ChatGPT는 HIPAA 준수인가요? 환자와 병원에 미치는 영향

아니요. 오늘날 구매할 수 있는 어떤 요금제에서도 ChatGPT는 HIPAA를 준수하지 않습니다. OpenAI는 소비자 요금제에 대해 비즈니스 제휴 계약(BAA)을 체결하지 않기 때문입니다. HIPAA는 모델이 아닌 조직과 계약을 규제합니다. 또한 자신의 계정에 자신의 건강 정보를 입력하는 경우 HIPAA는 적용되지 않습니다.

TL;DR: 주요 내용

• 일반 소비자용으로 HIPAA를 준수하는 ChatGPT는 없습니다. 무료, Plus 및 Go, Team, Enterprise는 비즈니스 제휴 계약(BAA)과 함께 판매되지 않습니다.
• HIPAA는 건강 보험사, 청산소, 의료 제공업체 및 그 계약된 공급업체를 구속합니다. 자신만의 계정에 자신의 증상을 입력하는 개인은 구속되지 않습니다.
• 대신 소비자를 보호하는 것은 공급업체의 개인정보처리방침과 이미 한 건강 플랫폼에 150만 달러의 벌금을 부과한 연방거래위원회(FTC)입니다.
• 모델 학습을 비활성화하고 임시 채팅을 사용하면 노출이 줄어듭니다. 법적 보호 조치가 되는 것은 아닙니다.
• 이미 일반 ChatGPT에 보호되는 건강 정보(PHI)가 입력되었다면 잠재적인 유출로 간주하고 당일 개인정보보호 책임자에게 알리십시오.

ChatGPT는 HIPAA를 준수하나요? 오늘날 가입할 수 있는 어떤 버전도 준수하지 않습니다.

ChatGPT는 HIPAA를 준수하나요? 아니요. 이 글을 쓰는 시점에서 OpenAI는 소비자 요금제(무료, Plus 및 Go, Team, Enterprise)에서 비즈니스 제휴 계약을 제공하지 않으며, 해당 계약이 체결되지 않으면 어떤 제품도 적용되지 않습니다. AI 모델 자체로는 HIPAA를 준수할 수 없습니다. HIPAA는 조직과 계약을 규제하므로 규정 준수는 서명된 BAA와 제품의 구성, 제한 및 로깅 방식에 따라 달라집니다.

BAA를 고려할 수 있는 유일한 경로는 OpenAI가 2026년 1월에 출시한 의료 관련 라인업입니다. 해당 라인업은 신규이며, 해당 약관은 이 페이지에서 가장 변동성이 큰 사실이므로 의존하기 전에 자체 제품 및 등급에 대한 가용성을 확인해야 합니다.

이제 결론보다 더 중요한 재구성을 하겠습니다. 자신의 계정에 입력하는 대부분의 사람들에게 HIPAA는 적용되는 법률이 아니었습니다.

HIPAA는 귀하의 병원과 공급업체를 구속하며, 귀하와 키보드를 구속하는 것이 아닙니다.

이 법은 45 CFR §160.103에 정확히 두 그룹, 즉 적용 대상 주체(건강 보험사, 건강 정보 청산소, 표준 거래를 위해 건강 정보를 전자적으로 전송하는 제공자)와 비즈니스 제휴사(적용 대상 주체를 대신하여 기능을 수행하면서 PHI를 생성, 수신, 유지 또는 전송하는 사람)를 대상으로 합니다. "대신하여"라는 문구가 모든 무게를 지닙니다. 일반 대중의 구성원으로부터 건강 관련 텍스트를 우연히 받는 회사는 비즈니스 제휴사가 아닙니다.

HHS는 이미 앱에 대한 관련 규정을 검토했습니다. 해당 건강 앱 사용 시나리오 지침은 개인이 계약 없이 자신의 주도로 자신의 데이터를 앱에 입력하는 경우 비즈니스 제휴 관계가 없다고 결론짓습니다.

따라서 자신의 증상을 자신의 ChatGPT 계정에 붙여넣을 때 HIPAA는 적용되지 않으며 OpenAI는 이를 위반하는 것이 아닙니다. 이것은 허점이 아닙니다. 이것이 바로 법령의 구조입니다.

