Kas ChatGPT on HIPAA-ga ühilduv? Mida see tähendab patsientide ja kliinikute jaoks

Ei. Kas ChatGPT on HIPAA-ga ühilduv mis tahes teie tänaseks ostetava plaaniga? Ei ole, kuna OpenAI ei sõlmi oma tarbijapakettide jaoks äripartneri lepingut. HIPAA reguleerib organisatsioone ja lepinguid, mitte mudeleid. Ja kui te sisestate oma enda terviseandmed omaenda kontole, ei ole HIPAA kunagi kehtinud.

TL;DR: Peamised järeldused

• Tarbesaadaval pole HIPAA-ga ühilduvat ChatGPT-d. Tasuta, Plus ja Go, Team ja Enterprise ei müüda koos äripartneri lepinguga (BAA).
• HIPAA seob terviseplaane, seltejaid, pakkujaid ja nende lepingulisi tarnijaid. See ei seo teid, sisestades oma sümptomid omaenda kontole.
• Selle asemel kaitsevad tarbijaid tarnija privaatsuspoliitika ja Föderaalne Kaubanduskomisjon, mis on juba terviseplatvormi trahvinud 1,5 miljoni dollariga.
• Mudeli koolituse väljalülitamine ja ajutise vestluse kasutamine vähendab kokkupuudet. See ei loo õiguslikku katvust.
• Kui kaitstud terviseandmed (PHI) on juba tavalisse ChatGPT-sse sisestatud, käsitlege seda potentsiaalse rikkumisena ja teavitage oma privaatsusametnikku samal päeval.

Kas ChatGPT on HIPAA-ga ühilduv? Mitte üheski versioonis, mille jaoks saate täna registreeruda

Kas ChatGPT on HIPAA-ga ühilduv? Ei. Käesoleva kirjutamise seisuga ei paku OpenAI oma tarbijapakettidel (tasuta, Plus ja Go, Team või Enterprise) äripartneri lepingut ja ilma selle allkirjastatud lepinguta ei saa ühtegi toodet katta. Ükski tehisintellekti mudel ei ole iseenesest HIPAA-ga ühilduv: HIPAA reguleerib organisatsioone ja lepinguid, nii et ühilduvus sõltub allkirjastatud BAA-st ning sellest, kuidas toodet konfigureeritakse, piiratakse ja logitakse.

Ainus tee, kus BAA on isegi laual, on OpenAI poolt jaanuaris 2026 turule toodud tervishoiu-spetsiifiline toodete rida. See toodete rida on uus, selle tingimused on sellel lehel kõige volatiilsem fakt ja te peaksite enne sellele tuginemist kontrollima oma toote ja taseme kättesaadavust.

Nüüd tähelepanuväärne ümberkujundus, mis on tähtsam kui otsus: enamiku inimeste jaoks, kes sisestavad omaenda kontole, ei kehtinud HIPAA kunagi.

HIPAA seob teie kliiniku ja selle tarnijad, mitte teid ja teie klaviatuuri

Seadus jõuab täpselt kahe rühmani, mõlemad on määratletud aadressil 45 CFR §160.103: kaetud üksused (terviseplaanid, tervishoiu seltejad ja elektrooniliselt terviseandmeid edastavad tarnijad standardsete tehingute jaoks) ja äripartnerid, mis tähendab kedagi, kes loob, saab, säilitab või edastab PHI-d, täites funktsiooni kaetud üksuse nimel. See fraas kannab kogu kaalu. Ettevõte, kes saab avaliku liikme käest tervise-teemalisi tekste, ei ole äripartner.

HHS on rakenduste osas selle juba läbi töötanud. Selle terviserakenduste stsenaariumite juhend ei leia äripartneri suhet, kui inimene täidab oma andmetega rakendust omal algatusel, ilma lepingu tagatiseta.

Nii et kui te sisestate oma sümptomid omaenda ChatGPT kontole, HIPAA ei kehti ja OpenAI seda ei riku. See ei ole möödatee. See on seaduse arhitektuur.

