Je ChatGPT v souladu s HIPAA? Co to znamená pro pacienty a kliniky

Ne. Je ChatGPT v souladu s HIPAA na jakémkoli plánu, který si dnes můžete koupit? Není, protože OpenAI nepodepisuje dohodu o obchodním partnerství pro své spotřebitelské verze. HIPAA reguluje organizace a smlouvy, nikoli modely. A pokud zadáte své vlastní zdravotní informace do svého vlastního účtu, HIPAA se nikdy nevztahovala.

TL;DR: Klíčové poznatky

• Na spotřebitelském trhu neexistuje žádné řešení ChatGPT v souladu s HIPAA. Bezplatné, Plus a Go, Team a Enterprise se neprodávají s dohodou o obchodním partnerství (BAA).
• HIPAA se vztahuje na zdravotní plány, zúčtovací centra, poskytovatele a jejich smluvní dodavatele. Nevztahuje se na vás, když zadáváte své příznaky do svého vlastního účtu.
• Co vás místo toho chrání, je zásady ochrany osobních údajů dodavatele a Federální obchodní komise, která již pokutovala zdravotnickou platformu částkou 1,5 milionu USD.
• Vypnutí trénování modelu a používání dočasného chatu snižuje riziko. Nevytváří to právní krytí.
• Pokud již byly chráněné zdravotní informace (PHI) zadány do běžného ChatGPT, považujte to za potenciální únik dat a nahlaste to svému referentovi ochrany osobních údajů ve stejný den.

Je ChatGPT v souladu s HIPAA? V žádné verzi, do které se dnes můžete zaregistrovat

Je ChatGPT v souladu s HIPAA? Ne. V době psaní tohoto článku OpenAI nenabízí dohodu o obchodním partnerství (BAA) na své spotřebitelské plány (Free, Plus a Go, Team nebo Enterprise), a bez této podepsané smlouvy nemůže být žádný produkt pokryt. Žádný AI model sám o sobě není v souladu s HIPAA: HIPAA reguluje organizace a smlouvy, takže soulad závisí na podepsané BAA a na tom, jak je produkt nakonfigurován, omezen a logován.

Jediná cesta, kde je BAA vůbec na stole, je řada produktů specifických pro zdravotnictví, kterou OpenAI spustila v lednu 2026. Tato řada produktů je nová, její podmínky jsou nejvíce volatilním faktem na této stránce a měli byste si před spoléháním se na ni ověřit dostupnost pro svůj vlastní produkt a úroveň.

Nyní přehodnocení, které je důležitější než verdikt: pro většinu lidí, kteří zadávají data do svého vlastního účtu, se HIPAA nikdy nevztahovala.

HIPAA se vztahuje na vaši kliniku a její dodavatele, nikoli na vás a vaši klávesnici

Zákon se vztahuje přesně na dvě skupiny, obě definované v 45 CFR §160.103: kryté subjekty (zdravotní plány, zdravotnická zúčtovací centra a poskytovatelé, kteří elektronicky přenášejí zdravotní informace pro standardní transakce) a obchodní partneři, což znamená kohokoli, kdo vytváří, přijímá, udržuje nebo přenáší PHI při plnění funkcejménem krytého subjektu. Tato fráze nese celou váhu. Společnost, která náhodou obdrží text související se zdravím od člena veřejnosti, není obchodním partnerem.

HHS již toto prozkoumalo u aplikací. Jeho pokyny pro scénáře použití zdravotních aplikací nenacházejí žádný vztah obchodního partnerství, když osoba vyplní aplikaci svými vlastními daty na vlastní iniciativu, bez jakékoli smlouvy za tím.

Takže když své příznaky vložíte do svého vlastního účtu ChatGPT, HIPAA se nevztahuje a OpenAI ji neporušuje. To není právní kličkování. To je architektura zákona.

