Er ChatGPT HIPAA-kompatibel? Hvad det betyder for patienter og klinikker

Nej. Er ChatGPT HIPAA-kompatibel på nogen af de planer, du kan købe i dag? Det er det ikke, fordi OpenAI ikke underskriver en aftale om forretningsforbindelser for deres forbrugertrin. HIPAA regulerer organisationer og kontrakter, ikke modeller. Og hvis du indtaster dine egne helbredsoplysninger i din egen konto, har HIPAA aldrig været gældende.

TL;DR: Nøglepunkter

• Der findes ingen HIPAA-kompatibel ChatGPT på forbrugermarkedet. Gratis, Plus og Go, Team og Enterprise sælges ikke med en aftale om forretningsforbindelser (BAA).
• HIPAA binder sundhedsplaner, clearinghuse, udbydere og deres kontraherede leverandører. Det binder ikke dig, når du indtaster dine egne symptomer i din egen konto.
• Hvad der i stedet beskytter forbrugerne, er leverandørens privatlivspolitik og Federal Trade Commission, som allerede har idømt en sundhedsplatform en bøde på 1,5 millioner dollars.
• Deaktivering af modeltræning og brug af midlertidig chat reducerer eksponeringen. Det skaber ikke juridisk dækning.
• Hvis beskyttet helbredsinformation (PHI) allerede er indtastet i almindelig ChatGPT, skal det behandles som et potentielt brud, og din privatlivsofficer skal underrettes samme dag.

Er ChatGPT HIPAA-kompatibel? Ikke i nogen version, du kan tilmelde dig i dag

Er ChatGPT HIPAA-kompatibel? Nej. På tidspunktet for denne skrivelse tilbyder OpenAI ikke en aftale om forretningsforbindelser på deres forbrugerplaner (Gratis, Plus og Go, Team eller Enterprise), og uden den underskrevne kontrakt kan intet produkt være dækket. Ingen AI-model er HIPAA-kompatibel alene: HIPAA regulerer organisationer og kontrakter, så overholdelse afhænger af en underskrevet BAA plus, hvordan produktet konfigureres, begrænses og logges.

Den eneste rute, hvor en BAA overhovedet er på tale, er den sundhedsspecifikke række, som OpenAI lancerede i januar 2026. Denne række er ny, dens vilkår er det mest volatile faktum på denne side, og du bør verificere tilgængelighed for dit eget produkt og niveau, før du stoler på det.

Nu den omformulering, der betyder mere end dommen: For de fleste mennesker, der indtaster i deres egen konto, var HIPAA aldrig den gældende lov.

HIPAA binder din klinik og dens leverandører, ikke dig og dit tastatur

Loven omfatter præcis to grupper, begge defineret i 45 CFR §160.103: dækkede enheder (sundhedsplaner, clearinghuse for sundhedspleje og udbydere, der elektronisk transmitterer helbredsoplysninger til standardtransaktioner) og forretningsforbindelser, hvilket betyder enhver, der opretter, modtager, vedligeholder eller transmitterer PHI, mens de udfører en funktion på vegne af en dækket enhed. Denne sætning bærer hele vægten. En virksomhed, der tilfældigvis modtager sundhedsrelateret tekst fra et medlem af offentligheden, er ikke en forretningsforbindelse.

HHS har allerede arbejdet dette igennem for apps. Deres vejledning om brugsscenarier for sundhedsapps finder ingen forretningsforbindelse, når en person fylder en app med sine egne data på eget initiativ, uden nogen kontrakt bag.

Så når du indsætter dine egne symptomer i din egen ChatGPT-konto, gælder HIPAA ikke, og OpenAI overtræder den ikke. Det er ikke et smuthul. Det er lovens arkitektur.

Hvad der beskytter dig i stedet, er OpenAI's privatlivspolitik, som fungerer som et håndhæveligt løfte, plus FTC. Den opdaterede Health Breach Notification Rule fra 2024 dækker eksplicit sundhedsapps og lignende teknologier, der ikke er omfattet af HIPAA. Og håndhævelsen er reel: FTC sikrede en civil bøde på 1,5 millioner dollars mod GoodRx i 2023 for at videregive recept- og helbredstilstandsdata til Facebook og Google.

Hold kontrasten i hovedet. En forbrugerchatbot skylder dig en privatlivspolitik. En telehealth-app, der er kontraktligt dækket, skylder dig HIPAA. Mellem konsultationer kan en sundhedsledsager-app som August AI hjælpe dig med at logge symptomer og stille spørgsmål i almindeligt sprog, som et supplement til pleje snarere end en erstatning for den, og aldrig som det, der træffer beslutninger.

