Certificación ISO 27001:2022
Nuestro sistema de gestión de seguridad de la información está certificado bajo ISO/IEC 27001:2022, el estándar internacional para gestionar riesgos de seguridad de la información.
Seguridad y cumplimiento
Seguridad y cumplimiento: ISO 27001 e HIPAA
Arkangel AI tiene certificación ISO 27001:2022. El cumplimiento HIPAA y la firma de BAA están disponibles en planes Enterprise, con más de 70 controles de seguridad, pruebas de penetración y monitoreo continuo vía Vanta.
- Certificación ISO 27001:2022
- HIPAA y BAA en planes Enterprise
La seguridad en breve
Arkangel AI tiene certificación ISO 27001:2022 y ofrece cumplimiento HIPAA y firma de BAA en planes Enterprise. Más de 70 controles cubren infraestructura, privacidad de datos y procedimientos de auditoría; la plataforma pasa pruebas de penetración y se monitorea de forma continua vía Vanta. Los planes de autoservicio no están cubiertos por HIPAA: no ingreses identificadores de pacientes.
Certificaciones y controles de seguridad
Los mismos controles protegen todos los planes. Los detalles de la certificación y las políticas están documentados en nuestro Trust Center público.
Cumplimiento HIPAA y BAA en planes Enterprise
El cumplimiento HIPAA y la firma de un acuerdo de asociado comercial (BAA) están disponibles en planes Enterprise. Consúltanos por los términos contractuales antes de que tu organización trabaje con información de salud protegida (PHI).
Más de 70 controles de seguridad
Más de 70 controles cubren infraestructura, privacidad de datos y procedimientos de auditoría.
Pruebas de penetración
La plataforma pasa pruebas de penetración para identificar y corregir vulnerabilidades.
Monitoreo continuo vía Vanta
Los controles se monitorean de forma continua con Vanta y están documentados en el Trust Center de Arkangel AI.
Control de acceso y trazabilidad
Control de acceso basado en roles, políticas de desarrollo seguro, procedimientos de control de cambios, trazas de auditoría y controles de manejo de activos permiten colaborar entre áreas con trazabilidad.
Cómo manejamos tus datos
Un resumen en lenguaje claro de nuestra Política de Privacidad aplicada al trabajo clínico. La Política de Privacidad es el documento que rige.
Antes de escribir una pregunta sobre un paciente
Salvo que tu organización tenga un acuerdo Enterprise con cumplimiento HIPAA, elimina nombres, números de historia clínica, fechas y cualquier otro identificador antes de preguntarle a Arkangel AI.
- Planes de autoservicio (Free, Pro y Team)
- Las preguntas y demás entradas no están cubiertas por HIPAA. Eres responsable de que no contengan información de salud protegida (PHI) ni datos que vulneren la privacidad de otra persona.
- Planes Enterprise
- El cumplimiento HIPAA y la firma de BAA están disponibles bajo un acuerdo Enterprise. Habla con nuestro equipo sobre los términos contractuales antes de que tu organización procese PHI con Arkangel AI.
- Dónde se procesan los datos
- Los Servicios están basados en EE. UU. y la información puede procesarse allí. Arkangel AI está disponible en la UE bajo ciertas condiciones con licencia Enterprise. Si tu organización tiene requisitos específicos de protección o residencia de datos, contáctanos antes del despliegue.
- Medidas de seguridad
- Aplicamos medidas técnicas y organizativas para proteger la información personal que controlamos frente a acceso, uso o divulgación no autorizados y pérdida accidental.
Leer la Política de Privacidad
Preguntas de privacidad: dpo@arkangel.ai
Protección de datos personales en Colombia: Ley 1581 de 2012
En Colombia, el régimen general de protección de datos personales (habeas data) es la Ley Estatutaria 1581 de 2012, reglamentada por el Decreto 1377 de 2013. Este es un resumen de lo que exigen y de cómo trabaja Arkangel AI frente a cada punto. No es asesoría jurídica.
