Megfelel a ChatGPT a HIPAA-nak? Mit jelent ez a betegek és a klinikák számára

Nem. A jelenleg megvásárolható bármelyik csomagban megfelel a ChatGPT a HIPAA-nak? Nem, mert az OpenAI nem ír alá üzleti partneri megállapodást a fogyasztói csomagjaihoz. A HIPAA a szervezeteket és a szerződéseket szabályozza, nem a modelleket. És ha a saját egészségügyi adatait írja be a saját fiókjába, a HIPAA soha nem vonatkozott rá.

TL;DR: Főbb tudnivalók

• Nincs HIPAA-kompatibilis ChatGPT a fogyasztói polcokon. Az ingyenes, Plus és Go, Team és Enterprise csomagokat üzleti partneri megállapodás (BAA) nélkül értékesítik.
• A HIPAA az egészségügyi terveket, elszámolási központokat, szolgáltatókat és szerződött beszállítóikat köti. Nem köti Önt, aki a saját tüneteit írja be a saját fiókjába.
• Ehelyett a fogyasztókat az adatkezelő adatvédelmi szabályzata és a Szövetségi Kereskedelmi Bizottság (FTC) védi, amely már 1,5 millió dollárra büntetett meg egy egészségügyi platformot.
• A modellképzés kikapcsolása és az ideiglenes csevegés használata csökkenti a kitettséget. Ez nem teremt jogi fedezetet.
• Ha védett egészségügyi információ (PHI) került már a rendes ChatGPT-be, kezelje azt potenciális adatvédelmi incidensként, és tájékoztassa róla az adatvédelmi tisztviselőjét még aznap.

Megfelel a ChatGPT a HIPAA-nak? Nem azokban a verziókban, amelyekre ma feliratkozhat

Megfelel a ChatGPT a HIPAA-nak? Nem. A jelen írás időpontjában az OpenAI nem kínál üzleti partneri megállapodást a fogyasztói csomagjain (Ingyenes, Plus és Go, Team vagy Enterprise), és e nélkül az aláírt szerződés nélkül egyetlen termék sem fedezhető. Egyetlen AI modell sem felel meg önmagában a HIPAA-nak: a HIPAA a szervezeteket és a szerződéseket szabályozza, így a megfelelés az aláírt BAA-n, valamint a termék konfigurálásán, korlátozásán és naplózásán múlik.

Az egyetlen út, ahol a BAA egyáltalán szóba jöhet, az OpenAI 2026 januárjában elindított, egészségügyi ellátásra szakosodott kínálata. Ez a kínálat új, feltételei a legváltozékonyabb tény ezen az oldalon, és Önnek ellenőriznie kell a rendelkezésre állást a saját termékére és szintjére vonatkozóan, mielőtt erre támaszkodna.

Most pedig az az átfogalmazás, amely fontosabb, mint az ítélet: a legtöbb ember számára, aki a saját fiókjába gépel, a HIPAA soha nem volt az alkalmazandó törvény.

A HIPAA köti a klinikát és annak beszállítóit, nem téged és a billentyűzetedet

A törvény pontosan két csoportra terjed ki, mindkettőt a 45 CFR §160.103 definiálja: érintett entitások (egészségügyi tervek, egészségügyi elszámolási központok és olyan szolgáltatók, amelyek elektronikus úton továbbítanak egészségügyi információkat standard tranzakciókhoz) és üzleti partnerek, ami azt jelenti, bárki, aki PHI-t hoz létre, fogad, tart karban vagy továbbít, miközben egy olyan funkciót lát el, amely egy érintett entitás **nevében** történik. Ez a kifejezés hordozza a teljes súlyt. Egy vállalat, amely véletlenül egészségügyi témájú szövegeket fogad a nyilvánosság egyik tagjától, nem üzleti partner.

A HHS már kidolgozta ezt az alkalmazásokra vonatkozóan. Az egészségügyi alkalmazások használati forgatókönyvekre vonatkozó útmutatója nem talált üzleti partneri kapcsolatot abban az esetben, amikor egy személy saját kezdeményezésére, szerződés nélkül tölt meg egy alkalmazást a saját adataival.

