هل ChatGPT متوافق مع HIPAA؟ ما يعنيه ذلك للمرضى والعيادات

لا. هل ChatGPT متوافق مع HIPAA على أي خطة يمكنك شراؤها اليوم؟ لا، لأن OpenAI لا توقع اتفاقية شريك تجاري لطبقات المستهلك الخاصة بها. تنظم HIPAA المنظمات والعقود، وليس النماذج. وإذا قمت بإدخال معلوماتك الصحية الخاصة في حسابك الخاص، فإن HIPAA لا تنطبق أبدًا.

ملخص: النقاط الرئيسية

• لا يوجد ChatGPT متوافق مع HIPAA متاح للمستهلكين. لا يتم بيع الخطط المجانية، Plus و Go، Team، و Enterprise مع اتفاقية شريك تجاري (BAA).
• تلزم HIPAA خطط التأمين الصحي، وشركات المقاصة، ومقدمي الخدمات، ومورديهم المتعاقدين. لا تلزمك أنت، عند إدخال أعراضك الخاصة في حسابك الخاص.
• ما يحمي المستهلكين بدلاً من ذلك هو سياسة خصوصية البائع ولجنة التجارة الفيدرالية (FTC)، التي قامت بالفعل بتغريم منصة صحية 1.5 مليون دولار.
• إيقاف تدريب النموذج واستخدام الدردشة المؤقتة يقلل من التعرض. لا يوفر تغطية قانونية.
• إذا تم إدخال معلومات صحية محمية (PHI) بالفعل في ChatGPT العادي، فتعامل مع الأمر كخرق محتمل وأبلغ مسؤول الخصوصية الخاص بك في نفس اليوم.

هل ChatGPT متوافق مع HIPAA؟ ليس في أي إصدار يمكنك التسجيل فيه اليوم

هل ChatGPT متوافق مع HIPAA؟ لا. حتى وقت كتابة هذه السطور، لا تقدم OpenAI اتفاقية شريك تجاري على خطط المستهلك الخاصة بها (المجانية، Plus و Go، Team، أو Enterprise)، وبدون هذا العقد الموقع، لا يمكن تغطية أي منتج. لا يوجد نموذج ذكاء اصطناعي متوافق مع HIPAA بمفرده: تنظم HIPAA المنظمات والعقود، لذلك يعتمد الامتثال على اتفاقية شريك تجاري (BAA) موقعة بالإضافة إلى كيفية تكوين المنتج وتقييده وتسجيله.

المسار الوحيد الذي تكون فيه اتفاقية شريك تجاري (BAA) مطروحة هو خط الإنتاج الخاص بالرعاية الصحية الذي أطلقته OpenAI في يناير 2026. هذه الخطط جديدة، وشروطها هي الحقيقة الأكثر تقلبًا في هذه الصفحة، ويجب عليك التحقق من التوفر لمنتجك ومستواك الخاص قبل الاعتماد عليه.

الآن إعادة التأطير الأكثر أهمية من الحكم: بالنسبة لمعظم الأشخاص الذين يدخلون بياناتهم في حساباتهم الخاصة، لم تكن HIPAA أبدًا القانون قيد التنفيذ.

HIPAA تلزم عيادتك ومورديها، وليس أنت ولوحة مفاتيحك

يصل القانون إلى مجموعتين بالضبط، كلاهما محدد في 45 CFR §160.103: الكيانات المغطاة (خطط الرعاية الصحية، وشركات المقاصة للرعاية الصحية، ومقدمو الخدمات الذين ينقلون المعلومات الصحية إلكترونيًا للمعاملات القياسية) والشركاء التجاريون، مما يعني أي شخص ينشئ أو يتلقى أو يحتفظ أو ينقل معلومات صحية محمية (PHI) أثناء أداء وظيفة بالنيابة عن كيان مغطى. هذه العبارة تحمل كل الوزن. الشركة التي تتلقى نصوصًا متعلقة بالصحة من فرد من الجمهور ليست شريكًا تجاريًا.