Co vás místo toho chrání, je zásady ochrany osobních údajů OpenAI, které fungují jako vynutelný slib, plus FTC. Upravené pravidlo pro oznamování zdravotních narušení z roku 2024 výslovně pokrývá zdravotní aplikace a podobné technologie, na které se nevztahuje HIPAA. A toto prosazování je skutečné: FTC zajistila civilní pokutu ve výši 1,5 milionu USD proti GoodRx v roce 2023 za sdílení citlivých zdravotních údajů spotřebitelů s Facebookem a Googlem.

Držte si kontrast v hlavě. Spotřebitelský chatbot vám dluží zásady ochrany osobních údajů. Telehealth aplikace, na kterou se vztahuje smlouva, vám dluží HIPAA. Mezi návštěvami může aplikace pro společníky v oblasti zdraví, jako je August AI, pomoci zaznamenávat příznaky a klást otázky v běžné řeči, jako doplněk péče, nikoli jako náhrada za ni, a nikdy jako něco, co rozhoduje.

Skutečný problém není chatbot. Jde o to, kam jdou vaše slova dál

Sdílí ChatGPT vaše data? Mechanicky ano, obvyklým způsobem, jakým funguje cloudový produkt. V rámci spotřebitelských verzí výchozí nastavení umožňuje použití konverzací ke zlepšení modelů, jejich uchování po určitou dobu a lidský přezkum pro účely bezpečnosti a řešení problémů. Poddodavatelé a dodavatelé infrastruktury se k těmto datům dostanou při provozování služby, což je přesně ta navazující řetězová reakce, kterou má BAA řídit.

Upřímná odpověď na otázku, zda ChatGPT sdílí vaše data, zní, že to závisí na vaší úrovni, nastavení a tom, k čemu jste jej připojili. Což nás přivádí k chybě, kterou vidím nejčastěji: vypnutí trénování modelu a přepnutí na dočasný chat skutečně snižuje riziko, a měli byste udělat obojí. Nevytváří to krytí HIPAA. Nutné, ale ne dostačující.

Pak je zde tiché riziko. Konektory umožňují ChatGPT přistupovat do Gmailu, Google Drive, sdílené schránky kliniky nebo nástroje souvisejícího s EHR a číst, co je tam. Nikdo nemusí nic vkládat. Konektor namířený na poštovní schránku plnou dopisů s doporučeními je připravená zpráva o úniku dat a v žádném protokolu auditu se tak nebude jevit.

„Vylepšené zabezpečení“ ChatGPT Health je slib produktu, nikoli právní slib

Je ChatGPT Health v souladu s HIPAA?

Je ChatGPT Health v souladu s HIPAA? Ne. Jednotlivý spotřebitel nemůže získat dohodu o obchodním partnerství pro ChatGPT Health bez ohledu na to, jaké nastavení ochrany osobních údajů si zvolí, protože BAA je smlouva mezi krytým subjektem a jeho dodavatelem, a pacient používající osobní účet není ani jedním.

Tvrzení o vylepšeném zabezpečení, izolaci a šifrování jsou tvrzeními o designu produktu. Mohou popisovat skutečné inženýrství a stále mít nulový právní dopad na to, zda se HIPAA vztahuje, protože HIPAA se řídí tím, kdo jste a co jste podepsali, nikoli tím, jak je vrstva úložiště postavena.

Co produkt mění pro pacienta, je výchozí zpracování vašich vlastních dat, což má nějakou cenu. Nevytváří to regulovaný vztah. Mějte to odděleně v mysli od edic pro kliniky a podniky ve zdravotnictví spuštěných v lednu 2026, které se prodávají organizacím a jsou jediným místem, kde lze o smlouvě vůbec diskutovat.

Pouze podepsaná dohoda o obchodním partnerství může učinit nástroj AI v souladu s předpisy

Dohoda o obchodním partnerství ChatGPT je jediným právním mechanismem, který zahrnuje OpenAI do HIPAA pro použití vaší organizace. Všechno ostatní je hygiena.

