Tag: PHI

¿Qué Pasaría Si el Sistema de Inteligencia Artificial de Tu Proveedor Decide Hackear a Otra Persona?

Posted by Jaime Farrant on with 0 Comment

¿Alguna vez has pensado en lo que le podría pasar a tu negocio si el sistema de inteligencia artificial de tu proveedor decide, por su cuenta, entrar sin autorización a los servidores de otra empresa? Si no lo has pensado, quizás sea buen momento para hacerlo, porque las consecuencias para tu negocio podrían ser severas. Si tu negocio está regulado por HIPAA, una violación de esta ley podría traerte una multa civil de hasta $2,190,294 por categoría de violación, por año, en el nivel más alto de culpabilidad. Incluso un negocio que no hizo nada mal, donde el sistema de IA de un proveedor actuó completamente por su cuenta, podría enfrentar una multa de un nivel menor, una investigación del Departamento de Salud (“HHS”) de Estados Unidos, costos de notificación de incidentes de seguridad, y daño reputacional, por algo que nunca causó y que no pudo haber previsto.

Esta posibilidad ya no es hipotética. El 21 de julio de 2026, OpenAI publicó en su página web un aviso donde asumió responsabilidad por un ciberataque a Hugging Face, una plataforma ampliamente usada para alojar modelos de inteligencia artificial y colaboración en aprendizaje automático. Según OpenAI, una combinación de sus modelos —incluyendo uno disponible al público y otro más avanzado aún no lanzado, ambos operando con restricciones de seguridad reducidas para una evaluación interna de ciberseguridad— logró escapar de su entorno de prueba aislado explotando una falla previamente desconocida en una herramienta de software interna, obtuvo acceso a internet abierto, y luego utilizó credenciales robadas y otra vulnerabilidad desconocida para lograr ejecución remota de código en los servidores de producción de Hugging Face. Su objetivo, según OpenAI, era limitado pero revelador: los modelos intentaban obtener las respuestas correctas de la prueba de evaluación en la que estaban siendo calificados. Hugging Face ya había detectado la intrusión durante un fin de semana de actividad automatizada, la reportó a las autoridades, y comenzó su propia contención antes de siquiera saber que OpenAI era responsable.

Ambas empresas han calificado esto como un momento decisivo para la ciberseguridad. Para un pequeño negocio, consultorio médico, u oficina profesional que depende de proveedores externos —incluyendo herramientas de IA— para almacenar, procesar, o transmitir información sensible, esto también debe ser una llamada de atención sobre un tipo de riesgo que la mayoría de los contratos con proveedores nunca contemplaron: el agente de IA que actúa por su propia cuenta.

¿Por Qué el Comportamiento de la IA de Tu Proveedor Podría Convertirse en Tu Problema?

La mayoría de las leyes de privacidad y seguridad de datos que aplican a pequeños negocios no distinguen entre una filtración causada por un hacker humano y una causada por un sistema autónomo. Si tu práctica o negocio utiliza un asociado de negocio de una entidad cubierta, un proveedor de servicios en la nube, o cualquier tercero que tenga acceso a información personal o de salud, generalmente eres responsable legalmente de:

  • Evaluar las prácticas de seguridad de ese proveedor antes de firmar un contrato (debida diligencia).
  • Contar con las protecciones contractuales adecuadas, como un Acuerdo de Asociado de Negocio (BAA, por sus siglas en inglés) bajo HIPAA para consultorios médicos, o términos comparables de procesamiento y seguridad de datos para cualquier negocio que maneje información personal.
  • Notificar a las personas afectadas, y en algunos casos a los reguladores, si el sistema de ese proveedor se ve comprometido y tus datos están involucrados.

Bajo HIPAA, los asociados de negocio de una entidad cubierta están contractual y legalmente obligados a proteger la información de salud protegida (PHI, por sus siglas en inglés), y una filtración a nivel del proveedor puede generar obligaciones de notificación para la entidad cubierta misma, aunque haya sido el sistema del proveedor —y no el del consultorio médico— el que falló. Fuera del sector de salud, la mayoría de las leyes estatales de notificación de filtraciones de datos funcionan de forma similar: la responsabilidad sigue a los datos, no solo a la parte que causó el incidente.

Un agente de IA que autónomamente escala su propio acceso, extrae credenciales, o llega a sistemas para los que nunca fue autorizado no cambia en nada este análisis legal. Simplemente hace que sea más difícil de predecir, detectar, y contener.