대신 귀하를 보호하는 것은 시행 가능한 약속 역할을 하는 OpenAI의 개인정보처리방침과 FTC입니다. 2024년 개정된 건강 유출 통지 규칙은 HIPAA의 적용을 받지 않는 건강 앱 및 유사 기술을 명시적으로 포함합니다. 그리고 그 집행은 현실적입니다. FTC는 2023년에 GoodRx가 처방전 및 건강 상태 데이터를 Facebook 및 Google에 공개한 것에 대해 150만 달러의 민사 벌금을 부과했습니다.

머릿속으로 대조를 유지하십시오. 소비자 챗봇은 귀하에게 개인정보처리방침을 제공할 의무가 있습니다. 계약적으로 적용되는 원격 의료 앱은 귀하에게 HIPAA를 제공할 의무가 있습니다. 방문 사이에 August AI와 같은 건강 동반자 앱은 치료를 대체하는 것이 아니라 보조적인 수단으로 증상을 기록하고 일반적인 질문을 할 수 있으며, 절대로 결정을 내리는 도구가 되어서는 안 됩니다.

진정한 문제는 챗봇이 아니라 귀하의 단어가 다음에 어디로 가는가입니다.

ChatGPT는 귀하의 데이터를 공유하나요? 기계적으로는 그렇습니다. 클라우드 제품의 일반적인 방식대로 공유합니다. 소비자 요금제에서는 기본적으로 대화 내용을 모델 개선에 사용하고, 일정 기간 보관하며, 안전 및 문제 해결을 위해 사람이 검토할 수 있습니다. 하위 처리업체 및 인프라 공급업체는 서비스를 실행하는 동안 해당 데이터에 접근하며, 이는 BAA가 규제하도록 작성된 다운스트림 체인입니다.

귀하의 데이터 공유 여부에 대한 솔직한 대답은 귀하의 요금제, 설정 및 연결한 항목에 따라 다릅니다. 여기서 가장 흔하게 보는 오류가 발생합니다. 모델 학습을 비활성화하고 임시 채팅으로 전환하는 것은 노출을 줄여주므로 둘 다 해야 합니다. 그러나 이는 HIPAA 적용 범위를 생성하지 않습니다. 필수적이지만 충분하지는 않습니다.

그리고 더 조용한 위험도 있습니다. 커넥터를 사용하면 ChatGPT가 Gmail, Google Drive, 공유 병원 사서함 또는 EHR 관련 도구에 접근하여 거기에 있는 내용을 읽을 수 있습니다. 아무도 아무것도 붙여넣을 필요가 없습니다. 추천서로 가득 찬 사서함으로 향하는 커넥터는 발생할 유출이며, 감사 로그에는 그렇게 보이지 않을 것입니다.

ChatGPT Health의 "향상된 개인 정보 보호"는 법적 약속이 아닌 제품 약속입니다.

ChatGPT Health는 HIPAA를 준수하나요?

ChatGPT Health는 HIPAA를 준수하나요? 아니요. 개별 소비자는 어떤 개인 정보 보호 설정을 선택하든 ChatGPT Health에 대한 비즈니스 제휴 계약을 얻을 수 없습니다. BAA는 적용 대상 주체와 그 공급업체 간의 계약이며, 개인 계정을 사용하는 환자는 둘 다 해당되지 않기 때문입니다.

향상된 개인 정보 보호, 격리 및 암호화에 대한 주장은 제품 설계상의 주장입니다. 이러한 주장은 실제 엔지니어링을 설명할 수 있으며 HIPAA가 적용되는지 여부에 대한 법적 효과는 전혀 없을 수 있습니다. HIPAA는 귀하가 누구인지, 무엇에 서명했는지에 따라 결정되며 저장 계층이 어떻게 구축되었는지에 따라 결정되는 것이 아닙니다.

이 제품이 환자에게 변화를 주는 것은 자신의 데이터에 대한 기본 처리 방식이며, 이는 어느 정도 가치가 있습니다. 그러나 이는 규제된 관계를 만들지는 않습니다. 임상 및 엔터프라이즈 의료 에디션(2026년 1월 출시, 조직에 판매되며 계약 협상이 가능한 유일한 곳)과 분리해서 생각해야 합니다.

서명된 비즈니스 제휴 계약만이 AI 도구를 준수하게 만들 수 있습니다.

