HIPAA regula la información de salud protegida (PHI) de las entidades cubiertas y sus asociados comerciales. Su Regla de Seguridad exige salvaguardas administrativas, físicas y técnicas — controles de acceso, controles de auditoría, integridad y seguridad en la transmisión — y la Regla de Privacidad limita el uso al mínimo necesario. Cuando un agente lee una historia clínica o redacta una autorización previa, maneja PHI. Cortex aplica el acceso de mínimo necesario a nivel de propiedad y sella cada contacto con PHI en un ledger que evidencia manipulaciones.
Diseñado para las Reglas de Seguridad y Privacidad de HIPAA · BAA a solicitud
HIPAA (la Health Insurance Portability and Accountability Act) protege la información de salud identificable individualmente. La Regla de Seguridad (45 CFR Part 164, Subpart C) exige salvaguardas técnicas: control de acceso (§164.312(a)), controles de auditoría (§164.312(b)), integridad (§164.312(c)) y seguridad en la transmisión (§164.312(e)). La Regla de Privacidad añade el estándar del mínimo necesario — usar y divulgar solo el PHI que la tarea necesita. Para los agentes de IA, el riesgo es un acceso demasiado amplio y una traza que no se puede demostrar. Cortex aborda ambos: los permisos de ontología a nivel de propiedad aplican el mínimo necesario en el momento de la lectura, DLP filtra el PHI de entrada y salida de las llamadas a herramientas, y el Trust Ledger encadenado por hash le da controles de auditoría cuya integridad es en sí misma demostrable.
se aplica a ▸ Sector salud de Estados Unidos · entidades cubiertas y asociados comerciales
Las salvaguardas técnicas de HIPAA y el estándar del mínimo necesario se corresponden directamente con los controles de la capa de datos de Cortex. Cada acceso a PHI pasa por una puerta y queda registrado, de modo que una auditoría de la OCR encuentra una traza completa que evidencia manipulaciones.
Toda obligación se reduce a una compuerta de runtime con cierre seguro cuyo veredicto queda en un libro de registro a prueba de manipulaciones que puedes entregar a un examinador. Esta es la tabla que un Compliance Pack exporta para este marco.
| Obligación | Control de Cortex aplicado | Evidencia del ledger |
|---|---|---|
| §164.312(a) — control de acceso / identidad única | Permisos de ontología + Agent IAM | 403 en lectura restringida |
| §164.312(b) — controles de auditoría | Trust Ledger (encadenado por hash) | verifyChain ▸ ok:true |
| §164.312(c) — integridad del PHI | cadena value_hash + record_hash | hashOk:false señala ediciones |
| Uso y divulgación de mínimo necesario | DLP + salvaguardas de salida | 451 PHI ocultado |
| §164.312(e) — seguridad en la transmisión | TLS en tránsito · AES-256 en reposo | cifrado · aislado por inquilino |
| Responsable de cada contacto con PHI | Linaje de 10 saltos + recibos | lineage/:correlationId |
Una investigación de la OCR o una revisión por brecha depende de sus registros de acceso y auditoría. Un Compliance Pack asigna las salvaguardas de la Regla de Seguridad a sus controles en Cortex y exporta los registros sellados de acceso a PHI — cuya integridad verifyChain puede demostrar, cerrando la brecha que deja abierta un registro mutable.
No son promesas de diapositiva: son los códigos y recibos literales que devuelve el runtime cuando lo pones a prueba contra los controles de este marco.
Elige HIPAA. Cortex alinea cada obligación con la compuerta del runtime que la aplica — sin arqueología de hojas de cálculo.
Cada ejecución de agente pasa por las mismas compuertas de cierre seguro. Un control denegado devuelve un código real (402 / 403 / 409), nunca un paso silencioso.
Exporta un Compliance Pack: la tabla de correspondencias más los registros sellados del ledger que muestran que cada control se activó, verificables sin conexión.
Cortex está diseñado para las Reglas de Seguridad y Privacidad de HIPAA, alineado con ellas, y firmará un Business Associate Agreement. No existe una certificación HIPAA; el cumplimiento es su obligación como entidad cubierta o asociado comercial, respaldada por los controles y la evidencia que Cortex aplica.
Cada obligación anterior la aplica una capacidad real del runtime. Explora las que hacen el trabajo para este marco.
Los permisos a nivel de propiedad aplican el acceso de mínimo necesario a los campos de PHI en el momento de la lectura.
Un registro que evidencia manipulaciones le da controles de auditoría cuya integridad es en sí misma demostrable.
DLP filtra el PHI de entrada y salida de cada llamada a herramienta, con un interruptor de emergencia para la contención.
Los mismos controles aplicados y la exportación de evidencia en un clic cubren los demás marcos que citan tus auditores.
Alineado con SOC 2: las obligaciones, las compuertas de runtime que las aplican y la evidencia que cada una deja en el ledger.
Alineado con EU AI Act: las obligaciones, las compuertas de runtime que las aplican y la evidencia que cada una deja en el ledger.
Alineado con ISO/IEC 42001: las obligaciones, las compuertas de runtime que las aplican y la evidencia que cada una deja en el ledger.
El centro de cumplimiento completo: todos los marcos a los que Cortex se mapea, con el modelo compartido de control a evidencia.
El ledger sellado, los recibos firmados y el grafo de linaje se corresponden con las obligaciones de cada régimen ante el que reportas — alineado con, sin declarar nunca una certificación que no tienes.
Descubre cómo Cortex mapea HIPAA a controles aplicados y exporta evidencia de nivel auditoría a demanda.