لقد عملت وزارة الصحة والخدمات الإنسانية (HHS) على هذا بالفعل للتطبيقات. دليل سيناريوهات استخدام تطبيقات الصحة الخاص بها يجد أنه لا توجد علاقة شريك تجاري عندما يملأ الشخص تطبيقًا ببياناته الخاصة بمبادرته الخاصة، دون عقد وراء ذلك.

لذلك، عندما تقوم بلصق أعراضك الخاصة في حساب ChatGPT الخاص بك، لا تنطبق HIPAA، ولا تنتهك OpenAI ذلك. هذه ليست ثغرة. إنها هندسة القانون.

ما يحميك بدلاً من ذلك هو سياسة خصوصية OpenAI، التي تعمل كـ وعد قابل للتنفيذ، بالإضافة إلى لجنة التجارة الفيدرالية (FTC). قاعدة الإبلاغ عن خروقات الصحة المعدلة لعام 2024 تغطي صراحةً تطبيقات الصحة والتقنيات المماثلة التي لا تخضع لـ HIPAA. وهذا الإنفاذ حقيقي: حصلت لجنة التجارة الفيدرالية على غرامة مدنية بقيمة 1.5 مليون دولار ضد GoodRx في عام 2023 لمشاركتها بيانات الوصفات الطبية والحالات الصحية مع Facebook و Google.

احتفظ بالتباين في ذهنك. يلتزم روبوت الدردشة للمستهلك بتقديم سياسة خصوصية لك. تطبيق الرعاية الصحية عن بعد المشمول تعاقديًا يلتزم بـ HIPAA لك. بين الزيارات، يمكن لتطبيق الرفيق الصحي مثل August AI مساعدتك في تسجيل الأعراض وطرح أسئلة بلغة واضحة، كملحق للرعاية بدلاً من بديل لها، ودائمًا وليس الشيء الذي يقرر.

المشكلة الحقيقية ليست روبوت الدردشة. إنها إلى أين تذهب كلماتك بعد ذلك

هل يشارك ChatGPT بياناتك؟ ميكانيكيًا، نعم، بالطرق العادية التي يعمل بها منتج سحابي. في طبقات المستهلك، تسمح الإعدادات الافتراضية باستخدام المحادثات لتحسين النماذج، والاحتفاظ بها لفترة، ومراجعتها من قبل البشر من أجل السلامة واستكشاف الأخطاء وإصلاحها. تتلمس المعالجات الفرعية وموردو البنية التحتية هذه البيانات أثناء تشغيل الخدمة، وهذا هو بالضبط سلسلة التبعات التي تُكتب اتفاقية شريك تجاري (BAA) لتنظيمها.

الإجابة الصادقة على ما إذا كان ChatGPT يشارك بياناتك هي أنه يعتمد على مستوى الاشتراك الخاص بك، وإعداداتك، وما قمت بتوصيله به. وهذا يثير الخطأ الذي أراه في أغلب الأحيان: إيقاف تدريب النموذج والتحول إلى الدردشة المؤقتة يقلل حقًا من التعرض، ويجب عليك القيام بكليهما. هذا لا يوفر تغطية HIPAA. ضروري، وليس كافيًا.

ثم هناك الخطر الأهدأ. تسمح الموصلات لـ ChatGPT بالوصول إلى Gmail، و Google Drive، وصندوق وارد العيادة المشترك، أو أداة مجاورة للسجل الطبي الإلكتروني (EHR) وقراءة ما هو موجود هناك. لا يتعين على أحد لصق أي شيء. الموصل الموجه إلى صندوق بريد مليء بخطابات الإحالة هو إفصاح ينتظر الحدوث، ولن يبدو كذلك في أي سجل تدقيق.

"الخصوصية المحسنة" في ChatGPT Health هي وعد منتج، وليس وعدًا قانونيًا

هل ChatGPT Health متوافق مع HIPAA؟

هل ChatGPT Health متوافق مع HIPAA؟ لا. لا يمكن للمستهلك الفردي الحصول على اتفاقية شريك تجاري على ChatGPT Health بغض النظر عن إعدادات الخصوصية التي يختارها، لأن اتفاقية شريك تجاري (BAA) هي عقد بين كيان مغطى ومورده، والمريض الذي يستخدم حسابًا شخصيًا ليس أيًا منهما.

