ChatGPTはHIPAAに準拠していますか？患者とクリニックにとっての意味

いいえ。現在購入できるどのプランでもChatGPTはHIPAAに準拠していません。なぜなら、OpenAIはコンシューマー向けのプランでは事業提携契約（BAA）に署名しないからです。HIPAAはモデルではなく、組織と契約を規制します。また、ご自身の健康情報をご自身のアカウントに入力する場合、HIPAAは適用されません。

TL;DR：主なポイント

• 市販されているHIPAA準拠のChatGPTはありません。無料、Plus、Go、Team、Enterpriseは、事業提携契約（BAA）なしで販売されています。
• HIPAAは、医療保険、クリアリングハウス、医療提供者、およびそれらの契約ベンダーを拘束します。あなた自身が、あなたのアカウントに症状を入力することは、HIPAAの対象ではありません。
• 代わりに消費者を保護するのは、ベンダーのプライバシーポリシーと連邦取引委員会（FTC）であり、FTCはすでに医療プラットフォームに150万ドルの罰金を科しています。
• モデルトレーニングをオフにし、一時的なチャットを使用すると、リスクは低減されます。これは法的な保護を提供するものではありません。
• 保護されるべき医療情報（PHI）が通常のChatGPTに入力された場合は、潜在的な情報漏洩として扱い、その日のうちにプライバシー担当者に報告してください。

ChatGPTはHIPAAに準拠していますか？今日サインアップできるどのバージョンも準拠していません

ChatGPTはHIPAAに準拠していますか？いいえ。本記事執筆時点では、OpenAIはコンシューマー向けプラン（無料、PlusおよびGo、Team、Enterprise）では事業提携契約（BAA）を提供していません。そのため、署名された契約なしでは、いかなる製品もHIPAAの対象となりません。AIモデル自体がHIPAAに準拠することはありません。HIPAAは組織と契約を規制するため、準拠は署名されたBAAと、製品の設定、制限、およびログ記録の方法に依存します。

BAAが検討される可能性のある唯一のルートは、OpenAIが2026年1月にローンチした医療に特化したラインナップです。そのラインナップは新しく、その利用規約はこのページで最も変動しやすい事実であり、依存する前にご自身の製品とティアでの利用可能性を確認する必要があります。

さて、判定よりも重要な再考点です。ご自身のアカウントに入力するほとんどの人にとって、HIPAAはそもそも適用される法律ではありませんでした。

HIPAAはあなたのクリニックとそのベンダーを拘束し、あなたとあなたのキーボードを拘束するものではありません

この法律は、45 CFR §160.103で定義されている2つのグループのみを対象としています。対象事業体（医療保険、医療クリアリングハウス、および標準取引のために電子的に医療情報を送信する医療提供者）と、事業提携者（対象事業体に代わって機能を実施する際に、PHIを作成、受領、維持、または送信する者）です。この「対象事業体に代わって」というフレーズがすべてを決定します。一般市民からの医療関連のテキストを偶然受信した企業は、事業提携者ではありません。

HHSは、アプリに関してすでにこの問題を解決しています。その健康アプリ利用シナリオガイダンスでは、個人が契約なしに、自発的に自身のデータをご自身のアカウントでアプリに入力する場合、事業提携関係は成立しないと結論付けています。

したがって、ご自身の症状をご自身のChatGPTアカウントに貼り付けても、HIPAAは適用されず、OpenAIもそれを違反していることにはなりません。これは抜け穴ではなく、法律の構造そのものです。

代わりにあなたを保護するのは、執行力のある約束として機能するOpenAIのプライバシーポリシーとFTCです。2024年に改正されたHealth Breach Notification Ruleは、HIPAAの対象とならない健康アプリや類似のテクノロジーを明確にカバーしています。そして、その執行は現実的です。FTCは、2023年にGoodRxがFacebookやGoogleに処方箋と健康状態のデータを開示したとして、150万ドルの民事罰を科しました。

この対比を頭に入れてください。コンシューマー向けチャットボットは、プライバシーポリシーを提供する義務があります。契約によってカバーされる遠隔医療アプリは、HIPAAを遵守する義務があります。診察の合間に、August AIのような健康コンパニオンアプリは、症状を記録したり、平易な言葉で質問したりするのに役立ちますが、それはケアの補助としてであり、代用品ではありません。また、決定を下すためのものでもありません。