Tehát amikor a saját tüneteit beilleszti a saját ChatGPT-fiókjába, a HIPAA nem vonatkozik, és az OpenAI nem sérti meg. Ez nem kiskapu. Ez a jogszabály szerkezete.

Mi véd téged helyette, az az OpenAI adatvédelmi szabályzata, amely érvényesíthető ígéretként működik, plusz az FTC. A 2024-ben módosított Health Breach Notification Rule kifejezetten lefedi az egészségügyi alkalmazásokat és hasonló technológiákat, amelyek nem tartoznak a HIPAA hatálya alá. És ez a végrehajtás valós: az FTC 2023-ban 1,5 millió dolláros polgári bírságot szabott ki a GoodRx ellen, amiért receptköteles és egészségügyi állapotra vonatkozó adatokat osztott meg a Facebookkal és a Google-lal.

Tartsd kontrasztban a fejedben. Egy fogyasztói chatbot-nak adatvédelmi szabályzattal tartozik. Egy szerződésileg fedezett telemedicina alkalmazás tartozik neked a HIPAA-val. Látogatások között egy olyan egészségügyi társalkalmazás, mint az August AI, segíthet a tünetek rögzítésében és egyszerű nyelvezetű kérdések feltevésében, a gondozás kiegészítéseként, nem pedig helyettesítőjeként, és soha nem a döntéshozóként.

A valódi probléma nem a chatbot. Az, hogy hová kerülnek az Ön szavai ezután

Megosztja a ChatGPT az Ön adatait? Mechanikusan igen, a felhőalapú termékek szokásos módon. A fogyasztói szinteken az alapértelmezett beállítások lehetővé teszik a beszélgetések modellfejlesztésre történő felhasználását, tárolását egy ideig, és emberi felülvizsgálatát biztonsági és hibaelhárítási célból. Alvállalkozók és infrastrukturális beszállítók érintik ezeket az adatokat a szolgáltatás futtatása során, ami pontosan az a lefelé irányuló lánc, amelyre a BAA-t írják.

Az őszinte válasz arra, hogy megosztja-e a ChatGPT az Ön adatait, hogy ez attól függ, melyik szinten, a beállításaitól és attól, hogy mit csatlakoztatott hozzá. Ami pedig a leggyakoribb hibát hozza fel: a modellképzés kikapcsolása és az ideiglenes csevegés használata valóban csökkenti a kitettséget, és mindkettőt meg kell tennie. Ez nem teremt HIPAA-fedezetet. Szükséges, de nem elegendő.

Aztán ott van a csendesebb kockázat. A csatlakozók lehetővé teszik a ChatGPT számára, hogy belépjen a Gmailbe, a Google Drive-ba, egy megosztott klinikai postaládába vagy egy EHR-val kapcsolatos eszközbe, és elolvassa, ami ott van. Senkinek sem kell semmit beillesztenie. Egy postaládába irányított csatlakozó, tele ajánlott levelekkel, egy olyan adatvédelmi incidens, amelyre várni lehet, és ez nem fog úgy kinézni, mint egy audit naplóban.

A ChatGPT Health "fokozott adatvédelme" termékígéret, nem jogi

Megfelel a ChatGPT Health a HIPAA-nak?

Megfelel a ChatGPT Health a HIPAA-nak? Nem. Egy egyéni fogyasztó nem szerezhet üzleti partneri megállapodást a ChatGPT Health-hez, függetlenül attól, hogy milyen adatvédelmi beállításokat választ, mert a BAA egy érintett entitás és annak beszállítója közötti szerződés, és egy beteg, aki személyes fiókot használ, egyik sem.

A fokozott adatvédelemre, elkülönítésre és titkosításra vonatkozó állítások terméktervezési kijelentések. Leírhatnak valódi mérnöki munkát, és mégis nulla jogi hatásuk lehet arra, hogy a HIPAA vonatkozik-e, mert a HIPAA attól függ, hogy ki Ön és mit írt alá, nem pedig attól, hogyan épült fel a tárolási réteg.

