Ar ChatGPT atitinka HIPAA reikalavimus? Ką tai reiškia pacientams ir klinikoms

Ne. Ar ChatGPT atitinka HIPAA reikalavimus bet kuriame plane, kurį galite įsigyti šiandien? Ne, nes „OpenAI“ nepasirašo verslo partnerystės sutarties savo vartotojų planams. HIPAA reguliuoja organizacijas ir sutartis, o ne modelius. Ir jei į savo paskyrą įvesite savo sveikatos informaciją, HIPAA niekada nebuvo taikoma.

Trumpai tariant: Pagrindinės išvados

• Nėra HIPAA reikalavimus atitinkančio ChatGPT, kurį galima nusipirkti. „Free“, „Plus and Go“, „Team“ ir „Enterprise“ nėra parduodami su verslo partnerystės sutartimi (BAA).
• HIPAA įpareigoja sveikatos planus, kliringo namus, paslaugų teikėjus ir jų sutartinius pardavėjus. Tai neįpareigoja jūsų, įvedančio savo simptomus į savo paskyrą.
• Vietoj to vartotojus saugo pardavėjo privatumo politika ir Federalinė prekybos komisija, kuri jau skyrė 1,5 mln. USD baudą sveikatos platformai.
• Modelių mokymo išjungimas ir laikino pokalbio naudojimas sumažina riziką. Tai nesukuria teisinės apsaugos.
• Jei saugomoji sveikatos informacija (PHI) jau buvo įvesta į įprastą „ChatGPT“, laikykite tai galimu pažeidimu ir praneškite savo privatumo pareigūnui tą pačią dieną.

Ar ChatGPT atitinka HIPAA reikalavimus? Ne jokioje versijoje, kurią galite užsiprenumeruoti šiandien

Ar ChatGPT atitinka HIPAA reikalavimus? Ne. Šiuo metu „OpenAI“ nesiūlo verslo partnerystės sutarties savo vartotojų planams („Free“, „Plus and Go“, „Team“ ar „Enterprise“), o be tos pasirašytos sutarties joks produktas negali būti taikomas. Joks dirbtinio intelekto modelis pats savaime neatitinka HIPAA reikalavimų: HIPAA reguliuoja organizacijas ir sutartis, todėl atitiktis priklauso nuo pasirašytos BAA, taip pat nuo to, kaip produktas yra sukonfigūruotas, apribotas ir užregistruotas.

Vienintelis kelias, kuriuo BAA visai gali būti svarstomas, yra „OpenAI“ sveikatos priežiūros srities linija, paleista 2026 m. sausio mėn. Ši linija yra nauja, jos sąlygos yra labiausiai nepastovi faktas šiame puslapyje, ir prieš pasikliaudami ja turėtumėte patikrinti savo produkto ir lygio pasiekiamumą.

Dabar pertvarkymas, kuris yra svarbesnis nei verdiktas: daugumai žmonių, įvedančių duomenis į savo paskyrą, HIPAA niekada nebuvo taikoma teisė.

HIPAA įpareigoja jūsų kliniką ir jos pardavėjus, ne jus ir jūsų klaviatūrą

Įstatymas taikomas tik dviem grupėms, abi apibrėžtos 45 CFR §160.103: padengtosios subjektės (sveikatos planai, sveikatos priežiūros kliringo namai ir paslaugų teikėjai, kurie perduoda sveikatos informaciją elektroniniu būdu standartiniams sandoriams) ir verslo partneriai, tai reiškia, kas nors, kas sukuria, gauna, saugo ar perduoda PHI, atlikdamas funkciją **dėl** padengtosios subjektės. Šis frazė turi visą svorį. Įmonė, kuri gauna su sveikata susijusį tekstą iš viešojo asmens, nėra verslo partneris.

HHS jau išnagrinėjo šį klausimą dėl programėlių. Jos sveikatos programėlių naudojimo scenarijų gairės nenustato verslo partnerystės santykių, kai asmuo savo iniciatyva, be jokios sutarties, užpildo programėlę savo duomenimis.

Taigi, kai į savo „ChatGPT“ paskyrą įklijuojate savo simptomus, HIPAA netaikoma, ir „OpenAI“ jos nepažeidžia. Tai nėra spraga. Tai yra įstatymo architektūra.

