ChatGPT est-il conforme à la HIPAA ? Ce que cela signifie pour les patients et les cliniques

Non. ChatGPT est-il conforme à la HIPAA dans le cadre des plans que vous pouvez acheter aujourd'hui ? Non, car OpenAI ne signe pas d'accord d'associé commercial pour ses offres destinées aux consommateurs. La HIPAA réglemente les organisations et les contrats, pas les modèles. Et si vous tapez vos propres informations de santé dans votre propre compte, la HIPAA ne s'est jamais appliquée.

TL;DR : Points clés à retenir

• Il n'existe pas de ChatGPT conforme à la HIPAA sur le marché grand public. Les offres Gratuite, Plus et Go, Équipe et Entreprise ne sont pas vendues avec un accord d'associé commercial (BAA).
• La HIPAA lie les régimes de santé, les chambres de compensation, les prestataires et leurs fournisseurs contractuels. Elle ne vous lie pas, vous qui tapez vos propres symptômes dans votre propre compte.
• Ce qui protège les consommateurs à la place, c'est la politique de confidentialité du fournisseur et la Federal Trade Commission, qui a déjà infligé une amende de 1,5 million de dollars à une plateforme de santé.
• Désactiver l'entraînement du modèle et utiliser le chat temporaire réduit l'exposition. Cela ne crée pas de couverture légale.
• Si des informations de santé protégées (PHI) sont déjà entrées dans ChatGPT, traitez-le comme une violation potentielle et informez votre responsable de la confidentialité le jour même.

ChatGPT est-il conforme à la HIPAA ? Pas dans aucune version pour laquelle vous pouvez vous inscrire aujourd'hui

ChatGPT est-il conforme à la HIPAA ? Non. À l'heure où nous écrivons ces lignes, OpenAI ne propose pas d'accord d'associé commercial sur ses plans destinés aux consommateurs (Gratuit, Plus et Go, Équipe ou Entreprise), et sans ce contrat signé, aucun produit ne peut être couvert. Aucun modèle d'IA n'est conforme à la HIPAA en soi : la HIPAA réglemente les organisations et les contrats, donc la conformité dépend d'un BAA signé ainsi que de la manière dont le produit est configuré, restreint et enregistré.

La seule voie où un BAA est même envisageable est la gamme spécifique aux soins de santé qu'OpenAI a lancée en janvier 2026. Cette gamme est nouvelle, ses conditions sont le fait le plus volatile de cette page, et vous devriez vérifier la disponibilité pour votre propre produit et niveau avant de vous y fier.

Maintenant, le changement de perspective qui importe plus que le verdict : pour la plupart des gens qui tapent dans leur propre compte, la HIPAA n'a jamais été la loi en vigueur.

La HIPAA lie votre clinique et ses fournisseurs, pas vous et votre clavier

La loi concerne exactement deux groupes, tous deux définis dans 45 CFR §160.103 : les entités couvertes (régimes de santé, chambres de compensation de soins de santé et prestataires qui transmettent des informations de santé électroniquement pour des transactions standard) et les associés commerciaux, c'est-à-dire toute personne qui crée, reçoit, maintient ou transmet des PHI tout en effectuant une fonction au nom de une entité couverte. Cette phrase porte tout le poids. Une entreprise qui reçoit par hasard des textes liés à la santé d'un membre du public n'est pas un associé commercial.

Le HHS a déjà étudié cela pour les applications. Son guide sur les scénarios d'utilisation des applications de santé ne trouve aucune relation d'associé commercial lorsqu'une personne remplit une application avec ses propres données de sa propre initiative, sans contrat derrière cela.

Ainsi, lorsque vous copiez-collez vos propres symptômes dans votre propre compte ChatGPT, la HIPAA ne s'applique pas et OpenAI ne la viole pas. Ce n'est pas une faille. C'est l'architecture de la loi.