ChatGPT 비즈니스 제휴 계약은 OpenAI를 귀하의 조직 사용에 대해 HIPAA 범위 내로 끌어들이는 유일한 법적 메커니즘입니다. 그 외 모든 것은 위생입니다.

BAA는 개인 의사가 아닌 조직에서 서명해야 하며, 실제로 사용되는 특정 제품 및 등급을 명시해야 합니다. API 계정을 포함하는 BAA는 개인 주소로 로그인한 브라우저 탭에는 적용되지 않습니다.

대부분의 페이지에서 알려주지 않는 사실은 다음과 같습니다. 서명된 BAA는 시작점일 뿐 최종 목적지는 아닙니다. 역할 기반 액세스 제어, 실제로 검토하는 감사 로깅, 전송되는 내용에 대한 최소한의 필요한 제한, 그리고 이 도구를 구체적으로 명시하는 직장 교육 없이는 계약과 규정 준수 문제를 동시에 안고 있는 것입니다. 마케팅 페이지에서 추론하는 대신 OpenAI로부터 정확한 SKU에 대한 BAA 가용성을 서면으로 확인하십시오. 2026년 라인업은 규제 용어로는 몇 주밖에 되지 않았습니다.

환자의 이름을 제거하는 것이 비식별화는 아닙니다.

ChatGPT를 사용하기 전에 PHI를 비식별화하기로 결정하는 것은 올바른 직관이지만, 기준은 판단이 아닌 HHS 표준입니다. 두 가지 방법이 자격을 갖습니다: 안전항구(Safe Harbor) 및 자격을 갖춘 통계학자에 의한 공식 전문가 결정.

안전항구는 18가지 열거된 식별자 범주를 모두 제거하고, 남아있는 것이 개인을 식별할 수 있다는 실제 지식이 없음을 의미합니다. 이름, 주보다 작은 지역, 입원, 퇴원, 방문 및 생년월일을 포함한 개인에게 관련된 모든 날짜, 전화, 팩스 및 이메일, 사회 보장 번호, 의료 기록 번호, 건강 보험 번호, 계정 번호, 증명서 및 면허 번호, 차량 및 장치 식별자 및 일련 번호, URL 및 IP 주소, 생체 인식, 전체 얼굴 사진 및 기타 고유 코드입니다.

의사가 남겨두는 항목은 예측 가능합니다. 방문 날짜, 도시, 89세 이상, 붙여넣은 메모 헤더에 있는 MRN, 장치 일련 번호, 사진, 그리고 그 자체로 개인을 이름 붙일 만큼 독특한 verbatim 자유 텍스트 인용문입니다.

구체적으로, 이름은 제거되었지만 "보즈먼의 34세 환자, 3월 3일 진찰, 희귀 자가면역 진단 확인"이라고 읽히는 메모는 비식별화된 데이터가 아닙니다. 이것은 가장 쉬운 필드가 삭제된 PHI입니다.

비식별화도 만병통치약이 아닙니다. HIPAA 문제를 제거합니다. 고용주의 허용 가능한 사용 정책, 공급업체 계약 또는 HIPAA보다 더 광범위하게 적용되는 여러 주 개인 정보 보호법을 제거하지는 않습니다.

6단계의 규정 준수 AI 워크플로, PHI가 이미 입력된 경우 포함

HIPAA를 준수하는 ChatGPT는 구매하는 물건이 아니라, 도구와 워크플로 사이의 격차이며, 이 6단계가 이를 좁힙니다.

1. 귀하가 어떤 독자인지 결정하십시오. 적용 대상 주체를 대신하여 행동하는 것은 귀하가 입력하는 내용에 HIPAA가 적용됨을 의미합니다. 자신의 계정을 자신의 건강을 위해 사용하는 것은 그렇지 않음을 의미합니다.
2. 임상적 사용 전에 BAA가 정확한 제품 및 등급에 적용되는지 서면으로 확인하십시오. BAA가 없으면 PHI도 없습니다.
3. 모델 학습을 비활성화하고 임시 채팅을 사용하십시오. 이것이 규정 준수가 아닌 위험 감소임을 분명히 말하십시오.
4. 임상 이메일, 클라우드 스토리지 또는 EHR 관련 항목에 접근하는 커넥터를 감사하고 연결을 해제하십시오. 각 커넥터를 검토할 때까지.
5. 안전항구 표준에 따라 비식별화한 후 붙여넣으십시오. 그런 다음 출력도 읽으십시오. 모델은 입력한 세부 사항을 반복합니다.
6. PHI가 이미 입력되었다면 잠재적 유출로 처리하십시오. 스레드 사용을 중지하십시오. 조용히 삭제하지 마십시오. 증거이기 때문입니다. 당일 개인 정보 보호 또는 규정 준수 책임자에게 알리고, 공개된 내용을 언제 공개했는지 문서화하며, 그들이 유출 통지 규칙 위험 평가를 수행하고 통지 결정을 내리도록 하십시오. 자의적으로 해결하지 마십시오.

