Vai ChatGPT atbilst HIPAA? Ko tas nozīmē pacientiem un klīnikām

Nē. Vai ChatGPT atbilst HIPAA jebkurā pašlaik pieejamā plānā? Nē, jo OpenAI neparaksta sadarbības līgumu saviem patērētāju līmeņiem. HIPAA regulē organizācijas un līgumus, nevis modeļus. Un, ja jūs ievadāt savu veselības informāciju savā kontā, HIPAA nekad nav bijis attiecināms.

Īsumā: Galvenie secinājumi

• Nav pieejams neviens HIPAA atbilstošs ChatGPT patērētāju versijā. Bezmaksas, Plus un Go, Team un Enterprise netiek pārdoti ar sadarbības līgumu (BAA).
• HIPAA saista veselības plānus, tīrīšanas centrus, pakalpojumu sniedzējus un viņu līgumattiecību piegādātājus. Tas nesaista jūs, ievadot savus simptomus savā kontā.
• Tā vietā patērētājus aizsargā piegādātāja privātuma politika un Federālā tirdzniecības komisija, kas jau ir sodījusi veselības platformu ar 1,5 miljoniem ASV dolāru.
• Modeļu apmācības izslēgšana un pagaidu tērzēšanas izmantošana samazina risku. Tas nerada juridisku segumu.
• Ja aizsargātā veselības informācija (PHI) jau ir ievadīta parastajā ChatGPT, izturieties pret to kā pret iespējamu pārkāpumu un nekavējoties informējiet savu privātuma speciālistu.

Vai ChatGPT atbilst HIPAA? Neviena versija, kurai jūs varat reģistrēties šodien

Vai ChatGPT atbilst HIPAA? Nē. Šobrīd OpenAI nepiedāvā sadarbības līgumu saviem patērētāju plāniem (Free, Plus un Go, Team vai Enterprise), un bez šī parakstītā līguma neviens produkts nevar tikt segts. Neviens AI modelis pats par sevi neatbilst HIPAA: HIPAA regulē organizācijas un līgumus, tāpēc atbilstība ir atkarīga no parakstīta BAA, kā arī no tā, kā produkts ir konfigurēts, ierobežots un reģistrēts.

Vienīgais veids, kurā BAA vispār ir apspriežams, ir veselības aprūpei paredzētais klāsts, ko OpenAI izlaida 2026. gada janvārī. Šis klāsts ir jauns, tā noteikumi ir visnestabilākais fakts šajā lapā, un pirms tam paļaušanās jums vajadzētu pārbaudīt pieejamību savam produktam un līmenim.

Tagad pārfrāzēšana, kas ir svarīgāka nekā spriedums: vairumam cilvēku, kas raksta savā kontā, HIPAA nekad nebija likums.

HIPAA saista jūsu klīniku un tās piegādātājus, nevis jūs un jūsu tastatūru

Likums attiecas uz tieši divām grupām, abas definētas vietnē 45 CFR §160.103: attiecināmās personas (veselības plāni, veselības aprūpes tīrīšanas centri un pakalpojumu sniedzēji, kas elektroniski pārraida veselības informāciju standarta darījumos) un sadarbības partneri, kas nozīmē ikvienu, kas izveido, saņem, uztur vai pārraida PHI, veicot funkciju vārdu attiecināmas personas vārdā. Šī frāze nes visu svaru. Uzņēmums, kas nejauši saņem veselības informāciju no sabiedrības locekļa, nav sadarbības partneris.

HHS jau ir izskaidrojis to lietotnēm. Tās vadlīnijas par veselības lietotņu lietošanas scenārijiem neatrod sadarbības partneru attiecības, kad persona pati iepilda lietotni ar saviem datiem pēc savas iniciatīvas, bez līguma.

Tātad, kad jūs ielīmējat savus simptomus savā ChatGPT kontā, HIPAA nav attiecināms, un OpenAI to nepārkāpj. Tā nav nepilnība. Tā ir likuma arhitektūra.

Tā vietā jūs aizsargā OpenAI privātuma politika, kas darbojas kā izpildāms solījums, kā arī FTC. 2024. gadā grozītā Veselības pārkāpumu paziņošanas noteikums skaidri attiecas uz veselības lietotnēm un līdzīgām tehnoloģijām, uz kurām neattiecas HIPAA. Un šī izpilde ir reāla: FTC 2023. gadā ieguva 1,5 miljonu ASV dolāru naudas sodu pret GoodRx par personas veselības datu izpaušanu Facebook un Google.

