Apakah ChatGPT Mematuhi HIPAA? Apa Artinya Bagi Pasien dan Klinik

Tidak. Apakah ChatGPT mematuhi HIPAA dalam paket apa pun yang dapat Anda beli hari ini? Tidak, karena OpenAI tidak menandatangani perjanjian mitra bisnis untuk tingkatan konsumennya. HIPAA mengatur organisasi dan kontrak, bukan model. Dan jika Anda mengetikkan informasi kesehatan Anda sendiri ke akun Anda sendiri, HIPAA tidak pernah berlaku.

TL;DR: Poin-poin Penting

• Tidak ada ChatGPT yang mematuhi HIPAA di rak konsumen. Gratis, Plus dan Go, Tim, dan Enterprise tidak dijual dengan perjanjian mitra bisnis (BAA).
• HIPAA mengikat paket kesehatan, badan kliring, penyedia, dan vendor yang dikontrak mereka. Itu tidak mengikat Anda, yang mengetikkan gejala Anda sendiri ke akun Anda sendiri.
• Yang melindungi konsumen sebagai gantinya adalah kebijakan privasi vendor dan Komisi Perdagangan Federal, yang telah mendenda platform kesehatan sebesar $1,5 juta.
• Mematikan pelatihan model dan menggunakan obrolan sementara mengurangi paparan. Itu tidak menciptakan perlindungan hukum.
• Jika informasi kesehatan yang dilindungi (PHI) sudah masuk ke ChatGPT biasa, perlakukan sebagai potensi pelanggaran dan beri tahu petugas privasi Anda pada hari yang sama.

Apakah ChatGPT Mematuhi HIPAA? Tidak dalam versi apa pun yang dapat Anda daftarkan hari ini

Apakah ChatGPT mematuhi HIPAA? Tidak. Pada saat penulisan ini, OpenAI tidak menawarkan perjanjian mitra bisnis pada paket konsumennya (Gratis, Plus dan Go, Tim, atau Perusahaan), dan tanpa kontrak yang ditandatangani tersebut, tidak ada produk yang dapat dicakup. Tidak ada model AI yang mematuhi HIPAA dengan sendirinya: HIPAA mengatur organisasi dan kontrak, jadi kepatuhan bergantung pada BAA yang ditandatangani ditambah bagaimana produk dikonfigurasi, dibatasi, dan dicatat.

Satu-satunya rute di mana BAA bahkan bisa dibahas adalah jajaran khusus layanan kesehatan yang diluncurkan OpenAI pada Januari 2026. Jajaran itu baru, ketentuan-ketentuannya adalah fakta yang paling bergejolak di halaman ini, dan Anda harus memverifikasi ketersediaan untuk produk dan tingkatan Anda sendiri sebelum mengandalkannya.

Sekarang, perubahan perspektif yang lebih penting daripada putusan: bagi kebanyakan orang yang mengetik ke akun mereka sendiri, HIPAA tidak pernah menjadi hukum yang berlaku.

HIPAA Mengikat Klinik Anda dan Vendornya, Bukan Anda dan Keyboard Anda

Hukum menjangkau tepat dua kelompok, keduanya didefinisikan di 45 CFR §160.103: entitas yang dicakup (paket kesehatan, badan kliring layanan kesehatan, dan penyedia yang mengirimkan informasi kesehatan secara elektronik untuk transaksi standar) dan mitra bisnis, yang berarti siapa pun yang membuat, menerima, memelihara, atau mengirimkan PHI saat melakukan fungsi atas nama entitas yang dicakup. Frasa itu membawa seluruh bobot. Perusahaan yang kebetulan menerima teks terkait kesehatan dari anggota masyarakat bukanlah mitra bisnis.

HHS telah mengatasinya untuk aplikasi. Panduan skenario penggunaan aplikasi kesehatannya tidak menemukan hubungan mitra bisnis ketika seseorang mengisi aplikasi dengan data mereka sendiri atas inisiatif mereka sendiri, tanpa kontrak di baliknya.

Jadi, ketika Anda menempelkan gejala Anda sendiri ke akun ChatGPT Anda sendiri, HIPAA tidak berlaku, dan OpenAI tidak melanggarnya. Itu bukan celah. Itu adalah arsitektur undang-undang.

