la puntuación que ordena la lista de trabajo y el agente que clasifica el mensaje del portal tratan todos datos de pacientes, y la mayoría permanece invisible para la herramienta que usted compró precisamente para seguirlos. Compre para el programa. Registre los modelos en un sistema que los entienda. Y obligue después a los dos registros a coincidir, una vez al año, por escrito.