Det virkelige problem er ikke chatbotten. Det er, hvor dine ord kommer hen næste gang

Deler ChatGPT dine data? Mekanisk set ja, på den almindelige måde, som et cloud-produkt gør. På forbrugertrinene tillader standardindstillingerne, at samtaler bruges til at forbedre modeller, opbevares i en periode og gennemgås af mennesker for sikkerhed og fejlfinding. Underleverandører og infrastrukturleverandører berører disse data, mens de driver tjenesten, hvilket præcis er den nedadgående kæde, en BAA er skrevet til at styre.

Det ærlige svar på, om ChatGPT deler dine data, er, at det afhænger af dit niveau, dine indstillinger og hvad du har forbundet det til. Hvilket bringer os til den fejl, jeg ser oftest: Deaktivering af modeltræning og skift til midlertidig chat reducerer oprigtigt eksponeringen, og du bør gøre begge dele. Det skaber ikke HIPAA-dækning. Nødvendigt, men ikke tilstrækkeligt.

Så er der den mere stille risiko. Forbindelser lader ChatGPT få adgang til Gmail, Google Drive, en delt klinikindbakke eller et EHR-relateret værktøj og læse, hvad der er der. Ingen behøver at indsætte noget. En forbindelse, der peger på en postkasse fuld af henvisningsbreve, er en datalækage, der venter på at ske, og den vil ikke fremgå i nogens revisionslog.

ChatGPT Healths "forbedrede privatliv" er et produktløfte, ikke et juridisk et

Er ChatGPT Health HIPAA-kompatibel?

Er ChatGPT Health HIPAA-kompatibel? Nej. En individuel forbruger kan ikke opnå en aftale om forretningsforbindelser på ChatGPT Health, uanset hvilke privatlivsindstillinger de vælger, fordi en BAA er en kontrakt mellem en dækket enhed og dens leverandør, og en patient, der bruger en personlig konto, er ingen af delene.

Påstande om forbedret privatliv, isolation og kryptering er udsagn om produktdesign. De kan beskrive ægte ingeniørarbejde og stadig have nul juridisk effekt på, hvorvidom HIPAA gælder, fordi HIPAA afhænger af, hvem du er, og hvad du har underskrevet, ikke af, hvordan lagringslaget er bygget.

Hvad produktet ændrer for en patient, er standardbehandlingen af dine egne data, hvilket er værdifuldt. Det skaber ikke et reguleret forhold. Hold det adskilt i dit sind fra klinik- og virksomhedsudgaverne inden for sundhedsvæsenet, der blev lanceret i januar 2026, som sælges til organisationer og er det eneste sted, en kontrakt overhovedet kan diskuteres.

Kun en underskrevet aftale om forretningsforbindelser kan gøre et AI-værktøj kompatibelt

En aftale om forretningsforbindelser for ChatGPT er den eneste juridiske mekanisme, der inddrager OpenAI under HIPAA til din organisations brug. Alt andet er hygiejne.

BAA underskrives af organisationen, ikke af en individuel kliniker, og den skal angive det specifikke produkt og niveau, der faktisk er i brug. En BAA, der dækker en API-konto, dækker ikke browserfanen, som nogen har logget ind på med en personlig adresse.

Her er, hvad de fleste sider ikke vil fortælle dig: en underskrevet BAA er et minimum, ikke en målstreg. Uden adgangskontrol baseret på roller, revisionslogføring, som nogen rent faktisk læser, minimum nødvendige begrænsninger på, hvad der sendes, og uddannelse af medarbejdere, der specifikt navngiver dette værktøj, har du en kontrakt og et compliance-problem på samme tid. Få BAA-tilgængelighed bekræftet skriftligt af OpenAI for din præcise SKU i stedet for at udlede den fra en marketing side. 2026-rækken er et par uger gammel i regulatoriske termer.

Fjernelse af patientens navn er ikke anonymisering

At beslutte at anonymisere PHI, før du bruger ChatGPT, er den rigtige intuition, men barren er en HHS-standard, ikke en vurderingssag. To metoder kvalificerer: Safe Harbor og formel Expert Determination af en kvalificeret statistiker.

Safe Harbor betyder fjernelse af alle 18 opregnede identifikatorer og ingen reel viden om, at det, der forbliver, kunne identificere nogen. Det er navne; geografi mindre end en stat; alle datoer knyttet til individet, herunder indlæggelses-, udskrivnings-, besøgs- og fødselsdatoer; telefon, fax og e-mail; socialsikrings-, journal-, sundhedsplan- og kontonumre; certifikat- og licensnumre; køretøjs- og enhedsidentifikatorer og serienumre; URL'er og IP-adresser; biometri; frontalfotos; og enhver anden unik kode.

