Je li ChatGPT u skladu s HIPAA-om? Što to znači za pacijente i klinike

Ne. Je li ChatGPT u skladu s HIPAA-om na bilo kojem planu koji možete kupiti danas? Nije, jer OpenAI ne potpisuje ugovor o poslovnom suradniku za svoje potrošačke pakete. HIPAA regulira organizacije i ugovore, a ne modele. A ako upišete svoje zdravstvene podatke u vlastiti račun, HIPAA se nikada nije primjenjivao.

Ukratko: Ključni zaključci

• Na raspolaganju potrošačima nema ChatGPT-a u skladu s HIPAA-om. Besplatni, Plus i Go, Team i Enterprise ne prodaju se s ugovorom o poslovnom suradniku (BAA).
• HIPAA obvezuje zdravstvene planove, klirinške kuće, pružatelje usluga i njihove ugovorene dobavljače. Ne obvezuje vas, upisivanje vlastitih simptoma u vlastiti račun.
• Ono što umjesto toga štiti potrošače je pravila o privatnosti dobavljača i Savezna trgovačka komisija, koja je već novčano kaznila zdravstvenu platformu s 1,5 milijuna dolara.
• Isključivanje treninga modela i korištenje privremenog chata smanjuje izloženost. Ne stvara pravnu pokrivenost.
• Ako su zaštićeni zdravstveni podaci (PHI) već uneseni u redoviti ChatGPT, tretirajte to kao potencijalno kršenje i obavijestite svog službenika za zaštitu privatnosti istog dana.

Je li ChatGPT u skladu s HIPAA-om? Ni u jednoj verziji za koju se možete prijaviti danas

Je li ChatGPT u skladu s HIPAA-om? Ne. Od trenutka pisanja, OpenAI ne nudi ugovor o poslovnom suradniku na svojim potrošačkim planovima (Free, Plus i Go, Team ili Enterprise), a bez tog potpisanog ugovora nijedan proizvod ne može biti pokriven. Nijedan AI model sam po sebi nije u skladu s HIPAA-om: HIPAA regulira organizacije i ugovore, stoga usklađenost ovisi o potpisanom BAA-u plus o tome kako je proizvod konfiguriran, ograničen i logiran.

Jedini put kada je BAA uopće moguć jest zdravstveno-specifična linija proizvoda koju je OpenAI pokrenuo u siječnju 2026. Ta linija proizvoda je nova, njeni uvjeti su najnestabilnija činjenica na ovoj stranici, te biste trebali provjeriti dostupnost za svoj vlastiti proizvod i razinu prije nego se na nju oslonite.

Sada ponovno fokusiranje koje je važnije od presude: za većinu ljudi koji upisuju u vlastiti račun, HIPAA nikada nije bio primjenjiv zakon.

HIPAA obvezuje vašu kliniku i njezine dobavljače, ne vas i vašu tipkovnicu

Zakonom su obuhvaćene točno dvije skupine, obje definirane na 45 CFR §160.103: obuhvaćene entitete (zdravstveni planovi, klirinške kuće zdravstvene skrbi i pružatelji usluga koji elektronički prenose zdravstvene podatke za standardne transakcije) i poslovni suradnici, što znači svatko tko stvara, prima, održava ili prenosi PHI dok obavlja funkciju u ime obuhvaćenog entiteta. Ta fraza nosi svu težinu. Tvrtka koja slučajno primi zdravstveno-relevantan tekst od člana javnosti nije poslovni suradnik.

HHS je to već razradio za aplikacije. Njegovo smjernice za scenarije korištenja zdravstvenih aplikacija ne pronalaze poslovni odnos kada osoba popunjava aplikaciju vlastitim podacima na vlastitu inicijativu, bez ikakvog ugovora iza toga.

Dakle, kada svoje simptome zalijepite u vlastiti ChatGPT račun, HIPAA se ne primjenjuje i OpenAI ga ne krši. To nije rupa. To je arhitektura zakona.