المطالبات المتعلقة بالخصوصية المعززة والعزل والتشفير هي تأكيدات تصميم المنتج. يمكنها وصف هندسة حقيقية ولا يزال لها تأثير قانوني صفر على ما إذا كانت HIPAA تنطبق، لأن HIPAA تعتمد على من أنت وما وقعت عليه، وليس على كيفية بناء طبقة التخزين.

ما يغيره المنتج للمريض هو التعامل الافتراضي مع بياناتك الخاصة، وهو أمر يستحق شيئًا. لا ينشئ علاقة منظمة. احتفظ به منفصلاً في ذهنك عن إصدارات الرعاية الصحية السريرية والمؤسسية التي تم إطلاقها في يناير 2026، والتي تُباع للمنظمات وهي المكان الوحيد الذي يمكن فيه مناقشة العقد.

اتفاقية شريك تجاري موقعة فقط يمكنها جعل أداة الذكاء الاصطناعي متوافقة

اتفاقية شريك تجاري لـ ChatGPT هي الآلية القانونية الوحيدة التي تجلب OpenAI إلى نطاق HIPAA لاستخدام مؤسستك. كل شيء آخر هو النظافة.

يتم توقيع اتفاقية شريك تجاري (BAA) من قبل المنظمة، وليس من قبل طبيب فردي، ويجب أن تسمي المنتج والمستوى المحدد قيد الاستخدام فعليًا. اتفاقية شريك تجاري تغطي حساب API لا تغطي علامة التبويب في المتصفح التي سجل بها شخص ما بعنوان شخصي.

هذا ما لن تخبرك به معظم الصفحات: اتفاقية شريك تجاري (BAA) موقعة هي الحد الأدنى، وليست خط النهاية. بدون ضوابط الوصول المستندة إلى الأدوار، وتسجيل التدقيق الذي يقرأه شخص ما بالفعل، وحدود الحد الأدنى الضروري لما يتم إرساله، وتدريب الموظفين الذي يسمي هذه الأداة على وجه التحديد، لديك عقد ومشكلة امتثال في نفس الوقت. احصل على توفر BAA مؤكد كتابيًا من OpenAI لـ SKU المحدد الخاص بك بدلاً من استنتاجه من صفحة تسويقية. خط الإنتاج لعام 2026 جديد منذ أسابيع قليلة من حيث المصطلحات التنظيمية.

إزالة اسم المريض ليست إلغاء تعريف

القرار بإلغاء تحديد PHI قبل استخدام ChatGPT هو الدافع الصحيح، ولكن العتبة هي معيار HHS، وليس حكمًا تقديريًا. طريقتان مؤهلتان: الحصن الآمن (Safe Harbor)، وتحديد الخبير الرسمي من قبل إحصائي مؤهل.

الحصن الآمن يعني إزالة جميع فئات التعريف الـ 18 المحددة، وعدم وجود معرفة فعلية بأن ما تبقى يمكن أن يحدد شخصًا ما. هذه هي الأسماء؛ جغرافية أصغر من الولاية؛ جميع التواريخ المرتبطة بالفرد، بما في ذلك تواريخ الدخول والخروج والزيارة والميلاد؛ الهاتف والفاكس والبريد الإلكتروني؛ الضمان الاجتماعي، وسجلات طبية، وخطط صحية، وأرقام حسابات؛ أرقام الشهادات والتراخيص؛ معرفات المركبات والأجهزة وأرقام المسلسلات؛ عناوين URL وعناوين IP؛ القياسات الحيوية؛ صور الوجه الكامل؛ وأي رمز فريد آخر.