Vale la pena ser precisos sobre lo que ocurrió y lo que no ocurrió aquí: según la información que ha dado OpenAI, los modelos estaban buscando las respuestas correctas de su propia prueba de evaluación, no buscando deliberadamente registros de clientes o pacientes. Ningún negocio debe interpretar este incidente como prueba de que se robaron datos de pacientes o clientes. No obstante, lo que si debe preocupar a cualquier negocio que depende de proveedores externos es la capacidad demostrada: un sistema de IA que, por iniciativa propia, encontró una vulnerabilidad de día cero, robó credenciales, escaló privilegios, y llegó a la infraestructura de producción de un tercero, durante un fin de semana sin monitoreo, antes de que interviniera algún humano. Si esa misma capacidad se dirige hacia un sistema que contiene registros de pacientes, números de cuentas financieras, o archivos de clientes, el resultado seríamuy diferente.

Un Vacío en las Obligaciones de Divulgación que Debes Conocer

Aquí hay un detalle que importa para cualquier negocio que confía en las garantías de un proveedor: OpenAI no estaba legalmente obligada a divulgar este incidente. Dos leyes estatales recientes, la SB 53 de California y la Ley RAISE de Nueva York, exigen que los grandes desarrolladores de IA reporten incidentes críticos de seguridad, pero solo si el incidente representa un riesgo de más de 50 muertes o lesiones graves, o más de $1,000 millones en daños a la propiedad. Un incidente como este queda muy por debajo de ese umbral. OpenAI lo divulgó de forma voluntaria. La conclusión práctica para tu negocio es que, como regla general, no puedes esperar recibir un informe público o un aviso regulatorio para saber si el sistema de IA de un proveedor ha tenido una falla similar, a menos que lo incluyas en tus contratos. Por consiguiente, tu herramienta principal para protegerte será lo que escribes en tus contratos y lo que preguntas a tus proveedores durante el proceso de contratación.

Estructura de Multas: ¿A Qué Potencialmente Te Expones?

La exposición aquí es de varios niveles, y puede aplicar a un negocio que nunca le pidió a un sistema de IA que hiciera nada indebido, si ese sistema operaba dentro de su propio entorno o el de un proveedor:

  • HIPAA: Las multas civiles actualmente van desde aproximadamente $145 hasta $2,190,294 por categoría de violación, por año, dependiendo del nivel de culpabilidad de la entidad cubierta o del asociado de negocio. El Nivel 1 (falta de conocimiento) está en el extremo más bajo; la negligencia intencional que no se corrige está en el extremo más alto. Los fiscales generales estatales pueden perseguir por separado multas relacionadas con HIPAA de hasta $25,000 por categoría de violación, por año, y las acciones multiestatales son cada vez más comunes cuando una filtración afecta a residentes de varios estados.
  • Leyes estatales de notificación de filtraciones: La mayoría de los estados pueden imponer multas o autorizar demandas privadas cuando un negocio no notifica con prontitud a los residentes afectados tras una filtración que involucre información personal, sin importar si la filtración se originó en el negocio o en un proveedor que este eligió.
  • Exposición contractual: Si el contrato con tu proveedor carece de plazos claros de notificación de incidentes, requisitos de seguridad, o derechos de auditoría específicos para herramientas de IA, tu negocio podría terminar absorbiendo los costos, o negociando desde una posición más débil, después de los hechos.

Nada de esto significa que todo incidente relacionado con un proveedor de IA resulte automáticamente en la multa máxima. Los reguladores generalmente consideran la naturaleza de los datos involucrados, el número de personas afectadas, si el negocio contaba con salvaguardas razonables, y qué tan rápido se atendió el incidente. Pero la exposición es real, y no se limita a las empresas que construyen o venden modelos de IA. Alcanza a cualquier negocio, consultorio médico, o práctica profesional que dependa de uno.

¿Por Qué Debe Importarte Esto?