Ce qui vous protège à la place, c'est la politique de confidentialité d'OpenAI, qui fonctionne comme une promesse exécutoire, plus la FTC. La règle amendée de 2024 sur la notification des violations de la santé couvre explicitement les applications de santé et les technologies similaires non soumises à la HIPAA. Et cette application est réelle : la FTC a obtenu une amende civile de 1,5 million de dollars contre GoodRx en 2023 pour avoir divulgué des données sur les ordonnances et les conditions de santé à Facebook et Google.

Gardez le contraste à l'esprit. Un chatbot consommateur vous doit une politique de confidentialité. Une application de télémédecine contractuellement couverte vous doit la HIPAA. Entre les visites, une application compagnon de santé comme August AI peut vous aider à enregistrer vos symptômes et à poser des questions en langage clair, en tant qu'appoint aux soins plutôt qu'en substitut, et jamais comme l'élément qui décide.

Le vrai problème n'est pas le chatbot. C'est là où vos mots vont ensuite

ChatGPT partage-t-il vos données ? Mécaniquement, oui, de la manière habituelle d'un produit cloud. Pour les niveaux de consommation, les paramètres par défaut permettent d'utiliser les conversations pour améliorer les modèles, de les conserver pendant une période donnée et de les examiner par des humains pour des raisons de sécurité et de dépannage. Les sous-traitants et les fournisseurs d'infrastructure accèdent à ces données lors de l'exécution du service, ce qui correspond précisément à la chaîne aval que vise un BAA.

La réponse honnête à la question de savoir si ChatGPT partage vos données est que cela dépend de votre niveau, de vos paramètres et de ce à quoi vous l'avez connecté. Ce qui soulève l'erreur que je vois le plus souvent : désactiver l'entraînement du modèle et passer au chat temporaire réduit réellement l'exposition, et vous devriez faire les deux. Cela ne crée pas de couverture HIPAA. Nécessaire, mais pas suffisant.

Ensuite, il y a le risque plus discret. Les connecteurs permettent à ChatGPT d'accéder à Gmail, Google Drive, une boîte de réception clinique partagée ou un outil adjacent à un DME et de lire ce qui s'y trouve. Personne n'a à copier-coller quoi que ce soit. Un connecteur pointé vers une boîte aux lettres remplie de lettres de référence est une divulgation qui attend de se produire, et cela ne figurera pas dans le journal d'audit de qui que ce soit.

La « confidentialité améliorée » de ChatGPT Health est une promesse de produit, pas une promesse légale

ChatGPT Health est-il conforme à la HIPAA ?

ChatGPT Health est-il conforme à la HIPAA ? Non. Un consommateur individuel ne peut pas obtenir d'accord d'associé commercial sur ChatGPT Health, quels que soient les paramètres de confidentialité qu'il choisit, car un BAA est un contrat entre une entité couverte et son fournisseur, et un patient utilisant un compte personnel n'est ni l'un ni l'autre.

Les affirmations concernant la confidentialité, l'isolation et le chiffrement améliorés sont des assertions de conception de produit. Elles peuvent décrire une ingénierie réelle et avoir un effet juridique nul sur l'applicabilité de la HIPAA, car la HIPAA dépend de qui vous êtes et de ce que vous avez signé, et non de la manière dont la couche de stockage est construite.

Ce que le produit change pour un patient, c'est la gestion par défaut de vos propres données, ce qui a une certaine valeur. Il ne crée pas de relation réglementée. Gardez cela séparé dans votre esprit des éditions pour cliniciens et entreprises de santé lancées en janvier 2026, qui sont vendues aux organisations et sont le seul endroit où un contrat est même discutable.

Seul un accord d'associé commercial signé peut rendre un outil d'IA conforme

Un accord d'associé commercial ChatGPT est le seul mécanisme juridique qui intègre OpenAI dans le cadre de la HIPAA pour l'utilisation de votre organisation. Tout le reste est de l'hygiène.