De, som klinikere udelader, er forudsigelige: besøgsdatoer, byen, aldre over 89, MRN'en i headeren af den indsatte note, et serienummer på en enhed, et foto og ordrette citater i frit tekst, der er tydelige nok til at nævne personen i sig selv.

Konkret er en note, hvor navnet er fjernet, men som stadig læses "34-årig i Bozeman, set den 3. marts, bekræftet sjælden autoimmun diagnose", ikke anonymiserede data. Det er PHI med det letteste felt slettet.

Anonymisering er heller ikke en altomfattende løsning. Det fjerner HIPAA-spørgsmålet. Det fjerner ikke din arbejdsgivers politik for acceptabel brug, dine leverandørkontrakter eller stats-privatlivslovgivning, hvoraf flere omfatter bredere end HIPAA.

En HIPAA-kompatibel AI-arbejdsgang i seks trin, herunder hvis PHI allerede er indtastet

En HIPAA-kompatibel ChatGPT findes ikke som noget, du køber; hvad der findes, er kløften mellem et værktøj og en arbejdsgang, og disse seks trin lukker den.

1. Beslut, hvilken læser du er. Hvis du handler på vegne af en dækket enhed, gælder HIPAA for det, du indtaster. Bruger du din egen konto til dit eget helbred, gælder det ikke.
2. Bekræft skriftligt, om en BAA dækker det præcise produkt og niveau, før klinisk brug. Ingen BAA betyder ingen PHI, punktum.
3. Deaktiver modeltræning og brug midlertidig chat. Sig højt, hvad dette er: risikoreduktion, ikke compliance.
4. Gennemgå og afbryd forbindelser, der får adgang til klinisk e-mail, cloud-lagring eller noget, der er tæt på EHR, indtil hver enkelt er blevet gennemgået.
5. Anonymiser til Safe Harbor-standarden før indsættelse, og læs derefter outputtet også. Modeller gentager de specifikke detaljer, du har givet dem.
6. Hvis PHI allerede er indtastet, skal det behandles som et potentielt brud. Stop med at bruge tråden. Slet den ikke stille og roligt, for den er et bevis. Underret din privatlivs- eller complianceofficer samme dag, dokumenter, hvad der blev afsløret, og hvornår, og lad dem udføre risikovurderingen for Breach Notification Rule og træffe afgørelsen om underretning. Afklar det ikke selv.

Hvis du er patient snarere end kliniker, gælder intet af dette for dig. Du behøver ingen BAA og ingen omgåelse. Beslut, hvad du er tryg ved at dele, hold identifikatorer ude af prompter, som du ikke ville poste offentligt, og hvis du er usikker på, hvor presserende noget er, er den gratis August AI Symptom Checker et rimeligt første triage-trin. Når det, du har brug for, er pleje snarere end information, for eksempel en online ADHD-vurdering, sker det inden for et udbyderforhold, hvor HIPAA gælder fra det første intake-skema.

Nogle symptomer bør aldrig gå til en chatbot først

Intet i denne artikels privatlivsråd bør forsinke akut pleje. Hvis du vælger mellem at indtaste og ringe, ring.

Ring 911 eller gå på skadestuen nu, hvis:

• Du har brystsmerter eller åndenød.
• Du har pludselig følelsesløshed, sløret tale eller ansigtslammelse, hvilket er tegn på et slagtilfælde.
• Du har alvorlig blødning.
• Du har selvmordstanker. Stop med at skrive og ring 911 eller 988. AI-chat kan ikke undersøge dig eller sende hjælp.

Book en konsultation inden for den næste uge, hvis:

• Du har triage'et det samme symptom med en chatbot i dagevis, og det forbedres ikke.
• Du har en ny knude eller en uforklarlig vægtændring.
• Chatbotten bliver ved med at sige, at du skal se en læge. Det er svaret, ikke en pladsholder.

Tal med en kliniker, før du starter, hvis:

• Et AI-svar beder dig om at stoppe en ordineret medicin, ændre en dosis eller ignorere dit behandlingsteam. Bekræft med din ordinerende læge først. Disse værktøjer producerer selvsikkert forkert medicinsk vejledning, og de gør det i samme tone, som de bruger, når de har ret.

For mellemniveauet forbinder Augusts online akutbesøg til 39 dollars dig med en amerikansk licenseret kliniker, der kan vurdere symptomer og ordinere, når de finder det passende. Klinikeren beslutter. Et videoopkald kan ikke undersøge dig personligt, bestille billeddiagnostik på stedet eller håndtere en nødsituation, så alt i det første niveau hører hjemme på en skadestue.

Ofte stillede spørgsmål

Kan en klinik idømmes en bøde, hvis et medarbejder indsætter patientoplysninger i ChatGPT?