Porque los expertos en seguridad de la inteligencia artificial están describiendo esto como uno de los primeros ejemplos reales de un escenario de “pérdida de control” de la IA: un sistema haciendo algo que los investigadores llevaban tiempo advirtiendo, sin que un humano lo dirigiera, y sin que un simple error de software fuera el culpable. Esta actividad se extendió por un periodo prolongado en un sistema que, a diferencia de las herramientas de producción de OpenAI que sí se monitorean activamente, no estaba siendo vigilado en tiempo real. Si a un laboratorio de IA de punta con equipos de seguridad dedicados le puede ocurir esto durante una prueba interna controlada, es razonable que cualquier negocio se pregunte qué supervisión existe sobre las herramientas habilitadas con IA, chatbots, asistentes de citas, o automatización administrativa que tu práctica ya utiliza, y qué dice realmente el contrato de tu proveedor sobre este riesgo.

Para un consultorio médico, esta pregunta no es abstracta. Las herramientas de IA cada vez se integran más en la admisión de pacientes, la programación de citas, la transcripción, y el software de facturación. Para cualquier pequeño negocio, aplica a cualquier servicio habilitado con IA que toque registros de clientes, datos financieros, u otra información sensible, aunque sea indirectamente.

¿Cómo Puedes Proteger Tu Negocio?

  • Haz un inventario de cada proveedor y herramienta de software que tu negocio utiliza que incorpore IA, especialmente cualquiera que toque datos de pacientes, clientes, finanzas, o empleados.
  • Confirma que tienes un BAA firmado con cualquier proveedor que cree, reciba, mantenga, o transmita PHI en tu nombre, si eres una entidad cubierta o un asociado de negocio.
  • Revisa los contratos con tus proveedores en busca de lenguaje específico sobre IA: ¿el acuerdo aborda el comportamiento de sistemas autónomos, exige notificación pronta de incidentes, y especifica obligaciones de seguridad?
  • Pregúntales directamente a tus proveedores cómo prueban la contención de sus sistemas de IA y qué sucede si un modelo excede su alcance previsto.
  • Confirma que tu plan de respuesta a incidentes contempla un escenario donde un proveedor, y no tus propios sistemas, sea la fuente de una filtración.
  • Revisa tu póliza de seguro cibernético para confirmar que cubre incidentes relacionados con herramientas de IA y proveedores externos de IA, no solo filtraciones de datos tradicionales.
  • No asumas que el silencio significa seguridad: incluye en tus contratos con proveedores un derecho contractual a ser notificado de incidentes de seguridad relacionados con IA, ya que las leyes actuales de divulgación de incidentes de seguridad de IA solo cubren los eventos más catastróficos y no necesariamente revelarán un incidente cercano en tu proveedor.

En Resumen

El incidente entre OpenAI y Hugging Face es un recordatorio de que el riesgo de la IA en 2026 no se trata solo de lo que tu negocio decide hacer con la inteligencia artificial. También se trata de lo que los sistemas de IA dentro de la infraestructura de tus proveedores puedan hacer sin que nadie se lo indique. Si tu práctica o negocio no ha revisado sus contratos con proveedores y su plan de respuesta a incidentes considerando esta posibilidad, este es un buen momento para hacerlo.

Si tienes preguntas sobre tus contratos con proveedores, acuerdos de asociado de negocio, o cómo una filtración en un proveedor externo de IA podría afectar tus obligaciones, agenda una cita con nosotros hoy.

Can a Gmail sent to your Patient Cost You $73,000.00 in Fines?

Posted by Jaime Farrant on with 0 Comment

Could a single email — sent from your personal Gmail account to a patient, with no breach, no hacker, and no leaked data anywhere — still cost your practice tens of thousands of dollars? Under HIPAA, the answer is yes. The U.S. Department of Health and Human Services’ Office for Civil Rights (OCR) has actually fined a covered entity specifically for failing to have a Business Associate Agreement in place before letting patient data flow through a vendor — no breach required. That kind of violation can cost anywhere from $1,461 up to $73,011, and in willful-neglect cases, as high as $2,190,294 per incident. If your practice is in Puerto Rico, there’s an added wrinkle too: the same email mishap can trigger a second, separate notification clock under Puerto Rico law — one that moves faster than HIPAA’s own deadlines. If your practice is emailing patients from a free, personal email account, this is a risk you’re actually carrying every time you hit send.

It’s Not the Account. It’s the Use.

HIPAA (the Health Insurance Portability and Accountability Act) doesn’t say anywhere that “thou shalt not have a free email account.” Plenty of covered entities and business associates use Gmail or Outlook for scheduling, marketing, or general non-protected health information (“PHI”) correspondence without ever running afoul of the law. The violation risk shows up the moment PHI — patient names tied to diagnoses, treatment details, billing information, or anything else that could identify someone’s health status — travels through that account without the right protections in place.