Qué exige la norma
- Los datos de salud son sensibles
- La Ley 1581 clasifica los datos relativos a la salud como datos sensibles (art. 5) y prohíbe tratarlos salvo excepciones, como la autorización explícita del titular (art. 6). El Decreto 1377 exige informar al titular que no está obligado a autorizar ese tratamiento y cuáles de sus datos son sensibles (art. 6).
- Responsable y encargado
- El responsable decide sobre la base de datos y su tratamiento; el encargado trata los datos por cuenta del responsable (art. 3). Cada uno tiene sus deberes (arts. 17 y 18), entre ellos conservar la información con la seguridad necesaria para impedir su adulteración, pérdida o acceso no autorizado.
- Derechos del titular
- Conocer, actualizar y rectificar sus datos, pedir prueba de la autorización, ser informado del uso que se les da, presentar quejas ante la Superintendencia de Industria y Comercio y revocar la autorización o pedir la supresión (art. 8). Las consultas se atienden en máximo 10 días hábiles y los reclamos en 15 (arts. 14 y 15).
- Política de tratamiento y aviso de privacidad
- El responsable debe tener una política de tratamiento de la información en lenguaje claro, con su finalidad, los derechos del titular y el área que atiende consultas y reclamos (Decreto 1377, art. 13), o informar de ella con un aviso de privacidad (arts. 14 y 15).
- Datos fuera de Colombia
- La transferencia internacional solo se permite a países con un nivel adecuado de protección o en las excepciones de la ley (art. 26). La transmisión a un encargado que trata los datos por cuenta del responsable no requiere informar al titular cuando existe un contrato de transmisión con los requisitos del Decreto 1377 (arts. 24 y 25).
Cómo trabaja Arkangel AI
- Datos reales solo con acuerdo firmado
- Un piloto o despliegue de auditoría puede empezar con una muestra sintética. Los lotes con datos de tu operación se procesan después de firmar el acuerdo de tratamiento de datos, y tu entidad conserva la decisión sobre cada hallazgo.
- Sin identificadores en los planes de autoservicio
- En Free, Pro y Team no ingreses nombres, documentos ni otros identificadores de pacientes. Para trabajar con información de salud identificable, tu organización necesita un acuerdo Enterprise.
- Dónde se procesan los datos
- Los Servicios están basados en EE. UU. y la información puede procesarse allí. Si tu entidad necesita definir la transmisión internacional o tiene requisitos de residencia de datos, lo revisamos antes del despliegue.
- Menos datos personales cuando no hacen falta
- La API de carga de pacientes permite anonimizar los registros después de la extracción. Las herramientas públicas de arkangel.ai no reciben datos de pacientes.
- Seguridad y contacto de privacidad
- Certificación ISO 27001:2022 y más de 70 controles monitoreados vía Vanta. Las consultas sobre datos personales van a la Oficina de Privacidad.
Textos oficiales
- Ley Estatutaria 1581 de 2012
Régimen general de protección de datos personales. Función Pública.
- Decreto 1377 de 2013
Reglamenta la Ley 1581: autorización, políticas de tratamiento, aviso de privacidad y transmisión. Función Pública.
Oficina de Privacidad: dpo@arkangel.ai
Principios de IA responsable
Arkangel AI apoya a profesionales de la salud. No da asesoría médica, diagnóstico ni tratamiento por sí sola, y nuestro enfoque sigue la guía internacional sobre IA en salud.
Validación humana
Médicos y revisores validan cada hallazgo. La decisión final clínica, de codificación o de auditoría es de tu equipo.
Fuentes citadas
Las respuestas enlazan a los estudios, guías y registros en que se basan, para que el profesional verifique la evidencia.
Límites claros
Decimos qué no hace el producto y pedimos verificar las fuentes originales antes de actuar sobre una respuesta.