A termék az, ami változtat a beteg számára az saját adatok alapértelmezett kezelésében, ami valamit ér. Ez nem teremt szabályozott kapcsolatot. Tartsa elkülönítve az elméjében a 2026 januárjában elindított klinikus és vállalati egészségügyi kiadásoktól, amelyeket szervezetnek értékesítenek, és ez az egyetlen hely, ahol egy szerződésről egyáltalán szó lehet.

Csak egy aláírt üzleti partneri megállapodás tehet egy AI eszközt kompatibilissé

Egy ChatGPT üzleti partneri megállapodás az egyetlen jogi mechanizmus, amely bevonja az OpenAI-t a HIPAA hatálya alá az Ön szervezetének használata szempontjából. Minden más higiénia.

A BAA-t a szervezet írja alá, nem egy egyéni orvos, és meg kell neveznie a ténylegesen használt konkrét terméket és szintet. Egy API-fiókot fedező BAA nem fedi le a böngésző lapot, amelybe valaki személyes címmel jelentkezett be.

Itt van, amit a legtöbb oldal nem fog elmondani Önnek: egy aláírt BAA egy küszöb, nem egy célvonal. Szerepkör-alapú hozzáférés-vezérlés, ténylegesen elolvasott audit naplózás, minimális-szükséges korlátozások arra, hogy mit küldenek, és olyan munkaerő-képzés nélkül, amely kifejezetten megnevezi ezt az eszközt, egy szerződés és egy megfelelőségi probléma van egyidejűleg. Szerezzen be írásbeli megerősítést az OpenAI-től a BAA elérhetőségéről a pontos SKU-jához, ahelyett, hogy marketingoldalról következtetne. A 2026-os kínálat szabályozási szempontból hetek óta új.

A beteg nevének eltávolítása nem azonosítás megszüntetése

A PHI azonosításának megszüntetését megelőzően a ChatGPT használata előtt a helyes ösztönzés, de a mércét az HHS szabvány jelenti, nem pedig egy mérlegelési döntés. Két módszer minősül: Safe Harbor és hivatalos Szakértői Meghatározás egy minősített statikus által.

A Safe Harbor azt jelenti, hogy eltávolítjuk a 18 felsorolt azonosító kategóriát, és nincs tényleges tudomásunk arról, hogy a megmaradó rész azonosíthatna valakit. Ezek nevek; államnál kisebb földrajzi terület; az egyénhez kapcsolódó összes dátum, beleértve a belépés, kilépés, látogatás és születési dátumokat; telefon, fax és e-mail; társadalombiztosítási, orvosi nyilvántartási, egészségügyi terv és számlaszámok; bizonyítvány- és engedélyszámok; jármű- és eszközazonosítók és sorozatszámok; URL-ek és IP-címek; biometrikus adatok; teljes arcú fényképek; és bármely más egyedi kód.

Azok, amelyeket az orvosok benne hagynak, kiszámíthatók: látogatási dátumok, a város, a 89 év feletti életkor, az MRN a beillesztett jegyzet fejlécében, egy eszköz sorozatszáma, egy fénykép, és verbatim szabad szöveges idézetek, amelyek elég megkülönböztethetők ahhoz, hogy önmagukban is megnevezzék a személyt.

Konkrétan egy olyan jegyzet, amelyből eltávolították a nevet, de még mindig olvasható: "34 éves Bozeman-ben, március 3-án látták, ritka autoimmun diagnózist igazoltak", nem azonosítás nélküli adat. Ez PHI, amelyből a legkönnyebb mezőt törölték.

Az azonosítás megszüntetése sem csodaszer. Eltávolítja a HIPAA kérdést. Nem távolítja el a munkáltatója elfogadható használati szabályzatát, a beszállítói szerződéseket, vagy az állami adatvédelmi törvényeket, amelyek közül több szélesebb körben is érvényes, mint a HIPAA.

Egy HIPAA-kompatibilis AI munkafolyamat hat lépésben, beleértve azt is, ha a PHI már bekerült

Egy HIPAA-kompatibilis ChatGPT nem létezik megvásárolhatóként; ami létezik, az az eszköz és a munkafolyamat közötti rés, és ez a hat lépés zárja be azt.

