Дали ChatGPT е во согласност со HIPAA? Што значи тоа за пациентите и клиниките

Не. Дали ChatGPT е во согласност со HIPAA на кој било план што можете да го купите денес? Не е, бидејќи OpenAI не потпишува договор за деловен соработник за своите потрошувачки нивоа. HIPAA ги регулира организациите и договорите, а не моделите. И ако ги внесете вашите лични здравствени информации во вашата сопствена сметка, HIPAA никогаш не важел.

TL;DR: Клучни заклучоци

• Не постои HIPAA-компатибилен ChatGPT на потрошувачкиот пазар. Бесплатните, Плус и Го, Тим и Ентерпрајз не се продаваат со договор за деловен соработник (BAA).
• HIPAA ги обврзува здравствените планови, клириншките куќи, давателите на услуги и нивните договорни продавачи. Не ве обврзува вас, внесувајќи ги вашите симптоми во вашата сопствена сметка.
• Она што ги штити потрошувачите наместо тоа е политиката за приватност на продавачот и Федералната трговска комисија, која веќе казни здравствена платформа со 1,5 милиони долари.
• Исклучувањето на обуката на моделот и користењето на привремени разговори го намалуваат изложеноста. Тоа не создава правно покритие.
• Ако заштитени здравствени информации (PHI) веќе се внесени во редовен ChatGPT, третирајте го како потенцијално кршење и информирајте го вашиот службеник за приватност истиот ден.

Дали ChatGPT е во согласност со HIPAA? Не во ниту една верзија за која можете да се регистрирате денес

Дали ChatGPT е во согласност со HIPAA? Не. Во моментот на пишување, OpenAI не нуди договор за деловен соработник на своите потрошувачки планови (Бесплатни, Плус и Го, Тим или Ентерпрајз), а без тој потпишан договор, ниту еден производ не може да биде покриен. Ниту еден АИ модел не е сам по себе во согласност со HIPAA: HIPAA ги регулира организациите и договорите, така што усогласеноста зависи од потпишан BAA плус како е конфигуриран, ограничен и запишан производот.

Единствениот пат каде што BAA е дури и на маса е здравствено-специфичната постава што OpenAI ја лансираше во јануари 2026 година. Таа постава е нова, нејзините услови се најволатилниот факт на оваа страница, и треба да ја потврдите достапноста за вашиот сопствен производ и ниво пред да се потпрете на неа.

Сега преформулирањето што е поважно од пресудата: за повеќето луѓе кои внесуваат податоци во својата сметка, HIPAA никогаш не бил применливиот закон.

HIPAA ги обврзува вашата клиника и нејзините продавачи, не вас и вашата тастатура

Законот допира до точно две групи, и двете дефинирани на 45 CFR §160.103: опфатени субјекти (здравствени планови, здравствени клириншки куќи и даватели на услуги кои електронски пренесуваат здравствени информации за стандардни трансакции) и деловни соработници, што значи секој што создава, прима, одржува или пренесува PHI додека врши функција во име на опфатен субјект. Таа фраза носи целата тежина. Компанија што случајно добива текст поврзан со здравјето од член на јавноста не е деловен соработник.

HHS веќе го разработи ова за апликациите. Неговото упатство за сценарија за употреба на здравствени апликации не наоѓа деловен соработник однос кога лицето ја пополнува апликацијата со свои податоци на своја иницијатива, без договор зад тоа.

Значи, кога ги лепите вашите симптоми во вашата сопствена ChatGPT сметка, HIPAA не се применува, а OpenAI не го прекршува. Тоа не е заобиколување. Тоа е архитектурата на статутот.

Она што ве штити наместо тоа е политиката за приватност на OpenAI, која функционира како применливо ветување, плус FTC. Изменетото правило за известување за здравствени прекршувања од 2024 година експлицитно ги покрива здравствените апликации и слични технологии кои не се предмет на HIPAA. И таа спроведба е реална: FTC обезбеди 1,5 милиони долари граѓанска казна против GoodRx во 2023 година за откривање податоци за рецепти и здравствени состојби на Facebook и Google.

Држете го контрастот во вашата глава. Потрошувачкиот чет-бот ви должи политика за приватност. Телехелт апликацијата која е договорно покриена ви должи HIPAA. Помеѓу посети, апликација за здравствен придружник како August AI може да ви помогне да ги евидентирате симптомите и да поставувате прашања на обичен јазик, како додаток на грижата, наместо замена за неа, и никогаш како нешто што одлучува.