Ono što vas umjesto toga štiti jest OpenAI-jev pravilnik o privatnosti, koji funkcionira kao provedivi obećanje, plus FTC. Ažurirano pravilo o obavijestima o zdravstvenim kršenjima iz 2024. izričito pokriva zdravstvene aplikacije i slične tehnologije koje nisu predmet HIPAA-e. A ta provedba je stvarna: FTC je postigao kaznu od 1,5 milijuna dolara protiv GoodRx-a 2023. godine zbog dijeljenja osjetljivih zdravstvenih podataka potrošača s Facebookom i Googleom.

Držite kontrast u glavi. Potrošački chatbot vam duguje pravilnik o privatnosti. Telehealth aplikacija koja je ugovorno pokrivena duguje vam HIPAA. Između posjeta, aplikacija za zdravstvenog suputnika poput August AI može vam pomoći u bilježenju simptoma i postavljanju pitanja jednostavnim jezikom, kao dodatak skrbi umjesto zamjene za nju, i nikada kao stvar koja odlučuje.

Stvarni problem nije chatbot. Stvar je u tome kamo vaše riječi idu dalje

Dijeli li ChatGPT vaše podatke? Mehanički, da, na uobičajene načine na koje to radi proizvod u oblaku. Na potrošačkim paketima zadane postavke dopuštaju korištenje razgovora za poboljšanje modela, zadržavanje na određeno vrijeme i pregled od strane ljudi radi sigurnosti i rješavanja problema. Podugovaratelji i dobavljači infrastrukture dodiruju te podatke tijekom pružanja usluge, što je upravo lanac nizvodno koji je BAA napisan da regulira.

Iskren odgovor na pitanje dijeli li ChatGPT vaše podatke jest da to ovisi o vašem paketu, vašim postavkama i onome na što ste ga povezali. Što dovodi do pogreške koju najčešće viđam: isključivanje treninga modela i prebacivanje na privremeni chat istinski smanjuje izloženost, i trebali biste učiniti oboje. Ne stvara HIPAA pokrivenost. Nužno, ali ne dovoljno.

Zatim postoji tiši rizik. Konektori omogućuju ChatGPT-u da prodre u Gmail, Google Drive, zajednički inbox klinike ili alat povezan s EHR-om i pročita što je tamo. Nitko ne mora ništa zalijepiti. Konektor usmjeren na poštanski sandučić pun pisama uputnice je otkrivanje podataka koje čeka da se dogodi, i neće izgledati kao takav u bilo kojem zapisniku revizije.

ChatGPT Health's "poboljšana privatnost" obećanje je proizvoda, ne pravno obećanje

Je li ChatGPT Health u skladu s HIPAA-om?

Je li ChatGPT Health u skladu s HIPAA-om? Ne. Pojedinačni potrošač ne može dobiti ugovor o poslovnom suradniku na ChatGPT Health bez obzira koje postavke privatnosti odabere, jer je BAA ugovor između obuhvaćenog entiteta i njegovog dobavljača, a pacijent koji koristi osobni račun nije ni jedno ni drugo.

Tvrde o poboljšanoj privatnosti, izolaciji i šifriranju su tvrdnje o dizajnu proizvoda. Mogu opisati istinsko inženjerstvo i još uvijek imati nulti pravni učinak na to primjenjuje li se HIPAA, jer se HIPAA odnosi na to tko ste i što ste potpisali, a ne na to kako je izgrađen sloj za pohranu.

Ono što proizvod mijenja za pacijenta jest zadano rukovanje vašim vlastitim podacima, što nešto vrijedi. Ne stvara regulirani odnos. Držite ga odvojeno u svom umu od izdanja za kliničare i poduzeća pokrenutih u siječnju 2026., koji se prodaju organizacijama i jedino su mjesto gdje se ugovor uopće može raspravljati.

Samo potpisani ugovor o poslovnom suradniku može učiniti AI alat usklađenim

Ugovor o poslovnom suradniku za ChatGPT jedini je pravni mehanizam koji uvodi OpenAI u skladu s HIPAA-om za korištenje vaše organizacije. Sve ostalo je higijena.