本当の問題はチャットボットではなく、あなたの言葉が次にどこへ行くかです

ChatGPTはあなたのデータを共有しますか？機械的には、クラウド製品が通常行う方法で共有します。コンシューマー向けのプランでは、デフォルト設定で会話がモデルの改善に使用されたり、一定期間保持されたり、安全性とトラブルシューティングのために人間によってレビューされたりします。サブプロセッサやインフラストラクチャベンダーは、サービスを実行する際にそのデータに触れます。これはまさにBAAが規制するように設計されている下流の連鎖です。

ChatGPTがあなたのデータを共有するかどうかについての正直な答えは、あなたのプラン、設定、および接続したものによって異なります。ここで、最もよく見かける間違いに触れます。モデルトレーニングをオフにし、一時的なチャットに切り替えることは、リスクを効果的に低減します。両方行うべきです。しかし、これはHIPAAの準拠を提供するものではありません。必要条件ではありますが、十分条件ではありません。

そして、より静かなリスクがあります。コネクタを使用すると、ChatGPTはGmail、Googleドライブ、共有クリニックの受信トレイ、またはEHR関連ツールにアクセスして、そこにあるものを読み取ることができます。誰も何も貼り付ける必要はありません。紹介状がいっぱいのメールボックスに向けられたコネクタは、情報漏洩の兆候であり、誰かの監査ログにはそのように表示されません。

ChatGPT Healthの「強化されたプライバシー」は製品の約束であり、法的約束ではありません

ChatGPT HealthはHIPAAに準拠していますか？

ChatGPT HealthはHIPAAに準拠していますか？いいえ。個人がChatGPT Healthで事業提携契約（BAA）を取得することはできません。どのプライバシー設定を選択しても、BAAは対象事業体とそのベンダー間の契約であり、個人アカウントを使用する患者はどちらでもないからです。

強化されたプライバシー、隔離、暗号化に関する主張は、製品設計上の表明です。これらは、実際のエンジニアリングを説明している場合でも、HIPAAが適用されるかどうかという法的効力にはまったく影響しません。なぜなら、HIPAAはあなたが誰であるか、そして何を署名したかに基づいており、ストレージレイヤーがどのように構築されているかではありません。

製品が患者にとって変更するのは、ご自身のデータのデフォルトの扱いであり、それは価値があります。しかし、それは規制された関係を確立するものではありません。2026年1月にローンチされた臨床医およびエンタープライズ医療版とは、それを心の中で区別しておいてください。これらは組織に販売されるものであり、契約が議論される唯一の場です。

署名された事業提携契約（BAA）のみがAIツールを準拠させることができます

ChatGPTの事業提携契約（BAA）は、あなたの組織のためにOpenAIをHIPAAの範囲内に引き込む唯一の法的メカニズムです。それ以外のすべては、衛生（ Hygiene）です。

BAAは個人ではなく組織によって署名され、実際に使用されている特定の製品とティアを明記する必要があります。APIアカウントをカバーするBAAは、個人アドレスでログインしたブラウザタブをカバーしません。

ほとんどのページに記載されていないこと：署名されたBAAは最低条件であり、最終目的地ではありません。ロールベースのアクセス制御、実際に読まれる監査ログ、送信されるものを最小限に抑える制限、そしてこのツールを具体的に指定した従業員トレーニングなしでは、契約とコンプライアンスの問題が同時に発生します。マーケティングページから推測するのではなく、OpenAIから正確なSKUについて書面でBAAの利用可能性を確認してください。2026年のラインナップは、規制の観点からは数週間の新しさです。

患者の名前を削除することは、匿名化ではありません

ChatGPTを使用する前にPHIを匿名化するという決定は正しい直感ですが、基準はHHSの標準であり、個人の判断ではありません。2つの方法が該当します：セーフハーバーと、資格のある統計学者による正式な専門家判定です。

セーフハーバーとは、列挙された18の識別子カテゴリすべてを削除し、残った情報で個人を特定できるという実際の知識がないことを意味します。これらは、名前、州より小さい地理情報、入院、退院、受診、誕生日を含む個人に関連するすべての日付、電話番号、ファックス番号、メールアドレス、社会保障番号、医療記録番号、健康保険番号、口座番号、証明書番号、免許番号、車両およびデバイスの識別子およびシリアル番号、URLおよびIPアドレス、生体情報、顔全体写真、およびその他のユニークなコードです。

