Съвместим ли е ChatGPT с HIPAA? Какво означава това за пациенти и клиники

Не. Съвместим ли е ChatGPT с HIPAA за всеки план, който можете да закупите днес? Не е, защото OpenAI не подписва споразумение за бизнес партньор за своите потребителски планове. HIPAA регулира организации и договори, а не модели. И ако въведете собствена здравна информация в собствения си акаунт, HIPAA никога не е приложим.

TL;DR: Основни изводи

• Няма ChatGPT, съвместим с HIPAA, на потребителския пазар. Безплатният, Plus и Go, Team и Enterprise не се продават със споразумение за бизнес партньор (BAA).
• HIPAA обвързва здравни планове, клирингови къщи, доставчици и техните договорни доставчици. Той не обвързва вас, когато въвеждате собствени симптоми в собствения си акаунт.
• Това, което защитава потребителите вместо това, е политиката за поверителност на доставчика и Федералната търговска комисия, която вече е наложила глоба от 1,5 милиона долара на здравна платформа.
• Изключването на обучението на модели и използването на временен чат намалява излагането. Това не създава правно покритие.
• Ако защитена здравна информация (PHI) вече е въведена в обикновен ChatGPT, третирайте я като потенциално нарушение и уведомете вашия служител по въпросите на поверителността в същия ден.

Съвместим ли е ChatGPT с HIPAA? Не в нито една версия, за която можете да се регистрирате днес

Съвместим ли е ChatGPT с HIPAA? Не. Към момента на писане OpenAI не предлага споразумение за бизнес партньор за своите потребителски планове (безплатен, Plus и Go, Team или Enterprise) и без този подписан договор нито един продукт не може да бъде покрит. Нито един AI модел не е съвместим с HIPAA сам по себе си: HIPAA регулира организации и договори, така че съответствието зависи от подписан BAA плюс как продуктът е конфигуриран, ограничен и регистриран.

Единственият път, когато BAA е дори на масата, е здравно-специфичната линия, която OpenAI пусна през януари 2026 г. Тази линия е нова, нейните условия са най-волатилният факт на тази страница и трябва да проверите наличността за вашия собствен продукт и ниво, преди да разчитате на нея.

Сега преформулирането, което е по-важно от присъдата: за повечето хора, които въвеждат данни в собствения си акаунт, HIPAA никога не е бил законът в играта.

HIPAA обвързва вашата клиника и нейните доставчици, а не вас и вашата клавиатура

Законът достига до точно две групи, и двете определени в 45 CFR §160.103: обвързани субекти (здравни планове, здравни клирингови къщи и доставчици, които предават здравна информация електронно за стандартни транзакции) и бизнес партньори, което означава всеки, който създава, получава, поддържа или предава PHI, докато изпълнява функция от името на обвързан субект. Тази фраза носи цялата тежест. Компания, която случайно получава здравно-свързан текст от член на обществеността, не е бизнес партньор.

HHS вече е работил върху това за приложенията. Неговото ръководство за сценарии за използване на здравни приложения не открива бизнес партньорски отношения, когато лице попълва приложение със собствените си данни по собствена инициатива, без договор зад него.

Така че, когато поставите собствените си симптоми в собствения си ChatGPT акаунт, HIPAA не се прилага и OpenAI не го нарушава. Това не е вратичка. Това е архитектурата на закона.

Това, което ви защитава вместо това, е политиката за поверителност на OpenAI, която функционира като приложимо обещание, плюс FTC. Преработеното през 2024 г. Правило за уведомяване за здравни нарушения изрично обхваща здравните приложения и подобни технологии, които не са предмет на HIPAA. И това прилагане е реално: FTC осигури гражданско наказание от 1,5 милиона долара срещу GoodRx през 2023 г. за разкриване на данни за рецепти и здравословно състояние на Facebook и Google.

Дръжте контраста в главата си. Потребителски чатбот ви дължи политика за поверителност. Здравно приложение за телемедицина, което е договорно обвързано, ви дължи HIPAA. Между посещенията, здравно приложение-компаньон като August AI може да ви помогне да регистрирате симптоми и да задавате въпроси на прост език, като добавка към грижите, а не като заместител, и никога като нещо, което взема решения.