BAA potpisuje organizacija, a ne pojedinačni kliničar, i mora imenovati točan proizvod i paket koji se zapravo koristi. BAA koji pokriva API račun ne pokriva karticu preglednika na koju je netko prijavljen s osobnom adresom.

Ono što većina stranica neće reći jest: potpisani BAA je pod, a ne ciljna crta. Bez kontrola pristupa temeljenih na ulogama, dnevnika revizije koje netko zapravo čita, ograničenja na minimum potrebne za ono što se šalje i obuke radne snage koja imenuje ovaj alat specifično, imate ugovor i problem s usklađenošću u isto vrijeme. Dobijte BAA dostupnost potvrđenu u pisanom obliku od OpenAI-a za svoj točan SKU, umjesto da ga izvodite iz marketinške stranice. Linija proizvoda iz 2026. stara je tjednima u regulatornom smislu.

Uklanjanje pacijentovog imena nije deidentifikacija

Odluka o deidentifikaciji PHI-a prije korištenja ChatGPT-a je pravi instinkt, ali prag je standard HHS-a, a ne procjena.

Dvije metode se kvalificiraju: Safe Harbor i formalna Ekspertna procjena od strane kvalificiranog statističara.

Safe Harbor znači uklanjanje svih 18 navedenih identifikacijskih kategorija i neposjedovanje stvarne spoznaje da ono što ostaje može identificirati nekoga. To su imena; zemljopis manji od države; svi datumi vezani uz pojedinca, uključujući datume prijema, otpusta, posjeta i rođenja; telefon, faks i e-pošta; socijalni broj, broj medicinskog kartona, broj zdravstvenog plana i broj računa; brojevi certifikata i licenci; identifikatori i serijski brojevi vozila i uređaja; URL-ovi i IP adrese; biometrijski podaci; fotografije cijelog lica; i bilo koji drugi jedinstveni kod.

Oni koje kliničari ostavljaju su predvidljivi: datumi posjeta, grad, dob iznad 89, MRN koji se nalazi u zaglavlju zalijepljene bilješke, serijski broj uređaja, fotografija i doslovni citati slobodnog teksta koji su dovoljno prepoznatljivi da sami po sebi imenuju osobu.

Konkretno, bilješka bez imena koja još uvijek glasi "34-godišnjak u Bozemanu, viđen 3. ožujka, potvrđena rijetka autoimuna dijagnoza" nije deidentificirani podatak. To su PHI s najlakšim izbrisanim poljem.

Deidentifikacija također nije lijek za sve. Uklanja pitanje HIPAA-e. Ne uklanja politiku prihvatljivog korištenja vašeg poslodavca, vaše ugovore s dobavljačima ili državne zakone o privatnosti, od kojih nekoliko obuhvaća šire od HIPAA-e.

Usklađeni AI radni tijek u šest koraka, uključujući ako su PHI već uneseni

ChatGPT u skladu s HIPAA-om ne postoji kao nešto što kupujete; ono što postoji jest jaz između alata i radnog tijeka, a ovih šest koraka ga zatvara.

1. Odlučite koji čitatelj ste. Djelovanje u ime obuhvaćenog entiteta znači da se HIPAA primjenjuje na ono što upisujete. Korištenje vlastitog računa za vlastito zdravlje znači da se ne primjenjuje.
2. Pisanim putem potvrdite pokriva li BAA točan proizvod i paket prije bilo kakvog kliničkog korištenja. Nema BAA-a, nema PHI-a, točka.
3. Isključite trening modela i koristite privremeni chat. Izgovorite naglas što je to: smanjenje rizika, a ne usklađenost.
4. Revizija i isključivanje konektora koji pristupaju kliničkoj e-pošti, pohrani u oblaku ili bilo čemu što je povezano s EHR-om, dok se svaki od njih ne pregleda.
5. Deidentificirajte prema standardu Safe Harbor prije lijepljenja, a zatim pročitajte i izlaz. Modeli ponavljaju specifičnosti koje ste im dali.
6. Ako su PHI već uneseni, tretirajte to kao potencijalno kršenje. Prestanite koristiti nit. Nemojte je tiho brisati, jer je to dokaz. Obavijestite svog službenika za zaštitu privatnosti ili usklađenost istog dana, dokumentirajte što je otkriveno i kada, i dopustite im da provedu procjenu rizika prema Pravilu o obavijestima o kršenjima i donesu odluku o obavijesti. Nemojte se sami oslobađati.

