Decisiones de cumplimiento
42 CFR Parte 2: registros de IA y consentimiento
La Parte 2 puede añadir protecciones específicas a los registros de trastornos por uso de sustancias. Antes de una divulgación de IA, identifique el origen del registro y el consentimiento o excepción aplicable. Un BAA general de HIPAA no reemplaza el análisis de la Parte 2, y el consentimiento amplio para tratamiento, pago y operaciones de salud no cubre notas de consejería SUD mantenidas por separado.
Para Oficiales de privacidad de programas SUD y equipos de TI de salud
Separe el registro ordinario de tratamiento de las notas protegidas de consejería SUD.
Lógica general de ramas con un caso sintético separado de programa SUD. No se representa consentimiento real, decisión legal ni aprobación del proveedor.01
Identifique qué registros y programa están involucrados
La Parte 2 se refiere a registros particulares de pacientes con trastornos por uso de sustancias, no a toda mención de salud mental o alcohol en cada organización. La hoja informativa de HHS describe la protección del estatuto para registros mantenidos en relación con programas o actividades SUD federales, regulados o asistidos.
Pregunte dónde se originó el registro, el papel del programa y cómo la organización receptora lo obtuvo. Un nombre de archivo o etiqueta automática de datos no puede establecer ese estatus legal. Cuando el origen o las restricciones no estén claras, resuélvalas con el responsable de privacidad del programa antes de incluir el contenido en una entrada de IA.
Contexto de la fuente: HHS: hoja informativa de la regla final 42 CFR Parte 2
02
Use el marco de consentimiento actual
La hoja informativa de HHS, actualizada el 30 de enero de 2026, indica que el cumplimiento con los requisitos de la regla final aplicable era obligatorio para el 16 de febrero de 2026. Los cambios permiten un único consentimiento para usos y divulgaciones futuros de tratamiento, pago y operaciones de salud, y ciertas entidades cubiertas por HIPAA y asociados comerciales que reciben registros bajo ese consentimiento pueden redistribuirlos conforme a HIPAA.
Eso no es un permiso incondicional para enviar un registro a cualquier proveedor de IA. Verifique el consentimiento real, el propósito, el destinatario y cualquier restricción, así como las obligaciones relevantes de HIPAA. La hoja informativa indica que las divulgaciones con consentimiento deben incluir una copia del consentimiento o una explicación clara de su alcance.
Contexto de la fuente: HHS: hoja informativa de la regla final 42 CFR Parte 2
03
Notas de asesoramiento SUD separadas
La norma final crea una protección específica para el análisis de un clínico de SUD sobre una conversación de asesoramiento que el clínico mantiene voluntariamente separada del resto del tratamiento y registro médico. Estas notas de asesoramiento SUD requieren un consentimiento específico y no pueden usarse ni divulgarse basándose en un consentimiento amplio de TPO.
No asuma que una exportación combinada contiene solo el registro ordinario de tratamiento. Pregunte al propietario de la fuente si se incluyen notas mantenidas por separado, adjuntos o pasajes copiados. El propósito de esta verificación es identificar la vía de permiso aplicable, no afirmar que la Parte 2 requiera universalmente segregación técnica de registros.
Contexto de la fuente: HHS: hoja informativa de la regla final 42 CFR Parte 2
04
Revise el destinatario de IA y el uso posterior
Identifique al proveedor de IA, operador de la aplicación y otros destinatarios. Determine el servicio permitido, el manejo de datos y los acuerdos relevantes. La hoja informativa mantiene restricciones más estrictas sobre el uso de registros en procedimientos civiles, penales, administrativos o legislativos contra pacientes sin el consentimiento necesario o una orden judicial.
El consentimiento para esos procedimientos no puede combinarse con el consentimiento para otros usos, según el resumen de HHS. Mantenga esa cuestión separada del cuidado ordinario o procesamiento administrativo. La capacidad de un proveedor para almacenar una bandera de consentimiento no demuestra que el consentimiento cubra el uso propuesto ni que se hayan cumplido todas las restricciones legales.