Истинският проблем не е чатботът. Това е къде отиват думите ви след това

Споделя ли ChatGPT вашите данни? Механично, да, по обичайния начин, по който работи облачен продукт. В потребителските нива настройките по подразбиране позволяват разговорите да се използват за подобряване на моделите, да се съхраняват за определен период и да се преглеждат от хора за безопасност и отстраняване на неизправности. Подпроцесори и доставчици на инфраструктура докосват тези данни, докато поддържат услугата, което е точно низът нагоре по веригата, който BAA е написан да регулира.

Честният отговор на въпроса дали ChatGPT споделя вашите данни е, че зависи от вашия план, вашите настройки и към какво сте го свързали. Което води до грешката, която виждам най-често: изключването на обучението на модели и преминаването към временен чат наистина намалява излагането и трябва да направите и двете. Това не създава HIPAA покритие. Необходимо, но недостатъчно.

След това има и по-тих риск. Конекторите позволяват на ChatGPT да достига до Gmail, Google Drive, споделена клиника пощата или инструмент, свързан с EHR, и да чете какво има там. Никой не трябва да въвежда нищо. Конектор, насочен към пощенска кутия, пълна с писма за насочване, е разкриване, което чака да се случи, и няма да изглежда така в ничий журнал за одит.

"Подобрена поверителност" на ChatGPT Health е обещание за продукта, а не правно такова

Съвместим ли е ChatGPT Health с HIPAA?

Съвместим ли е ChatGPT Health с HIPAA? Не. Индивидуален потребител не може да получи споразумение за бизнес партньор в ChatGPT Health, независимо какви настройки за поверителност избере, тъй като BAA е договор между обвързан субект и неговия доставчик, а пациент, използващ личен акаунт, не е нито едно от двете.

Твърденията за подобрена поверителност, изолация и криптиране са твърдения за дизайн на продукта. Те могат да описват истинско инженерство и все още да имат нулево правно въздействие върху това дали HIPAA се прилага, тъй като HIPAA се основава на това кой сте и какво сте подписали, а не на начина, по който е изграден слойът за съхранение.

Това, което продуктът променя за пациента, е стандартната обработка на вашите собствени данни, което е нещо ценно. Това не създава регулирано взаимоотношение. Дръжте го отделно в съзнанието си от клиничните и корпоративните здравни издания, пуснати през януари 2026 г., които се продават на организации и са единственото място, където договорът може да бъде обсъждан.

Само подписано споразумение за бизнес партньор може да направи AI инструмент съвместим

Споразумение за бизнес партньор на ChatGPT е единственият правен механизъм, който включва OpenAI в рамките на HIPAA за използване от вашата организация. Всичко останало е хигиена.

BAA се подписва от организацията, а не от отделен клиницист, и трябва да посочва конкретния продукт и ниво, които действително се използват. BAA, покриващ API акаунт, не покрива браузърния таб, в който някой е влязъл с личен адрес.

Ето какво повечето страници няма да ви кажат: подписан BAA е под, а не финална линия. Без контрол на достъпа, базиран на роля, одитни журнали, които някой действително чете, минимално необходимо ограничение на това, което се изпраща, и обучение на работната сила, което конкретно посочва този инструмент, имате договор и проблем със съответствието едновременно. Потвърдете наличността на BAA писмено от OpenAI за вашия точен SKU, вместо да го извеждате от маркетингова страница. Линията от 2026 г. е на няколко седмици в регулаторни термини.

Премахването на името на пациента не е деидентификация

Решението за деидентифициране на PHI преди използването на ChatGPT е правилният инстинкт, но прагът е стандарт на HHS, а не субективна оценка. Два метода са квалифицирани: Safe Harbor и официално експертно определяне от квалифициран статистик.

Safe Harbor означава премахване на всички 18 изброени категории идентификатори и липса на действителни знания, че останалото може да идентифицира някого. Това са имена; география по-малка от щат; всички дати, свързани с лицето, включително дати на приемане, изписване, посещение и раждане; телефон, факс и имейл; социалноосигурителни номера, номера на медицински картони, здравни планове и акаунти; номера на сертификати и лицензи; идентификатори и серийни номера на превозни средства и устройства; URL адреси и IP адреси; биометрия; снимки на цяло лице; и всеки друг уникален код.

Тези, които клиницистите оставят, са предвидими: дати на посещения, град, възраст над 89 години, MRN, който седи в заглавката на поставената бележка, сериен номер на устройство, снимка и дословни цитати в свободен текст, които са достатъчно отличителни, за да назоват лицето самостоятелно.