Вистинскиот проблем не е чет-ботот. Тоа е каде одат вашите зборови понатаму

Дали ChatGPT ги споделува вашите податоци? Механички, да, на вообичаениот начин како што тоа го прави облачен производ. На потрошувачките нивоа, стандардните поставки дозволуваат разговорите да се користат за подобрување на моделите, да се чуваат за одреден период и да се прегледуваат од луѓе за безбедност и решавање проблеми. Пот-процесорите и продавачите на инфраструктура ги допираат тие податоци додека ја користат услугата, што е токму низводната синџир што BAA е напишан да го управува.

Искрениот одговор на прашањето дали ChatGPT ги споделува вашите податоци е дека тоа зависи од вашето ниво, вашите поставки и она што го поврзавте. Што нè доведува до грешката што ја гледам најчесто: исклучувањето на обуката на моделот и преминувањето на привремени разговори навистина го намалуваат изложеноста, и треба да направите и двете. Тоа не создава HIPAA покритие. Неопходно, но не и доволно.

Потоа постои потивкиот ризик. Конекторите му дозволуваат на ChatGPT да пристапи до Gmail, Google Drive, заедничка клиника за пошта или алатка поврзана со EHR и да чита што има таму. Никој не мора ништо да лепи. Конектор насочен кон поштенско сандаче полно со писма за упатување е откривање што чека да се случи, и тоа нема да изгледа така во ниту еден лог за ревизија.

„Подобрена приватност“ на ChatGPT Health е ветување на производот, не правно ветување

Дали ChatGPT Health е во согласност со HIPAA?

Дали ChatGPT Health е во согласност со HIPAA? Не. Поединечен потрошувач не може да добие договор за деловен соработник на ChatGPT Health без оглед на избраните поставки за приватност, бидејќи BAA е договор помеѓу опфатен субјект и неговиот продавач, а пациент кој користи лична сметка не е ниту едното ниту другото.

Тврдењата за подобрена приватност, изолација и шифрирање се тврдења за дизајн на производот. Тие можат да опишуваат вистинско инженерство и сè уште да имаат нула правен ефект врз тоа дали HIPAA се применува, бидејќи HIPAA се однесува на тоа кој сте и што сте потпишале, а не на тоа како е изграден слојот за складирање.

Она што производот го менува за пациентот е стандардното ракување со вашите лични податоци, што вреди нешто. Тоа не создава регулиран однос. Чувајте го одделно во вашата глава од клиниците и здравствените изданија за претпријатија лансирани во јануари 2026 година, кои се продаваат на организации и се единственото место каде што договорот дури и може да се дискутира.

Само потпишан договор за деловен соработник може да направи АИ алатката да биде во согласност

Договорот за деловен соработник на ChatGPT е единствениот правен механизам што ја внесува OpenAI во рамките на HIPAA за употребата на вашата организација. Сè друго е хигиена.

BAA го потпишува организацијата, а не поединечен клиницист, и мора да го наведе конкретниот производ и ниво што се користи. BAA што покрива API сметка не ја покрива јазичето на прелистувачот на некој што се најавил со лична адреса.

Еве што повеќето страници нема да ви кажат: потпишаниот BAA е под, а не линија за цел. Без контроли за пристап засновани на улоги, запишување во дневник што некој навистина го чита, ограничувања за минимално неопходноста од тоа што се испраќа, и обука на работната сила што конкретно го именува овој алат, имате договор и проблем со усогласеноста истовремено. Потврдете ја достапноста на BAA писмено од OpenAI за вашиот точен SKU, наместо да ја изведувате од маркетиншка страница. Поставата од 2026 година е стара неколку недели во регулаторни термини.

Отстранувањето на името на пациентот не е де-идентификација

Одлуката за де-идентификација на PHI пред употребата на ChatGPT е правилен инстинкт, но прагот е стандардот на HHS, а не проценка. Два методи се квалификуваат: Safe Harbor и формално Експертско Определување од квалификуван статистичар.

Safe Harbor значи отстранување на сите 18 наведени категории на идентификатори и немање вистинско знаење дека она што останува може да идентификува некого. Тоа се имиња; географија помала од држава; сите датуми поврзани со поединецот, вклучувајќи ги датумите на прием, испис, посета и раѓање; телефон, факс и е-пошта; броеви на социјално осигурување, медицински записи, здравствени планови и броеви на сметки; броеви на сертификати и дозволи; идентификатори и сериски броеви на возила и уреди; URL-адреси и IP адреси; биометриски податоци; фотографии со цело лице; и која било друга единствена шифра.