Selle asemel kaitseb teid OpenAI privaatsuspoliitika, mis toimib täidetava lubadusena, pluss FTC. 2024. aasta muudetud Tervise Rikkumise Teatamise Reegel hõlmab otseselt HIPAA-le mittealluvaid terviserakendusi ja sarnaseid tehnoloogiaid. Ja see jõustamine on reaalne: FTC saavutas 2023. aastal GoodRx'i vastu 1,5 miljoni dollari suuruse tsiviilkaristuse tarbijate tundlike terviseandmete jagamise eest Facebooki ja Google'iga.

Hoidke kontrasti peas. Tarbija vestlusrobot peaks pakkuma privaatsuspoliitikat. Teletervise rakendus, mis on lepinguliselt kaetud, peaks pakkuma HIPAA-d. Külastuste vahel võib tervisekaaslase rakendus, nagu August AI, aidata teil sümptomeid logida ja esitada tavakeelseid küsimusi, hooldusvahendina, mitte asendajana, ja mitte kunagi otsustajana.

Tegelik probleem pole vestlusrobot. See on see, kuhu teie sõnad lähevad edasi

Kas ChatGPT jagab teie andmeid? Mehhaaniliselt jah, tavapärasel viisil, nagu pilvtoode teeb. Tarbijatasemel vaikimisi sätted võimaldavad vestlusi kasutada mudelite täiustamiseks, teatud aja jooksul säilitamiseks ja inimeste poolt ohutuse ja tõrkeotsingu jaoks läbivaatamiseks. Alltöövõtjad ja infrastruktuuritarnijad puudutavad neid andmeid teenuse käitamisel, mis on täpselt allavoolu ahel, mida BAA reguleerib.

Aus vastus küsimusele, kas ChatGPT jagab teie andmeid, on see, et see sõltub teie tasemest, teie seadistustest ja sellest, millega te selle ühendasite. Mis toob esile veana, mida näen kõige sagedamini: mudeli koolituse väljalülitamine ja ajutisele vestlusele üleminek vähendab tõepoolest kokkupuudet ja te peaksite mõlemat tegema. See ei loo HIPAA katvust. Vajalik, mitte piisav.

Siis on vaiksem risk. Ühendused võimaldavad ChatGPT-l pääseda juurde Gmailile, Google Drive'ile, jagatud kliiniku postkasti või EHR-iga seotud tööriistale ja lugeda, mis seal on. Keegi ei pea midagi kleepima. Postkasti täis suunamis kirju suunatud ühendaja on ilmsikstulek, mis ootab juhtumist, ja see ei kajastu kellegi auditilogis.

ChatGPT Healthi "täiustatud privaatsus" on tootetõotus, mitte õiguslik

Kas ChatGPT Health on HIPAA-ga ühilduv?

Kas ChatGPT Health on HIPAA-ga ühilduv? Ei. Üksik tarbija ei saa ChatGPT Healthi jaoks äripartneri lepingut sõlmida, olenemata valitud privaatsussätetest, kuna BAA on leping kaetud üksuse ja selle tarnija vahel ning patsient, kes kasutab isiklikku kontot, ei ole kumbki.

Väited täiustatud privaatsuse, isolatsiooni ja krüpteerimise kohta on tootedisaini väited. Need võivad kirjeldada tõelist inseneritööd ja neil võib siiski olla null õiguslik mõju sellele, kas HIPAA kehtib, kuna HIPAA sõltub sellest, kes te olete ja mida olete allkirjastanud, mitte sellest, kuidas salvestuskiht on ehitatud.

See, mida toode patsiendi jaoks muudab, on teie enda andmete vaikimisi töötlemine, mis on midagi väärt. See ei loo reguleeritud suhet. Hoidke seda oma peas lahus jaanuaris 2026 turule tulnud kliiniku ja ettevõtte tervishoiuväljaannetest, mida müüakse organisatsioonidele ja kus lepingut saab üldse arutada.

Ainult allkirjastatud äripartneri leping võib muuta tehisintellekti tööriista ühilduvaks

ChatGPT äripartneri leping on ainus õiguslik mehhanism, mis toob OpenAI teie organisatsiooni kasutamiseks HIPAA alla. Kõik muu on hügieen.