Ako ste pacijent, a ne kliničar, ništa od toga se ne odnosi na vas. Ne trebate BAA ni zaobilazno rješenje. Odlučite što ste voljni podijeliti, izbjegavajte identifikatore u upitima koje ne biste objavili javno, a ako niste sigurni koliko je nešto hitno, besplatni August AI Symptom Checker je razuman prvi korak trijaže. Kada vam je potrebna skrb, a ne informacije, na primjer online procjena ADHD-a, to se događa unutar odnosa s pružateljem usluga gdje se HIPAA primjenjuje od prvog obrasca za unos.

Neki simptomi nikada ne bi trebali ići prvo na chatbot

Ništa u savjetima o privatnosti ovog članka ne bi trebalo odgoditi hitnu pomoć. Ako odlučujete između tipkanja i pozivanja, nazovite.

Nazovite 911 ili idite u hitnu pomoć odmah ako:

• Imate bol u prsima ili poteškoće s disanjem.
• Imate iznenadnu utrnulost, nerazgovjetan govor ili pad lica, što su znakovi moždanog udara.
• Imate jako krvarenje.
• Imate suicidalne misli. Prestanite tipkati i nazovite 911 ili 988. AI chat vas ne može pregledati niti poslati pomoć.

Zakazite posjet u roku od tjedan dana ako:

• Dani prolaze u trijaži istog simptoma s chatbotom i on se ne poboljšava.
• Imate novi čvor ili neobjašnjivu promjenu težine.
• Chatbot vam stalno govori da idete liječniku. To je odgovor, a ne zamjenski tekst.

Razgovarajte s kliničarom prije nego što započnete ako:

• AI odgovor vam kaže da prestanete uzimati propisani lijek, promijenite dozu ili zanemarite svoj tim za skrb. Prvo se posavjetujte sa svojim liječnikom. Ovi alati proizvode samouvjereno pogrešno medicinsko vodstvo, i to čine istim tonom kojim govore kada su u pravu.

Za srednji paket, Augustov posjet hitnoj pomoći online za 39 dolara povezuje vas s licenciranim kliničarom iz SAD-a koji može procijeniti simptome i propisati lijekove kada to smatra prikladnim. Kliničar odlučuje. Video posjet vas ne može pregledati osobno, odmah naručiti snimanje ili upravljati hitnim slučajem, tako da bilo što u prvom paketu pripada hitnoj pomoći.

Često postavljana pitanja

Može li klinika biti kažnjena ako zaposlenik zalijepi podatke o pacijentu u ChatGPT?

Da. Odgovornost se veže uz organizaciju, a ne uz pojedinca. Prema prilagodbi inflacije od 28. siječnja 2026., novčane kazne prema HIPAA-i kreću se od minimuma razine 1 od 145 dolara po prekršaju do minimuma razine 4 od 73.011 dolara po prekršaju, s godišnjim ograničenjem od 2.190.294 dolara po kategoriji prekršaja. Svaki zapis može se računati zasebno, što objašnjava kako mali incidenti postaju veliki brojevi.

Jesu li Microsoft Copilot, Google Gemini ili Claude umjesto toga u skladu s HIPAA-om?

Obično ne, a iskren odgovor je princip, a ne rangiranje dobavljača. Usklađenost slijedi ugovor, a ne model. Nijedan potrošački chatbot bilo kojeg dobavljača ne prodaje se pod BAA-om, niti je ChatGPT u skladu s HIPAA-om u svojim potrošačkim paketima. Ako vam dobavljač kaže da njegova verzija za poduzeća ili u oblaku može biti pokrivena, dobijte to u pisanom obliku s navedenim vašim točnim proizvodom.