Конкретно, бележка, лишена от името, която все още гласи "34-годишен мъж от Бозман, прегледан на 3 март, потвърдена рядка автоимунна диагноза", не е деидентифицирани данни. Това е PHI с изтрито най-лесно поле.

Деидентификацията също не е универсално решение. Тя премахва въпроса за HIPAA. Тя не премахва политиката за приемливо използване на вашия работодател, вашите договорни споразумения с доставчици или законите за поверителност на щатите, няколко от които обхващат по-широко от HIPAA.

Съвместим AI работен процес в шест стъпки, включително ако PHI вече е въведен

ChatGPT, съвместим с HIPAA, не съществува като нещо, което купувате; това, което съществува, е пропастта между инструмент и работен процес, и тези шест стъпки я затварят.

1. Решете кой читател сте. Действието от името на обвързан субект означава, че HIPAA се прилага за това, което пишете. Използването на вашия собствен акаунт за вашето собствено здраве означава, че не се прилага.
2. Потвърдете писмено дали BAA покрива точния продукт и ниво преди всяка клинична употреба. Без BAA, без PHI, точка.
3. Изключете обучението на модела и използвайте временен чат. Кажете на глас какво е това: намаляване на риска, а не съответствие.
4. Одит и изключване на конектори, които достигат до клинична поща, облачно хранилище или нещо, свързано с EHR, докато всеки от тях не бъде прегледан.
5. Деидентифицирайте според стандарта Safe Harbor преди поставяне, след това прочетете и изхода. Моделите повтарят спецификата, която сте им подали.
6. Ако PHI вече е въведен, третирайте го като потенциално нарушение. Спрете да използвате нишката. Не я изтривайте тихо, защото е доказателство. Уведомете вашия служител по въпросите на поверителността или съответствието в същия ден, документирайте какво е разкрито и кога, и му позволете да извърши оценка на риска съгласно Правилото за уведомяване за нарушения и да вземе решение за уведомяване. Не го изчиствайте сами.

Ако сте пациент, а не клиницист, нищо от това не се прилага за вас. Не ви е нужен BAA и няма нужда от заобиколно решение. Решете какво сте готови да споделите, избягвайте идентификатори в подсказки, които не бихте публикували публично, и ако не сте сигурни колко спешно е нещо, безплатният August AI Symptom Checker е разумен първи триажен ход. Когато това, което ви е необходимо, е грижа, а не информация, например онлайн оценка за ADHD, това се случва в рамките на връзка с доставчик, където HIPAA се прилага от първата форма за прием.

Някои симптоми никога не трябва да бъдат насочвани към чатбот първо

Нищо в съветите за поверителност на тази статия не трябва да забавя спешна помощ. Ако избирате между писане и обаждане, обадете се.

Обадете се на 911 или отидете в спешно отделение сега, ако:

• Имате болка в гърдите или затруднено дишане.
• Имате внезапна слабост, заваляне на говора или увисване на лицето, които са признаци на инсулт.
• Имате силно кървене.
• Имате мисли за самоубийство. Спрете да пишете и се обадете на 911 или 988. AI чатът не може да ви прегледа или да изпрати помощ.

Запазете час в рамките на следващата седмица, ако:

• Триажирате един и същ симптом с чатбот от дни и той не се подобрява.
• Имате нова бучка или необяснима промяна в теглото.
• Чатботът постоянно ви казва да посетите лекар. Това е отговорът, а не заместител.

Говорете с клиницист, преди да започнете, ако:

• AI отговор ви казва да спрете предписан медикамент, да промените дозата или да пренебрегнете екипа си за грижи. Потвърдете първо с предписващия лекар. Тези инструменти произвеждат уверено погрешни медицински указания и го правят със същия тон, с който го правят, когато са прави.

За средното ниво, посещението за спешна помощ онлайн на August за $39 свързва ви с лицензиран в САЩ клиницист, който може да оцени симптомите и да предпише, когато сметне за подходящо. Клиницистът решава. Видео посещение не може да ви прегледа лично, да назначи образни изследвания на място или да управлява спешна ситуация, така че всичко в първия ред принадлежи на спешно отделение.

Често задавани въпроси

Може ли клиника да бъде глобена, ако служител постави информация за пациент в ChatGPT?