Vietoj to, jus saugo „OpenAI“ privatumo politika, kuri veikia kaip įpareigojantis pažadas, ir FTC. 2024 m. pataisyta Sveikatos pažeidimų pranešimų taisyklė aiškiai apima sveikatos programėles ir panašias technologijas, kurioms netaikoma HIPAA. Ir taikymas yra realus: FTC 2023 m. gavo 1,5 mln. USD civilinę baudą „GoodRx“ už receptinių ir sveikatos būklės duomenų atskleidimą „Facebook“ ir „Google“.

Palyginkite tai galvoje. Vartotojų pokalbių robotas jums turėtų pateikti privatumo politiką. Telemedicinos programėlė, kuri yra sutartinai padengta, jums turėtų atitikti HIPAA. Tarp vizitų, sveikatos kompanionų programėlė, tokia kaip „August AI“, gali padėti jums registruoti simptomus ir užduoti paprastus klausimus, kaip priežiūros papildą, o ne kaip pakeitimą, ir niekada kaip sprendžiantį elementą.

Tikrasis problema yra ne pokalbių robotas. Tai, kur jūsų žodžiai eina toliau

Ar „ChatGPT“ dalijasi jūsų duomenimis? Mechaniniu būdu, taip, įprastais debesų produktų būdais. Vartotojų lygiu numatytosios nuostatos leidžia pokalbius naudoti modelių tobulinimui, laikyti juos tam tikrą laiką ir peržiūrėti juos žmonėms saugumo ir trikčių šalinimo tikslais. Subrangovai ir infrastruktūros paslaugų teikėjai pasiekia tuos duomenis vykdydami paslaugą, o tai yra būtent ta grandinė, kurią BAA turi valdyti.

Sąžiningas atsakymas į klausimą „Ar „ChatGPT“ dalijasi mano duomenimis?“ yra toks: priklauso nuo jūsų lygio, jūsų nustatymų ir to, ką jūs prie jo prijungėte. Tai veda prie klaidos, kurią aš matau dažniausiai: modelių mokymo išjungimas ir laikino pokalbio pasirinkimas iš tikrųjų sumažina riziką, ir jūs turėtumėte daryti abu. Tai nesukuria HIPAA aprėpties. Būtina, bet nepakankama.

Tada yra tylesnė rizika. Jungtys leidžia „ChatGPT“ pasiekti „Gmail“, „Google Drive“, bendrą klinikos el. pašto dėžutę ar su EHR susijusį įrankį ir perskaityti, kas ten yra. Niekam nereikia nieko įklijuoti. Jungtis, nukreipta į pašto dėžutę su siuntimo laiškais, yra atskleidimas, kuris laukia, ir tai neatrodys kaip toks niekieno audito žurnale.

„ChatGPT Health“ „patobulinta privatumas“ yra produkto pažadas, o ne teisinė

Ar „ChatGPT Health“ atitinka HIPAA reikalavimus?

Ar „ChatGPT Health“ atitinka HIPAA reikalavimus? Ne. Atskiras vartotojas negali gauti verslo partnerystės sutarties „ChatGPT Health“ nepriklausomai nuo pasirinktų privatumo nustatymų, nes BAA yra sutartis tarp padengtosios subjektės ir jos pardavėjo, o pacientas, naudojantis asmeninę paskyrą, nėra nei viena, nei kita.

Teiginiai apie patobulintą privatumą, izoliaciją ir šifravimą yra produkto dizaino pareiškimai. Jie gali apibūdinti tikrą inžineriją ir vis tiek neturėti jokio teisinio poveikio tam, ar HIPAA taikoma, nes HIPAA priklauso nuo to, kas esate ir ką pasirašėte, o ne nuo to, kaip sukurta saugojimo sluoksnis.

Tai, ką produktas keičia pacientui, yra numatytasis jūsų pačių duomenų tvarkymas, o tai yra vertinga. Tai nesukuria reguliuojamo santykio. Laikykite tai atskirai nuo gydytojo ir įmonės sveikatos priežiūros leidinių, paleistų 2026 m. sausį, kurie parduodami organizacijoms ir yra vienintelė vieta, kur galima aptarti sutartį.

Tik pasirašyta verslo partnerystės sutartis gali padaryti AI įrankį atitinkantį

„ChatGPT“ verslo partnerystės sutartis yra vienintelis teisinis mechanizmas, kuris įtraukia „OpenAI“ į HIPAA jūsų organizacijos naudojimui. Viskas kita yra higiena.

