¿OpenEvidence cumple con HIPAA? BAA, PHI y uso seguro (2026)

Respuesta corta: sí, según OpenEvidence, con condiciones. OpenEvidence declara que cumple plenamente con HIPAA y que las entidades cubiertas de EE. UU. que ingresan información de salud protegida (PHI) lo hacen bajo su Business Associate Agreement (BAA). Eso no significa que cualquier profesional pueda pegar datos de pacientes: si trabaja para un hospital o red de salud, deciden la política y los contratos de su empleador, y al menos una red de salud pide a su personal no ingresar PHI porque no tiene un BAA propio con OpenEvidence.

Aviso: Arkangel AI escribió este artículo y desarrolla una herramienta de IA clínica que compite con OpenEvidence. Los datos sobre OpenEvidence provienen solo de sus propias páginas y de las fuentes enlazadas abajo, revisadas a octubre de 2026. Esto no es asesoría legal; consulte a su responsable de cumplimiento antes de ingresar PHI en cualquier herramienta.

Qué dice OpenEvidence sobre HIPAA (a octubre de 2026)

• Cumplimiento HIPAA. El 25 de abril de 2025, OpenEvidence anunció que "cumple plenamente" con HIPAA y que las entidades cubiertas de EE. UU. pueden ingresar PHI (anuncio). Su página de seguridad y cumplimiento afirma que cumple las reglas de Privacidad, Seguridad y Notificación de Brechas de HIPAA.
• BAA. Su Business Associate Agreement (actualizado el 5 de febrero de 2025) forma parte de sus Términos de Uso y aplica solo si el usuario es una entidad cubierta por HIPAA y OpenEvidence maneja PHI en su nombre. La página de seguridad menciona además "acuerdos específicos con clientes".
• La responsabilidad sigue siendo suya. El anuncio indica que cada usuario debe asegurarse de que lo que ingresa cumpla HIPAA y otras leyes de privacidad.
• Controles de seguridad. OpenEvidence reporta SOC 2 Tipo II en la categoría de seguridad, cifrado en tránsito (TLS 1.2) y en reposo (AES-256), alojamiento en Google Cloud Platform y Vercel, y una prueba de penetración externa anual (página de seguridad).
• Entrenamiento y privacidad. Su política de privacidad, actualizada el 17 de septiembre de 2026, dice que las consultas son confidenciales y que no entrena modelos de IA con PHI. Las conversaciones son privadas por defecto y solo las que no contienen PHI deben compartirse por enlace público.

No pudimos verificar en páginas públicas cómo confirma OpenEvidence que un usuario individual es una entidad cubierta antes de aplicar el BAA, ni qué subencargados manejan PHI. Pregunte al proveedor si eso importa en su revisión.

¿Le cubre el BAA?

Un BAA es el contrato que HIPAA exige antes de que una entidad cubierta permita que un proveedor cree, reciba, mantenga o transmita PHI en su nombre (HHS sobre business associates). Que el BAA de OpenEvidence cubra su uso depende de quién es la entidad cubierta:

Su situación	¿Puede ingresar PHI en OpenEvidence?
Profesional o consultorio independiente que es entidad cubierta, tras aceptar los Términos de Uso	El BAA de OpenEvidence está pensado para este caso; usted sigue respondiendo por el uso mínimo necesario y su propio programa HIPAA
Empleado de un hospital o red de salud	Solo si su empleador lo permite. La red de salud es la entidad cubierta; un BAA individual puede no cubrir sus datos
Estudiante, residente en formación o usuario no cubierto	No ingrese PHI; el BAA aplica solo a entidades cubiertas
Fuera de EE. UU.	HIPAA es una ley estadounidense; aplica la ley de privacidad local, y OpenEvidence no está disponible en la UE ni el Reino Unido desde 2026 (Telehealth.org)

La segunda fila no es hipotética. MaineHealth informa a su personal que no tiene un BAA con OpenEvidence, que no ha llegado a términos aceptables y que los BAA individuales "no cubren" compartir datos de MaineHealth con terceros, por lo que no deben ingresar PHI (MaineHealth, revisado en octubre de 2026). Revise la política de IA de su institución antes de asumir que está cubierto.

Qué puede y qué no puede pegar

Aun con un BAA, HIPAA espera que comparta solo lo mínimo necesario. Sin él, mantenga fuera todo identificador. El HHS enumera 18 identificadores que deben eliminarse para que la información cuente como desidentificada por el método Safe Harbor (guía de desidentificación del HHS):

1. Nombres
2. Divisiones geográficas menores que un estado (dirección, ciudad, condado, código postal, con una excepción limitada para los tres primeros dígitos)
3. Todos los elementos de fechas salvo el año (nacimiento, ingreso, egreso, muerte) y edades mayores de 89 años
4. Números de teléfono
5. Números de fax
6. Correos electrónicos
7. Números de seguro social
8. Números de historia clínica
9. Números de beneficiario del plan de salud
10. Números de cuenta
11. Números de certificados o licencias
12. Identificadores y números de serie de vehículos, incluidas placas
13. Identificadores y números de serie de dispositivos
14. URL
15. Direcciones IP
16. Identificadores biométricos, incluidas huellas dactilares y de voz
17. Fotografías de rostro completo e imágenes comparables
18. Cualquier otro número, característica o código único

Dos detalles de la misma guía suelen pasarse por alto: las iniciales o los últimos cuatro dígitos del número de seguro social siguen siendo identificadores, y los identificadores en texto libre (una nota de evolución o epicrisis pegada) deben eliminarse igual que los campos estructurados. Una ocupación poco común o un evento inusual también pueden identificar a un paciente.