환자라면 임상의가 아니므로 해당 사항이 적용되지 않습니다. BAA나 우회책이 필요하지 않습니다. 공유하고 싶은 내용을 결정하고, 공개적으로 게시하지 않을 프롬프트에 식별자를 포함하지 않으며, 긴급성에 대해 확실하지 않은 경우 무료 August AI 증상 검사기가 합리적인 첫 번째 선별 단계입니다. 치료 대신 정보가 필요한 경우, 예를 들어 온라인 ADHD 평가는 HIPAA가 첫 번째 접수 양식부터 적용되는 제공자 관계 내에서 이루어집니다.

일부 증상은 챗봇에 먼저 보내서는 안 됩니다.

이 기사의 개인 정보 보호 조언은 응급 진료를 지연시키는 데 사용되어서는 안 됩니다. 입력하는 것과 전화하는 것 사이에 망설이고 있다면 전화하십시오.

다음과 같은 경우 즉시 911에 전화하거나 응급실로 가십시오.

• 가슴 통증이나 호흡 곤란이 있습니다.
• 갑작스러운 무감각, 말더듬 또는 얼굴 처짐(뇌졸중 징후)이 있습니다.
• 심한 출혈이 있습니다.
• 자살 충동이 있습니다. 입력을 멈추고 911 또는 988에 전화하십시오. AI 채팅은 귀하를 진찰하거나 도움을 파견할 수 없습니다.

다음과 같은 경우 일주일 이내에 방문을 예약하십시오.

• 며칠 동안 챗봇으로 동일한 증상을 선별하고 있으며 개선되지 않습니다.
• 새로운 덩어리가 생겼거나 설명할 수 없는 체중 변화가 있습니다.
• 챗봇이 계속 의사를 만나라고 합니다. 그것이 답이며, 임시 해결책이 아닙니다.

시작하기 전에 임상의와 상담하십시오.

• AI 응답이 처방 약을 중단하거나, 복용량을 변경하거나, 치료 팀을 무시하라고 말합니다. 먼저 처방 의사와 확인하십시오. 이러한 도구는 자신감 있게 잘못된 의학적 지침을 제공하며, 올바를 때와 동일한 어조로 그렇게 합니다.

중간 등급의 경우, August의 39달러 온라인 긴급 진료 방문은 미국 면허 의사와 연결해주며, 의사는 증상을 평가하고 적절하다고 판단되면 처방할 수 있습니다. 의사가 결정합니다. 화상 진료는 직접 진찰하거나 즉시 영상 검사를 주문하거나 응급 상황을 관리할 수 없으므로 첫 번째 등급에 해당하는 것은 응급실로 가야 합니다.

자주 묻는 질문

직원이 환자 정보를 ChatGPT에 붙여넣으면 병원이 벌금을 받을 수 있나요?

예. 책임은 개인에게가 아니라 조직에 있습니다. 2026년 1월 28일 인플레이션 조정에 따라 HIPAA 민사 벌금은 위반당 최저 145달러(Tier 1)에서 최저 73,011달러(Tier 4)까지이며, 연간 상한선은 위반 범주당 2,190,294달러입니다. 각 기록은 개별적으로 집계될 수 있으며, 이는 소규모 사고가 큰 숫자가 되는 방식입니다.

Microsoft Copilot, Google Gemini 또는 Claude는 대신 HIPAA를 준수하나요?

아니요, 보통은 그렇습니다. 솔직한 대답은 공급업체 순위가 아니라 원칙입니다. 규정 준수는 모델이 아닌 계약을 따릅니다. 어떤 공급업체의 소비자 챗봇도 BAA 하에 판매되지 않으며, ChatGPT의 소비자 등급 역시 HIPAA를 준수하지 않습니다. 공급업체가 엔터프라이즈 또는 클라우드 서비스가 적용될 수 있다고 말하는 경우, 정확한 제품을 명시한 서면으로 받으십시오.