Turiet pretstatu prātā. Patērētāju tērzēšanas robots jums ir parādā privātuma politiku. Telemedicīnas lietotne, kas ir līgumiski segta, jums ir parādā HIPAA. Starp vizītēm, veselības pavadoņa lietotne, piemēram, August AI, var palīdzēt jums reģistrēt simptomus un uzdot vienkāršas valodas jautājumus, kā papildinājumu aprūpei, nevis tās aizstājēju, un nekad kā lēmumu pieņemšanas rīku.

Reālā problēma nav tērzēšanas robots. Tā ir tā, kur jūsu vārdi nonāk tālāk

Vai ChatGPT kopīgo jūsu datus? Mehāniski, jā, parastajos veidos, kā to dara mākoņprodukts. Patērētāju līmeņos noklusējuma iestatījumi ļauj izmantot sarunas, lai uzlabotu modeļus, saglabāt tos uz noteiktu laiku un pārskatīt cilvēkiem drošības un problēmu novēršanas nolūkos. Apakšprocesoru un infrastruktūras piegādātāji piekļūst šiem datiem, nodrošinot pakalpojumu, kas ir tieši tā ķēde, ko regulē BAA.

Godīgā atbilde uz jautājumu, vai ChatGPT kopīgo jūsu datus, ir tāda, ka tas ir atkarīgs no jūsu līmeņa, jūsu iestatījumiem un ar ko jūs to savienojāt. Tas noved pie kļūdas, ko es redzu visbiežāk: modeļu apmācības izslēgšana un pāreja uz pagaidu tērzēšanu patiešām samazina risku, un jums vajadzētu darīt abus. Tas nerada HIPAA segumu. Nepieciešams, bet ne pietiekami.

Pēc tam ir klusāks risks. Savienotāji ļauj ChatGPT piekļūt Gmail, Google Drive, kopīgai klīnikas iesūtnei vai ar EHR saistītam rīkam un nolasīt tajā esošo. Nevienam nav jāielīmē nekas. Savienotājs, kas norādīts uz pastkasti, kas pilna ar nosūtīšanas vēstulēm, ir gatava noplūde, un tā neparādīsies neviena audita žurnālā.

ChatGPT Health "uzlabotā privātums" ir produkta solījums, nevis juridisks

Vai ChatGPT Health atbilst HIPAA?

Vai ChatGPT Health atbilst HIPAA? Nē. Individuāls patērētājs nevar iegūt sadarbības līgumu ChatGPT Health neatkarīgi no izvēlētajiem privātuma iestatījumiem, jo BAA ir līgums starp attiecināmo personu un tās piegādātāju, un pacients, kas izmanto personīgo kontu, nav ne viens, ne otrs.

Apgalvojumi par uzlabotu privātumu, izolāciju un šifrēšanu ir produkta dizaina apgalvojumi. Tie var aprakstīt reālu inženieriju un joprojām neradīt nekādu juridisku ietekmi uz to, vai HIPAA ir attiecināms, jo HIPAA ir atkarīgs no tā, kas jūs esat un ko esat parakstījis, nevis no tā, kā ir uzbūvēts glabāšanas slānis.

Produkts, kas mainās pacientam, ir jūsu pašu datu noklusējuma apstrāde, kas ir kaut ko vērta. Tas nerada regulētu attiecību. Paturiet to atsevišķi prātā no klīnicistu un uzņēmumu veselības aprūpes izdevumiem, kas tika uzsākti 2026. gada janvārī, kas tiek pārdoti organizācijām un ir vienīgā vieta, kur līgumu var apspriest.

Tikai parakstīts sadarbības līgums var padarīt AI rīku atbilstošu

ChatGPT sadarbības līgums ir vienīgais juridiskais mehānisms, kas ienes OpenAI HIPAA ietvaros jūsu organizācijas lietošanai. Viss pārējais ir higiēna.

BAA paraksta organizācija, nevis individuāls klīnicists, un tajā jābūt norādītam konkrētam lietotajam produktam un līmenim. BAA, kas attiecas uz API kontu, neattiecas uz pārlūkprogrammas cilni, kurā kāds ir pieteicies ar personīgo adresi.