BAA allkirjastab organisatsioon, mitte üksik kliinik, ja see peab nimetama tegelikult kasutatava konkreetse toote ja taseme. API kontot kattev BAA ei kata brauseri vahekaarti, millele keegi isikliku aadressiga sisse logis.

Siin on see, mida enamik lehti teile ei ütle: allkirjastatud BAA on põhi, mitte finišijoon. Ilma rollipõhiste juurdepääsukontrollideta, auditilogita, mida keegi tegelikult loeb, minimaalse vajalikuga piiranguteta, mis saadetakse, ja tööjõu koolituseta, mis nimetab seda tööriista konkreetselt, on teil samal ajal leping ja ühilduvusprobleem. Saage BAA kättesaadavus OpenAI poolt kirjalikult kinnitatud teie täpse SKU jaoks, mitte selle põhjal turunduslehelt järeldusi tehes. 2026. aasta toodete rida on regulatiivsete terminite kohaselt nädala vanune.

Patsiendi nime eemaldamine ei ole tuvastamatu

Otsus PHI tuvastada enne ChatGPT kasutamist on õige instinkt, kuid piir on HHS standard, mitte otsustusotsus. Kaks meetodit kvalifitseeruvad: Safe Harbor ja formaalne ekspertmääratlus kvalifitseeritud statistik poolt.

Safe Harbor tähendab kõigi 18 loetletud tuvastus kategooria eemaldamist ja teadmist, et jäänud osa ei saa kedagi tuvastada. Need on nimed; geograafia, mis on väiksem kui osariik; kõik üksikisikuga seotud kuupäevad, sealhulgas vastuvõtu, väljakirjutamise, külastuse ja sünnikuupäevad; telefon, faks ja e-post; sotsiaalkindlustuse, meditsiinilise rekordi, terviseplaani ja konto numbrid; sertifikaadi ja litsentsi numbrid; sõiduki ja seadme identifikaatorid ja seerianumbrid; URL-id ja IP-aadressid; biomeetria; täisnäoga fotod; ja mis tahes muu unikaalne kood.

Need, mida kliinikud jätavad sisse, on prognoositavad: külastuse kuupäevad, linn, vanus üle 89, MRN kleepitud märkuse päises, seadme seerianumber, foto ja verbatim vaba teksti tsitaadid, mis on piisavalt eristuvad, et inimene ise tuvastada.

Konkreetselt, nime eemaldatud märge, mis loeb ikka veel "34-aastane Bozemanis, nähtud 3. märtsil, kinnitatud haruldane autoimmuunhaiguse diagnoos", ei ole tuvastamata andmed. See on PHI kõige lihtsama väljaga kustutatud.

Tuvastamatus ei ole ka kõikide probleemide lahendaja. See eemaldab HIPAA küsimuse. See ei eemalda teie tööandja vastuvõetavate kasutusreegleid, teie tarnija lepinguid ega osariigi privaatsusseadust, millest mitmed laienevad laiemalt kui HIPAA.

Ühilduv tehisintellekti töövoog kuues etapis, sealhulgas juhul, kui PHI on juba sisestatud

HIPAA-ga ühilduvat ChatGPT-d ei ole olemas kui ostetavat toodet; see, mis on olemas, on tööriista ja töövoo vaheline tühimik ja need kuus sammu sulgevad selle.

1. Otsustage, milline lugeja te olete. Kaetud üksuse nimel tegutsemine tähendab, et HIPAA kehtib sellele, mida te sisestate. Omaenda konto kasutamine omaenda tervise jaoks tähendab, et see ei kehti.
2. Kinnitage kirjalikult, kas BAA katab täpse toote ja taseme enne mis tahes kliinilist kasutamist. BAA puudumine tähendab PHI-d, täppis.
3. Lülitage välja mudeli koolitus ja kasutage ajutist vestlust. Öelge valjusti, mis see on: riski vähendamine, mitte ühilduvus.
4. Auditige ja ühendage lahti ühendused, mis ulatuvad kliinilisse e-posti, pilvesalvestusse või EHR-iga seotud asjadesse, kuni igaüks neist on üle vaadatud.
5. Tuvastage enne kleepimist Safe Harbor standardini, seejärel lugege ka väljundit. Mudelid kordavad teile antud üksikasju.
6. Kui PHI on juba sisestatud, käsitlege seda potentsiaalse rikkumisena. Lõpetage niidi kasutamine. Ärge kustutage seda vaikselt, kuna see on tõend. Teavitage oma privaatsus- või ühilduvusametnikku samal päeval, dokumenteerige, mis avalikustati ja millal, ning laske neil läbi viia rikkumisteate reegli riskihindamine ja teha teatamise otsus. Ärge tühjendage seda ise.