Yang melindungi Anda sebagai gantinya adalah kebijakan privasi OpenAI, yang berfungsi sebagai janji yang dapat ditegakkan, ditambah FTC. Aturan Pemberitahuan Pelanggaran Kesehatan yang diamendemen tahun 2024 secara eksplisit mencakup aplikasi kesehatan dan teknologi serupa yang tidak tunduk pada HIPAA. Dan penegakan itu nyata: FTC mengamankan denda sipil sebesar $1,5 juta terhadap GoodRx pada tahun 2023 karena mengungkapkan data resep dan kondisi kesehatan kepada Facebook dan Google.

Pegang kontras di kepala Anda. Chatbot konsumen berutang kepada Anda kebijakan privasi. Aplikasi telehealth yang dicakup secara kontraktual berutang kepada Anda HIPAA. Antara kunjungan, aplikasi pendamping kesehatan seperti August AI dapat membantu Anda mencatat gejala dan mengajukan pertanyaan dalam bahasa sehari-hari, sebagai tambahan perawatan daripada pengganti, dan tidak pernah sebagai penentu.

Masalah sebenarnya bukanlah chatbot. Ini adalah ke mana kata-kata Anda selanjutnya

Apakah ChatGPT membagikan data Anda? Secara mekanis, ya, dengan cara biasa produk cloud melakukannya. Pada tingkatan konsumen, pengaturan default memungkinkan percakapan digunakan untuk meningkatkan model, disimpan untuk jangka waktu tertentu, dan ditinjau oleh manusia untuk keamanan dan pemecahan masalah. Subpemroses dan vendor infrastruktur menyentuh data itu saat menjalankan layanan, yang persis seperti rantai hilir yang ditulis untuk diatur oleh BAA.

Jawaban jujur untuk apakah ChatGPT membagikan data Anda adalah bahwa itu tergantung pada tingkatan Anda, pengaturan Anda, dan apa yang Anda hubungkan. Yang membawa pada kesalahan yang paling sering saya lihat: mematikan pelatihan model dan beralih ke obrolan sementara benar-benar mengurangi paparan, dan Anda harus melakukan keduanya. Itu tidak menciptakan perlindungan HIPAA. Diperlukan, tidak cukup.

Kemudian ada risiko yang lebih tenang. Konektor memungkinkan ChatGPT mengakses Gmail, Google Drive, kotak masuk klinik yang dibagikan, atau alat yang berdekatan dengan EHR dan membaca apa yang ada di sana. Tidak ada yang perlu menempelkan apa pun. Konektor yang diarahkan ke kotak surat yang penuh dengan surat rujukan adalah pengungkapan yang menunggu untuk terjadi, dan itu tidak akan terlihat seperti itu di log audit siapa pun.

"Privasi yang Ditingkatkan" ChatGPT Health adalah Janji Produk, Bukan Janji Hukum

Apakah ChatGPT Health Mematuhi HIPAA?

Apakah ChatGPT Health Mematuhi HIPAA? Tidak. Konsumen individu tidak dapat memperoleh perjanjian mitra bisnis di ChatGPT Health tidak peduli pengaturan privasi apa pun yang mereka pilih, karena BAA adalah kontrak antara entitas yang dicakup dan vendornya, dan pasien yang menggunakan akun pribadi bukanlah keduanya.

Klaim tentang privasi, isolasi, dan enkripsi yang ditingkatkan adalah pernyataan desain produk. Mereka dapat menjelaskan rekayasa yang sebenarnya dan masih memiliki efek hukum nol terhadap apakah HIPAA berlaku, karena HIPAA bergantung pada siapa Anda dan apa yang Anda tandatangani, bukan pada bagaimana lapisan penyimpanan dibangun.

Apa yang diubah produk untuk pasien adalah penanganan data Anda sendiri secara default, yang berharga. Itu tidak menciptakan hubungan yang diatur. Simpan terpisah dalam pikiran Anda dari edisi layanan kesehatan klinis dan perusahaan yang diluncurkan pada Januari 2026, yang dijual ke organisasi dan merupakan satu-satunya tempat kontrak bahkan dapat dibahas.

Hanya Perjanjian Mitra Bisnis yang Ditandatangani yang Dapat Membuat Alat AI Kepatuhan

Perjanjian mitra bisnis ChatGPT adalah satu-satunya mekanisme hukum yang menarik OpenAI ke dalam HIPAA untuk penggunaan organisasi Anda. Segala sesuatu yang lain adalah kebersihan.