Le BAA est signé par l'organisation, et non par un clinicien individuel, et il doit mentionner le produit et le niveau spécifiques effectivement utilisés. Un BAA couvrant un compte API ne couvre pas l'onglet du navigateur auquel une personne s'est connectée avec une adresse personnelle.

Voici ce que la plupart des pages ne vous diront pas : un BAA signé est un plancher, pas une ligne d'arrivée. Sans contrôles d'accès basés sur les rôles, enregistrement des audits que quelqu'un lit réellement, limites du minimum nécessaire sur ce qui est envoyé, et formation du personnel qui nomme spécifiquement cet outil, vous avez un contrat et un problème de conformité en même temps. Faites confirmer la disponibilité d'un BAA par écrit par OpenAI pour votre SKU exact plutôt que de l'inférer d'une page marketing. La gamme de 2026 n'a que quelques semaines en termes réglementaires.

Retirer le nom du patient n'est pas une dé-identification

Décider de dé-identifier les PHI avant d'utiliser ChatGPT est le bon réflexe, mais la barre est une norme du HHS, pas une décision subjective. Deux méthodes sont qualifiées : le Safe Harbor, et la Détermination formelle par un expert par un statisticien qualifié.

Le Safe Harbor signifie supprimer les 18 catégories d'identifiants énumérées, et ne pas avoir de connaissance réelle que ce qui reste pourrait identifier quelqu'un. Il s'agit des noms ; la géographie plus petite qu'un État ; toutes les dates liées à l'individu, y compris les dates d'admission, de sortie, de visite et de naissance ; le téléphone, le fax et l'e-mail ; les numéros de sécurité sociale, de dossier médical, de régime de santé et de compte ; les numéros de certificat et de licence ; les identifiants de véhicule et d'appareil et les numéros de série ; les URL et les adresses IP ; la biométrie ; les photographies de visage entier ; et tout autre code unique.

Ceux que les cliniciens laissent sont prévisibles : dates de visite, la ville, âges supérieurs à 89 ans, le MRN se trouvant dans l'en-tête de la note copiée-collée, un numéro de série d'appareil, une photo et des citations verbatim en texte libre suffisamment distinctives pour nommer la personne par elles-mêmes.

Concrètement, une note dépouillée du nom qui lit toujours « une personne de 34 ans à Bozeman, vue le 3 mars, diagnostic confirmé de maladie auto-immune rare » ne sont pas des données dé-identifiées. Ce sont des PHI avec le champ le plus facile supprimé.

La dé-identification n'est pas non plus une panacée. Elle supprime la question de la HIPAA. Elle ne supprime pas la politique d'utilisation acceptable de votre employeur, vos contrats avec les fournisseurs, ni la loi sur la protection de la vie privée des États, dont plusieurs ont une portée plus large que la HIPAA.

Un flux de travail d'IA conforme en six étapes, y compris si des PHI sont déjà entrées

Un ChatGPT conforme à la HIPAA n'existe pas comme quelque chose que l'on achète ; ce qui existe, c'est l'écart entre un outil et un flux de travail, et ces six étapes le comblent.

1. Décidez de quel lecteur vous êtes. Agir pour une entité couverte signifie que la HIPAA s'applique à ce que vous tapez. Utiliser votre propre compte pour votre propre santé signifie qu'elle ne s'applique pas.
2. Confirmez par écrit si un BAA couvre le produit et le niveau exacts avant toute utilisation clinique. Pas de BAA, pas de PHI, point final.
3. Désactivez l'entraînement du modèle et utilisez le chat temporaire. Dites à voix haute ce que c'est : réduction des risques, pas conformité.
4. Auditez et déconnectez les connecteurs qui accèdent aux e-mails cliniques, au stockage cloud ou à tout ce qui est adjacent au DME, jusqu'à ce que chacun ait été examiné.
5. Dé-identifiez selon la norme Safe Harbor avant de copier-coller, puis lisez aussi la sortie. Les modèles reformulent les spécificités que vous leur avez fournies.
6. Si des PHI sont déjà entrées, traitez-les comme une violation potentielle. Arrêtez d'utiliser le fil. Ne le supprimez pas discrètement, car c'est une preuve. Informez votre responsable de la confidentialité ou de la conformité le jour même, documentez ce qui a été divulgué et quand, et laissez-le effectuer l'évaluation des risques de la règle de notification des violations et prendre la décision de notification. Ne vous auto-déchargez pas.

