Il telefono è la perdita più costosa dello studio.

Una receptionist IA che risponde a ogni chiamata sembra la soluzione completa. Per la mia esperienza non lo è.

Questo risponde anche a due delle domande qui sopra, a modo mio. Un servizio di segreteria prende un messaggio e te lo passa. Una receptionist IA è pensata per agire sulla chiamata. È lì che traccio io la differenza; i fornitori la tracciano in punti diversi. L’IA può fissare appuntamenti per uno studio dentistico? Può prendere la chiamata e registrare la richiesta. Secondo me l’appuntamento vale quanto quello che viene dopo: l’SMS che lo conferma e la persona che ne è responsabile. Per le regole qui sotto l’etichetta non conta. Se il fornitore tocca informazioni sui pazienti, valgono gli stessi obblighi. Se chi chiama preferisca una persona o una macchina, e che cosa gli dici, è un’altra domanda, per un altro articolo.

Parti dall’HIPAA, perché il fornitore non è uno spettatore. L’HHS lo dice chiaramente: “When a covered entity engages the services of a CSP to create, receive, maintain, or transmit ePHI (such as to process and/or store ePHI), on its behalf, the CSP is a business associate under HIPAA” [«Quando un soggetto coperto si affida ai servizi di un CSP per creare, ricevere, conservare o trasmettere ePHI (ad esempio per trattarle e/o archiviarle) per suo conto, il CSP è un business associate ai sensi dell’HIPAA»] 1. CSP significa fornitore di servizi cloud; ePHI sono le informazioni sanitarie protette in forma elettronica. In parole semplici, un fornitore di risposta IA che ascolta, conserva o trasmette informazioni sui pazienti per tuo conto rientra in quella categoria. È il tuo business associate.

Quello status porta con sé dei documenti, e saltarli non è una zona grigia. “If a covered entity (or business associate) uses a CSP to maintain (e.g., to process or store) electronic protected health information (ePHI) without entering into a BAA with the CSP, the covered entity (or business associate) is in violation of the HIPAA Rules” [«Se un soggetto coperto (o un business associate) usa un CSP per conservare (ad esempio trattare o archiviare) informazioni sanitarie protette in forma elettronica (ePHI) senza stipulare un BAA con il CSP, il soggetto coperto (o il business associate) viola le regole HIPAA»] 2.

Allora, una receptionist IA è conforme all’HIPAA? È la domanda sbagliata, perché nessun ente pubblico rilascia quell’etichetta. “OCR does not endorse, certify, or recommend specific technology or products” [«L’OCR non approva, certifica né raccomanda tecnologie o prodotti specifici»] 1. La domanda utile è più semplice: il fornitore firma un business associate agreement? Se la risposta è no, fermati lì.

E affidare i telefoni a qualcun altro non toglie la responsabilità dalla tua scrivania. L’ADA avverte: “If you hire a company to make calls for you, both you and the company are responsible for compliance, and are potentially liable for any violations” [«Se incarichi un’azienda di fare chiamate per te, sia tu sia l’azienda siete responsabili del rispetto delle regole, e potenzialmente rispondete di ogni violazione»] 4. E aggiunge: “A company that calls patients on your behalf is likely to be your ‘business associate’ if your dental practice is covered by HIPAA” [«Un’azienda che chiama i pazienti per tuo conto è probabilmente un tuo “business associate” se il tuo studio dentistico è soggetto all’HIPAA»] 4.

Rispondere è metà del lavoro. Richiamare e scrivere è l’altra metà, e lì vale un’altra legge. La FCC “Confirms that the TCPA’s restrictions on the use of ‘artificial or prerecorded voice’ encompass current AI technologies that generate human voices. As a result, calls that use such technologies require the prior express consent of the called party” [«Conferma che le restrizioni del TCPA sull’uso di “voce artificiale o preregistrata” comprendono le attuali tecnologie di IA che generano voci umane. Di conseguenza, le chiamate che usano queste tecnologie richiedono il previo consenso espresso di chi viene chiamato»] 3. Le chiamate fatte dall’IA ai pazienti richiedono il consenso? In base a quella decisione, le chiamate che usano voci generate dall’IA richiedono il previo consenso espresso di chi viene chiamato 3. Ottienilo prima che l’IA componga il numero.

Gli SMS di promemoria rispondono a due insiemi di regole. Per l’HIPAA, “Yes, appointment reminders are considered part of treatment of an individual and, therefore, can be made without an authorization” [«Sì, i promemoria degli appuntamenti sono considerati parte del trattamento di una persona e quindi possono essere inviati senza autorizzazione»] 5. Per il TCPA, gli studi soggetti all’HIPAA hanno un’eccezione, con delle condizioni. L’ADA le elenca, tra cui: “The message is limited to a healthcare treatment purpose: appointment and exam reminders and confirmations…” [«Il messaggio è limitato a una finalità di cura: promemoria e conferme di appuntamenti e visite…»] 4. Poi: “The message does not contain marketing, solicitation, advertising, accounting, billing, debt-collection, or other financial content” [«Il messaggio non contiene marketing, sollecitazioni, pubblicità, contenuti contabili, di fatturazione, di recupero crediti o altri contenuti finanziari»] 4. E: “Each message includes an easy way to opt out of future such messages” [«Ogni messaggio include un modo semplice per non riceverne più»] 4. L’ADA osserva che le regole sono complesse e che le leggi statali possono essere più severe 4.

I promemoria degli appuntamenti via SMS sono conformi all’HIPAA? Per l’HIPAA, un promemoria si può inviare senza autorizzazione 5. Per il TCPA, deve restare un promemoria per rientrare nell’eccezione 4. Aggiungi una promozione e sei fuori.

Perché conta in dollari: “The TCPA lets individuals sue for up to $1,500 for every phone call or text that violates the law” [«Il TCPA consente ai singoli di fare causa per un massimo di 1.500 dollari per ogni chiamata o SMS che viola la legge»] 4. Per messaggio. Non per campagna.

Un’ultima cosa se i tuoi SMS contengono un link per prenotare online. L’HHS ha scritto che “Tracking technologies on a regulated entity’s unauthenticated webpage that permits individuals to schedule appointments or use a symptom-checker tool without entering credentials may have access to PHI in certain circumstances” [«Le tecnologie di tracciamento su una pagina web non autenticata di un soggetto regolamentato, che permette di fissare appuntamenti o di usare uno strumento di verifica dei sintomi senza inserire credenziali, possono in certe circostanze avere accesso a PHI»] 6. Una parte di quel bollettino è stata annullata da un tribunale federale nel caso AHA v. Becerra, e la pagina lo dice, quindi leggilo tenendone conto 6.

Rispondi a ogni chiamata, o richiama ogni chiamata persa, con un sistema. Non con la speranza e una segreteria telefonica. Affianca all’IA i messaggi e le persone, perché per la nostra esperienza è la versione che fa funzionare il telefono.

Fai firmare il business associate agreement prima che venga gestita la prima chiamata 2. Ottieni il previo consenso espresso prima che una voce IA chiami 3. Tieni il marketing fuori dagli SMS di promemoria, e metti in ognuno un modo per disiscriversi 4.

Chiedi prove ai fornitori. La domanda della FTC a chi vende IA è quella che dovresti fare tu: “Are you exaggerating what your AI product can do?” [«Stai esagerando quello che il tuo prodotto di IA sa fare?»] 9 Se la risposta è una demo e una promessa, continua a chiedere. E se tutto questo ti sembra poco affascinante, lo è. È proprio questo il punto.