BAA ditandatangani oleh organisasi, bukan oleh dokter individu, dan harus menyebutkan produk dan tingkatan spesifik yang sebenarnya digunakan. BAA yang mencakup akun API tidak mencakup tab peramban yang masuk dengan alamat pribadi.

Berikut ini yang tidak akan diberitahukan oleh kebanyakan halaman: BAA yang ditandatangani adalah dasar, bukan garis finis. Tanpa kontrol akses berbasis peran, pencatatan audit yang benar-benar dibaca, batas minimum-penting pada apa yang dikirimkan, dan pelatihan tenaga kerja yang secara khusus menyebut alat ini, Anda memiliki kontrak dan masalah kepatuhan sekaligus. Dapatkan ketersediaan BAA dikonfirmasi secara tertulis oleh OpenAI untuk SKU Anda yang tepat daripada menyimpulkannya dari halaman pemasaran. Jajaran 2026 berusia beberapa minggu dalam istilah peraturan.

Menghapus nama pasien bukanlah de-identifikasi

Memutuskan untuk melakukan de-identifikasi PHI sebelum menggunakan ChatGPT adalah insting yang benar, tetapi batangnya adalah standar HHS, bukan panggilan penilaian. Dua metode memenuhi syarat: Safe Harbor, dan Penentuan Ahli formal oleh ahli statistik yang berkualitas.

Safe Harbor berarti menghapus semua 18 kategori pengenal yang terdaftar, dan tidak memiliki pengetahuan aktual bahwa apa yang tersisa dapat mengidentifikasi seseorang. Itu adalah nama; geografi lebih kecil dari negara bagian; semua tanggal yang terkait dengan individu, termasuk tanggal masuk, keluar, kunjungan, dan lahir; telepon, faks, dan email; Nomor Jaminan Sosial, rekam medis, paket kesehatan, dan akun; nomor sertifikat dan lisensi; pengenal dan nomor seri kendaraan dan perangkat; URL dan alamat IP; biometrik; foto wajah penuh; dan kode unik lainnya.

Yang ditinggalkan dokter adalah hal yang dapat diprediksi: tanggal kunjungan, kota, usia di atas 89, MRN yang duduk di header catatan yang ditempel, nomor seri perangkat, foto, dan kutipan teks bebas verbatim yang cukup khas untuk menyebutkan orang itu sendiri.

Secara konkret, catatan yang terlepas dari nama yang masih berbunyi "individu berusia 34 tahun di Bozeman, diperiksa 3 Maret, diagnosis autoimun langka terkonfirmasi" bukanlah data yang dide-identifikasi. Itu adalah PHI dengan bidang termudah yang dihapus.

De-identifikasi juga bukan obat mujarab. Itu menghilangkan pertanyaan HIPAA. Itu tidak menghilangkan kebijakan penggunaan yang dapat diterima dari perusahaan Anda, kontrak vendor Anda, atau hukum privasi negara bagian, beberapa di antaranya menyapu lebih luas daripada HIPAA.

Alur kerja AI yang patuh dalam enam langkah, termasuk jika PHI sudah masuk

ChatGPT yang mematuhi HIPAA tidak ada sebagai sesuatu yang Anda beli; yang ada adalah kesenjangan antara alat dan alur kerja, dan enam langkah ini menutupinya.

1. Putuskan pembaca mana Anda. Bertindak atas nama entitas yang dicakup berarti HIPAA berlaku untuk apa yang Anda ketik. Menggunakan akun Anda sendiri untuk kesehatan Anda sendiri berarti tidak berlaku.
2. Konfirmasikan secara tertulis apakah BAA mencakup produk dan tingkatan yang tepat sebelum penggunaan klinis apa pun. Tidak ada BAA berarti tidak ada PHI, titik.
3. Matikan pelatihan model dan gunakan obrolan sementara. Ucapkan dengan lantang apa ini: pengurangan risiko, bukan kepatuhan.
4. Audit dan putuskan konektor yang mengakses email klinis, penyimpanan cloud, atau apa pun yang berdekatan dengan EHR, sampai masing-masing telah ditinjau.
5. Lakukan de-identifikasi sesuai standar Safe Harbor sebelum menempel, lalu baca outputnya juga. Model mengulang kembali spesifik yang Anda berikan kepada mereka.
6. Jika PHI sudah masuk, perlakukan sebagai potensi pelanggaran. Hentikan penggunaan utasnya. Jangan diam-diam menghapusnya, karena itu adalah bukti. Beri tahu petugas privasi atau kepatuhan Anda pada hari yang sama, dokumentasikan apa yang diungkapkan dan kapan, dan biarkan mereka menjalankan penilaian risiko Aturan Pemberitahuan Pelanggaran dan membuat keputusan pemberitahuan. Jangan menyelesaikannya sendiri.