Si vous êtes un patient plutôt qu'un clinicien, rien de tout cela ne s'applique à vous. Vous n'avez besoin ni de BAA ni de solution de contournement. Décidez de ce que vous êtes à l'aise de partager, évitez les identificateurs dans les invites que vous ne publieriez pas publiquement, et si vous n'êtes pas sûr de l'urgence de quelque chose, le Vérificateur de Symptômes August AI gratuit est une première étape de triage raisonnable. Lorsque ce dont vous avez besoin est des soins plutôt que des informations, par exemple une évaluation en ligne du TDAH, cela se passe dans le cadre d'une relation avec un prestataire où la HIPAA s'applique dès le premier formulaire d'admission.

Certains symptômes ne devraient jamais être soumis à un chatbot en premier

Aucun des conseils de confidentialité de cet article ne devrait retarder les soins d'urgence. Si vous hésitez entre taper et appeler, appelez.

Appelez le 911 ou rendez-vous aux urgences maintenant si :

• Vous avez des douleurs thoraciques ou des difficultés respiratoires.
• Vous avez un engourdissement soudain, des difficultés d'élocution ou un affaissement du visage, qui sont des signes d'AVC.
• Vous avez des saignements graves.
• Vous avez des pensées suicidaires. Arrêtez de taper et appelez le 911 ou le 988. Le chat IA ne peut pas vous examiner ni envoyer de l'aide.

Prenez rendez-vous dans la semaine si :

• Vous triez le même symptôme avec un chatbot depuis des jours et il ne s'améliore pas.
• Vous avez une nouvelle masse ou un changement de poids inexpliqué.
• Le chatbot vous dit continuellement de voir un médecin. C'est la réponse, pas un substitut.

Parlez à un clinicien avant de commencer si :

• Une réponse d'IA vous dit d'arrêter un médicament prescrit, de changer une dose ou d'ignorer votre équipe de soins. Confirmez d'abord avec votre prescripteur. Ces outils fournissent des conseils médicaux avec assurance faussés, et ils le font sur le même ton qu'ils utilisent lorsqu'ils ont raison.

Pour le niveau intermédiaire, la visite de soins urgents en ligne d'August à 39 $ vous met en contact avec un clinicien agréé aux États-Unis qui peut évaluer les symptômes et prescrire lorsque cela est jugé approprié. Le clinicien décide. Une visite vidéo ne peut pas vous examiner en personne, ordonner une imagerie sur place ou gérer une urgence, donc tout ce qui concerne le premier niveau appartient aux urgences.

Questions fréquemment posées

Une clinique peut-elle être condamnée à une amende si un membre du personnel colle des informations sur les patients dans ChatGPT ?

Oui. La responsabilité incombe à l'organisation, pas à l'individu. En vertu de l' ajustement de l'inflation du 28 janvier 2026, les amendes civiles monétaires de la HIPAA vont d'un minimum de niveau 1 de 145 $ par violation à un minimum de niveau 4 de 73 011 $ par violation, avec un plafond annuel de 2 190 294 $ par catégorie de violation. Chaque enregistrement peut compter séparément, ce qui explique comment de petits incidents deviennent de grands nombres.

Microsoft Copilot, Google Gemini ou Claude sont-ils conformes à la HIPAA à la place ?