Šeit ir tas, ko vairums lapu jums nepateiks: parakstīts BAA ir grīda, nevis finišs. Bez lomu balstītas piekļuves kontroles, revīzijas žurnālu, ko kāds faktiski lasa, minimālā nepieciešamības ierobežojumi tam, ko nosūta, un personāla apmācība, kas konkrēti nosauc šo rīku, jums ir gan līgums, gan atbilstības problēma vienlaikus. Iegūstiet BAA pieejamību rakstiski no OpenAI savam precīzam SKU, nevis seciniet to no mārketinga lapas. 2026. gada klāsts ir dažas nedēļas vecs normatīvo aktu izpratnē.

Pacienta vārda noņemšana nav anonimizācija

Lēmums anonimizēt PHI pirms ChatGPT lietošanas ir pareizs instinkts, taču latiņa ir HHS standarts, nevis sprieduma zvanu. Kvalificējas divas metodes: Safe Harbor un formāla ekspertu noteikšana, ko veic kvalificēts statistikas speciālists.

Safe Harbor nozīmē visu 18 uzskaitīto identifikatoru kategoriju noņemšanu un to, ka nav reālu zināšanu, ka atlikušais varētu identificēt kādu. Tās ir personas vārdi; ģeogrāfija, kas mazāka par štatu; visas ar personu saistītās datumu, ieskaitot iestāšanās, izrakstīšanās, apmeklējuma un dzimšanas datumus; tālruņa, faksa un e-pasta numuri; Sociālās apdrošināšanas, medicīniskās kartes, veselības plāna un konta numuri; sertifikātu un licenču numuri; transportlīdzekļu un ierīču identifikatori un sērijas numuri; URL un IP adreses; biometrija; pilnas sejas fotogrāfijas; un jebkurš cits unikāls kods.

Tie, kurus klīnicisti atstāj, ir paredzami: apmeklējuma datumi, pilsēta, vecums virs 89 gadiem, MRN, kas atrodas ielīmētās piezīmes galvenē, ierīces sērijas numurs, fotogrāfija un tieši citēti brīvā teksta citāti, kas ir pietiekami atšķirīgi, lai nosauktu personu paši.

Konkrēti, piezīme, kas ir atbrīvota no vārda, bet joprojām lasās: "34 gadus vecs vīrietis Bozemānā, apmeklēts 3. martā, apstiprināta reta autoimūna diagnoze", nav anonimizēti dati. Tā ir PHI ar vieglākās lauka izdzēšanu.

Anonimizācija arī nav panaceja. Tā novērš HIPAA jautājumu. Tā neatceļ jūsu darba devēja pieņemamo lietošanas politiku, jūsu piegādātāju līgumus vai štatu privātuma likumus, no kuriem daži ir plašāki nekā HIPAA.

Atbilstošs AI darba process sešos soļos, ieskaitot gadījumu, ja PHI jau ir ievadīts

HIPAA atbilstošs ChatGPT nepastāv kā kaut kas, ko jūs pērkat; pastāv plaisa starp rīku un darba procesu, un šie seši soļi to aizver.

1. Izlemiet, kurš lasītājs esat. Darbojoties attiecināmas personas vārdā, HIPAA attiecas uz to, ko jūs rakstāt. Izmantojot savu kontu savai veselībai, tas nenozīmē.
2. Apstipriniet rakstiski, vai BAA attiecas uz precīzu produktu un līmeni pirms jebkādas klīniskās lietošanas. Nav BAA nozīmē ne PHI, pilnīgs apstāšanās.
3. Izslēdziet modeļu apmācību un izmantojiet pagaidu tērzēšanu. Skaļi pasakiet, kas tas ir: riska samazināšana, nevis atbilstība.
4. Auditējiet un atvienojiet savienotājus, kas sasniedz klīnisko e-pastu, mākoņglabātuvi vai kaut ko EHR blakus esošu, līdz katrs no tiem ir pārskatīts.
5. Anonimizējiet līdz Safe Harbor standartam pirms ielīmēšanas, pēc tam izlasiet arī izvadi. Modeļi atkārto konkrēto informāciju, ko jūs tiem piešķīrāt.
6. Ja PHI jau ir ievadīts, izturieties pret to kā pret iespējamu pārkāpumu. Pārtrauciet pavediena izmantošanu. Neizdzēsiet to klusi, jo tā ir pierādījums. Nekavējoties informējiet savu privātuma vai atbilstības speciālistu, dokumentējiet, kas tika atklāts un kad, un ļaujiet viņiem veikt Paziņojumu par pārkāpumu noteikumu riska novērtējumu un pieņemt lēmumu par paziņošanu. Neiztīriet to pats.