Jika Anda adalah pasien daripada dokter, semua itu tidak berlaku untuk Anda. Anda tidak memerlukan BAA dan solusi sementara. Putuskan apa yang nyaman Anda bagikan, jauhkan pengenal dari permintaan yang tidak akan Anda publikasikan, dan jika Anda tidak yakin seberapa mendesak sesuatu, Pemeriksa Gejala AI August gratis adalah langkah triase pertama yang masuk akal. Ketika apa yang Anda butuhkan adalah perawatan daripada informasi, misalnya evaluasi ADHD online, itu terjadi dalam hubungan penyedia di mana HIPAA berlaku dari formulir pendaftaran pertama.

Beberapa gejala tidak boleh langsung ke chatbot

Tidak ada dalam nasihat privasi artikel ini yang boleh menunda perawatan darurat. Jika Anda memilih antara mengetik dan menelepon, hubungi.

Hubungi 911 atau pergi ke ruang gawat darurat sekarang jika:

• Anda mengalami nyeri dada atau kesulitan bernapas.
• Anda mengalami mati rasa mendadak, bicara cadel, atau wajah terkulai, yang merupakan tanda-tanda stroke.
• Anda mengalami pendarahan hebat.
• Anda memiliki pikiran bunuh diri. Berhenti mengetik dan hubungi 911 atau 988. Obrolan AI tidak dapat memeriksa Anda atau mengirimkan bantuan.

Jadwalkan kunjungan dalam seminggu ke depan jika:

• Anda telah melakukan triase gejala yang sama dengan chatbot selama berhari-hari dan tidak membaik.
• Anda memiliki benjolan baru atau perubahan berat badan yang tidak dapat dijelaskan.
• Chatbot terus menyuruh Anda menemui dokter. Itu adalah jawabannya, bukan tempat penampungan.

Bicaralah dengan dokter sebelum Anda memulai jika:

• Respons AI menyuruh Anda menghentikan pengobatan yang diresepkan, mengubah dosis, atau mengabaikan tim perawatan Anda. Konfirmasikan dengan peresep Anda terlebih dahulu. Alat-alat ini menghasilkan panduan medis yang salah secara percaya diri, dan mereka melakukannya dengan nada yang sama seperti saat mereka benar.

Untuk tingkatan tengah, kunjungan perawatan mendesak online August seharga $39 menghubungkan Anda dengan dokter berlisensi AS yang dapat mengevaluasi gejala dan meresepkan jika mereka menilainya sesuai. Dokter yang memutuskan. Kunjungan video tidak dapat memeriksa Anda secara pribadi, memesan pencitraan di tempat, atau mengelola keadaan darurat, jadi apa pun di tingkatan pertama harus masuk ke UGD.

Pertanyaan yang Sering Diajukan

Bisakah klinik didenda jika seorang anggota staf menempelkan informasi pasien ke ChatGPT?

Ya. Kewajiban melekat pada organisasi, bukan individu. Berdasarkan penyesuaian inflasi 28 Januari 2026, denda moneter sipil HIPAA berjalan dari minimum Tier 1 sebesar $145 per pelanggaran hingga minimum Tier 4 sebesar $73.011 per pelanggaran, dengan batas tahunan sebesar $2.190.294 per kategori pelanggaran. Setiap catatan dapat dihitung secara terpisah, yang menjelaskan bagaimana insiden kecil menjadi angka besar.

Apakah Microsoft Copilot, Google Gemini, atau Claude Mematuhi HIPAA sebagai gantinya?

Biasanya tidak, dan jawaban jujur adalah prinsip daripada peringkat vendor. Kepatuhan mengikuti kontrak, bukan model. Tidak ada chatbot konsumen dari vendor mana pun yang dijual di bawah BAA, dan begitu pula ChatGPT yang mematuhi HIPAA dalam tingkatan konsumennya. Jika vendor memberi tahu Anda bahwa penawaran perusahaan atau cloud-nya dapat dicakup, dapatkan secara tertulis yang menyebutkan produk Anda yang tepat.