臨床医が残す可能性のあるものは予測可能です。受診日、都市名、89歳以上、貼り付けられたメモのヘッダーにあるMRN、デバイスのシリアル番号、写真、そしてそれ自体で個人を特定できるほど特徴的な verbatimの自由記述の引用です。

具体的には、名前は削除されているが、「ボーズマン在住の34歳、3月3日受診、まれな自己免疫疾患の診断を確認」と読めるメモは、匿名化されたデータではありません。それは、最も簡単なフィールドが削除されたPHIです。

匿名化も万能薬ではありません。それはHIPAAの質問を削除します。それはあなたの雇用主の利用規約、あなたのベンダー契約、またはHIPAAよりも広範囲に及ぶいくつかの州のプライバシー法を削除するものではありません。

6つのステップでHIPAA準拠のAIワークフローを構築する（PHIが既に入力されている場合を含む）

HIPAA準拠のChatGPTは、購入できるものではなく、ツールとワークフローの間のギャップが存在し、これらの6つのステップがそれを埋めます。

1. どちらの読者であるかを決定します。対象事業体のために行動する場合、HIPAAはあなたが入力することに適用されます。ご自身の健康のためにご自身のアカウントを使用する場合、適用されません。
2. 臨床使用の前に、BAAが正確な製品とティアをカバーするかどうかを書面で確認してください。BAAがなければ、PHIは一切使用しません。
3. モデルトレーニングをオフにし、一時的なチャットを使用します。これはリスク低減であり、準拠ではないことを明言してください。
4. 臨床メール、クラウドストレージ、またはEHRに隣接するあらゆるものにアクセスするコネクタを監査および切断します。各コネクタがレビューされるまで、それらの使用を停止してください。
5. 貼り付ける前にセーフハーバー基準に匿名化し、出力も読みます。モデルは、入力された詳細を言い換えます。
6. PHIが既に入力された場合は、潜在的な情報漏洩として扱います。そのスレッドの使用を停止してください。秘密裏に削除しないでください。それは証拠だからです。その日のうちにプライバシーまたはコンプライアンス担当者に通知し、開示された内容と時期を文書化し、情報漏洩通知規則のリスク評価を実行させて、通知の決定をさせてください。自己判断でクリアしないでください。

あなたが臨床医ではなく患者である場合、これらはあなたには適用されません。BAAや回避策は必要ありません。共有することに同意できることを決定し、公に投稿しないプロンプトには識別子を含めないでください。緊急性の度合いが不明な場合は、無料のAugust AI Symptom Checkerが合理的な最初のトリアージステップです。ケアではなく情報が必要な場合、例えばオンラインADHD評価など、それはHIPAAが最初の受付フォームから適用されるプロバイダー関係の中で行われます。

チャットボットに最初に相談すべきではない症状があります

この記事のプライバシーに関するアドバイスは、緊急医療を遅らせるべきではありません。入力するか電話するかを迷っている場合は、電話してください。

以下の症状がある場合は、すぐに911に電話するか、救急外来を受診してください。

• 胸痛または呼吸困難がある場合。
• 突然のしびれ、ろれつが回らない、顔のたるみなど、脳卒中の兆候がある場合。
• 大量の出血がある場合。
• 自殺念慮がある場合。入力を停止して、911または988に電話してください。AIチャットはあなたを診察したり、助けを dispatchしたりすることはできません。

以下の症状がある場合は、1週間以内に受診を予約してください。

• 数日間チャットボットで同じ症状をトリアージしていて、改善が見られない場合。
• 新しいしこりがある、または原因不明の体重変化がある場合。
• チャットボットが医師の診察を受けるように常に指示している場合。それは回答であり、プレースホルダーではありません。

開始する前に、臨床医に相談してください。

• AIの応答で、処方された薬を中止するように、用量を変更するように、または治療チームの指示を無視するように指示された場合。まず処方医に確認してください。これらのツールは、自信を持って間違った医学的ガイダンスを生成し、正しい場合と同じトーンでそれを行います。

中間層の場合、Augustの39ドルのオンライン緊急ケア受診では、症状を評価し、適切と判断した場合に処方できる米国公認の臨床医に繋がります。臨床医が決定します。ビデオ診察では、対面での検査、その場での画像検査の注文、または緊急事態の管理はできません。したがって、最初の層にあるものはすべて救急外来で行うべきです。