Ja jūs esat pacients, nevis klīnicists, tas viss jums nav attiecināms. Jums nav nepieciešams BAA un nav risinājuma. Izlemiet, ko esat gatavs kopīgot, izvairieties no identifikatoriem uzvednēs, kuras jūs nepubliskotu, un, ja neesat pārliecināts par kaut kā steidzamību, bezmaksas August AI simptomu pārbaudītājs ir saprātīgs pirmais triādes solis. Kad jums ir nepieciešama aprūpe, nevis informācija, piemēram, tiešsaistes ADHD novērtējums, tas notiek pakalpojumu sniedzēja attiecībās, kur HIPAA ir attiecināms no pirmās uzņemšanas veidlapas.

Dažiem simptomiem nekad nevajadzētu vispirms nonākt pie tērzēšanas robota

Nekas šī raksta privātuma padomos nedrīkst aizkavēt neatliekamo medicīnisko palīdzību. Ja jūs izvēlaties starp rakstīšanu un zvanīšanu, zvaniet.

Zvaniet pa tālruni 911 vai dodieties uz neatliekamās palīdzības nodaļu tagad, ja:

• Jums ir sāpes krūtīs vai elpas trūkums.
• Jums ir pēkšņs nejutīgums, neskaidra runa vai sejas nokarāšanās, kas ir insulta pazīmes.
• Jums ir nopietna asiņošana.
• Jums ir domas par pašnāvību. Pārtrauciet rakstīt un zvaniet pa tālruni 911 vai 988. AI tērzēšana nevar jūs izmeklēt vai nosūtīt palīdzību.

Pierakstieties uz vizīti nākamās nedēļas laikā, ja:

• Jūs jau vairākas dienas triāģējat tos pašus simptomus ar tērzēšanas robotu, un tie neuzlabojas.
• Jums ir jauns mezgliņš vai neizskaidrojamas svara izmaiņas.
• Tērzēšanas robots pastāvīgi norāda jums apmeklēt ārstu. Tā ir atbilde, nevis pagaidu risinājums.

Pirms sākat, konsultējieties ar klīnicistu, ja:

• AI atbilde norāda jums pārtraukt izrakstīto medikamentu, mainīt devu vai ignorēt savu aprūpes komandu. Vispirms konsultējieties ar savu ārstu. Šie rīki rada pārliecinoši nepareizus medicīniskus padomus, un to dara tajā pašā tonī, ko viņi lieto, kad ir pareizi.

Vidējam līmenim Augusta 39 USD tiešsaistes steidzamās aprūpes vizīte savieno jūs ar ASV licencētu klīnicistu, kurš var izvērtēt simptomus un izrakstīt zāles, kad viņš to uzskata par piemērotu. Klīnicists izlemj. Video vizīte nevar izmeklēt jūs personīgi, nekavējoties pasūtīt attēlveidošanu vai pārvaldīt ārkārtas situāciju, tāpēc viss pirmajā līmenī pieder neatliekamās palīdzības nodaļai.

Bieži uzdotie jautājumi

Vai klīnika var tikt sodīta, ja darbinieks ielīmē pacienta informāciju ChatGPT?

Jā. Atbildība gulstas uz organizāciju, nevis indivīdu. Saskaņā ar 2026. gada 28. janvāra inflācijas korekciju HIPAA civilie naudas sodi svārstās no 1. līmeņa minimuma 145 ASV dolāri par pārkāpumu līdz 4. līmeņa minimumam 73 011 ASV dolāri par pārkāpumu, ar gada griestiem 2 190 294 ASV dolāri par pārkāpumu kategoriju. Katrs ieraksts var tikt skaitīts atsevišķi, tāpēc nelieli incidenti kļūst par lieliem skaitļiem.

Vai Microsoft Copilot, Google Gemini vai Claude ir HIPAA atbilstoši?

Parasti nē, un godīgā atbilde ir princips, nevis piegādātāja rangs. Atbilstība seko līgumam, nevis modelim. Neviens patērētāju tērzēšanas robots no jebkura piegādātāja netiek pārdots saskaņā ar BAA, un arī ChatGPT neatbilst HIPAA savos patērētāju līmeņos. Ja piegādātājs jums saka, ka tā uzņēmuma vai mākoņdatošanas piedāvājumu var segt, saņemiet to rakstiski, norādot savu precīzo produktu.