العناصر التي يتركها الأطباء متوقعة: تواريخ الزيارات، المدينة، الأعمار فوق 89، رقم السجل الطبي (MRN) الموجود في رأس الملاحظة الملصقة، رقم مسلسل الجهاز، صورة، واقتباسات نصية حرة حرفياً مميزة بما يكفي لتحديد هوية الشخص بنفسه.

بشكل ملموس، ملاحظة مجردة من الاسم ولا تزال تقرأ "شخص يبلغ من العمر 34 عامًا في بوزمان، شوهد في 3 مارس، تم تأكيد تشخيص نادر لأمراض المناعة الذاتية" ليست بيانات غير محددة الهوية. إنها PHI مع حذف أسهل حقل.

إلغاء التعريف ليس أيضًا حلاً سحريًا. إنه يزيل مسألة HIPAA. لا يزيل سياسة الاستخدام المقبولة لصاحب العمل، أو عقود الموردين، أو قانون خصوصية الولاية، والعديد منها يمتد أوسع من HIPAA.

سير عمل الذكاء الاصطناعي المتوافق في ست خطوات، بما في ذلك إذا دخلت PHI بالفعل

لا يوجد ChatGPT متوافق مع HIPAA كشيء تشتريه؛ ما هو موجود هو الفجوة بين الأداة وسير العمل، وهذه الخطوات الست تسدها.

1. حدد أي قارئ أنت. العمل نيابة عن كيان مغطى يعني أن HIPAA تنطبق على ما تكتبه. استخدام حسابك الخاص لصحتك الخاصة يعني أنها لا تنطبق.
2. تأكد كتابيًا مما إذا كانت اتفاقية شريك تجاري (BAA) تغطي المنتج والمستوى المحدد قبل أي استخدام سريري. لا BAA يعني عدم وجود PHI، نقطة توقف.
3. قم بإيقاف تدريب النموذج واستخدم الدردشة المؤقتة. قل بصوت عالٍ ما هذا: تقليل المخاطر، وليس الامتثال.
4. قم بتدقيق وفصل الموصلات التي تصل إلى البريد الإلكتروني السريري، أو التخزين السحابي، أو أي شيء مجاور للسجل الطبي الإلكتروني (EHR)، حتى تتم مراجعة كل منها.
5. قم بإلغاء التعريف وفقًا لمعيار الحصن الآمن قبل اللصق، ثم اقرأ المخرجات أيضًا. النماذج تعيد صياغة التفاصيل التي غذيتها بها.
6. إذا دخلت PHI بالفعل، فتعامل مع الأمر كخرق محتمل. توقف عن استخدام الخيط. لا تحذفه بهدوء، لأنه دليل. قم بإبلاغ مسؤول الخصوصية أو الامتثال الخاص بك في نفس اليوم، وقم بتوثيق ما تم الكشف عنه ومتى، ودعهم يقومون بتقييم مخاطر قاعدة الإبلاغ عن الخروقات واتخاذ قرار الإخطار. لا تتجاوز الأمر بنفسك.

إذا كنت مريضًا وليس طبيبًا، فلا ينطبق أي من هذا عليك. أنت لا تحتاج إلى BAA ولا حل بديل. قرر ما تشعر بالراحة في مشاركته، وأبقِ المعرّفات خارج المطالبات التي لن تنشرها علنًا، وإذا كنت غير متأكد من مدى إلحاح شيء ما، فإن مدقق أعراض August AI المجاني هو خطوة فرز أولى معقولة. عندما تحتاج إلى رعاية بدلاً من معلومات، على سبيل المثال تقييم ADHD عبر الإنترنت، يحدث ذلك ضمن علاقة مقدم خدمة حيث تنطبق HIPAA من نموذج الإدخال الأول.

بعض الأعراض لا ينبغي أن تذهب إلى روبوت الدردشة أولاً

لا ينبغي لأي شيء في نصيحة الخصوصية هذه أن يؤخر الرعاية الطارئة. إذا كنت تقرر بين الكتابة والاتصال، فاتصل.