Оние што клиницистите ги оставаат се предвидливи: датуми на посета, град, возрасти над 89 години, MRN што се наоѓа во заглавието на залепената белешка, сериски број на уредот, фотографија и verbatim цитати од слободен текст што се доволно препознатливи за да го именуваат лицето сами по себе.

Конкретно, белешка без име што сè уште гласи „34-годишник во Боземан, виден на 3 март, потврдена ретка автоимуна дијагноза“ не е де-идентификуван податок. Тоа е PHI со избришано најлесно поле.

Де-идентификацијата исто така не е решение за сè. Таа го отстранува прашањето за HIPAA. Таа не го отстранува политиката за прифатлива употреба на вашиот работодавец, вашите договори со продавачи, или законот за приватност на државата, од кои неколку се пошироки од HIPAA.

Компатибилен работен тек со АИ во шест чекори, вклучително и ако PHI веќе е внесено

ChatGPT во согласност со HIPAA не постои како нешто што го купувате; она што постои е празнината помеѓу алат и работен тек, а овие шест чекори го затвораат.

1. Одлучете кој читател сте. Дејствувањето во име на опфатен субјект значи дека HIPAA се применува на она што го внесувате. Користењето на вашата сопствена сметка за вашето здравје значи дека не се применува.
2. Потврдете писмено дали BAA го покрива точниот производ и ниво пред секоја клиничка употреба. Без BAA, нема PHI, точка.
3. Исклучете ја обуката на моделот и користете привремен разговор. Кажете гласно што е ова: намалување на ризикот, а не усогласеност.
4. Проверете и исклучете ги конекторите што пристапуваат до клиничка е-пошта, складирање во облак или нешто поврзано со EHR, додека секој од нив не биде прегледан.
5. Де-идентифицирајте до стандардот Safe Harbor пред лепење, а потоа прочитајте го и излезот. Моделите ги повторуваат деталите што сте им ги дале.
6. Ако PHI веќе е внесено, третирајте го како потенцијално кршење. Престанете да ја користите нишката. Не бришете ја тивко, бидејќи тоа е доказ. Известете го вашиот службеник за приватност или усогласеност истиот ден, документирајте што е откриено и кога, и дозволете им да ја спроведат проценката на ризикот од правилникот за известување за кршење и да ја донесат одлуката за известување. Не се ослободувајте сами.

Ако сте пациент, а не клиницист, ништо од тоа не се однесува на вас. Не ви треба BAA и нема заобиколување. Одлучете што сте подготвени да споделите, чувајте ги идентификаторите подалеку од прашања што не би ги објавиле јавно, и ако не сте сигурни колку е итно нешто, бесплатниот August AI Symptom Checker е разумен прв чекор за тријажа. Кога она што ви треба е грижа, а не информации, на пример онлајн проценка за АДХД, тоа се случува во рамките на односот со давателот каде HIPAA се применува од првата форма за внесување.

Некои симптоми никогаш не треба прво да одат кај чет-бот

Ништо во советите за приватност во оваа статија не треба да ја одложи итна помош. Ако одлучувате помеѓу внесување и повикување, повикајте.

Јавете се на 911 или одете во собата за итни случаи сега ако:

• Имате болка во градите или тешкотии при дишење.
• Имате ненадејна вкочанетост, замаглен говор или спуштање на лицето, што се знаци на мозочен удар.
• Имате силно крварење.
• Имате мисли за самоубиство. Престанете да внесувате и јавете се на 911 или 988. АИ разговор не може да ве прегледа или да испрати помош.

Закажете посета во следните седум дена ако:

• Деновиве тријажирате ист симптом со чет-бот и тој не се подобрува.
• Имате нов оток или необјаснета промена на тежината.
• Чет-ботот постојано ви кажува да посетите лекар. Тоа е одговорот, а не место држеч.

Разговарајте со клиницист пред да започнете ако:

• Одговор од АИ ви кажува да прекинете со пропишан лек, да промените доза или да го занемарите вашиот тим за нега. Потврдете со вашиот препишувач прво. Овие алатки произведуваат самоуверени погрешни медицински упатства, и го прават тоа со истиот тон со кој го користат кога се во право.

За средното ниво, August-овата онлајн посета за итна нега од 39 долари ве поврзува со лиценциран американски клиницист кој може да ги процени симптомите и да препише кога ќе го смета за соодветно. Клиницистот одлучува. Видео посета не може да ве прегледа лично, да нарача снимање на лице место, или да управува со итни случаи, така што се што е во првото ниво припаѓа во итна помош.

Најчесто поставувани прашања

Дали една клиника може да биде казнета ако член на персоналот внесе информации за пациент во ChatGPT?