BAA pasirašo organizacija, o ne atskiras gydytojas, ir ji turi nurodyti konkrečią naudojamą produktą ir lygį. BAA, apimanti API paskyrą, neapima naršyklės skirtuko, kuriame buvo prisijungta su asmeniniu adresu.

Štai ko dauguma puslapių jums nepasakys: pasirašyta BAA yra grindys, o ne finišo linija. Be vaidmenimis pagrįstų prieigos kontrolių, audito žurnalų, kuriuos kas nors iš tikrųjų skaito, minimalaus būtinumo apribojimų tam, kas siunčiama, ir personalo mokymų, kuriuose konkretus šis įrankis yra įvardijamas, turite sutartį ir atitikties problemą tuo pačiu metu. Gaukite BAA prieinamumą raštu iš „OpenAI“ jūsų konkrečiam SKU, o ne darykite prielaidas iš rinkodaros puslapio. 2026 m. linija yra reguliavimo terminais kelios savaitės senumo.

Paciento vardo pašalinimas nėra anonimizacija

Sprendimas anonimizuoti PHI prieš naudojant „ChatGPT“ yra teisingas instinktas, tačiau kriterijus yra HHS standartas, o ne sprendimo priėmimas. Kvalifikuojasi du metodai: „Safe Harbor“ ir formali ekspertų nustatymo procedūra, kurią atlieka kvalifikuotas statistikas.

„Safe Harbor“ reiškia visų 18 išvardytų identifikatorių kategorijų pašalinimą ir faktinio žinojimo, kad tai, kas liko, gali identifikuoti asmenį, nebuvimą. Tai yra vardai; geografija mažesnė nei valstija; visos su asmeniu susijusios datos, įskaitant priėmimo, išrašymo, vizito ir gimimo datas; telefonas, fakso ir el. pašto adresai; socialinio draudimo, medicininės kortelės, sveikatos plano ir sąskaitos numeriai; sertifikatų ir licencijų numeriai; transporto priemonių ir įrenginių identifikatoriai bei serijos numeriai; URL ir IP adresai; biometriniai duomenys; pilno veido nuotraukos; ir bet koks kitas unikalus kodas.

Tie, kuriuos gydytojai palieka, yra nuspėjami: vizito datos, miestas, amžius virš 89 metų, MRN, esantis užrašytos pastabos antraštėje, įrenginio serijos numeris, nuotrauka ir tikslios teksto citatos, kurios yra pakankamai išskirtinės, kad pavadintų asmenį pačios.

Konkrečiai, pastaba, iš kurios pašalintas vardas, bet vis dar skamba „34 metų vyras iš Bozeman, matytas kovo 3 d., patvirtinta reta autoimuninė diagnozė“, nėra anonimizuoti duomenys. Tai yra PHI su lengviausiai pašalintu lauku.

Anonimizacija taip pat nėra panacėja. Ji pašalina HIPAA klausimą. Ji nepašalina jūsų darbdavio priimtino naudojimo politikos, jūsų pardavėjų sutarčių ar valstijos privatumo įstatymų, kurių keli apima plačiau nei HIPAA.

Atitinkantis AI darbo eiga šešiomis pakopomis, įskaitant atvejus, kai PHI jau buvo panaudota

HIPAA atitinkantis „ChatGPT“ neegzistuoja kaip kažkas, ką perkate; egzistuoja tarpas tarp įrankio ir darbo eigos, ir šios šešios pakopos jį uždaro.

1. Nuspręskite, kuris skaitytojas esate. Veikiant padengtosios subjektės vardu, tai, ką įvedate, taikoma HIPAA. Naudojant savo paskyrą savo sveikatai, tai netaikoma.
2. Patvirtinkite raštu, ar BAA apima konkretų produktą ir lygį prieš bet kokį klinikinį naudojimą. Nėra BAA, nėra PHI, pilnas sustojimas.
3. Išjunkite modelių mokymą ir naudokite laikinus pokalbius. Pasakykite garsiai, kas tai yra: rizikos mažinimas, o ne atitikimas.
4. Audituokite ir atjunkite jungtis, kurios pasiekia klinikinį el. paštą, debesų saugyklą ar bet ką, kas yra netoli EHR, kol kiekviena jų nebus peržiūrėta.
5. Anonimizuokite iki „Safe Harbor“ standarto prieš įklijuodami, tada perskaitykite ir išvestį. Modeliai pakartoja detales, kurias jiems davėte.
6. Jei PHI jau buvo įvesta, laikykite tai galimu pažeidimu. Nustokite naudoti giją. Nešalinkite jos tyliai, nes tai yra įrodymai. Praneškite savo privatumo ar atitikties pareigūnui tą pačią dieną, užfiksuokite, kas buvo atskleista ir kada, ir leiskite jiems atlikti Pažeidimų pranešimų taisyklės rizikos vertinimą ir priimti sprendimą dėl pranešimo. Neišvalykite jo patys.