Да. Отговорността се носи от организацията, а не от физическото лице. Съгласно коригирането на инфлацията от 28 януари 2026 г., гражданските парични глоби по HIPAA варират от минимум от Tier 1 от 145 долара за нарушение до минимум от Tier 4 от 73 011 долара за нарушение, с годишен таван от 2 190 294 долара за всяка категория нарушения. Всеки запис може да се брои поотделност, което е начинът, по който малките инциденти стават големи числа.

Microsoft Copilot, Google Gemini или Claude съвместими ли са с HIPAA вместо това?

Обикновено не, и честният отговор е принцип, а не класиране на доставчик. Съответствието следва договора, а не модела. Нито един потребителски чатбот от който и да е доставчик не се продава по BAA, нито пък ChatGPT е съвместим с HIPAA в потребителските си нива. Ако доставчик ви каже, че неговото корпоративно или облачно предложение може да бъде покрито, получете това писмено, като посочите точния си продукт.

Мога ли да подам жалба по HIPAA срещу OpenAI?

Обикновено не. Службата за граждански права на HHS приема жалби относно обвързани субекти и техните бизнес партньори. Без BAA, OpenAI не е нито едното, нито другото, така че OCR няма юрисдикция върху вашите лични чатове. FTC е правилната площадка за потребителска жалба относно здравен инструмент, който не е предмет на HIPAA, съгласно Закона на FTC и Правилото за уведомяване за здравни нарушения.

Ако изтрия разговор в ChatGPT, здравната информация изчезва ли?

Не. Изтриването премахва нишката от вашия изглед и стартира часовник за съхранение; копия могат да останат в резервни копия, системи за безопасност и журнали на подпроцесори за определен период. По-важното за клиниката, изтриването не отменя вече настъпило разкриване. Ако PHI е въведен, задължението за съответствие съществува независимо, а изтриването на нишката унищожава доказателствата, които вашият служител по поверителността се нуждае.

Може ли моят работодател да види здравните въпроси, които съм въвел в работен ChatGPT акаунт?

Да, потенциално. В плановете за работни пространства организацията притежава акаунта, определя срока на съхранение и може да има административен достъп до данните от разговорите. Приемете, че всичко, въведено в работен акаунт, е видимо за вашия работодател, същото като работния имейл. Личните здравни въпроси принадлежат в личен акаунт на лично устройство, по ваше време.

Нещо, което попитам ChatGPT за моето здраве, попада ли в моя медицински картон или достига ли до моя застраховател?

Не. Потребителски чатбот няма връзка с EHR на вашия клиницист или с вашия здравен план и вашите чатове не преминават към нито едно от двете. Изключенията са тези, които вие създавате: свързване на инструмента към акаунти, които съдържат вашите записи, или поставяне на неговия изход в съобщение в портала за пациенти. Рекламните практики и практиките за споделяне на данни са отделен въпрос, регулиран от политиката за поверителност.

Нарушение ли е на HIPAA да използвам ChatGPT за изготвяне на писмо до пациент?

Понякога, и разделителната линия са идентификаторите. Искането на шаблон за общо писмо за обжалване без данни за пациента не е разкриване на PHI, въпреки че политиката на вашия работодател може все още да го забранява. Поставянето на име, дата на раждане, дата на посещение или диагноза го прави разкриване на доставчик без BAA, което е нарушението.

Долната линия

Съвместим ли е ChatGPT с HIPAA? Не, и този отговор няма да се промени поради настройка, която променяте. Той се променя само когато организация подпише BAA, посочващ конкретен продукт, и след това изгради контрол на достъпа, журналиране и обучение около него. Ако сте клиницист, последователността е проста: без договор, без PHI и деидентифициране според стандарта Safe Harbor, когато го използвате. Ако сте пациент, въпросът е насочен към грешния закон. HIPAA ограничава вашите доставчици и техните доставчици. Вашата защита идва от политиката за поверителност, която сте приели, FTC зад нея и вашата собствена преценка какво да пишете.

Отказ от отговорност: Тази статия е само за информационни цели и не представлява медицински съвет. Винаги се консултирайте с квалифициран здравен специалист за диагностика и решения за лечение. Ако изпитвате медицинска спешност, обадете се на 911 или отидете незабавно в най-близкото спешно отделение.