Pas habituellement, et la réponse honnête est un principe plutôt qu'un classement de vendeur. La conformité suit le contrat, pas le modèle. Aucun chatbot grand public d'aucun fournisseur n'est vendu sous BAA, et ChatGPT n'est pas non plus conforme à la HIPAA dans ses niveaux grand public. Si un fournisseur vous dit que son offre d'entreprise ou cloud peut être couverte, obtenez-le par écrit en nommant votre produit exact.

Puis-je déposer une plainte HIPAA contre OpenAI ?

Pas habituellement. Le Bureau des droits civils du HHS traite les plaintes concernant les entités couvertes et leurs associés commerciaux. Sans BAA en place, OpenAI n'est ni l'un ni l'autre, donc le OCR n'a aucune juridiction sur vos conversations personnelles. La FTC est le bon endroit pour une plainte de consommateur concernant un outil de santé non-HIPAA, en vertu de la loi sur la FTC et de la règle de notification des violations de la santé.

Si je supprime une conversation ChatGPT, les informations de santé sont-elles supprimées ?

Non. La suppression retire le fil de votre vue et démarre un délai de conservation ; des copies peuvent subsister dans les sauvegardes, les systèmes de sécurité et les journaux des sous-traitants pendant une période. Plus important encore pour une clinique, la suppression n'annule pas une divulgation qui a déjà eu lieu. Si des PHI sont entrées, l'obligation de conformité existe indépendamment, et la suppression du fil détruit les preuves dont votre responsable de la confidentialité a besoin.

Mon employeur peut-il voir les questions de santé que j'ai tapées dans un compte ChatGPT professionnel ?

Oui, potentiellement. Dans les plans pour postes de travail, l'organisation possède le compte, définit la rétention et peut avoir un accès administratif aux données de conversation. Supposez que tout ce qui est tapé dans un compte professionnel est visible par votre employeur, de la même manière que les e-mails professionnels. Les questions de santé personnelles appartiennent à un compte personnel sur un appareil personnel, pendant votre temps libre.

Est-ce qu'une de mes questions à ChatGPT sur ma santé se retrouve dans mon dossier médical ou parvient à mon assureur ?

Non. Un chatbot grand public n'a aucun lien avec le DME de votre clinicien ou avec votre régime de santé, et vos discussions ne s'écoulent dans aucun des deux. Les exceptions sont celles que vous créez : connecter l'outil à des comptes détenant vos dossiers, ou coller sa sortie dans un message de portail patient. Les pratiques publicitaires et de partage de données sont une préoccupation distincte régie par la politique de confidentialité.

Est-ce une violation de la HIPAA d'utiliser ChatGPT pour rédiger une lettre à un patient ?

Parfois, et la ligne de démarcation concerne les identificateurs. Demander un modèle de lettre d'appel générique sans détails du patient n'est pas une divulgation de PHI, bien que la politique de votre employeur puisse toujours l'interdire. Coller un nom, une date de naissance, une date de visite ou un diagnostic en fait une divulgation à un fournisseur sans BAA, ce qui constitue la violation.

En résumé

ChatGPT est-il conforme à la HIPAA ? Non, et cette réponse ne changera pas en raison d'un paramètre que vous activez. Elle ne change que lorsqu'une organisation signe un BAA nommant un produit spécifique, puis met en place des contrôles d'accès, des journaux et une formation autour de cela. Si vous êtes un clinicien, la séquence est simple : pas de contrat, pas de PHI, et dé-identifier selon la norme Safe Harbor lorsque vous l'utilisez. Si vous êtes un patient, la question visait la mauvaise loi. La HIPAA restreint vos prestataires et leurs fournisseurs. Votre protection vient de la politique de confidentialité que vous avez acceptée, de la FTC derrière elle, et de votre propre jugement sur ce qu'il faut taper.

Avis de non-responsabilité : Cet article est à titre informatif uniquement et ne constitue pas un avis médical. Consultez toujours un professionnel de la santé qualifié pour les décisions de diagnostic et de traitement. Si vous êtes en situation d'urgence médicale, appelez le 911 ou rendez-vous immédiatement aux urgences les plus proches.