Jei esate pacientas, o ne gydytojas, niekas iš aukščiau išvardyto jums netaikoma. Jums nereikia BAA ar apėjimo. Nuspręskite, kuo esate pasirengę dalintis, vengite identifikatorių rageliuose, kuriuos viešai neskelbtumėte, ir jei nesate tikri, koks skubus yra kažkas, nemokamas „August AI“ simptomų tikrintuvas yra pagrįstas pirmasis triažo žingsnis. Kai jums reikia priežiūros, o ne informacijos, pavyzdžiui, interneto ADHD vertinimas, tai įvyksta paslaugų teikėjo santykiuose, kuriems nuo pirmojo registracijos formos taikoma HIPAA.

Kai kuriuos simptomus niekada nereikėtų pirmiausia kreiptis į pokalbių robotą

Jokia šio straipsnio privatumo rekomendacija neturėtų atidėti skubios pagalbos. Jei renkatės tarp įrašymo ir skambinimo, skambinkite.

Skambinkite 911 arba nedelsdami vykite į skubios pagalbos skyrių, jei:

• Jaučiate krūtinės skausmą ar dusulį.
• Jums staiga atsirado tirpimas, nerišli kalba ar veido paraudimas, kurie yra insulto požymiai.
• Turite stiprų kraujavimą.
• Galvojate apie savižudybę. Nustokite rašyti ir skambinkite 911 arba 988. AI pokalbis negali jūsų ištirti ar išsiųsti pagalbos.

Užsirašykite vizitą per kitą savaitę, jei:

• Jau kelias dienas triažuojate tuos pačius simptomus su pokalbių robotu ir jie nepagerėja.
• Atsirado naujas gumbas arba nepaaiškinamas svorio pokytis.
• Pokalbių robotas nuolat liepia jums kreiptis į gydytoją. Tai yra atsakymas, o ne laikinas sprendimas.

Pasikalbėkite su gydytoju prieš pradėdami, jei:

• AI atsakymas liepia jums nutraukti paskirtą vaistą, pakeisti dozę ar ignoruoti savo priežiūros komandą. Pirmiausia patvirtinkite su savo gydytoju. Šie įrankiai teikia patikimai klaidingas medicinines rekomendacijas ir daro tai tuo pačiu tonu, kuriuo jie naudoja, kai yra teisūs.

Viduriniam lygiui, „August“ 39 USD internetinis skubios pagalbos vizitas sujungia jus su JAV licencijuotu gydytoju, kuris gali įvertinti simptomus ir skirti gydymą, kai mano, kad tai tinkama. Gydytojas sprendžia. Vaizdo įrašas negali jūsų apžiūrėti asmeniškai, iškart užsakyti vaizdo tyrimus ar valdyti avarinę situaciją, todėl viskas pirmoje pakopoje turėtų būti skubiosios pagalbos skyriuje.

Dažnai užduodami klausimai

Ar klinika gali būti nubausta, jei darbuotojas įklijuoja pacientų informaciją į ChatGPT?

Taip. Atsakomybė tenka organizacijai, o ne asmeniui. Pagal 2026 m. sausio 28 d. infliacijos koregavimo, HIPAA civilinės piniginės baudos svyruoja nuo 1 lygio minimumo 145 USD už pažeidimą iki 4 lygio minimumo 73 011 USD už pažeidimą, metinis viršutinis riba yra 2 190 294 USD už pažeidimo kategoriją. Kiekvienas įrašas gali būti skaičiuojamas atskirai, todėl maži incidentai tampa dideliais skaičiais.

Ar „Microsoft Copilot“, „Google Gemini“ ar „Claude“ atitinka HIPAA reikalavimus?

Paprastai ne, ir sąžiningas atsakymas yra principas, o ne pardavėjo reitingas. Atitiktis seka sutartį, o ne modelį. Joks vartotojų pokalbių robotas iš jokio pardavėjo nėra parduodamas pagal BAA, ir „ChatGPT“ joje nėra atitinkanti HIPAA reikalavimus savo vartotojų lygiu. Jei pardavėjas teigia, kad jo įmonės ar debesų pasiūlymas gali būti padengtas, gaukite tai raštu, nurodydami savo konkretų produktą.