1. Döntse el, melyik olvasó Ön. Az érintett entitás nevében eljárva a HIPAA vonatkozik arra, amit beír. Ha a saját fiókját használja a saját egészségére, akkor nem.
2. Írásban erősítse meg, hogy a BAA lefedi-e a pontos terméket és szintet, mielőtt bármilyen klinikai használatra kerülne. Nincs BAA, nincs PHI, pont.
3. Kapcsolja ki a modellképzést, és használjon ideiglenes csevegést. Mondja ki hangosan, mi ez: kockázatcsökkentés, nem megfelelőség.
4. Auditálja és távolítsa el a csatlakozókat, amelyek hozzáférnek a klinikai e-mailekhez, a felhőalapú tárhelyhez vagy az EHR-hoz kapcsolódó bármihez, amíg mindegyiket felül nem vizsgálták.
5. A beillesztés előtt azonosítsa azonosítás nélküli módon a Safe Harbor szabványnak megfelelően, majd olvassa el a kimenetet is. A modellek megismétlik az Ön által megadott specifikumokat.
6. Ha PHI már bekerült, kezelje azt potenciális adatvédelmi incidensként. Hagyja abba a szál használatát. Ne törölje csendben, mert ez bizonyíték. Értesítse az adatvédelmi vagy megfelelőségi tisztviselőjét még aznap, dokumentálja, hogy mit közöltek és mikor, és hagyja, hogy ők végezzék el az adatvédelmi incidens bejelentési szabály kockázatelemzését és hozzák meg a bejelentési döntést. Ne állítsa le magát.

Ha Ön beteg, nem pedig orvos, akkor mindez nem vonatkozik Önre. Nincs szüksége BAA-ra és megkerülésre. Döntse el, mit oszt meg, tartsa távol az azonosítókat az olyan kérdésektől, amelyeket nem tenne közzé nyilvánosan, és ha bizonytalan abban, hogy valami mennyire sürgős, az ingyenes August AI tünetellenőrző ésszerű első triage lépés. Amikor Önnek orvosi segítségre van szüksége, nem pedig információra, például online ADHD értékelés, akkor ez egy szolgáltatói kapcsolatban történik, ahol a HIPAA az első bejelentkezési űrlaptól kezdve érvényes.

Néhány tünet soha ne kerüljön először chatbot-hoz

Ennek a cikknek az adatvédelmi tanácsa sem késleltetheti a sürgősségi ellátást. Ha gépelés és hívás között dönt, hívjon.

Hívjon a 911-et, vagy menjen azonnal sürgősségi osztályra, ha:

• Mellkasi fájdalmat vagy légzési nehézséget tapasztal.
• Hirtelen zsibbadást, beszédzavart vagy arcbénulást tapasztal, amelyek agyvérzés jelei.
• Súlyos vérzése van.
• Öngyilkossági gondolatai vannak. Hagyja abba a gépelést, és hívja a 911-et vagy a 988-at. Az AI csevegés nem tudja megvizsgálni Önt, és nem tud segítséget küldeni.

Foglaljon időpontot a következő héten, ha:

• Napok óta triage-ol egy tünetet chatbot-tal, és az nem javul.
• Új csomót vagy magyarázatlan súlyváltozást tapasztal.
• A chatbot folyamatosan azt mondja, hogy orvoshoz kell fordulnia. Ez a válasz, nem pedig egy helyőrző.

Beszéljen orvossal, mielőtt elkezdené, ha:

• Egy AI válasz arra utasítja, hogy hagyja abba a felírt gyógyszert, változtassa meg az adagot, vagy figyelmen kívül hagyja a gondozó csapatát. Először erősítse meg a felíró orvossal. Ezek az eszközök magabiztosan téves orvosi tanácsokat adnak, és ugyanolyan hangnemben teszik ezt, mint amikor helyesek.

A középső szinten az August 39 dolláros online sürgősségi vizite az Egyesült Államokban engedéllyel rendelkező orvoshoz csatlakoztatja, aki ki tudja értékelni a tüneteket és felírhat gyógyszereket, amikor azt megfelelőnek tartja. Az orvos dönt. Egy videós vizit nem tud személyesen megvizsgálni, azonnal képalkotó vizsgálatot rendelni, vagy sürgősségi állapotot kezelni, így az első szinten minden az ER-be tartozik.