Kui te olete patsient, mitte kliinik, ei kehti ükski neist teile. Te ei vaja BAA-d ega mööda-tee lahendust. Otsustage, mida te olete valmis jagama, hoidke identifikaatorid välja igalt sisestuselt, mida te ei postitaks avalikult, ja kui te pole kindel, kui kiireloomuline midagi on, on tasuta August AI Sümptomite Kontrollija mõistlik esimene triaaži samm. Kui vajate hooldust, mitte teavet, näiteks online ADHD hindamine, toimub see tarnija suhte raames, kus HIPAA kehtib esimesest sisseastumisvormist alates.

Mõned sümptomid ei tohiks kunagi kõigepealt vestlusrobotisse minna

Miski selle artikli privaatsusnõuannetes ei tohiks edasi lükata erakorralist abi. Kui te otsustate sisestamise ja helistamise vahel, helistage.

Helistage 911-le või minge kohe erakorralise meditsiini osakonda, kui:

• Teil on valu rinnus või hingamisraskusi.
• Teil on äkiline tuimus, kõnehäire või näo langus, mis on insuldi tunnused.
• Teil on tugev verejooks.
• Teil on enesetapumõtteid. Lõpetage sisestamine ja helistage 911-le või 988-le. AI vestlus ei saa teid uurida ega abi saata.

Broneerige visiit nädala jooksul, kui:

• Olete päevade kaupa chatbotiga sama sümptomit triaažinud ja see ei parane.
• Teil on uus muhk või seletamatu kaalutõus.
• Chatbot käsib teil jätkuvalt arsti juurde minna. See on vastus, mitte kohtvalvur.

Rääkige arstiga enne alustamist, kui:

• AI vastus käsib teil lõpetada väljakirjutatud ravim, muuta annust või eirata oma hooldusmeeskonda. Kontrollige esmalt oma väljakirjutajaga. Need tööriistad annavad enesekindlalt vale meditsiinilise juhenduse ja teevad seda sama tooniga, mida nad kasutavad, kui neil on õigus.

Keskmise taseme jaoks ühendab Augusti 39-dollarine online-kiirabi visiit teid USA litsentseeritud arstiga, kes saab sümptomeid hinnata ja vajadusel ravimeid välja kirjutada. Arst otsustab. Videovisiit ei saa teid isiklikult uurida, kohapeal pildistamist tellida ega hädaolukorda hallata, nii et esimene tase kuulub EMOsse.

Korduma kippuvad küsimused

Kas kliinikku saab trahvida, kui töötaja sisestab patsiendiandmeid ChatGPT-sse?

Jah. Vastutus lasub organisatsioonil, mitte üksikisikul. Jaanuaris 28, 2026 avaldatud inflatsiooniparanduse kohaselt on HIPAA tsiviilrahadised trahvid alates Tase 1 miinimumist 145 dollarit rikkumise kohta kuni Tase 4 miinimumini 73 011 dollarit rikkumise kohta, aastase ülempiiriga 2 190 294 dollarit rikkumiskategooria kohta. Iga kirje võib arvestada eraldi, mistõttu väikesed intsidentid muutuvad suurteks numbriteks.

Kas Microsoft Copilot, Google Gemini või Claude on selle asemel HIPAA-ga ühilduvad?

Tavaliselt mitte, ja aus vastus on printsiip, mitte tarnija hinnang. Ühilduvus järgib lepingut, mitte mudelit. Ühtegi tarbija vestlusrobotit ükskõik milliselt tarnijalt ei müüda BAA alla ja ka ChatGPT ei ole oma tarbijatasemete osas HIPAA-ga ühilduv. Kui tarnija ütleb teile, et tema ettevõtte või pilvetooteid saab katta, hankige see kirjalikult, nimetades teie täpse toote.