Bisakah saya mengajukan keluhan HIPAA terhadap OpenAI?

Biasanya tidak. Kantor Hak Sipil HHS menerima keluhan tentang entitas yang dicakup dan mitra bisnis mereka. Tanpa BAA yang berlaku, OpenAI bukanlah keduanya, sehingga OCR tidak memiliki yurisdiksi atas obrolan pribadi Anda. FTC adalah forum yang tepat untuk keluhan konsumen tentang alat kesehatan non-HIPAA, berdasarkan Undang-Undang FTC dan Aturan Pemberitahuan Pelanggaran Kesehatan.

Jika saya menghapus percakapan ChatGPT, apakah informasi kesehatan hilang?

Tidak. Penghapusan menghapus utas dari pandangan Anda dan memulai jam retensi; salinan mungkin tetap ada dalam cadangan, sistem keamanan, dan log subpemroses untuk jangka waktu tertentu. Lebih penting lagi bagi klinik, penghapusan tidak membatalkan pengungkapan yang sudah terjadi. Jika PHI masuk, kewajiban kepatuhan tetap ada, dan menghapus utas menghancurkan bukti yang dibutuhkan petugas privasi Anda.

Bisakah perusahaan saya melihat pertanyaan kesehatan yang saya ketik ke akun ChatGPT kantor?

Ya, berpotensi. Pada paket ruang kerja, organisasi memiliki akun, mengatur retensi, dan dapat memiliki akses administratif ke data percakapan. Asumsikan apa pun yang diketik ke akun kantor dapat dilihat oleh perusahaan Anda, sama seperti email kantor. Pertanyaan kesehatan pribadi harus berada di akun pribadi di perangkat pribadi, di waktu luang Anda.

Apakah ada yang saya tanyakan kepada ChatGPT tentang kesehatan saya berakhir di rekam medis saya atau menjangkau perusahaan asuransi saya?

Tidak. Chatbot konsumen tidak memiliki koneksi ke EHR dokter Anda atau ke paket kesehatan Anda, dan obrolan Anda tidak mengalir ke keduanya. Pengecualian adalah yang Anda buat: menghubungkan alat ke akun yang berisi catatan Anda, atau menempelkan outputnya ke dalam pesan portal pasien. Praktik periklanan dan berbagi data adalah masalah terpisah yang diatur oleh kebijakan privasi.

Apakah melanggar HIPAA menggunakan ChatGPT untuk menyusun surat pasien?

Kadang-kadang, dan garis pemisah adalah pengenal. Meminta templat surat banding generik tanpa detail pasien bukanlah pengungkapan PHI, meskipun kebijakan perusahaan Anda mungkin masih melarangnya. Menempelkan nama, tanggal lahir, tanggal kunjungan, atau diagnosis menjadikannya pengungkapan kepada vendor tanpa BAA, yang merupakan pelanggaran.

Intinya

Apakah ChatGPT Mematuhi HIPAA? Tidak, dan jawaban itu tidak akan berubah karena pengaturan yang Anda alihkan. Itu berubah hanya ketika sebuah organisasi menandatangani BAA yang menyebutkan produk tertentu dan kemudian membangun kontrol akses, pencatatan, dan pelatihan di sekitarnya. Jika Anda seorang dokter, urutannya sederhana: tidak ada kontrak, tidak ada PHI, dan lakukan de-identifikasi ke standar Safe Harbor ketika Anda menggunakannya. Jika Anda seorang pasien, pertanyaan itu ditujukan pada hukum yang salah. HIPAA membatasi penyedia layanan Anda dan vendor mereka. Perlindungan Anda berasal dari kebijakan privasi yang Anda setujui, FTC di belakangnya, dan penilaian Anda sendiri tentang apa yang harus diketik.

Penafian: Artikel ini hanya untuk tujuan informasi dan tidak merupakan nasihat medis. Selalu konsultasikan dengan penyedia layanan kesehatan yang berkualifikasi untuk keputusan diagnosis dan pengobatan. Jika Anda mengalami keadaan darurat medis, segera hubungi 911 atau pergi ke ruang gawat darurat terdekat.