BAA podepisuje organizace, nikoli jednotlivec lékař, a musí uvádět konkrétní produkt a úroveň skutečně používanou. BAA pokrývající účet API nepokrývá prohlížečovou kartu někoho přihlášeného osobní adresou.

Zde je to, co většina stránek vám neřekne: podepsaná BAA je minimum, nikoli cílová čára. Bez řízení přístupu na základě rolí, logování auditu, které někdo skutečně čte, minimálních nezbytných omezení toho, co se posílá, a školení personálu, které tento nástroj konkrétně jmenuje, máte smlouvu a problém s dodržováním předpisů současně. Získejte dostupnost BAA písemně potvrzenou od OpenAI pro váš přesný SKU spíše než ji odvozovat ze stránky s marketingem. Řada z roku 2026 je z regulačního hlediska stará několik týdnů.

Odstranění jména pacienta není anonymizace

Rozhodnutí anonymizovat PHI před použitím ChatGPT je správný instinkt, ale laťkou je standard HHS, nikoli vlastní úsudek. Dvě metody splňují podmínky: Safe Harbor a formální Expertní stanovení kvalifikovaným statistikem.

Safe Harbor znamená odstranění všech 18 vyjmenovaných kategorií identifikátorů a nemít skutečné vědomí, že to, co zbylo, by někoho mohlo identifikovat. To jsou jména; geografie menší než stát; všechna data spojená s jednotlivcem, včetně dat přijetí, propuštění, návštěvy a narození; telefon, fax a e-mail; čísla sociálního zabezpečení, zdravotního plánu a účtu; certifikáty a licenční čísla; identifikátory a sériová čísla vozidel a zařízení; URL a IP adresy; biometrická data; fotografie celé tváře; a jakýkoli jiný jedinečný kód.

Ty, které lékaři ponechávají, jsou předvídatelné: data návštěv, město, věk nad 89 let, MRN v záhlaví vložené poznámky, sériové číslo zařízení, fotografie a doslovné citace volného textu, které jsou dostatečně rozlišovací, aby samy o sobě pojmenovaly osobu.

Konkrétně poznámka zbavená jména, která stále zní „34letý v Bozemanu, viděn 3. března, potvrzena vzácná autoimunitní diagnóza“, není anonymizovaná data. Jsou to PHI s odstraněným nejjednodušším polem.

Anonymizace také není všelék. Odstraňuje otázku HIPAA. Neodstraňuje zásady přijatelného používání vašeho zaměstnavatele, vaše smluvní dohody s dodavateli ani státní zákony na ochranu soukromí, z nichž některé jsou širší než HIPAA.

Protokol AI v souladu s předpisy v šesti krocích, včetně případů, kdy již byly zadány PHI

ChatGPT v souladu s HIPAA neexistuje jako něco, co si koupíte; existuje mezera mezi nástrojem a pracovním postupem a těchto šest kroků ji překlenuje.

1. Rozhodněte, který čtenář jste. Jednání jménem krytého subjektu znamená, že se na to, co zadáváte, vztahuje HIPAA. Použití vlastního účtu pro vlastní zdraví znamená, že ne.
2. Potvrďte písemně, zda BAA pokrývá přesný produkt a úroveň před jakýmkoli klinickým použitím. Žádná BAA znamená žádné PHI, tečka.
3. Vypněte trénování modelu a používejte dočasný chat. Nahlas řekněte, co to je: snížení rizika, nikoli dodržování předpisů.
4. Auditujte a odpojte konektory , které zasahují do klinické pošty, cloudového úložiště nebo čehokoli souvisejícího s EHR, dokud každý z nich nebude zkontrolován.
5. Anonymizujte podle standardu Safe Harbor před vložením a poté si přečtěte i výstup. Modely opakují specifika, která jste jim zadali.
6. Pokud již PHI vstoupilo, považujte to za potenciální únik dat. Ukončete vlákno. Tiše jej nemažte, protože je to důkaz. Informujte svého referenta ochrany osobních údajů nebo referenta pro dodržování předpisů ve stejný den, zdokumentujte, co bylo sděleno a kdy, a nechte je provést posouzení rizika podle pravidla pro oznamování úniků dat a rozhodnout o oznámení. Neodstraňujte to sami.