Contexto de la fuente: HHS: hoja informativa de la regla final 42 CFR Parte 2 · HHS: Guía sobre HIPAA y computación en la nube
05
Mantenga un registro de decisiones que acompañe al alcance
El ejemplo trabajado a continuación rastrea dos tipos ficticios de registros hacia diferentes rutas de revisión. Incluye una alternativa administrativa general que no necesita material del paciente. El objetivo es identificar la evidencia de consentimiento y destinatario, no generar una aprobación automática.
Conserve la explicación del alcance relevante, el responsable de la decisión y el registro del flujo de datos durante el proceso aprobado. Revíselos cuando cambien el servicio de IA, el destinatario o el uso. HHS también aplica los requisitos de notificación de brechas de HIPAA a las brechas de la Parte 2, por lo que una exposición sospechada debe gestionarse con los equipos de incidentes y privacidad de la organización.
Contexto de la fuente: HHS: hoja informativa de la regla final 42 CFR Parte 2
Ponlo en práctica
Mapa de ramas de divulgación de IA de la Parte 2
Siga cada resultado sí, no o desconocido antes de que un registro protegido llegue a un servicio de IA. Se incluye un caso ficticio trabajado separado en la descarga.
Lógica general de ramas con un caso sintético separado de programa SUD. No se representa consentimiento real, decisión legal ni aprobación del proveedor.
Alcance
Sí: continuar. No: revisar otros deberes. Desconocido: detener y resolver.
Tipo de registro
Nota de asesoramiento separada: consentimiento específico. Registro ordinario: permiso aplicable.
Permiso
Establecido: revisar destinatarios. No resuelto: detener la carga.
Receptor
Completo: decisión responsable. Incompleto: resolver antes de divulgar.
| Pregunta | Finding | Detener o siguiente resultado | Evidencia a conservar |
|---|---|---|---|
| ¿Se aplica la Parte 2 a este registro y fuente? | Sí | Continúe con las verificaciones de tipo de registro y permiso. | Registre la evidencia del programa y origen del registro. |
| ¿Se aplica la Parte 2 a este registro y fuente? | No | Salga de esta rama de la Parte 2; evalúe HIPAA y otros deberes aplicables. | No encontrar Parte 2 no es una aprobación de la divulgación de IA. |
| ¿Se aplica la Parte 2 a este registro y fuente? | Desconocido | Detenga la carga propuesta de datos del paciente y resuelva el origen/estado. | Consulte al programa fuente o al responsable de privacidad. |
| ¿Nota de asesoramiento SUD mantenida por separado? | Sí | Evalúe el consentimiento específico; no confíe en un consentimiento amplio de TPO. | Identifique la nota real y el alcance del consentimiento. |
| ¿Nota de asesoramiento SUD mantenida por separado? | No | Evalúe el permiso aplicable al registro ordinario de la Parte 2. | Revise el consentimiento real o una excepción aplicable para este uso. |
| ¿Tipo de registro o consentimiento/excepción establecido? | Desconocido o no resuelto | Detenga la carga propuesta hasta que se establezca el permiso aplicable. | Un BAA o etiqueta de herramienta no resuelve esta rama. |
| ¿Consentimiento o excepción aplicable establecido? | Sí | Continúe con la revisión del destinatario, alcance de divulgación y otras salvaguardas. | Incluya la copia del consentimiento o explicación clara del alcance donde se requiera. |
| ¿Destinatario y condiciones restantes revisadas? | No o desconocido | Detenga la divulgación propuesta por esta vía; resuelva las condiciones faltantes. | Mapee el servicio de IA, destinatarios conectados y acuerdos aplicables. |
| ¿Destinatario y condiciones restantes revisadas? | Sí | El responsable puede registrar la decisión con alcance. | Esta tabla no otorga por sí misma permiso legal ni aprobación del producto. |
Trabaja en tu reseña
Usa las verificaciones para organizar las pruebas que necesitas. Guarda tus selecciones en Word, luego añade tus notas y pruebas. Tus selecciones permanecen en esta pestaña hasta que las descargues.
0 de 3 Revisado
Ejemplos y material de revisión
Lee los detalles aquí, o mantén juntos el documento PDFeditable Word y las hojas de cálculo.
Mapa de ramas de divulgación de IA de la Parte 2Lee
Lógica general de ramas con un caso sintético separado de programa SUD. No se representa consentimiento real, decisión legal ni aprobación del proveedor.
