Organizações de saúde enfrentam regras rigorosas ao usar ferramentas de IA que lidam com dados de pacientes. A Lei de Portabilidade e Responsabilidade de Seguros de Saúde (HIPAA) exige salvaguardas para informações eletrônicas de saúde protegidas (ePHI). O Microsoft Copilot pode processar dados clínicos apenas quando implantado sob um Acordo de Associado de Negócios (BAA). Este artigo explica quais configurações do Copilot atendem aos requisitos da HIPAA e como as equipes de saúde podem usar o Copilot para documentação clínica, sumarização de dados e tarefas administrativas sem violar as regras de conformidade.
Principais Conclusões: Conformidade HIPAA do Copilot na Saúde
- Acordo de Associado de Negócios (BAA) com a Microsoft: Necessário antes que qualquer serviço do Copilot possa acessar ePHI. Sem um BAA, o Copilot não deve receber dados de pacientes.
- Licença Microsoft 365 E5 ou G5 com complemento do Copilot: O único caminho de licenciamento que inclui os controles de conformidade completos necessários para cargas de trabalho HIPAA.
- Chaves de criptografia gerenciadas pelo cliente e registro de auditoria: Devem ser ativados para atender aos padrões de controle de acesso e auditoria da HIPAA.
Como o Copilot Lida com ePHI sob a HIPAA
O Microsoft Copilot não é um produto único. Inclui o Copilot no Microsoft 365, o Copilot no Azure e o Copilot no Dynamics 365. Cada serviço tem políticas diferentes de tratamento de dados. Para conformidade com a HIPAA, o requisito principal é que a Microsoft assine um BAA com sua organização. O BAA vincula contratualmente a Microsoft a proteger a ePHI e limita como a Microsoft pode usar os dados.
Quando um BAA está em vigor, o Copilot pode processar dados de pacientes que residem em serviços do Microsoft 365, como Exchange Online, SharePoint Online e Teams. O sistema do Copilot fundamenta suas respostas nos dados do seu locatário. Ele não treina seus modelos base com sua ePHI. A Microsoft afirma que o Copilot para Microsoft 365 usa seus dados apenas para gerar respostas e não armazena esses dados para melhoria do modelo.
No entanto, os recursos do Copilot que se conectam à pesquisa web pública ou a plugins de terceiros não são elegíveis para HIPAA. Você deve desabilitar esses recursos nas configurações de administração do Copilot. O painel do Copilot nos aplicativos do Microsoft 365, como Word e Teams, usa o Microsoft Graph para acessar dados. Se seu locatário contiver ePHI, a pesquisa do Graph deve ser limitada a sites e bibliotecas específicos que contenham apenas dados desidentificados ou que estejam cobertos pelo BAA.
Residência de Dados e Local de Processamento
A Microsoft oferece compromissos de residência de dados para clientes HIPAA. Você pode escolher a região onde os dados do seu Copilot são armazenados e processados. O centro de administração do Microsoft 365 mostra o local de dados padrão do seu locatário. Para organizações de saúde nos Estados Unidos, a Microsoft normalmente armazena dados em data centers nos EUA. Você pode verificar isso no centro de administração em Configurações > Configurações da Organização > Perfil da Organização > Local dos Dados.
Requisitos de Registro de Auditoria
A HIPAA exige controles de auditoria que registrem quem acessou a ePHI e quando. O Copilot para Microsoft 365 gera eventos de auditoria no portal de conformidade do Microsoft 365 Purview. Você deve ativar o registro de auditoria para Exchange, SharePoint e Teams. O log de auditoria captura interações do Copilot que envolvem ePHI, incluindo o texto do prompt e os documentos que o Copilot referenciou. Esses logs devem ser retidos por pelo menos seis anos para atender aos requisitos de documentação da HIPAA.
Passos para Configurar o Copilot para Conformidade com a HIPAA
Antes de implantar o Copilot em um ambiente de saúde, você deve concluir várias etapas de configuração. Pule qualquer etapa e sua implantação do Copilot pode violar as regras da HIPAA.