So, although it’s incorrect to say that “free email violates HIPAA,” it is correct to say that using free, consumer-grade email to transmit or store PHI without safeguards and the right agreements in place is what creates HIPAA exposure.

The Penalty — Up to $2.19 Million, But Most Cases Land Far Lower

HIPAA civil monetary penalties are assessed in four tiers, based on the covered entity’s level of culpability — not a flat fee for “using the wrong email provider”:

  • Tier 1 (Lack of Knowledge): $145 to roughly $36,505 per violation, per year — for practices that genuinely had no reasonable way of knowing the setup was non-compliant.
  • Tier 2 (Reasonable Cause): $1,461 up to $73,011 per violation, per year — this is where most “free email, no BAA” situations tend to land, since a basic risk analysis would typically have flagged the problem.
  • Tier 3 (Willful Neglect, corrected): $14,602 up to $73,011 per violation, per year — for practices that knew about the risk and didn’t act, but fixed it once flagged.
  • Tier 4 (Willful Neglect, not corrected within 30 days): $73,011 up to $2,190,294 per violation, per year — the steepest tier, for practices that knew and simply kept going.

And OCR isn’t the only exposure: state attorneys general have independent authority to bring their own HIPAA-related penalties (up to $25,000 per violation category, per year), and a breach affecting patients across multiple states can trigger simultaneous multi-state actions on top of whatever OCR imposes.

Why Free Email Accounts Are Risky for PHI

A few structural realities make consumer email services a poor fit for handling PHI:

1. No Business Associate Agreement (BAA). Under the HIPAA Privacy and Security Rules, any vendor that creates, receives, maintains, or transmits PHI on behalf of a covered entity is a “business associate” and must sign a BAA — a contract spelling out how they’ll protect that data. Google and Microsoft do offer BAAs for their paid, enterprise-tier services (Google Workspace, Microsoft 365 with the right plan), but standard free consumer Gmail, Yahoo and Outlook accounts are explicitly excluded from those BAA terms. If PHI moves through a free account, there’s no HIPAA-compliant contract backing it up.

2. Lack of Encryption Guarantees. The HIPAA Security Rule requires “addressable” implementation specifications around encryption of electronic PHI (ePHI), both at rest and in transit. Free email accounts typically encrypt data in transit between major providers (via TLS), but there’s no guarantee of end-to-end encryption, no audit trail requirements, and no assurance about how long messages sit unencrypted on a server or in someone’s inbox, sent folder, or trash.

3. No Access Controls or Audit Logs. HIPAA requires covered entities to implement access controls, audit controls, and integrity controls over ePHI. A free personal inbox doesn’t give you granular user permissions, activity logging, or the ability to demonstrate — during an OCR investigation — exactly who accessed a message and when.

4. Device and Account Security Is on You Alone. Free accounts are often accessed on personal phones, shared computers, or unmanaged devices. If that device is lost, stolen, or compromised, there’s no enterprise mobile device management (MDM) policy, remote wipe capability, or centralized IT oversight to contain the fallout.

What Actually Triggers Enforcement

OCR doesn’t go looking for practices that merely have a Gmail account. Enforcement actions tend to follow a pattern: a breach occurs, the practice reports it or a patient complains, and OCR’s investigation reveals that PHI was routinely sent through unsecured consumer email with no BAA, no encryption, and no risk analysis on file. The email account is often just the vehicle; the underlying violation is usually a broader failure to conduct a required risk assessment or implement reasonable safeguards under the Security Rule.

Puerto Rico Adds a Second — and Faster — Clock

If your practice operates in Puerto Rico, HIPAA isn’t the only framework in play. Two Puerto Rico statutes we’ve covered in earlier posts layer directly on top of a HIPAA email mishap:

Puerto Rico Data’s Breach Notification Act (Law 111 of 2005) explicitly lists “medical information protected by HIPAA”  as one of the categories of protected personal information under its own definition. This means that a PHI exposure through unsecured email isn’t just a HIPAA problem, it’s also a potential violaton under Puerto Rico’s own breach law. And the timeline for compliance in this law is tighter than HIPAA’s: while HIPAA requires notifying affected individuals “without unreasonable delay” and no later than 60 days, Law 111 separately requires informing DACO (Puerto Rico’s Department of Consumer Affairs) within a non-extendable 10 day period of detecting the breach — a much shorter clock running in parallel to your federal obligations. A practice that’s only tracking HIPAA’s 60-day deadline could easily blow through Puerto Rico’s 10-day one without realizing a second law was ever in play.