Да. Одговорноста се припишува на организацијата, а не на поединецот. Според прилагодувањето на инфлацијата од 28 јануари 2026 година, граѓанските парични казни за HIPAA се движат од минимум од 145 долари по прекршок од Тиер 1 до минимум од 73.011 долари по прекршок од Тиер 4, со годишен максимум од 2.190.294 долари по категорија на прекршок. Секој запис може да се брои одделно, што е како малите инциденти стануваат големи броеви.

Дали Microsoft Copilot, Google Gemini или Claude се во согласност со HIPAA наместо тоа?

Обично не, а искрениот одговор е принцип наместо рангирање на продавач. Усогласеноста следи по договорот, а не по моделот. Ниту еден потрошувачки чет-бот од кој било продавач не се продава под BAA, ниту пак ChatGPT е во согласност со HIPAA во своите потрошувачки нивоа. Ако продавач ви каже дека неговата понуда за претпријатија или облакот може да биде покриена, добијте го тоа писмено, наведувајќи го вашиот точен производ.

Може ли да поднесам жалба за HIPAA против OpenAI?

Обично не. Канцеларијата за граѓански права на HHS прима жалби за опфатени субјекти и нивните деловни соработници. Без BAA на место, OpenAI не е ниту едното ниту другото, така што OCR нема јурисдикција над вашите лични разговори. FTC е вистинското место за жалба на потрошувач за здравствен алат што не е во согласност со HIPAA, според Законот на FTC и Правилникот за известување за здравствени прекршувања.

Ако избришам разговор на ChatGPT, дали здравствените информации се изгубени?

Не. Бришењето ја отстранува нишката од вашиот поглед и го започнува часовникот за задржување; копии може да останат во резервни копии, системи за безбедност и дневници на под-процесори за одреден период. Поважно за клиника, бришењето не поништува откривање што веќе се случило. Ако PHI било внесено, обврската за усогласеност постои без оглед, а бришењето на нишката го уништува доказот што му е потребен на вашиот службеник за приватност.

Дали мојот работодавец може да ги види здравствените прашања што ги внесов во работна ChatGPT сметка?

Да, потенцијално. На нивоа за работен простор, организацијата ги поседува сметката, ги поставува задржувањата и може да има административен пристап до податоците од разговорите. Претпоставете дека се што е внесено во работна сметка е видливо за вашиот работодавец, исто како и работната е-пошта. Личните здравствени прашања припаѓаат на лична сметка на личен уред, во ваше време.

Дали нешто што ќе го прашам ChatGPT за моето здравје завршува во мојот медицински запис или стигнува до мојот осигурител?

Не. Потрошувачкиот чет-бот нема врска со EHR на вашиот клиницист или со вашиот здравствен план, и вашите разговори не се прелеваат ниту во едното ниту во другото. Исклучоци се оние што вие ги создавате: поврзување на алатката со сметки што ги држат вашите записи, или внесување на нејзиниот излез во порака на портал за пациенти. Практиките за рекламирање и споделување податоци се посебен проблем што се регулира со политиката за приватност.

Дали е прекршување на HIPAA да се користи ChatGPT за составување писмо до пациент?

Понекогаш, и разделната линија се идентификаторите. Барањето за генерички шаблон за писмо за жалба без детали за пациентот не е откривање на PHI, иако политиката на вашиот работодавец може сè уште да го забранува. Лепењето име, датум на раѓање, датум на посета или дијагноза го прави откривање на продавач без BAA, што е прекршокот.

Заклучок

Дали ChatGPT е во согласност со HIPAA? Не, и тој одговор нема да се промени поради поставка што ќе ја префрлите. Тоа се менува само кога една организација ќе потпише BAA со наведување на специфичен производ и потоа ќе изгради контроли за пристап, запишување и обука околу него. Ако сте клиницист, редоследот е едноставен: нема договор, нема PHI, и де-идентифицирајте до стандардот Safe Harbor кога ќе го користите. Ако сте пациент, прашањето беше насочено кон погрешниот закон. HIPAA ги ограничува вашите даватели на услуги и нивните продавачи. Вашата заштита доаѓа од политиката за приватност со која сте се согласиле, FTC зад неа, и вашата сопствена проценка за тоа што да внесувате.

Откажување од одговорност: Оваа статија е само за информативни цели и не претставува медицински совет. Секогаш консултирајте се со квалификуван давател на здравствени услуги за одлуки за дијагностицирање и лекување. Ако доживувате медицинска итна помош, јавете се на 911 или одете во најблиската соба за итни случаи веднаш.