- Assine um Acordo de Associado de Negócios com a Microsoft
Entre em contato com seu representante de conta Microsoft ou parceiro de licenciamento. Solicite uma alteração de BAA para seu Enterprise Agreement ou Microsoft Customer Agreement. O BAA deve cobrir explicitamente o Copilot para Microsoft 365. Não prossiga até que o BAA assinado esteja em vigor. - Atribua as licenças corretas
Cada usuário que acessará o Copilot precisa de uma licença Microsoft 365 E5 ou G5 mais o complemento do Copilot para Microsoft 365. Licenças de nível inferior, como E3 ou Business Premium, não incluem os recursos de conformidade necessários para a HIPAA. Verifique as atribuições de licença no centro de administração do Microsoft 365 em Cobrança > Licenças. - Desabilite a pesquisa web e plugins de terceiros
No centro de administração do Microsoft 365, vá para Configurações > Configurações da Organização > Copilot. Desative a opção Permitir que o Copilot use a pesquisa web. Também desabilite todos os plugins de terceiros. Esses recursos enviam dados para serviços externos que não são cobertos pelo seu BAA. - Ative chaves de criptografia gerenciadas pelo cliente
Use o Microsoft Purview Customer Key para fornecer suas próprias chaves de criptografia para os dados do Copilot. Isso atende ao requisito da HIPAA de identificação única de usuário e controle de acesso. Configure isso no portal de conformidade do Purview em Gerenciamento do Ciclo de Vida dos Dados > Microsoft 365 Customer Key. - Configure o registro de auditoria e a retenção
No portal de conformidade do Purview, vá para Auditoria > Log de auditoria. Ative a auditoria para Exchange, SharePoint e Teams. Defina o período de retenção do log de auditoria para pelo menos seis anos. Crie uma política de retenção para os logs de auditoria em Gerenciamento do Ciclo de Vida dos Dados > Retenção. - Restrinja o acesso a dados com rótulos de sensibilidade
Aplique rótulos de sensibilidade do Microsoft Purview a documentos que contenham ePHI. Configure o Copilot para respeitar esses rótulos. No centro de administração do Microsoft 365 em Configurações > Configurações da Organização > Copilot, ative a opção Respeitar rótulos de sensibilidade ao fundamentar respostas. Isso impede que o Copilot exiba ePHI de documentos rotulados para usuários não autorizados.
Erros Comuns de Conformidade com o Copilot na Saúde
Copilot Acessa Dados de Pacientes Sem um BAA Assinado
A violação mais frequente ocorre quando uma organização implanta o Copilot antes da assinatura do BAA. O Copilot pode ler qualquer dado na caixa de correio e nos documentos do usuário. Se esses dados incluírem ePHI e não houver BAA, a organização está violando a HIPAA. Sempre verifique o status do BAA no centro de administração do Microsoft 365 em Configurações > Configurações da Organização > Serviços e Complementos > Microsoft Copilot. A página mostra se um BAA está ativo.
Usuários Ativam a Pesquisa Web no Copilot
Quando um usuário faz uma pergunta clínica ao Copilot, o Copilot pode enviar o prompt para a pesquisa web do Bing se o recurso estiver ativado. Isso envia ePHI para o serviço de pesquisa pública da Microsoft, que não é coberto pelo BAA. A solução é desabilitar a pesquisa web globalmente no centro de administração e também bloqueá-la no nível do usuário usando políticas de Acesso Condicional.
Copilot Retorna ePHI para Usuários Não Autorizados
Se os rótulos de sensibilidade não forem aplicados, o Copilot pode exibir ePHI de um documento do SharePoint para um usuário que não tem as permissões corretas. Por exemplo, um enfermeiro pode pedir ao Copilot para resumir o prontuário de um paciente e receber dados de um documento que não deveria ver. Aplique rótulos de sensibilidade a todos os documentos com ePHI e ative a fundamentação com reconhecimento de rótulos nas configurações do Copilot.
Copilot no Microsoft 365 vs Copilot no Azure para Saúde
| Item | Copilot no Microsoft 365 | Copilot no Azure |
|---|---|---|
| Caso de uso principal | Documentação clínica, resumos de e-mail, anotações de reuniões | Modelos de IA personalizados para suporte à decisão clínica, imagens médicas |
| Fundamentação de dados | Dados do Microsoft Graph do Exchange, SharePoint, Teams | Fontes de dados do Azure, incluindo Azure SQL, Cosmos DB, APIs personalizadas |
| Disponibilidade de BAA | Incluído com Microsoft 365 E5/G5 e complemento do Copilot | Incluído com Azure Enterprise Agreement e assinatura habilitada para HIPAA |
| Treinamento de modelo | A Microsoft não treina modelos com dados do locatário | O cliente pode optar por treinar modelos com seus dados usando o Azure AI Studio |
| Suporte a plugins | Plugins de terceiros devem ser desabilitados para HIPAA | Plugins personalizados podem ser criados no ambiente do Azure e controlados |
| Registro de auditoria | Log de auditoria do Microsoft 365 Purview | Azure Monitor e Azure Activity Log |
| Controle de criptografia | Customer Key via Purview | Azure Key Vault com chaves gerenciadas pelo cliente |
Para a maioria dos fluxos de trabalho administrativos na saúde, o Copilot no Microsoft 365 é a escolha correta. Para aplicações clínicas de IA personalizadas que exigem modelos ajustados com dados de pacientes, o Copilot no Azure oferece mais flexibilidade, mas requer mais configuração técnica para manter a conformidade com a HIPAA.
Agora você pode avaliar se seu locatário Microsoft atual atende aos requisitos da HIPAA para o Copilot. Comece confirmando o status do seu BAA e desabilitando a pesquisa web. Em seguida, configure rótulos de sensibilidade e registro de auditoria. Para proteção avançada, ative a criptografia Customer Key. Se você gerencia um grande sistema de saúde, considere usar o Copilot no Azure para modelos clínicos personalizados, mantendo o Copilot no Microsoft 365 para tarefas administrativas. A ação mais importante é executar uma avaliação de conformidade no portal de conformidade do Microsoft Purview antes de permitir que qualquer usuário acesse o Copilot com dados de pacientes.