Gyakran ismételt kérdések

Büntethető-e egy klinika, ha egy munkatárs beteginformációt illeszt be a ChatGPT-be?

Igen. A felelősség a szervezetet terheli, nem az egyént. A 2026. január 28-i inflációs kiigazítás alapján a HIPAA polgári pénzbírságai az 1. szintű minimális 145 dollártól az 4. szintű minimális 73 011 dollárig terjednek szabálytalankodásonként, éves felső határral, amely 2 190 294 dollár szabálytalankodási kategóriánként. Minden rekord külön számolhat, ami azt jelenti, hogy a kis incidensek nagy számokká válnak.

A Microsoft Copilot, a Google Gemini vagy a Claude ehelyett megfelel a HIPAA-nak?

Általában nem, és az őszinte válasz egy elv, nem pedig egy beszállítói rangsor. A megfelelés a szerződést követi, nem a modellt. Egyik beszállító sem kínál fogyasztói chatbot-ot BAA alatt, és a ChatGPT sem felel meg a HIPAA-nak a fogyasztói szintjein. Ha egy beszállító azt mondja, hogy vállalati vagy felhőalapú kínálata fedezhető, kérje ezt írásban, megnevezve a pontos terméket.

Fellebbezhetek a HIPAA-nak az OpenAI ellen?

Általában nem. Az HHS Polgári Jogok Irodája az érintett entitások és üzleti partnereik ellen benyújtott panaszokat fogadja. BAA hiányában az OpenAI sem egyik, sem másik, így az OCR-nak nincs joghatósága az Ön személyes csevegései felett. Az FTC a megfelelő hely a fogyasztói panaszokra egy nem-HIPAA egészségügyi eszköz esetén, az FTC törvény és a Health Breach Notification Rule alapján.

Ha törlök egy ChatGPT beszélgetést, az egészségügyi információ eltűnik?

Nem. A törlés eltávolítja a szálat a nézetéből, és elindít egy megőrzési órát; másolatok maradhatnak a biztonsági mentésekben, a biztonsági rendszerekben és az alvállalkozói naplókban egy ideig. A klinikák számára fontosabb, hogy a törlés nem vonja vissza a már megtörtént adatvédelmi incidenst. Ha PHI került be, a megfelelési kötelezettség továbbra is fennáll, és a szál törlése elpusztítja az adatvédelmi tisztviselője által szükséges bizonyítékot.

Láthatja a munkáltatóm az egészségügyi kérdéseket, amelyeket egy munkahelyi ChatGPT-fiókba írtam be?

Igen, potenciálisan. A munkahelyi csomagoknál a szervezet tulajdonosa a fióknak, meghatározza a megőrzést, és rendszergazdai hozzáféréssel rendelkezhet a beszélgetési adatokhoz. Feltételezze, hogy bármit beír egy munkahelyi fiókba, az látható a munkáltatója számára, ugyanúgy, mint a munkahelyi e-mail. A személyes egészségügyi kérdéseket egy személyes fiókban, egy személyes eszközön kell feltenni, a saját idejében.

Bármi, amit a ChatGPT-nek egészséggel kapcsolatban kérdezek, bekerül az orvosi nyilvántartásomba, vagy eljut a biztosítómhoz?

Nem. Egy fogyasztói chatbotnak nincs kapcsolata az Ön orvosának EHR-jával vagy az Ön egészségügyi tervével, és a csevegései nem folynak egyikbe sem. A kivételek azok, amelyeket Ön hoz létre: az eszköz összekapcsolása az Ön nyilvántartásait tartalmazó fiókokkal, vagy a kimenet beillesztése egy betegportál üzenetébe. A reklámozási és adatmegosztási gyakorlatok külön aggályt jelentenek, amelyeket az adatvédelmi szabályzat szabályoz.

Sértés-e a HIPAA-t a ChatGPT használata egy beteglevél megfogalmazására?