OpenAI에 대해 HIPAA 불만을 제기할 수 있나요?

아니요, 보통은 그렇습니다. HHS 민간권익보호국은 적용 대상 주체 및 그 비즈니스 제휴사에 대한 불만을 접수합니다. BAA가 없으면 OpenAI는 둘 다 해당되지 않으므로 OCR은 귀하의 개인 채팅에 대한 관할권이 없습니다. FTC는 FTC법 및 건강 유출 통지 규칙에 따라 비 HIPAA 건강 도구에 대한 소비자 불만의 올바른 장소입니다.

ChatGPT 대화를 삭제하면 건강 정보가 사라지나요?

아니요. 삭제는 대화를 귀하의 보기에서 제거하고 보존 시계를 시작합니다. 백업, 안전 시스템 및 하위 처리업체 로그에 일정 기간 동안 복사본이 남아 있을 수 있습니다. 병원의 경우, 더 중요하게는 삭제가 이미 발생한 공개를 되돌리지 못한다는 것입니다. PHI가 입력되었다면 규정 준수 의무는 여전히 존재하며, 대화를 삭제하면 개인 정보 보호 책임자가 필요로 하는 증거가 파괴됩니다.

직장용 ChatGPT 계정에 입력한 건강 질문을 내 고용주가 볼 수 있나요?

예, 잠재적으로 가능합니다. 워크스페이스 요금제에서는 조직이 계정을 소유하고, 보존 기간을 설정하며, 대화 데이터에 대한 관리자 액세스 권한을 가질 수 있습니다. 직장 계정에 입력한 모든 내용은 직장 이메일과 마찬가지로 고용주에게 공개될 수 있다고 가정하십시오. 개인적인 건강 질문은 개인 시간에 개인 장치의 개인 계정에 속합니다.

건강에 대해 ChatGPT에 묻는 내용이 내 의료 기록에 포함되거나 보험사에 전달되나요?

아니요. 소비자 챗봇은 귀하의 의사 EHR 또는 건강 보험사와 연결되지 않으며, 귀하의 채팅은 둘 중 하나로 흐르지 않습니다. 예외는 귀하가 만드는 경우입니다. 즉, 도구를 귀하의 기록을 보유한 계정에 연결하거나, 해당 출력물을 환자 포털 메시지에 붙여넣는 경우입니다. 광고 및 데이터 공유 관행은 개인정보처리방침에 의해 규제되는 별도의 문제입니다.

환자에게 보내는 편지를 작성하는 데 ChatGPT를 사용하는 것은 HIPAA 위반인가요?

때로는 그렇습니다. 구분선은 식별자입니다. 환자 세부 정보가 없는 일반적인 항소 편지 템플릿을 요청하는 것은 PHI 공개가 아니지만, 고용주의 정책은 여전히 이를 금지할 수 있습니다. 이름, 생년월일, 방문 날짜 또는 진단을 붙여넣으면 BAA가 없는 공급업체에 대한 공개가 되므로 위반이 됩니다.

결론

ChatGPT는 HIPAA를 준수하나요? 아니요. 그리고 이 답변은 토글하는 설정 때문에 변경되지 않을 것입니다. 조직이 특정 제품을 명시한 BAA를 서명하고 접근 제어, 로깅 및 교육을 구축할 때만 변경됩니다. 임상의라면 시퀀스는 간단합니다. 계약 없이는 PHI도 없고, 사용할 때는 안전항구 표준으로 비식별화하십시오. 환자라면 질문이 잘못된 법을 향한 것입니다. HIPAA는 귀하의 제공자와 그들의 공급업체를 제한합니다. 귀하의 보호는 귀하가 동의한 개인정보처리방침, 그 뒤에 있는 FTC, 그리고 귀하가 무엇을 입력할지에 대한 귀하의 판단에서 비롯됩니다.

면책 조항: 이 기사는 정보 제공 목적으로만 제공되며 의학적 조언을 구성하지 않습니다. 진단 및 치료 결정은 항상 자격을 갖춘 의료 제공업체와 상담하십시오. 의료 비상 상황이 발생한 경우 즉시 911에 전화하거나 가장 가까운 응급실로 가십시오.