Tu teléfono es la fuga más cara de la clínica.

Una recepcionista con IA que contesta todas las llamadas suena a solución completa. Según mi experiencia, no lo es.

Esto también responde a dos de las preguntas de arriba, a mi manera. Un servicio de contestador toma un mensaje y te lo pasa. Una recepcionista con IA está pensada para actuar sobre la llamada. Ahí trazo yo la diferencia; los proveedores la trazan en sitios distintos. ¿Puede la IA dar citas en una clínica dental? Puede atender la llamada y recoger la petición. En mi opinión, la cita vale lo que vale lo que viene después: el SMS que la confirma y la persona que se hace cargo. Para las normas de abajo, la etiqueta no importa. Si el proveedor toca información de pacientes, se aplican las mismas obligaciones. Si quien llama prefiere una persona o una máquina, y qué le dices, es otra pregunta, para otro artículo.

Empieza por la HIPAA, porque el proveedor no es un espectador. El HHS lo dice claramente: “When a covered entity engages the services of a CSP to create, receive, maintain, or transmit ePHI (such as to process and/or store ePHI), on its behalf, the CSP is a business associate under HIPAA” [«Cuando una entidad cubierta contrata los servicios de un CSP para crear, recibir, mantener o transmitir ePHI (por ejemplo, para procesarla y/o almacenarla) en su nombre, el CSP es un business associate según la HIPAA»] 1. CSP significa proveedor de servicios en la nube; ePHI es la información de salud protegida en formato electrónico. Dicho de forma sencilla, un proveedor de atención telefónica con IA que escucha, guarda o transmite información de pacientes en tu nombre entra en esa categoría. Es tu business associate.

Esa condición trae papeles, y saltárselos no es una zona gris. “If a covered entity (or business associate) uses a CSP to maintain (e.g., to process or store) electronic protected health information (ePHI) without entering into a BAA with the CSP, the covered entity (or business associate) is in violation of the HIPAA Rules” [«Si una entidad cubierta (o un business associate) usa un CSP para mantener (por ejemplo, procesar o almacenar) información de salud protegida electrónica (ePHI) sin firmar un BAA con el CSP, la entidad cubierta (o el business associate) incumple las normas de la HIPAA»] 2.

Entonces, ¿una recepcionista con IA cumple la HIPAA? Es la pregunta equivocada, porque ningún organismo público concede esa etiqueta. “OCR does not endorse, certify, or recommend specific technology or products” [«La OCR no avala, certifica ni recomienda tecnologías o productos concretos»] 1. La pregunta útil es más sencilla: ¿el proveedor firma un business associate agreement? Si la respuesta es no, para ahí.

Y pasarle los teléfonos a otro no quita la responsabilidad de tu mesa. La ADA advierte: “If you hire a company to make calls for you, both you and the company are responsible for compliance, and are potentially liable for any violations” [«Si contratas a una empresa para que haga llamadas por ti, tanto tú como la empresa sois responsables del cumplimiento, y podéis responder de cualquier infracción»] 4. Y añade: “A company that calls patients on your behalf is likely to be your ‘business associate’ if your dental practice is covered by HIPAA” [«Una empresa que llama a pacientes en tu nombre probablemente sea tu “business associate” si tu clínica dental está sujeta a la HIPAA»] 4.

Contestar es la mitad del trabajo. Devolver la llamada y escribir es la otra mitad, y ahí se aplica otra ley. La FCC “Confirms that the TCPA’s restrictions on the use of ‘artificial or prerecorded voice’ encompass current AI technologies that generate human voices. As a result, calls that use such technologies require the prior express consent of the called party” [«Confirma que las restricciones de la TCPA al uso de “voz artificial o pregrabada” abarcan las tecnologías de IA actuales que generan voces humanas. Por tanto, las llamadas que usan estas tecnologías requieren el consentimiento previo y expreso de la persona a la que se llama»] 3. ¿Las llamadas de IA a pacientes necesitan consentimiento? Según esa resolución, las llamadas que usan voces generadas por IA requieren el consentimiento previo y expreso de la persona a la que se llama 3. Consíguelo antes de que la IA marque.

Los SMS de recordatorio responden a dos conjuntos de normas. Según la HIPAA, “Yes, appointment reminders are considered part of treatment of an individual and, therefore, can be made without an authorization” [«Sí, los recordatorios de citas se consideran parte del tratamiento de una persona y, por tanto, pueden hacerse sin autorización»] 5. Según la TCPA, las clínicas sujetas a la HIPAA tienen una excepción, con condiciones. La ADA las enumera, entre ellas: “The message is limited to a healthcare treatment purpose: appointment and exam reminders and confirmations…” [«El mensaje se limita a una finalidad asistencial: recordatorios y confirmaciones de citas y revisiones…»] 4. También: “The message does not contain marketing, solicitation, advertising, accounting, billing, debt-collection, or other financial content” [«El mensaje no contiene marketing, captación, publicidad, contabilidad, facturación, cobro de deudas ni otro contenido financiero»] 4. Y: “Each message includes an easy way to opt out of future such messages” [«Cada mensaje incluye una forma fácil de darse de baja de futuros mensajes de este tipo»] 4. La ADA señala que las normas son complejas y que la ley estatal puede ser más estricta 4.

¿Los recordatorios de citas por SMS cumplen la HIPAA? Según la HIPAA, un recordatorio puede enviarse sin autorización 5. Según la TCPA, tiene que seguir siendo un recordatorio para entrar en la excepción 4. Añade una promoción y te quedas fuera.

Por qué importa en dólares: “The TCPA lets individuals sue for up to $1,500 for every phone call or text that violates the law” [«La TCPA permite a los particulares demandar por hasta 1.500 dólares por cada llamada o SMS que infrinja la ley»] 4. Por mensaje. No por campaña.

Una cosa más si tus SMS llevan un enlace para pedir cita online. El HHS ha dicho que “Tracking technologies on a regulated entity’s unauthenticated webpage that permits individuals to schedule appointments or use a symptom-checker tool without entering credentials may have access to PHI in certain circumstances” [«Las tecnologías de seguimiento en una página web no autenticada de una entidad regulada, que permite pedir cita o usar un comprobador de síntomas sin introducir credenciales, pueden tener acceso a PHI en determinadas circunstancias»] 6. Un tribunal federal anuló una parte de ese boletín en el caso AHA v. Becerra, y la página lo indica, así que léelo teniéndolo en cuenta 6.

Contesta todas las llamadas, o devuelve todas las perdidas, con un sistema. No con esperanza y un buzón de voz. Combina la IA con mensajes y con personas, porque según nuestra experiencia esa es la versión que mueve el teléfono.

Firma el business associate agreement antes de que se atienda la primera llamada 2. Consigue el consentimiento previo y expreso antes de que cualquier voz de IA llame 3. Deja el marketing fuera de los SMS de recordatorio, y pon una opción de baja en cada uno 4.

Pide pruebas a los proveedores. La pregunta de la FTC a quien vende IA es la que deberías hacerles tú: “Are you exaggerating what your AI product can do?” [«¿Estás exagerando lo que puede hacer tu producto de IA?»] 9 Si la respuesta es una demo y una promesa, sigue preguntando. Y si todo esto suena poco glamuroso, lo es. Esa es la cuestión.