اتصل بالرقم 911 أو اذهب إلى غرفة الطوارئ الآن إذا:

• لديك ألم في الصدر أو صعوبة في التنفس.
• لديك خدر مفاجئ، أو كلام متداخل، أو تدلي في الوجه، وهي علامات سكتة دماغية.
• لديك نزيف حاد.
• لديك أفكار انتحارية. توقف عن الكتابة واتصل بالرقم 911 أو 988. لا يمكن لدردشة الذكاء الاصطناعي فحصك أو إرسال المساعدة.

احجز موعدًا خلال الأسبوع المقبل إذا:

• كنت تقوم بفرز نفس العرض مع روبوت الدردشة لعدة أيام ولم يتحسن.
• لديك كتلة جديدة أو تغيير غير مبرر في الوزن.
• يستمر روبوت الدردشة في إخبارك بزيارة طبيب. هذا هو الحل، وليس مكانًا مؤقتًا.

تحدث إلى طبيب قبل أن تبدأ إذا:

• استجابة من الذكاء الاصطناعي تخبرك بالتوقف عن تناول دواء موصوف، أو تغيير جرعة، أو تجاهل فريق الرعاية الخاص بك. تأكد من الطبيب المعالج أولاً. تنتج هذه الأدوات إرشادات طبية خاطئة بثقة، وتفعل ذلك بنفس النبرة التي تستخدمها عندما تكون صحيحة.

بالنسبة للمستوى المتوسط، فإن زيارة الرعاية العاجلة عبر الإنترنت من August مقابل 39 دولارًا تربطك بطبيب مرخص في الولايات المتحدة يمكنه تقييم الأعراض ووصف الأدوية عندما يرى ذلك مناسبًا. الطبيب هو الذي يقرر. لا يمكن لزيارة الفيديو فحصك شخصيًا، أو طلب التصوير الفوري، أو إدارة حالة طوارئ، لذا فإن أي شيء في المستوى الأول ينتمي إلى غرفة الطوارئ.

أسئلة متكررة

هل يمكن تغريم العيادة إذا قام موظف بلصق معلومات المريض في ChatGPT؟

نعم. تقع المسؤولية على المنظمة، وليس على الفرد. بموجب تعديل التضخم المؤرخ 28 يناير 2026، تتراوح الغرامات المدنية لـ HIPAA من الحد الأدنى للمستوى 1 البالغ 145 دولارًا لكل انتهاك إلى الحد الأدنى للمستوى 4 البالغ 73,011 دولارًا لكل انتهاك، مع سقف سنوي يبلغ 2,190,294 دولارًا لكل فئة انتهاك. يمكن لكل سجل أن يحسب بشكل منفصل، وهذا هو السبب في أن الحوادث الصغيرة تتحول إلى أرقام كبيرة.

هل Microsoft Copilot، Google Gemini، أو Claude متوافقون مع HIPAA بدلاً من ذلك؟

عادة لا، والإجابة الصادقة هي مبدأ بدلاً من ترتيب بائع. الامتثال يتبع العقد، وليس النموذج. لا يتم بيع أي روبوت دردشة للمستهلك من أي بائع بموجب اتفاقية شريك تجاري (BAA)، ولا يعتبر ChatGPT متوافقًا مع HIPAA في مستويات المستهلك الخاصة به. إذا أخبرك بائع أن عرضه للمؤسسات أو السحابي يمكن تغطيته، فاحصل على ذلك كتابيًا مع تسمية المنتج المحدد الخاص بك.

هل يمكنني تقديم شكوى HIPAA ضد OpenAI؟

عادة لا. يتلقى مكتب الحقوق المدنية التابع لوزارة الصحة والخدمات الإنسانية (HHS) شكاوى ضد الكيانات المغطاة وشركائها التجاريين. في غياب اتفاقية شريك تجاري (BAA)، لا تعد OpenAI أيًا منهما، لذلك ليس لمكتب الحقوق المدنية (OCR) ولاية قضائية على محادثاتك الشخصية. لجنة التجارة الفيدرالية (FTC) هي المكان المناسب لتقديم شكوى مستهلك بشأن أداة صحية غير متوافقة مع HIPAA، بموجب قانون FTC وقاعدة الإبلاغ عن خروقات الصحة.