Vai es varu iesniegt HIPAA sūdzību pret OpenAI?

Parasti nē. HHS Birojs pilsonisko tiesību jautājumos izskata sūdzības par attiecināmajām personām un to sadarbības partneriem. Bez BAA OpenAI nav ne viens, ne otrs, tāpēc OCR nav jurisdikcijas pār jūsu personīgajām tērzēšanām. FTC ir pareizā vieta patērētāju sūdzībai par ne-HIPAA veselības rīku, saskaņā ar FTC likumu un Veselības pārkāpumu paziņošanas noteikumu.

Ja es izdzēšu ChatGPT sarunu, vai veselības informācija ir pazudusi?

Nē. Dzēšana noņem pavedienu no jūsu skata un sāk saglabāšanas taimeri; kopijas var saglabāties dublējumkopijās, drošības sistēmās un apakšprocesoru žurnālos uz noteiktu laiku. Vēl svarīgāk klīnikai, dzēšana neatceļ notikušu izpaušanu. Ja PHI tika ievadīta, atbilstības pienākums pastāv neatkarīgi, un pavediena dzēšana iznīcina pierādījumus, kas nepieciešami jūsu privātuma speciālistam.

Vai mans darba devējs var redzēt veselības jautājumus, kurus es ievadīju darba ChatGPT kontā?

Jā, potenciāli. Darba vietu plānos organizācija ir konta īpašnieks, nosaka saglabāšanu un var piekļūt administratīvajai piekļuvei sarunu datiem. Pieņemiet, ka viss, kas ievadīts darba kontā, ir redzams jūsu darba devējam, tāpat kā darba e-pasts. Personīgās veselības jautājumus vajadzētu turēt personīgajā kontā personīgajā ierīcē, savā laikā.

Vai kaut kas, ko es jautāju ChatGPT par savu veselību, nonāk manā medicīniskajā kartē vai sasniedz manu apdrošinātāju?

Nē. Patērētāju tērzēšanas robots nav savienots ar jūsu klīnicista EHR vai jūsu veselības plānu, un jūsu tērzēšanas sarunas neietilpst nevienā no tām. Izņēmumi ir tie, kurus jūs pats radāt: savienojot rīku ar kontiem, kas satur jūsu ierakstus, vai ielīmējot tā izvadi pacienta portāla ziņojumā. Reklāmas un datu kopīgošanas prakses ir atsevišķs jautājums, ko regulē privātuma politika.

Vai ir HIPAA pārkāpums izmantot ChatGPT, lai izstrādātu pacientu vēstuli?

Dažreiz, un atšķirības līnija ir identifikatori. Pieprasot vispārīgu apelācijas vēstules veidni bez pacienta informācijas, nav PHI izpaušana, lai gan jūsu darba devēja politika to joprojām var aizliegt. Ielīmējot vārdu, dzimšanas datumu, apmeklējuma datumu vai diagnozi, tas kļūst par izpaušanu piegādātājam bez BAA, kas ir pārkāpums.

Galvenais secinājums

Vai ChatGPT atbilst HIPAA? Nē, un šī atbilde nemainīsies iestatījumu pārslēgšanas dēļ. Tā mainīsies tikai tad, kad organizācija parakstīs BAA, kas nosauc konkrētu produktu, un pēc tam izveidos piekļuves kontroles, žurnālus un apmācību ap to. Ja jūs esat klīnicists, secība ir vienkārša: nav līguma, nav PHI, un anonimizēt līdz Safe Harbor standartam, kad to lietojat. Ja jūs esat pacients, jautājums tika uzdots nepareizam likumam. HIPAA ierobežo jūsu pakalpojumu sniedzējus un viņu piegādātājus. Jūsu aizsardzība nāk no privātuma politikas, ar kuru esat vienojies, FTC aiz tās un jūsu pašu sprieduma par to, ko rakstīt.

Atruna: Šis raksts ir paredzēts tikai informatīviem nolūkiem un nav medicīnisks padoms. Vienmēr konsultējieties ar kvalificētu veselības aprūpes speciālistu, lai pieņemtu diagnostikas un ārstēšanas lēmumus. Ja jums ir medicīniska neatliekamā palīdzība, nekavējoties zvaniet pa tālruni 911 vai dodieties uz tuvāko neatliekamās palīdzības nodaļu.