Protección de datos
Usa entradas sin identificadores en los planes de autoservicio y un acuerdo Enterprise con cumplimiento HIPAA cuando haya PHI.
Guías que seguimos
- OMS: Ética y gobernanza de la inteligencia artificial para la salud
Seis principios para la IA en salud, entre ellos supervisión humana, transparencia y rendición de cuentas.
- OMS: Guía sobre modelos multimodales grandes
Recomendaciones para la IA generativa en la atención de salud.
- FDA de EE. UU.: guía sobre software de apoyo a la decisión clínica (CDS)
Describe el software que apoya el criterio clínico y permite revisar de forma independiente la base de sus recomendaciones.
Preguntas frecuentes sobre seguridad y cumplimiento
¿Qué es HIPAA?
HIPAA (Health Insurance Portability and Accountability Act) es una ley federal de EE. UU. de 1996 que protege la información de salud identificable de los pacientes, conocida como PHI. Exige salvaguardas administrativas, físicas y técnicas a prestadores, aseguradoras y proveedores que manejan PHI en su nombre. Arkangel AI ofrece cumplimiento HIPAA y BAA en planes Enterprise.
¿Arkangel AI cumple con HIPAA?
Sí, en planes Enterprise: Arkangel AI ofrece cumplimiento HIPAA y firma un BAA; consúltanos por los términos. Las entradas en los planes de autoservicio Free, Pro y Team no están cubiertas por HIPAA, así que no ingreses información de salud protegida. Además, Arkangel AI tiene certificación ISO 27001:2022 y más de 70 controles monitoreados vía Vanta.
¿ChatGPT puede cumplir con HIPAA?
La versión de consumo de ChatGPT no cumple con HIPAA por defecto, así que no conviene pegar identificadores de pacientes. Algunas ofertas empresariales de IA soportan HIPAA mediante un acuerdo de asociado comercial (BAA). Antes de usar cualquier herramienta con PHI, confirma sus términos contractuales vigentes, el cifrado, el acceso por roles y las trazas de auditoría.
¿Es seguro usar IA en diagnósticos médicos?
La IA es segura como apoyo cuando está validada, protege los datos y un profesional revisa sus resultados; no debe diagnosticar sola. La OMS y la FDA piden supervisión humana y transparencia. En Arkangel AI cada respuesta se vincula a sus fuentes y la decisión clínica final es del equipo de salud.
¿Qué dice la OMS sobre la IA en salud?
La guía de la OMS sobre ética y gobernanza de la IA para la salud fija seis principios: proteger la autonomía; promover el bienestar, la seguridad y el interés público; garantizar transparencia y explicabilidad; fomentar la responsabilidad y la rendición de cuentas; asegurar inclusión y equidad; y promover una IA sostenible. Pide supervisión humana y evaluación en contextos reales.
¿Qué exige la Ley 1581 de 2012 para datos de salud en Colombia?
La Ley 1581 trata los datos de salud como sensibles: solo pueden tratarse con autorización explícita del titular o en las excepciones de la ley. Quien los trata debe protegerlos, respetar los derechos de consulta y reclamo, y tener una política de tratamiento. Con Arkangel AI, los datos reales de un piloto llegan después de firmar el acuerdo de tratamiento.
¿Arkangel AI tiene certificación ISO 27001?
Sí. Arkangel AI tiene certificación ISO 27001:2022. Su programa de seguridad incluye más de 70 controles sobre infraestructura, privacidad de datos y procedimientos de auditoría, además de pruebas de penetración y monitoreo continuo vía Vanta. Los detalles de la certificación y las políticas están en el Trust Center de Arkangel AI: compliance.arkangel.ai.
¿Estás evaluando un despliegue Enterprise?
Habla con nuestro equipo sobre el alcance HIPAA, el BAA Enterprise, los términos contractuales y tu revisión de seguridad. En el Trust Center está la documentación que pedirá tu equipo de seguridad.
Última actualización: