Er ChatGPT í samræmi við HIPAA? Hvað þýðir það fyrir sjúklinga og heilsugæslustöðvar

Nei. Er ChatGPT í samræmi við HIPAA á neinu áætlun sem hægt er að kaupa í dag? Nei, því OpenAI undirritar ekki samning um viðskiptafélaga fyrir neytendaþjónustur sínar. HIPAA reglur um stofnanir og samninga, ekki líkön. Og ef þú slærð inn eigin heilsufarsupplýsingar í þína eigin reikning, þá hefur HIPAA aldrei gilt.

TL;DR: Lykilatriði

• Það er ekkert ChatGPT í samræmi við HIPAA á neytendamarkaði. Ókeypis, Plus og Go, Team og Enterprise eru ekki seld með samningi um viðskiptafélaga (BAA).
• HIPAA bindur sjúratryggingafélög, hreinsunarmiðstöðvar, veitendur og samningsbundna birgja þeirra. Það bindur ekki þig, sem slærð inn eigin einkenni í þinn eigin reikning.
• Það sem verndar neytendur í staðinn er persónuverndarstefna birgjans og Federal Trade Commission, sem hefur þegar sektað heilsuvettvang um 1,5 milljónir dollara.
• Að slökkva á líkanþjálfun og nota tímabundnar spjalllækkar útsetningu. Það skapar ekki lagalega vernd.
• Ef verndaðar heilsufarsupplýsingar (PHI) fóru þegar inn í venjulegt ChatGPT, meðhöndla það sem hugsanlegt brot og tilkynna það persónuverndarfulltrúa þínum sama dag.

Er ChatGPT í samræmi við HIPAA? Ekki í neinni útgáfu sem þú getur skráð þig í dag

Er ChatGPT í samræmi við HIPAA? Nei. Eins og þetta er skrifað, býður OpenAI ekki upp á samning um viðskiptafélaga á neytendaáætlunum sínum (Ókeypis, Plus og Go, Team eða Enterprise), og án þess samnings getur engin vara verið undir vernd. Engin gervigreindarlíkan er í samræmi við HIPAA að eigin frumkvæði: HIPAA reglur um stofnanir og samninga, svo samræmi fer eftir undirrituðum BAA auk þess hvernig varan er stillt, takmörkuð og skráð.

Eina leiðin þar sem BAA er jafnvel á borðinu er heilbrigðiskerfið sem OpenAI hleypti af stokkunum í janúar 2026. Það kerfi er nýtt, skilmálar þess eru flóknasta staðreynd á þessari síðu, og þú ættir að staðfesta framboð fyrir þína eigin vöru og flokk áður en þú treystir því.

Nú endurgerðin sem skiptir meira máli en dómsorðið: fyrir flesta sem slá inn í sinn eigin reikning, hefur HIPAA aldrei verið lögð sem í gildi.

HIPAA bindur heilsugæslustöð þína og birgja hennar, ekki þig og lyklaborðið þitt

Lögin ná til nákvæmlega tveggja hópa, báðir skilgreindir á 45 CFR §160.103: verndaðir aðilar (sjúratryggingafélög, heilsuupplýsingamiðstöðvar og veitendur sem senda heilsufarsupplýsingar rafrænt fyrir staðlaðar viðskipti) og viðskiptafélagar, sem þýðir hver sem býr til, fær, viðheldur eða sendir PHI á meðan hann sinnir virkni fyrir hönd verndaðs aðila. Þessi setning ber alla þyngdina. Fyrirtæki sem tilviljun finnur heilsu-tengd texta frá almennum einstaklingi er ekki viðskiptafélagi.

HHS hefur þegar unnið þetta í gegnum fyrir forrit. Leiðbeiningar þess um heilsuforrita atburðarásir finna enga viðskiptafélagastöðu þegar einstaklingur fyllir forrit með eigin gögnum að eigin frumkvæði, án samnings að baki.

Svo þegar þú límir inn eigin einkenni í þinn eigin ChatGPT reikning, gildir HIPAA ekki, og OpenAI brýtur það ekki. Það er ekki lagaviðgerð. Það er arkitektúr laganna.

Það sem verndar þig í staðinn er persónuverndarstefna OpenAI, sem virkar sem framseljanlegt loforð, auk FTC. Breytta reglan um tilkynningu um heilsu brot árið 2024 nær sérstaklega til heilsufarsforrita og svipaðra tækni sem ekki falla undir HIPAA. Og það framfylgni er raunveruleg: FTC fékk 1,5 milljónir dala sektar fyrir GoodRx árið 2023 fyrir að birta lyfseðils- og heilsuupplýsingar til Facebook og Google.

Hald í þér muninn. Neytendaspjall vélar skulda þér persónuverndarstefnu. Fjarheilsu app sem er samningsbundin skulda þér HIPAA. Á milli heimsókna getur heilsuhjálparforrit eins og August AI hjálpað þér að skrá einkenni og spyrja spurninga á einföldu máli, sem viðbót við umönnun frekar en staðgengill hennar, og aldrei sem það sem ákveður.

Raunverulegt vandamál er ekki spjallvél. Það er hvert orð þín fara næst

Deilir ChatGPT gögnunum þínum? Vélrænt, já, á venjulegan hátt og ský vörur gera það. Á neytendaþjónustustigum leyfa sjálfgefnar stillingar samræður að vera notaðar til að bæta líkön, geymdar í ákveðinn tíma og skoðaðar af mönnum til öryggis og úrræðaleitar. Undirverktakar og innviðir birgjar snerta þessi gögn meðan þeir reka þjónustuna, sem er einmitt niðurstreymiskeðja sem BAA er skrifaður til að stjórna.

Heiðarlega svarið við því hvort ChatGPT deilir gögnunum þínum er að það fer eftir þínum flokki, stillingum þínum og hvað þú tengdir það við. Sem leiðir til mistaka sem ég sé oftast: að slökkva á líkanþjálfun og skipta yfir í tímabundna spjall lækkar útsetningu, og þú ættir að gera bæði. Það skapar ekki HIPAA vernd. Nauðsynlegt, ekki nægilegt.

Svo er það þagnariskin. Tengingar leyfa ChatGPT að ná inn í Gmail, Google Drive, samnýttan netpósthólf heilsugæslustöðvar eða EHR-tengt tæki og lesa hvað þar er. Enginn þarf að líma neitt inn. Tenging sem beint er að pósthólfi fullu af tilvísunarbólum er upplýsingagjöf að gerast, og það mun ekki líta út eins og það í neinni úttektaskrá.

ChatGPT Health "bætt öryggi" er vöruheit, ekki lagalegt

Er ChatGPT Health í samræmi við HIPAA?

Er ChatGPT Health í samræmi við HIPAA? Nei. Einstakur neytandi getur ekki fengið samning um viðskiptafélaga á ChatGPT Health, sama hvaða persónuverndarstillingar hann velur, vegna þess að BAA er samningur milli verndaðs aðila og birgjans hans, og sjúklingur sem notar persónulegan reikning er hvorki hvorttveggja.

Fullyrðingar um bætt öryggi, einangrun og dulkóðun eru vöruhönnunar yfirlýsingar. Þær geta lýst raunverulegri verkfræði og samt haft engin lagaleg áhrif á hvort HIPAA gildir, vegna þess að HIPAA snýst um hver þú ert og hvað þú hefur undirritað, ekki hvernig geymslulagið er byggt.

Það sem varan breytir fyrir sjúkling er sjálfgefin meðhöndlun á eigin gögnum, sem er eitthvað virði. Það skapar ekki reglulegt samband. Hafðu það aðskilið í huga þínum frá læknis- og fyrirtækjadeildum heilbrigðisútgáfna sem hleypt var af stokkunum í janúar 2026, sem eru seldar stofnunum og eru eina staðurinn þar sem samningur er jafnvel ræðanlegur.

Aðeins undirritaður samningur um viðskiptafélaga getur gert gervigreindartæki í samræmi

Samningur um viðskiptafélaga fyrir ChatGPT er eina lagatækið sem dregur OpenAI inn í HIPAA fyrir notkun stofnunar þinnar. Allt annað er hreinlæti.

BAA er undirritaður af stofnuninni, ekki af einstökum lækni, og hann verður að nefna sérstaka vöru og flokk sem í raun er í notkun. BAA sem fjallar um API reikning nær ekki yfir vafragluggann sem einhver skráði sig inn á með persónulegt heimilisfang.

Hér er það sem flestar síður munu ekki segja þér: undirritaður BAA er gólf, ekki áfangastaður. Án aðgangsstýringar byggðar á hlutverki, úttektaskráningar sem einhver les raunverulega, lágmarksnauðsynlegar takmarkanir á því sem er sent, og þjálfun starfsfólks sem nefnir þetta tól sérstaklega, hefur þú samning og samræmisvandamál á sama tíma. Fáðu BAA framboð staðfest sk riflega af OpenAI fyrir nákvæma SKU þína frekar en að draga ályktanir af markaðssíðu. 2026 útgáfan er vikugömul í reglugerðarskyni.

Að fjarlægja nafn sjúklings er ekki afgreining

Ákvörðun um að afgreina PHI áður en ChatGPT er notað er rétt viðbragð, en mörkin eru HHS staðall, ekki matsákvörðun. Tvær aðferðir komast að: Örugg höfn, og formleg sérfræðingaskilgreining af hæfum stærðfræðingi.

Örugg höfn þýðir að fjarlægja allar 18 taldar auðkennissflokka og að hafa enga raunverulega vitneskju um að það sem eftir er gæti auðkennt einhvern. Það eru nöfn; landfræði minni en ríki; allar dagsetningar tengdar einstaklingnum, þar á meðal fæðingardagar, útskriftar, heimsóknar og fæðingardagar; sími, fax og tölvupóstur; félagsöryggis-, sjúkraskrá-, heilsuáætlun- og reikningsnúmer; vottorðs- og leyfisnúmer; ökutæki- og tækjaskilríki og raðnúmer; URL og IP-tölur; lífræn gagna; myndir af fullu andliti; og hvaða annan einstakan kóða sem er.

Þeir sem læknar skilja eftir eru spáðir: heimsóknardagsetningar, borgin, aldur yfir 89, MRN sem situr í hausnum á límdum minnisblaðinu, tæki raðnúmer, ljósmynd og nákvæmur texti sem eru nógu einstakir til að nefna manneskjuna sjálfan.

Hagnýtt séð, minnisblað sem strikað er úr nafni sem enn les "34 ára í Bozeman, séð 3. mars, staðfest sjaldgæf sjálfvirk sjúkdómsgreining" er ekki afgreint gögn. Það eru PHI með auðveldasta reitnum eytt.

Aðgreining er heldur ekki lækning alls. Það fjarlægir HIPAA spurninguna. Það fjarlægir ekki samþykktar notkunarstefnu vinnuveitanda þíns, samninga birgjans þíns, eða lög um persónuvernd í ríkjum, nokkur sem sópa breiðari en HIPAA gerir.

Samræmt gervigreindarframleiðsla í sex skrefum, þar á meðal ef PHI fór þegar inn

ChatGPT í samræmi við HIPAA er ekki til sem eitthvað sem þú kaupir; það sem er til er bilið milli tækis og vinnuferils, og þessi sex skref loka því.

1. Ákvarðaðu hvaða lesandi þú ert. Að starfa fyrir verndaðan aðila þýðir að HIPAA gildir um það sem þú slærð inn. Að nota eigin reikning fyrir eigin heilsu þýðir að það gerir það ekki.
2. Staðfestu sk riflega hvort BAA nær yfir nákvæma vöru og flokk áður en klínísk notkun fer fram. Engin BAA þýðir engin PHI, algjörlega.
3. Slökktu á líkanþjálfun og notaðu tímabundið spjall. Segðu upphátt hvað þetta er: áhættuminnkun, ekki samræmi.
4. Skoðaðu og aftengdu tengingar sem ná til klínískra netpósta, skýgeymslu, eða eitthvað nálægt EHR, þar til hver þeirra hefur verið endurskoðuð.
5. Afnefna til Safe Harbor staðalsins áður en þú límir inn, lestu síðan úttakið líka. Líkan endurtekur sérkenni sem þú gafst þeim.
6. Ef PHI fór þegar inn, meðhöndla það sem hugsanlegt brot. Hættu að nota þráðinn. Ekki eyða honum hljóðlega, því það er sönnunargögn. Tilkynntu persónuverndar- eða samræmisstjóra þínum sama dag, skráðu hvað var upplýst og hvenær, og láttu þá framkvæma áhættumat reglugerðar um tilkynningu um brot og taka ákvörðun um tilkynningu. Ekki hreinsa það sjálfur.

Ef þú ert sjúklingur frekar en læknir, gildir ekkert af því fyrir þig. Þú þarft enga BAA og enga vinnu. Ákvarðaðu hvað þú ert þægilegur með að deila, haltu auðkennum frá leiðbeiningum sem þú myndir ekki birta opinberlega, og ef þú ert óviss um hversu brátt eitthvað er, er ókeypis August AI Symptom Checker sanngjarnt fyrsta flokkunarspor. Þegar það sem þú þarft er umönnun frekar en upplýsingar, til dæmis online ADHD mat, gerist það innan veitendaráðuneytis þar sem HIPAA gildir frá fyrsta innsendingareyðublaðinu.

Sum einkenni ættu aldrei að fara í spjallvél fyrst

Ekkert í persónuverndarráðleggingum þessarar greinar ætti að tefja bráða umönnun. Ef þú ert að ákveða milli þess að slá inn og hringja, hringdu.

Hringdu í 911 eða farðu á bráðamóttöku núna ef:

• Þú finnur fyrir brjóstverk eða öndunarerfiðleikum.
• Þú finnur fyrir skyndilegum dofa, óskýrri ræðu eða hangandi andliti, sem eru merki um heilablóðfall.
• Þú ert með mikinn blæðingar.
• Þú hefur sjálfsvígshugsanir. Hættu að slá inn og hringdu í 911 eða 988. Gervigreind spjall getur ekki skoðað þig eða sent hjálp.

Bókaðu heimsókn innan næstu viku ef:

• Þú hefur verið að flokka sömu einkenni með spjallvél í daga og þau lagast ekki.
• Þú finnur fyrir nýjum hnút eða óútskýrðri þyngdaraukningu.
• Spjallvélin heldur áfram að segja þér að fara til læknis. Það er svarið, ekki biðstaða.

Talaðu við lækni áður en þú byrjar ef:

• Gervigreindarviðbrögð segja þér að hætta lyfseðilsskyldu lyfjum, breyta skammti, eða hunsaðu umönnunarteymið þitt. Staðfestu við lækninn þinn fyrst. Þessi tæki framleiða sjálfstraust rangar læknisleiðbeiningar, og þau gera það í sama tón og þau nota þegar þau hafa rétt fyrir sér.

Fyrir miðflokkinn, August's $39 online urgent care heimsókn tengir þig við bandarískan lækni sem getur metið einkenni og gefið lyfseðla þegar þeir meta það viðeigandi. Læknirinn ákveður. Vídeó heimsókn getur ekki skoðað þig persónulega, pantað myndgreiningu á staðnum, eða meðhöndlað neyðartilvik, svo allt í fyrsta flokknum tilheyrir bráðamóttöku.

Oft spurðar spurningar

Getur heilsugæslustöð verið sektað ef starfsmaður límar sjúklingaupplýsingar inn í ChatGPT?

Já. Ábyrgð leggst á stofnunina, ekki einstaklinginn. Samkvæmt 1. janúar 2026 ákvörðun um verðbólgu, hlaupa HIPAA sektir frá 1. flokks lágmarki $145 á brot til 4. flokks lágmarki $73.011 á brot, með árlegu hámarki $2.190.294 á brotaflokk. Hver skráning getur talið sérstaklega, sem er hvernig lítil atvik verða stór tala.

Eru Microsoft Copilot, Google Gemini eða Claude í samræmi við HIPAA í staðinn?

Yfirleitt ekki, og heiðarlega svarið er meginregla frekar en mat á birgja. Samræmi fylgir samningnum, ekki líkaninu. Engin neytendasspjallvél frá neinum birgi er seld undir BAA, og hvorki er ChatGPT í samræmi við HIPAA í neytendaflokkum sínum. Ef birgir segir þér að fyrirtækja- eða skýjalausn þeirra geti verið undir vernd, fáðu það sk riflega nefnt nákvæma vöru þína.

Get ég lagt fram HIPAA kvörtun á hendur OpenAI?

Yfirleitt ekki. HHS skrifstofan fyrir borgararéttindi tekur við kvörtunum um verndaða aðila og viðskiptafélaga þeirra. Án BAA í gildi, eru hvorki OpenAI, svo OCR hefur ekki lögsögu yfir persónulegum spjallum þínum. FTC er rétta vettvangurinn fyrir neytendakvörtun um heilsuverkfæri sem ekki eru undir HIPAA, samkvæmt FTC lögum og reglu um tilkynningu um heilsubrot.

Ef ég eyði ChatGPT samræðu, er heilsufarsupplýsingunum eytt?

Nei. Eyðing fjarlægir þráðinn úr þinni sýn og byrjar geymslutíma; afrit geta verið til í öryggisafritum, öryggiskerfum og undirverktakaskrám í ákveðinn tíma. Mikilvægara fyrir heilsugæslustöð, eyðing afléttir ekki upplýsingagjöf sem þegar hefur gerst. Ef PHI fór inn, er samræmisskyldan til staðar óháð því, og eyðing þráðarins eyðileggur sönnunargögnin sem persónuverndarstjóri þinn þarf.

Getur vinnuveitandinn minn séð heilsuspurningarnar sem ég sló inn í vinnu ChatGPT reikning?

Já, hugsanlega. Á vinnusvæðisáætlunum á stofnunin reikninginn, setur varðveislu og getur haft stjórnunaraðgang að samræðugögnum. Gerðu ráð fyrir að allt sem slökkt er á í vinnu reikningi sé sýnilegt vinnuveitanda þínum, eins og vinnupóstur. Persónulegar heilsuspurningar tilheyra í persónulegum reikningi á persónulegu tæki, á eigin tíma.

Endar eitthvað af því sem ég spyr ChatGPT um heilsu mína í sjúkraskrá minni eða nær til tryggingafélags míns?

Nei. Neytendaspjallvél hefur enga tengingu við EHR læknis þíns eða heilsuáætlun þína, og spjall þín renna ekki inn í hvorki. Undantekningarnar eru þær sem þú býrð til: að tengja tækið við reikninga sem geyma skrár þínar, eða að líma úttakið inn í skilaboð sjúklingagáttar. Auglýsingar og gögnadeilingaraðferðir eru sérstakt áhyggjuarefni sem stjórnast af persónuverndarstefnu.

Er það HIPAA brot að nota ChatGPT til að draga upp bréf til sjúklings?

Stundum, og skilalínan eru auðkennir. Að biðja um almennt aðlaðandi bréf sniðmát án sjúklingaupplýsinga er ekki upplýsingagjöf um PHI, þó stefna vinnuveitanda þíns gæti samt bannað það. Að líma inn nafn, fæðingardag, heimsóknardagsetningu eða greiningu gerir það að upplýsingagjöf til birgjans án BAA, sem er brotið.

Niðurstaðan

Er ChatGPT í samræmi við HIPAA? Nei, og það svar mun ekki breytast vegna stillingar sem þú gerir. Það breytist aðeins þegar stofnun undirritar BAA sem nefnir sérstaka vöru og byggir síðan aðgangsstýringar, úttektir og þjálfun í kringum það. Ef þú ert læknir, er röðin einföld: enginn samningur, engin PHI, og afnefna til Safe Harbor staðalsins þegar þú notar það. Ef þú ert sjúklingur, var spurningin miðuð við ranga löggjöf. HIPAA takmarkar veitendur þína og birgja þeirra. Vernd þín kemur frá persónuverndarstefnunni sem þú samþykktir, FTC á bak við hana, og þínu eigin mati á því hvað þú átt að slá inn.

Fyrirvari: Þessi grein er eingöngu til upplýsinga og er ekki læknisráðgjöf. Hafðu alltaf samband við hæfan heilbrigðisstarfsmann til að taka ákvarðanir um greiningu og meðferð. Ef þú ert að upplifa læknisfræðilegt neyðartilvik, hringdu í 911 eða farðu á næstu bráðamóttöku strax.