よくある質問

スタッフが患者の情報をChatGPTに貼り付けた場合、クリニックは罰金を科される可能性がありますか？

はい。責任は個人ではなく組織に帰属します。2026年1月28日のインフレ調整により、HIPAAの民事罰金は、Tier 1の最低145ドル/違反からTier 4の最低73,011ドル/違反までとなり、年間上限は違反カテゴリーごとに2,190,294ドルです。各レコードは個別にカウントされる可能性があり、それが小規模なインシデントが大規模な数字になる理由です。

Microsoft Copilot、Google Gemini、またはClaudeは代わりにHIPAAに準拠していますか？

通常はそうではありません。正直な答えは、ベンダーのランキングではなく原則です。準拠はモデルではなく、契約に従います。どのベンダーのコンシューマー向けチャットボットもBAAの下で販売されておらず、ChatGPTのコンシューマー向けティアもHIPAAに準拠していません。ベンダーが、そのエンタープライズまたはクラウド製品がカバーできると主張する場合は、正確な製品を明記した書面でそれを取得してください。

OpenAIに対してHIPAAの苦情を申し立てることはできますか？

通常はできません。HHS公民権局は、対象事業体とその事業提携者に関する苦情を受け付けます。BAAがない場合、OpenAIはいずれでもないため、OCRはあなたの個人的なチャットに対して管轄権を持ちません。FTCは、FTC法およびHealth Breach Notification Ruleに基づき、非HIPAA対象の医療ツールに関する消費者からの苦情の適切な窓口です。

ChatGPTの会話を削除した場合、健康情報はなくなりますか？

いいえ。削除はスレッドをあなたのビューから削除し、保持期間を開始します。バックアップ、セキュリティシステム、およびサブプロセッサのログに、一定期間コピーが残る可能性があります。クリニックにとってより重要なのは、削除はすでに発生した開示を元に戻さないことです。PHIが入力された場合、コンプライアンス義務は依然として存在し、スレッドを削除すると、プライバシー担当者が必要とする証拠が破壊されます。

仕事用のChatGPTアカウントに私が入力した健康に関する質問を、私の雇用主が見ることができますか？

はい、可能性としてはあります。ワークスペースプランでは、組織がアカウントを所有し、保持期間を設定し、会話データへの管理アクセス権を持つことができます。仕事用アカウントに入力したものはすべて、仕事のメールと同様に、雇用主に表示される可能性があると想定してください。個人的な健康に関する質問は、個人の時間、個人のデバイス上の、個人のアカウントで行うべきです。

ChatGPTに健康について尋ねたことは、私の医療記録に記載されたり、保険会社に届いたりしますか？

いいえ。コンシューマー向けチャットボットは、あなたの臨床医のEHRやあなたの医療保険プランとの接続はなく、あなたのチャットがそれらに流れることはありません。例外はあなたが作成したものです：あなたの記録を保持しているアカウントにツールを接続したり、その出力を患者ポータルメッセージに貼り付けたりすることです。広告およびデータ共有慣行は、プライバシーポリシーによって規制される別の懸念事項です。

患者宛の手紙をドラフトするためにChatGPTを使用することはHIPAA違反ですか？

場合によります。区別は識別子にあります。患者の詳細を含まない一般的な審査請求レターテンプレートを要求することは、PHIの開示ではありませんが、雇用主のポリシーで依然として禁止されている場合があります。名前、生年月日、受診日、または診断を貼り付けると、BAAのないベンダーへの開示となり、それが違反です。

結論

ChatGPTはHIPAAに準拠していますか？いいえ、そしてその答えは、あなたが切り替える設定によって変わりません。それは、組織が特定の製品を明記したBAAに署名し、アクセス制御、ログ記録、およびトレーニングをそれらを中心に構築した場合にのみ変わります。あなたが臨床医である場合、シーケンスは単純です。契約なし、PHIなし、そして使用する際にはセーフハーバー基準に匿名化すること。あなたが患者である場合、質問は間違った法律に向けられていました。HIPAAはあなたのプロバイダーとそのベンダーを制限します。あなたの保護は、あなたが同意したプライバシーポリシー、その背後にあるFTC、そしてあなたが入力することについてのあなた自身の判断から来ます。

免責事項：この記事は情報提供のみを目的としており、医療アドバイスを構成するものではありません。診断および治療の決定については、必ず資格のある医療専門家にご相談ください。医療緊急事態が発生している場合は、直ちに911に電話するか、最寄りの救急外来を受診してください。