Pokud jste pacientem, nikoli lékařem, nic z toho se na vás nevztahuje. Nepotřebujete žádnou BAA ani žádné řešení. Rozhodněte se, co jste ochotni sdílet, udržujte identifikátory mimo dotazy, které byste nezveřejnili veřejně, a pokud si nejste jisti, jak naléhavá je situace, bezplatný August AI Symptom Checker je rozumným prvním krokem třídění. Pokud potřebujete péči spíše než informace, například online hodnocení ADHD, děje se tak v rámci vztahu s poskytovatelem, kde se HIPAA vztahuje od prvního vstupního formuláře.

Některé příznaky by nikdy neměly jít nejprve k chatbotu

Nic v těchto zásadách ochrany osobních údajů by nemělo odkládat pohotovostní péči. Pokud se rozhodujete mezi zadáním dat a voláním, volejte.

Volejte 911 nebo jděte na pohotovost hned, pokud:

• Máte bolesti na hrudi nebo potíže s dýcháním.
• Máte náhlé znecitlivění, potíže s mluvením nebo pokles obličeje, což jsou příznaky mrtvice.
• Máte silné krvácení.
• Máte sebevražedné myšlenky. Přestaňte psát a zavolejte 911 nebo 988. AI chat vás nemůže vyšetřit ani poslat pomoc.

Objednejte si návštěvu během příštího týdne, pokud:

• Už několik dní třídíte stejný příznak pomocí chatbota a nezlepšuje se.
• Máte novou bulku nebo nevysvětlitelnou změnu hmotnosti.
• Chatbot vám stále říká, abyste šli k lékaři. To je odpověď, ne zástupný symbol.

Promluvte si s lékařem, než začnete, pokud:

• Odpověď AI vám říká, abyste přestali užívat předepsaný lék, změnili dávkování nebo ignorovali svůj tým péče. Nejprve potvrďte se svým předepisujícím lékařem. Tyto nástroje poskytují sebevědomě nesprávné lékařské rady a dělají to ve stejném tónu, jako když mají pravdu.

Pro střední úroveň vás online urgentní péče August za 39 USD spojí s licencovaným lékařem v USA, který může vyhodnotit příznaky a předepsat léky, pokud to považuje za vhodné. Rozhoduje lékař. Video návštěva vás nemůže vyšetřit osobně, objednat okamžitě zobrazovací metody nebo řešit pohotovostní situaci, takže cokoli v první úrovni patří na pohotovost.

Často kladené otázky

Může být klinika pokutována, pokud zaměstnanec vloží informace o pacientovi do ChatGPT?

Ano. Odpovědnost nese organizace, nikoli jednotlivec. Podle úpravou inflace z 28. ledna 2026 běží civilní peněžité pokuty HIPAA od minima úrovně 1 145 USD za porušení po minimum úrovně 4 73 011 USD za porušení, s ročním stropem 2 190 294 USD za kategorii porušení. Každý záznam může být počítán samostatně, což je způsob, jak se z malých incidentů stávají velká čísla.

Jsou Microsoft Copilot, Google Gemini nebo Claude místo toho v souladu s HIPAA?

Obvykle ne, a upřímná odpověď je spíše princip než hodnocení dodavatele. Soulad následuje smlouvu, nikoli model. Žádný spotřebitelský chatbot od žádného dodavatele se neprodává pod BAA, a ani ChatGPT není v souladu s HIPAA ve svých spotřebitelských verzích. Pokud vám dodavatel sdělí, že jeho podniková nebo cloudová nabídka může být kryta, získejte to písemně s uvedením vašeho přesného produktu.