Siga cada resultado sí, no o desconocido antes de que un registro protegido llegue a un servicio de IA. Se incluye un caso ficticio trabajado separado en la descarga.
Review steps
- Confirm origin y record type: Ask the source programme whether Part 2 and the special SUD counselling-note provisions apply.
- Match consent to the use: Review the actual permission, scope explanation y any separate-consent requirement.
- Trace every recipient: Include AI services, connected features y processing intermediaries rather than assuming a BAA covers all of them.
Separate fictional worked case
The following example is separate from the conditional branch map. It does not establish a real patient consent or legal decision.
| Decisión | Invented case finding | Next action |
|---|---|---|
| Does Part 2 apply? | The source owner identifies a fictional record as protected Part 2 material. | Use the Part 2 review path; document actual origin in a real case. |
| Is it a separately maintained SUD counselling note? | One attachment contains a clinician’s separately kept session analysis. | Do not rely on broad TPO consent for that attachment; assess specific consent. |
| What consent covers the ordinary record? | A TPO consent exists in the scenario, but the proposed recipient is not yet reviewed. | Check its scope y applicable disclosure/redisclosure conditions. |
| Who receives the AI input? | External AI service y its connected feature are proposed. | Map each recipient y its role, agreements and permitted use. |
| Could the task use no patient record? | Staff only need generic reception wording. | Use invented context y keep the protected records out of that task. |
| Can the real disclosure proceed? | Required consent y recipient questions remain open in the exercise. | Obtain the accountable review; the worksheet does not authorise disclosure. |
Safe alternative prompt
Invented exercise: Write a general reception message about contacting a service team for administrative questions. Include no patient, SUD diagnosis, treatment history or counselling note.
HHS fact sheet updated 30 January 2026; applicable compliance date 16 February 2026.
Source y scope
Guide: https://aona.ai/resources/guides/42-cfr-part-2-ai-records-consent/
Source check: 21 September 2026. General information, not professional approval or a completed control test.
- HHS: 42 CFR Part 2 final rule fact sheet: https://www.hhs.gov/hipaa/for-professionals/regulatory-initiatives/fact-sheet-42-cfr-part-2-final-rule/index.html
- HHS: Guidance on HIPAA y cloud computing: https://www.hhs.gov/hipaa/for-professionals/special-topics/health-information-technology/cloud-computing/index.html
Antes de que continúes
Mantén claras estas distinciones
- La alineación con HIPAA no es equivalencia completa
- La Parte 2 mantiene protecciones distintas de consentimiento y procedimientos legales.
- Un archivo combinado puede cruzar un límite
- Verificar adjuntos y notas copiadas en lugar de tratar toda la exportación como una categoría de permiso.
Aplícalo al uso de IA por parte de empleados
Lleva tu ruta real de datos.
Aona puede apoyar la evaluación de políticas de entrada sensible para una aplicación y ruta de entrada de empleado seleccionadas.
No determina el estado de la Parte 2, valida el consentimiento del paciente ni proporciona autorización legal para divulgar.
Usar una categoría de nota ficticia y acordar qué entrada debe restringirse, luego registrar el resultado real en la ruta soportada.
Revisa tu caso de usoPreguntas frecuentes
Preguntas sobre esta decisión
¿Se aplica la Parte 2 a toda la información de salud mental?
¿Reemplaza el BAA de un proveedor de IA el consentimiento de la Parte 2?
¿Puede un consentimiento amplio TPO cubrir notas de asesoramiento SUD?
¿La fecha de cumplimiento 2026 aún es futura?
Evidencia detrás de la guía
Fuentes y alcance
Preparado por Aona. Fuentes comprobadas 2026-09-21. El material citado respalda los puntos específicos a continuación; no certifica un producto ni su caso de uso.
- HHS: hoja informativa de la regla final 42 CFR Parte 2
Aplicabilidad de la Parte 2, cambios en consentimiento y redivulgación, notas de asesoramiento SUD separadas y fecha de cumplimiento 16 de febrero de 2026; hoja informativa actualizada 30 de enero de 2026.
regulator · comprobado 2026-09-21 - HHS: Guía sobre HIPAA y computación en la nube
Roles de asociados comerciales, BAAs, análisis de riesgos y salvaguardas de servicios en la nube, incluidos proveedores sin claves de descifrado.
regulator · comprobado 2026-09-21