Mogu li podnijeti HIPAA žalbu protiv OpenAI-a?

Obično ne. Ured za građanska prava HHS-a (HHS Office for Civil Rights) prihvaća pritužbe na obuhvaćene entitete i njihove poslovne suradnike. Bez uspostavljenog BAA-a, OpenAI nije ni jedno ni drugo, stoga OCR nema nadležnost nad vašim osobnim razgovorima. FTC je pravo mjesto za pritužbu potrošača na zdravstveni alat koji nije u skladu s HIPAA-om, prema Zakonu o FTC-u i Pravilu o obavijestima o zdravstvenim kršenjima.

Ako izbrišem razgovor s ChatGPT-om, jesu li zdravstveni podaci nestali?

Ne. Brisanje uklanja nit iz vašeg prikaza i pokreće sat za pohranu; kopije mogu ostati u sigurnosnim kopijama, sigurnosnim sustavima i zapisima podugovaratelja na određeno razdoblje. Važnije za kliniku, brisanje ne poništava već nastalo otkrivanje podataka. Ako su PHI uneseni, obveza usklađenosti postoji bez obzira na to, a brisanje niti uništava dokaze potrebne vašem službeniku za zaštitu privatnosti.

Može li moj poslodavac vidjeti zdravstvena pitanja koja sam upisao u radni ChatGPT račun?

Da, potencijalno. Na paketima za radna mjesta, organizacija posjeduje račun, postavlja zadržavanje i može imati administrativni pristup podacima iz razgovora. Pretpostavite da je sve što je upisano u radni račun vidljivo vašem poslodavcu, isto kao i radna e-pošta. Osobna zdravstvena pitanja pripadaju osobnom računu na osobnom uređaju, u vaše slobodno vrijeme.

Hoće li nešto što pitam ChatGPT o svom zdravlju završiti u mojoj medicinskoj dokumentaciji ili doći do mog osiguravatelja?

Ne. Potrošački chatbot nema vezu s EHR-om vašeg kliničara niti s vašim zdravstvenim planom, a vaši razgovori ne teku ni u jedan od njih. Izuzeci su oni koje sami stvorite: povezivanje alata s računima koji drže vaše zapise ili lijepljenje njegovog izlaza u poruku u pacijentov portal. Praksa oglašavanja i dijeljenja podataka zasebno je pitanje regulirano pravilnikom o privatnosti.

Je li kršenje HIPAA-e korištenje ChatGPT-a za izradu pisma pacijentu?

Ponekad, a granična linija su identifikatori. Traženje generičkog predloška žalbenog pisma bez podataka o pacijentu nije otkrivanje PHI-a, iako politika vašeg poslodavca to još uvijek može zabraniti. Lijepljenje imena, datuma rođenja, datuma posjeta ili dijagnoze čini ga otkrivanjem dobavljaču bez BAA-a, što je kršenje.

Zaključak

Je li ChatGPT u skladu s HIPAA-om? Ne, i taj odgovor se neće promijeniti zbog postavke koju uključite. Mijena se samo kada organizacija potpiše BAA u kojem je naveden određeni proizvod, a zatim izgradi kontrolu pristupa, evidenciju i obuku oko njega. Ako ste kliničar, redoslijed je jednostavan: nema ugovora, nema PHI-a, a deidentificirajte prema standardu Safe Harbor kada ga koristite. Ako ste pacijent, pitanje je bilo usmjereno na pogrešan zakon. HIPAA ograničava vaše pružatelje usluga i njihove dobavljače. Vaša zaštita dolazi od pravilnika o privatnosti na koji ste pristali, FTC-a iza njega i vaše vlastite procjene o tome što upisati.

Odricanje od odgovornosti: Ovaj članak služi samo u informativne svrhe i ne predstavlja medicinski savjet. Uvijek se posavjetujte s kvalificiranim zdravstvenim radnikom za odluke o dijagnozi i liječenju. Ako doživljavate medicinsku hitnu situaciju, nazovite 911 ili odmah idite u najbližu hitnu pomoć.