Mohu podat stížnost HIPAA proti OpenAI?

Obvykle ne. Úřad pro občanská práva ministerstva zdravotnictví a sociálních služeb přijímá stížnosti týkající se krytých subjektů a jejich obchodních partnerů. Bez zavedeného BAA není OpenAI ani jedním, takže OCR nemá jurisdikci nad vašimi osobními rozhovory. FTC je správné místo pro spotřebitelskou stížnost týkající se ne-HIPAA zdravotnického nástroje, podle zákona FTC a pravidla pro oznamování zdravotních narušení.

Pokud smažu konverzaci ChatGPT, jsou zdravotní informace pryč?

Ne. Smazání odstraní vlákno z vašeho pohledu a spustí časovač uchovávání; kopie mohou zůstat v zálohách, bezpečnostních systémech a protokolech poddodavatelů po určitou dobu. Důležitější pro kliniku je, že smazání nenapraví již proběhlé sdělení. Pokud PHI vstoupily, povinnost dodržování předpisů existuje bez ohledu na to, a smazání vlákna ničí důkaz, který váš referent ochrany osobních údajů potřebuje.

Mohou moji zaměstnavatelé vidět zdravotní otázky, které jsem zadal do pracovního účtu ChatGPT?

Ano, potenciálně. V rámci pracovních plánů organizace vlastní účet, nastavuje uchovávání dat a může mít administrativní přístup k datům konverzací. Předpokládejte, že cokoli zadané do pracovního účtu je viditelné pro vašeho zaměstnavatele, stejně jako pracovní e-mail. Osobní zdravotní otázky patří do osobního účtu na osobním zařízení, ve vašem volném čase.

Končí něco, na co se ptám ChatGPT o svém zdraví, v mé lékařské dokumentaci nebo se dostane k mému pojišťovateli?

Ne. Spotřebitelský chatbot nemá žádné spojení s EHR vašeho lékaře ani s vaším zdravotním plánem a vaše konverzace do žádného z nich neprotékají. Výjimky jsou ty, které si sami vytvoříte: připojení nástroje k účtům obsahujícím vaše záznamy nebo vložení jeho výstupu do zprávy v portálu pro pacienty. Reklama a postupy sdílení dat jsou samostatnou záležitostí řízenou zásadami ochrany osobních údajů.

Je porušením HIPAA použití ChatGPT k sepsání dopisu pacientovi?

Někdy a dělící čára jsou identifikátory. Žádost o šablonu obecného odvolacího dopisu bez údajů o pacientovi není sdělením PHI, i když zásady vašeho zaměstnavatele jej mohou stále zakazovat. Vložení jména, data narození, data návštěvy nebo diagnózy z něj činí sdělení dodavateli bez BAA, což je porušení.

Závěr

Je ChatGPT v souladu s HIPAA? Ne, a tato odpověď se nezmění kvůli nastavení, které přepnete. Změní se pouze tehdy, když organizace podepíše BAA s uvedením konkrétního produktu a poté kolem něj vybuduje řízení přístupu, logování a školení. Pokud jste lékař, sekvence je jednoduchá: žádná smlouva, žádné PHI a anonymizujte na standard Safe Harbor, když jej používáte. Pokud jste pacient, otázka byla zaměřena na nesprávný zákon. HIPAA omezuje vaše poskytovatele a jejich dodavatele. Vaše ochrana pochází ze zásad ochrany osobních údajů, ke kterým jste přistoupili, FTC za nimi a vašeho vlastního úsudku o tom, co psát.

Zřeknutí se odpovědnosti: Tento článek slouží pouze pro informační účely a nepředstavuje lékařské poradenství. Vždy se poraďte s kvalifikovaným poskytovatelem zdravotní péče ohledně diagnózy a rozhodování o léčbě. Pokud zažíváte lékařskou pohotovost, okamžitě zavolejte 911 nebo navštivte nejbližší pohotovostní oddělení.