Suele estar bien sin PHI: "Paciente de 62 años con ERC estadio 3b y fibrilación auricular nueva: ¿qué anticoagulante y qué dosis?"

No está bien sin un BAA que le cubra: una nota pegada con el nombre del paciente, número de historia, fecha de ingreso o una foto de la historia clínica.

Cómo usar la IA clínica de forma segura

1. Por defecto, haga preguntas desidentificadas. La mayoría de preguntas de evidencia necesitan rango de edad, sexo, condición y valores clave, no identidad.
2. Sepa qué BAA aplica. Revise la lista de herramientas aprobadas por su empleador; si una herramienta no está, no ingrese PHI.
3. Nunca suba documentos con identificadores (laboratorios, informes, fotos) salvo que su organización haya aprobado esa herramienta para PHI.
4. Verifique cada cita. Abra el estudio o la guía detrás de una respuesta antes de actuar.
5. No comparta conversaciones con PHI. Use enlaces públicos solo para chats desidentificados.
6. Deje el registro en su historia clínica electrónica, no en el historial de un chatbot.

Cómo maneja Arkangel AI la privacidad

Arkangel AI es un buscador médico con citas y una alternativa a OpenEvidence. Sobre privacidad, esto es lo que declaramos públicamente:

• Certificación ISO 27001:2022, con más de 70 controles de seguridad, pruebas de penetración y monitoreo continuo vía Vanta (Trust Center).
• Cumplimiento HIPAA y firma de BAA solo en planes Enterprise. Lo que se ingresa en los planes de autoservicio Free, Pro y Team no está cubierto por HIPAA, así que elimine nombres, números de historia, fechas y otros identificadores antes de preguntar.
• Respuestas con citas en español, inglés, portugués y francés, sin requerir un NPI de EE. UU.

Vea nuestra página de seguridad y cumplimiento, los precios y la comparación alternativa a OpenEvidence. Para una visión más amplia, lea mejores IA para médicos en 2026 o IA para médicos.

Preguntas frecuentes

¿OpenEvidence cumple con HIPAA?

OpenEvidence declara que cumple plenamente con HIPAA, incluidas las reglas de Privacidad, Seguridad y Notificación de Brechas, y ofrece un Business Associate Agreement a entidades cubiertas de EE. UU. a través de sus Términos de Uso. Los usuarios siguen siendo responsables de lo que ingresan, y los empleadores pueden prohibir la PHI.

¿OpenEvidence firma un BAA?

Sí. Su BAA estándar, actualizado el 5 de febrero de 2025, forma parte de los Términos de Uso y aplica solo cuando el usuario es una entidad cubierta y OpenEvidence maneja PHI en su nombre. Su página de seguridad también menciona acuerdos específicos para organizaciones.

¿Puedo ingresar información de pacientes en OpenEvidence?

Solo si le cubre un BAA aplicable a su uso y su empleador lo permite. Si trabaja para una red de salud, decide su política; algunas piden no ingresar PHI. Ante la duda, elimine los 18 identificadores de HIPAA y haga una pregunta desidentificada.

¿Qué cuenta como PHI en una consulta a una IA?

Información de salud ligada a cualquiera de los 18 identificadores que enumera el HHS, como nombres, fechas más específicas que el año, códigos postales, números de historia, teléfonos o fotos del rostro. Las iniciales y los números parciales también cuentan, igual que los identificadores dentro de texto libre pegado.

¿OpenEvidence entrena su IA con datos de pacientes?

Su política de privacidad, actualizada el 17 de septiembre de 2026, afirma que no entrena modelos de IA con información de salud protegida y que las consultas de los usuarios son confidenciales.

¿OpenEvidence está disponible fuera de Estados Unidos?

OpenEvidence está dirigido a profesionales de la salud verificados en EE. UU. y, desde 2026, no está disponible en la UE ni en el Reino Unido. HIPAA es una ley estadounidense; en otros países rigen las normas locales de protección de datos.

Fuentes (revisadas en octubre de 2026)

• OpenEvidence. OpenEvidence is now HIPAA compliant (25 de abril de 2025); Security and Compliance; Business Associate Agreement; Privacy Policy.
• Departamento de Salud y Servicios Humanos de EE. UU. (HHS). Guía de desidentificación y Business associates.
• MaineHealth. Aviso al personal sobre OpenEvidence.
• Telehealth.org. Salida de OpenEvidence de Europa.
• Arkangel AI. Trust Center.