Ar galiu pateikti HIPAA skundą „OpenAI“?

Paprastai ne. HHS Pilietinių teisių biuras priima skundus dėl padengtų subjektų ir jų verslo partnerių. Be BAA, „OpenAI“ nėra nei viena, nei kita, todėl OCR neturi jurisdikcijos jūsų asmeniniams pokalbiams. FTC yra tinkama vieta vartotojų skundams dėl ne-HIPAA sveikatos įrankio, pagal FTC aktą ir Sveikatos pažeidimų pranešimų taisyklę.

Jei ištrinsiu „ChatGPT“ pokalbį, ar sveikatos informacija bus pašalinta?

Ne. Ištrynimas pašalina giją iš jūsų vaizdo ir pradeda saugojimo laikrodį; kopijos gali likti atsarginėse kopijose, saugumo sistemose ir subrangovų žurnaluose tam tikrą laiką. Svarbiau klinikai, ištrynimas neatšaukia jau įvykusio atskleidimo. Jei PHI buvo įvesta, atitikties pareiga vis tiek egzistuoja, o gijos ištrynimas sunaikina įrodymus, kurių jūsų privatumo pareigūnui reikia.

Ar mano darbdavys gali matyti sveikatos klausimus, kuriuos įvedžiau į darbo „ChatGPT“ paskyrą?

Taip, potencialiai. Darbo vietos planuose organizacija valdo paskyrą, nustato saugojimo laikotarpį ir gali turėti administracinę prieigą prie pokalbių duomenų. Laikykitės, kad viskas, kas įvesta į darbo paskyrą, yra matoma jūsų darbdaviui, kaip ir darbo el. paštas. Asmeniniai sveikatos klausimai turėtų būti asmeninėje paskyroje asmeniniame įrenginyje, jūsų laiku.

Ar kas nors iš to, ką klausių „ChatGPT“ apie mano sveikatą, patenka į mano medicininę kortelę ar pasiekia mano draudiką?

Ne. Vartotojų pokalbių robotas neturi ryšio su jūsų gydytojo EHR ar jūsų sveikatos planu, ir jūsų pokalbiai į juos nenukreipiami. Išimtys yra tos, kurias sukuriate jūs: prijungiant įrankį prie paskyrų, kuriose yra jūsų įrašai, arba įklijuojant jo išvestį į paciento portalo pranešimą. Rinkodaros ir duomenų dalijimosi praktika yra atskira problema, reglamentuojama privatumo politikos.

Ar yra HIPAA pažeidimas naudoti „ChatGPT“ rašyti paciento laišką?

Kartais, ir skirianti linija yra identifikatoriai. Prašymas pateikti bendrojo apeliacinio laiško šabloną be paciento duomenų nėra PHI atskleidimas, nors jūsų darbdavio politika vis tiek gali jį uždrausti. Įklijuojant vardą, gimimo datą, vizito datą ar diagnozę, tai tampa atskleidimu pardavėjui be BAA, o tai yra pažeidimas.

Pagrindinė išvada

Ar „ChatGPT“ atitinka HIPAA reikalavimus? Ne, ir šis atsakymas nepakis dėl nustatymo, kurį perjungiate. Jis keičiasi tik tada, kai organizacija pasirašo BAA, pavadinusi konkretų produktą, o tada sukuria prieigos kontrolę, žurnalus ir mokymus aplink jį. Jei esate gydytojas, seka yra paprasta: nėra sutarties, nėra PHI, o anonimizuojant iki „Safe Harbor“ standarto, kai jūs jį naudojate. Jei esate pacientas, klausimas buvo nukreiptas į netinkamą įstatymą. HIPAA apriboja jūsų paslaugų teikėjus ir jų pardavėjus. Jūsų apsauga kyla iš privatumo politikos, kurią sutikote, FTC už jos, ir jūsų paties sprendimo, ką įvesti.

Atsakomybės apribojimas: Šis straipsnis skirtas tik informaciniams tikslams ir nėra medicininės konsultacijos. Visada pasikonsultuokite su kvalifikuotu sveikatos priežiūros paslaugų teikėju dėl diagnozės ir gydymo sprendimų. Jei patiriate medicininę nelaimę, nedelsdami skambinkite 911 arba vykite į artimiausią skubios pagalbos skyrių.