Kas ma saan esitada HIPAA kaebuse OpenAI vastu?

Tavaliselt mitte. HHS kodanikuõiguste büroo võtab vastu kaebusi kaetud üksuste ja nende äripartnerite kohta. Ilma BAA-ta ei ole OpenAI kumbki, nii et OCR-il puudub teie isiklike vestluste üle jurisdiktsioon. FTC on õige koht tarbija kaebuse jaoks mitte-HIPAA tervise-tööriista kohta, FTC seaduse ja tervise rikkumise teatamise reegli alusel.

Kui ma kustutan ChatGPT vestluse, kas terviseandmed on kadunud?

Ei. Kustutamine eemaldab niidi teie vaateväljast ja algatab säilitamisaja; koopiad võivad varukoopiate, ohutussüsteemide ja alltöövõtjate logides teatud aja jooksul püsida. Veelgi olulisem kliiniku jaoks on kustutamine ei tühista avalikustamist, mis on juba toimunud. Kui PHI sisestati, on ühilduvus kohustus olemas sõltumata ja niidi kustutamine hävitab tõendid, mida teie privaatsusametnik vajab.

Kas mu tööandja näeb terviseküsimusi, mida ma töö ChatGPT kontole sisestasin?

Jah, potentsiaalselt. Tööruumi plaanidel kuulub organisatsioonile konto, määrab säilitamisaja ja võib omada administratiivset juurdepääsu vestluste andmetele. Eeldage, et töö kontole sisestatud mis tahes asi on teie tööandja jaoks nähtav, samamoodi nagu töö-e-post. Isiklikud terviseküsimused kuuluvad isiklikule kontole isiklikul seadmel, enda ajal.

Kas kõik, mida ma ChatGPT-lt oma tervise kohta küsin, jõuab minu meditsiinilisse dokumentatsiooni või minu kindlustajani?

Ei. Tarbija vestlusrobotil pole ühendust teie kliiniku EHR-i või teie terviseplaaniga ning teie vestlused ei voola kumbagi. Erandid on need, mille te ise loote: tööriista ühendamine kontodega, mis sisaldavad teie andmeid, või selle väljundi kleepimine patsiendiportaali sõnumisse. Reklaami ja andmete jagamise tavad on eraldi küsimus, mida reguleerib privaatsuspoliitika.

Kas ChatGPT kasutamine patsiendi kirja koostamiseks on HIPAA rikkumine?

Mõnikord ja piir on identifikaatorid. Üldise apellatsioonikirja malli küsimine ilma patsiendiandmeteta ei ole PHI avalikustamine, kuigi teie tööandja poliitika võib seda siiski keelata. Nime, sünnikuupäeva, külastuse kuupäeva või diagnoosi sisestamine muudab selle avalikustamiseks tarnijale ilma BAA-ta, mis on rikkumine.

Põhiline järeldus

Kas ChatGPT on HIPAA-ga ühilduv? Ei, ja see vastus ei muutu mingi seadistuse abil, mida te vahetate. See muutub ainult siis, kui organisatsioon allkirjastab BAA, mis nimetab konkreetse toote, ja seejärel ehitab juurdepääsukontrollid, logimise ja koolituse selle ümber. Kui te olete kliinik, on järjestus lihtne: lepingut pole, PHI-d pole ja tuvastage Safe Harbor standardile, kui te seda kasutate. Kui te olete patsient, oli küsimus suunatud valele seadusele. HIPAA piirab teie tarnijaid ja nende tarnijaid. Teie kaitse tuleneb privaatsuspoliitikast, millega nõustusite, selle taga olevast FTC-st ja teie enda otsustusest, mida sisestada.

Lahtiütlus: See artikkel on ainult informatiivsel eesmärgil ja ei kujuta endast meditsiinilist nõuannet. Konsulteerige diagnoosi ja raviotsuste tegemiseks alati kvalifitseeritud tervishoiuteenuse osutajaga. Kui teil on meditsiiniline hädaolukord, helistage 911-le või minge kohe lähimasse erakorralise meditsiini osakonda.