إذا قمت بحذف محادثة ChatGPT، فهل تختفي المعلومات الصحية؟

لا. يؤدي الحذف إلى إزالة الخيط من عرضك ويبدأ مؤقت الاحتفاظ؛ قد تستمر النسخ في النسخ الاحتياطي وأنظمة السلامة وسجلات المعالجات الفرعية لفترة. والأهم من ذلك بالنسبة للعيادة، أن الحذف لا يلغي الإفصاح الذي حدث بالفعل. إذا دخلت PHI، فإن التزام الامتثال قائم بغض النظر، وحذف الخيط يدمر الدليل الذي يحتاجه مسؤول الخصوصية الخاص بك.

هل يمكن لرب عملي رؤية أسئلة الصحة التي قمت بكتابتها في حساب ChatGPT الخاص بالعمل؟

نعم، من المحتمل. في خطط العمل، تمتلك المنظمة الحساب، وتحدد الاحتفاظ، ويمكن أن يكون لديها وصول إداري إلى بيانات المحادثة. افترض أن أي شيء مكتوب في حساب العمل مرئي لرب عملك، مثل البريد الإلكتروني الخاص بالعمل. أسئلة الصحة الشخصية تنتمي إلى حساب شخصي على جهاز شخصي، في وقتك الخاص.

هل أي شيء أسأله ChatGPT عن صحتي ينتهي به الأمر في سجلي الطبي أو يصل إلى شركة التأمين الخاصة بي؟

لا. لا يوجد اتصال بين روبوت الدردشة للمستهلك والسجل الطبي الإلكتروني الخاص بطبيبك أو خطة التأمين الصحي الخاصة بك، ولا تتدفق محادثاتك إلى أي منهما. الاستثناءات هي تلك التي تنشئها بنفسك: توصيل الأداة بحسابات تحتوي على سجلاتك، أو لصق مخرجاتها في رسالة بوابة المرضى. الممارسات الإعلانية ومشاركة البيانات هي قلق منفصل تنظمه سياسة الخصوصية.

هل يعد استخدام ChatGPT لصياغة رسالة للمريض انتهاكًا لـ HIPAA؟

أحيانًا، وخط التقسيم هو المعرفات. طلب نموذج عام لرسالة استئناف دون تفاصيل المريض ليس إفصاحًا عن PHI، على الرغم من أن سياسة صاحب العمل الخاص بك قد تظل تحظر ذلك. لصق اسم، أو تاريخ الميلاد، أو تاريخ الزيارة، أو التشخيص يجعله إفصاحًا لمورد دون BAA، وهو الانتهاك.

الخلاصة

هل ChatGPT متوافق مع HIPAA؟ لا، وهذا الجواب لن يتغير بسبب إعداد تقوم بتبديله. يتغير فقط عندما تقوم منظمة بتوقيع اتفاقية شريك تجاري (BAA) تسمي منتجًا محددًا ثم تبني ضوابط الوصول والتسجيل والتدريب حوله. إذا كنت طبيبًا، فإن التسلسل بسيط: لا يوجد عقد، ولا PHI، وإلغاء التعريف وفقًا لمعيار الحصن الآمن عند استخدامه. إذا كنت مريضًا، فقد تم توجيه السؤال إلى القانون الخطأ. HIPAA تقيد مقدمي الخدمة والموردين الخاصين بك. تأتي حمايتك من سياسة الخصوصية التي وافقت عليها، ولجنة التجارة الفيدرالية (FTC) التي تقف وراءها، وحكمك الخاص بشأن ما تكتبه.

إخلاء المسؤولية: هذا المقال هو لأغراض إعلامية فقط ولا يشكل نصيحة طبية. استشر دائمًا مقدم رعاية صحية مؤهل لاتخاذ قرارات التشخيص والعلاج. إذا كنت تعاني من حالة طبية طارئة، اتصل بالرقم 911 أو اذهب إلى أقرب غرفة طوارئ على الفور.