Ja. Ansvar påhviler organisationen, ikke den enkelte. Under inflationsjusteringen af 28. januar 2026 løber HIPAA-bøder for monetære sanktioner fra en Tier 1 minimum på 145 dollars pr. overtrædelse til en Tier 4 minimum på 73.011 dollars pr. overtrædelse, med et årligt loft på 2.190.294 dollars pr. overtrædelseskategori. Hver registrering kan tælle separat, hvilket er, hvordan små hændelser bliver store tal.

Er Microsoft Copilot, Google Gemini eller Claude HIPAA-kompatible i stedet?

Ikke normalt, og det ærlige svar er et princip snarere end en leverandørrangering. Compliance følger kontrakten, ikke modellen. Ingen forbrugerchatbot fra nogen leverandør sælges under en BAA, og heller ikke ChatGPT er HIPAA-kompatibel i sine forbrugertrin. Hvis en leverandør fortæller dig, at deres virksomheds- eller cloud-tilbud kan dækkes, så få det skriftligt, der angiver dit præcise produkt.

Kan jeg indgive en HIPAA-klage mod OpenAI?

Ikke normalt. HHS Office for Civil Rights tager imod klager om dækkede enheder og deres forretningsforbindelser. Uden en BAA er OpenAI hverken det ene eller det andet, så OCR har ingen jurisdiktion over dine personlige chats. FTC er det rette sted for en forbrugerklage om et sundhedsværktøj, der ikke er HIPAA-kompatibelt, i henhold til FTC Act og Health Breach Notification Rule.

Hvis jeg sletter en ChatGPT-samtale, er helbredsoplysningerne så væk?

Nej. Sletning fjerner tråden fra dit syn og starter et opbevaringsur; kopier kan forblive i backups, sikkerhedssystemer og underleverandørlogfiler i en periode. Vigtigere for en klinik er, at sletning ikke ophæver en datalækage, der allerede er sket. Hvis PHI er indtastet, eksisterer compliance-forpligtelsen uanset, og sletning af tråden ødelægger beviserne, din privatlivsofficer har brug for.

Kan min arbejdsgiver se de sundhedsspørgsmål, jeg indtastede i en arbejds-ChatGPT-konto?

Ja, potentielt. På arbejdspladsplaner ejer organisationen kontoen, fastsætter opbevaringen og kan have administrativ adgang til samtaledata. Antag, at alt, der indtastes i en arbejds-konto, er synligt for din arbejdsgiver, ligesom arbejds-e-mail. Personlige sundhedsspørgsmål hører hjemme i en personlig konto på en personlig enhed, på din egen tid.

Ender noget af det, jeg spørger ChatGPT om mit helbred, i min journal eller når min forsikring?

Nej. En forbrugerchatbot har ingen forbindelse til din klinikers EHR eller til din sundhedsplan, og dine chats flyder ikke ind i nogen af dem. Undtagelserne er dem, du selv skaber: at forbinde værktøjet til konti, der indeholder dine journaler, eller at indsætte dets output i en patientportalbesked. Annoncerings- og datadelingpraksis er en separat bekymring, der reguleres af privatlivspolitikken.

Er det en HIPAA-overtrædelse at bruge ChatGPT til at udarbejde et patientbrev?

Nogle gange, og skillelinjen er identifikatorer. At bede om en generisk skabelon til et appelbrev uden patientoplysninger er ikke en afsløring af PHI, selvom din arbejdsgivers politik stadig kan forbyde det. Indsættelse af et navn, fødselsdato, besøgsdato eller diagnose gør det til en afsløring til en leverandør uden BAA, hvilket er overtrædelsen.

Konklusion

Er ChatGPT HIPAA-kompatibel? Nej, og det svar vil ikke ændre sig på grund af en indstilling, du slår til. Det ændrer sig kun, når en organisation underskriver en BAA, der angiver et specifikt produkt, og derefter bygger adgangskontrol, logføring og træning omkring det. Hvis du er kliniker, er sekvensen enkel: ingen kontrakt, ingen PHI, og anonymiser til Safe Harbor-standarden, når du bruger den. Hvis du er patient, var spørgsmålet rettet mod den forkerte lov. HIPAA begrænser dine udbydere og deres leverandører. Din beskyttelse kommer fra den privatlivspolitik, du har accepteret, FTC bag den, og din egen dømmekraft om, hvad du skal skrive.

Ansvarsfraskrivelse: Denne artikel er kun til informationsformål og udgør ikke medicinsk rådgivning. Konsulter altid en kvalificeret sundhedspersonale for diagnose- og behandlingsbeslutninger. Hvis du oplever en medicinsk nødsituation, ring 911 eller tag på nærmeste skadestue med det samme.