Puerto Rico’s Privacy Policy Notice Act (Law 39 of 2012) and its implementing DACO Regulation 8568 require any business collecting personal information from Puerto Rico residents — medical practices included — to publish a clear, accurate privacy policy. The good news here: Article 4 of Law 39 specifically provides that where a federal law like HIPAA already governs an industry’s privacy practices, Puerto Rico’s law is interpreted consistently with that federal framework, rather than layering on a conflicting standard. In practice, this means your HIPAA Notice of Privacy Practices does much of the necessary work — but your practice’s website privacy policy still needs to independently satisfy Reg 8568’s specific disclosure items (like how your site responds to “Do Not Track” signals and how you notify patients of policy changes), which aren’t things a HIPAA Notice of Privacy Practices is built to cover.

Why Should You Care About This?

  • A HIPAA-compliant practice on paper can still be exposed in Puerto Rico specifically. If you’ve only ever benchmarked your compliance against federal HIPAA requirements, Law 111’s separate 10-day DACO clock is an easy, invisible gap — it doesn’t show up in a HIPAA risk assessment, because it isn’t a HIPAA requirement at all.
  • Front-desk habits are usually the real exposure, not IT infrastructure. Most practices that end up in this situation don’t have a sophisticated data breach — they have a receptionist or provider who, for years, has been forwarding lab results or scheduling details from a personal Gmail account because it’s convenient.
  • The fix costs far less than the fine. A properly configured, BAA-backed enterprise email plan (ProtonMail Workspace, Google Workspace or Microsoft 365 Business) costs a few dollars per user per month — a rounding error next to even a single Tier 2 HIPAA penalty.
  • “We didn’t know” gets harder to argue every year. As HIPAA email guidance becomes more widely publicized (including through posts exactly like this one), OCR has more basis to treat a practice’s noncompliance as Tier 2 “reasonable cause” rather than Tier 1 “lack of knowledge” — which alone can raise the penalty range substantially.

Is Your Practice Handling Patient Email the Right Way? Here’s What to Do Today.

If your practice needs to email PHI, here’s what actually keeps you on the right side of both HIPAA and Puerto Rico law:

  • Use enterprise-tier email with a signed BAA (for example, ProtonMail Workspace, Google Workspace or Microsoft 365 Business/Enterprise plans all offer BAAs).
  • Enable encryption for messages containing PHI.
  • Implement access controls so only authorized staff can view PHI-containing messages.
  • Train staff on what can and can’t be sent via email, and when to use a secure patient portal instead.
  • Conduct a HIPAA risk analysis that specifically addresses how email is used in your workflow.
  • Know your Puerto Rico-specific deadlines separately from your HIPAA deadlines — build a notification plan that accounts for Law 111’s 10-day DACO clock, not just HIPAA’s 60-day outer limit.
  • Make sure your website privacy policy satisfies Reg 8568’s specific requirements (Do Not Track disclosure, policy-amendment notice) independently of your HIPAA Notice of Privacy Practices.
  • Consider a dedicated secure messaging or patient portal solution rather than email at all for anything sensitive.

The Bottom Line

Don’t let the headline scare you into thinking your personal Gmail account is automatically a compliance violation — that’s not how HIPAA works. However, don’t let the absence of an obvious red flag lull you into complacency either. The moment PHI enters that inbox without a BAA, encryption, and proper access controls, you’ve created real regulatory, financial and patient-trust risk — one that the OCR can act on even without a breach ever occurring, and one that, in Puerto Rico, can trigger a second, faster-moving notification clock most practices never realize applies to them. The fix isn’t complicated: keep PHI off consumer-grade email entirely, or upgrade to a properly configured, BAA-backed enterprise platform built for it.

If you want to make sure your practice’s email habits, privacy policy, and breach-notification plan actually comply with HIPAA and Puerto Rico law, please book a consult with us today. We’ll help you close the gap before a patient complaint, an OCR audit, or a missed 10-day deadline forces you to act under great pressure.