El HHS nunca ha dicho a la atención médica que deje de enviar faxes. Su guía dice que la Regla de Privacidad permite a los médicos divulgar su PHI a otro proveedor por fax para recibir tratamiento, siempre que existan salvaguardas razonables y apropiadas.
Tome dos formularios de referencia idénticos enviados la misma mañana. Uno se mueve a través de un canal registrado y cifrado cubierto por un acuerdo de socio comercial (BAA) firmado, y el software OCR lo indexa en el gráfico. El otro se encuentra en una bandeja de salida en un pasillo compartido. Mismo documento, misma ley, dos posiciones de cumplimiento muy diferentes.
HIPAA regula las salvaguardias en torno a un fax
¿Es necesario que un fax cumpla con HIPAA? Para una entidad cubierta o un socio comercial que envía información de salud protegida, sí. Pero una máquina de fax, una aplicación o un servicio en la nube no pueden cumplir con las normas en nombre de una organización. La regla pregunta si la organización tiene salvaguardias razonables en torno a cada divulgación.
Entidades cubiertas, dice el HHS: “debe contar con salvaguardias administrativas, técnicas y físicas razonables y apropiadas”para la PHI enviada por fax, como confirmar el número del destinatario y elegir preprogramar números de uso frecuente. Una vez que una página enviada por fax se convierte en un archivo digital, también se aplican los estándares de protección de la Regla de Seguridad.
«La mayoría de la gente empieza preguntando si un servicio de fax cumple con la HIPAA, y ese es el punto de partida equivocado», afirma Adam Korbl, fundador y director ejecutivo de iFax. «HIPAA no certifica una máquina de fax ni una aplicación. Prefiero que la gente pregunte quién puede abrir el documento, si se registra algo que se haya hecho en él y si la BAA cubre el software que lee la página, no solo la línea que la contiene».
Todas las preguntas de Korbl se refieren al flujo de trabajo. Un fax que llega intacto pero permanece en una cola compartida o se archiva en el expediente equivocado aún puede exponer la información de un paciente y la industria números de incumplimiento ya son altos: el HIPAA Journal contó 772 grandes filtraciones de datos sanitarios en el portal OCR para 2025 a principios de enero de 2026, un récord.
Qué cubre ahora un flujo de trabajo de fax compatible
motores OCR, modelos de extracción y las reglas de enrutamiento manejan la página ahora, y cada uno de esos pasos conlleva las mismas obligaciones que la transmisión.
El cifrado es el lugar obvio para comenzar. Según la regla de seguridad actual, es un «direccionable» La especificación, una etiqueta que señala el HIPAA Journal, ha llevado a algunas entidades cubiertas a tratarla como opcional cuando nunca lo fue, y para el fax en la nube debe llegar al texto OCR así como a las imágenes almacenadas, en reposo y en tránsito. Cada decisión de envío, recepción, visualización y enrutamiento también debe dejar una entrada que alguien pueda recuperar más tarde.
La BAA mantiene el acuerdo legalmente unido. Los ejemplos de disposiciones BAA del HHS describen lo que el contrato debe exigir de un proveedor, incluidas las salvaguardias de las reglas de seguridad, los informes de incumplimiento y los términos coincidentes para los subcontratistas. Según la orientación de la nube del HHS, un proveedor de la nube que almacena ePHI es un socio comercial incluso sin la clave y la excepción del conducto «se limita a servicios de transmisión únicamente.» Según esa lógica, un operador telefónico que mueve la señal de fax cuenta como un conducto, mientras que una plataforma de fax en la nube que almacena copias generalmente cuenta como un socio comercial. Si el OCR o la extracción de datos se ejecuta en una empresa separada, esa empresa también necesita cobertura, generalmente bajo un subcontratista BAA con el proveedor.
El consejo del HHS sobre números de fax marcados erróneamente también se aplica a las reglas de enrutamiento. Si una regla falla y se presenta una derivación para el paciente equivocado, el resultado no es diferente de un número marcado incorrectamente. El personal debe revisar las coincidencias inciertas antes de archivar algo.
Aquí un proveedor puede hacer gran parte del trabajo. iFax dice que su plataforma de atención médica combina el cifrado AES-256 en tránsito y en reposo con BAA firmados, acceso basado en roles y registros de auditoría, y ejecuta OCR dentro de la misma infraestructura controlada. Eso se encarga del aspecto técnico. Las políticas, la formación del personal y el análisis de riesgos siguen siendo las entidades cubiertas a gestionar.
El control de acceso completa la lista y omitirlo tiene un costo documentado. El ataque 2024 Change Healthcare comenzó con credenciales comprometidas en un sistema donde MFA no estaba activado y, en última instancia, afectó a aproximadamente 193 millones de personas.
La regla de seguridad se está poniendo al día con el software que lee
El HHS ha comenzado a incluir la IA en las reglas, aunque los cambios más importantes siguen siendo propuestas. La revisión de la regla de seguridad publicada el 6 de enero de 2025 haría obligatorio el cifrado de ePHI con excepciones limitadas, requeriría autenticación multifactor y solicitar un inventario anual de activos tecnológicos y un mapa de redes. También nombra directamente a la IA: un análisis de riesgos”debe incluir la consideración de, entre otras cosas, el tipo y la cantidad de ePHI a la que accede la herramienta de IA, a quién se divulgan los datos y a quién se proporciona el resultado.«
El momento es incierto: después de casi 5.000 comentarios, la acción final ahora está prevista para julio de 2027. La propia estimación de la OCR cifra los costos de cumplimiento del primer año en $9 mil millones, y la propuesta daría a las organizaciones 240 días después de la regla final para cumplir. Sin embargo, es probable que nada de eso cambie quién hace qué: los proveedores proporcionan las herramientas y las clínicas aún ejecutan el programa.
«Podemos brindarle a la clínica el cifrado, la pista de auditoría y un lugar controlado para que se ejecute el OCR. Las políticas, la capacitación del personal y el análisis de riesgos son responsabilidad de la clínica, no de nosotros». dice Korbl.
Esa división se vuelve borrosa cuando el personal incorpora herramientas de inteligencia artificial por su cuenta. En una encuesta encargada por Imprivata a 250 líderes de seguridad sanitaria e inteligencia artificial, 72% dijo herramientas o agentes de IA se están implementando sin la aprobación formal de TI, informó Axios. Herramientas que TI nunca aprobó Es poco probable que aparezcan en un inventario de activos, y mucho menos se cotejen con un BAA, y un requisito de inventario como el que propuso el HHS tiene como objetivo sacarlos a la luz. La encuesta también encontró que el 28% de las organizaciones tienen IA agente en producción ya, mientras que el 44% lo está probando o probando.
Compra la pila, ejecuta el programa.
Un consultorio puede comprar una pila de documentos compatible. El cumplimiento no se vende de esa manera. Tiene que ejecutarse desde dentro de la práctica, con políticas escritas que se actualicen y personal capacitado en ellas. Un proveedor de fax que no pueda producir cifrado, controles de acceso, registros de auditoría y un BAA firmado no debería figurar en la lista corta. Para la capa de IA, los compradores deben ir más allá y descubrir dónde ocurre realmente la lectura, si el BAA se extiende tan lejos, si se registran acciones automatizadas y quién verifica las coincidencias de las que el software no está seguro.