ChatGPT HIPAA अनुरूप आहे का? याचा रुग्णांवर आणि दवाखान्यांवर काय परिणाम होतो

नाही. आज तुम्ही जे प्लॅन खरेदी करू शकता त्यापैकी कोणत्याही प्लॅनवर ChatGPT HIPAA अनुरूप आहे का? नाही, कारण OpenAI त्यांच्या ग्राहक स्तरांसाठी व्यवसाय सहयोगी करार (Business Associate Agreement - BAA) साइन करत नाही. HIPAA संस्था आणि करारांवर नियंत्रण ठेवते, मॉडेल्सवर नाही. आणि जर तुम्ही तुमच्या स्वतःच्या खात्यात तुमची स्वतःची आरोग्य माहिती टाइप केली, तर HIPAA कधीच लागू होत नाही.

TL;DR: मुख्य मुद्दे

• ग्राहक बाजारात कोणताही HIPAA अनुरूप ChatGPT उपलब्ध नाही. मोफत, प्लस आणि गो, टीम आणि एंटरप्राइज यांसारखे प्लॅन व्यवसाय सहयोगी कराराशिवाय (BAA) विकले जात नाहीत.
• HIPAA आरोग्य योजना, क्लिअरिंगहाऊस, प्रदाता आणि त्यांचे कंत्राटी विक्रेते यांना बांधून ठेवते. हे तुम्हाला, तुमच्या स्वतःच्या खात्यात तुमची लक्षणे टाइप करताना बांधत नाही.
• त्याऐवजी ग्राहकांचे संरक्षण करते ती म्हणजे विक्रेत्याची गोपनीयता धोरणे (privacy policy) आणि फेडरल ट्रेड कमिशन (FTC), ज्याने एका आरोग्य प्लॅटफॉर्मला आधीच $1.5 दशलक्ष दंड ठोठावला आहे.
• मॉडेल ट्रेनिंग बंद करणे आणि तात्पुरती चॅट वापरणे यामुळे संपर्क कमी होतो. यामुळे कायदेशीर संरक्षण मिळत नाही.
• जर संरक्षित आरोग्य माहिती (PHI) नियमित ChatGPT मध्ये गेली असेल, तर त्यास संभाव्य उल्लंघन (breach) म्हणून घ्या आणि त्याच दिवशी तुमच्या गोपनीयता अधिकाऱ्याला (privacy officer) कळवा.

ChatGPT HIPAA अनुरूप आहे का? आज तुम्ही साइन अप करू शकता अशा कोणत्याही आवृत्तीमध्ये नाही

ChatGPT HIPAA अनुरूप आहे का? नाही. हे लिहिताना, OpenAI त्यांच्या ग्राहक प्लॅनवर (मोफत, प्लस आणि गो, टीम, किंवा एंटरप्राइज) व्यवसाय सहयोगी करार (BAA) देत नाही, आणि त्या स्वाक्षरी केलेल्या कराराशिवाय कोणतेही उत्पादन कव्हर केले जाऊ शकत नाही. कोणतेही AI मॉडेल स्वतःहून HIPAA अनुरूप नसते: HIPAA संस्था आणि करारांवर नियंत्रण ठेवते, त्यामुळे अनुरूपता स्वाक्षरी केलेल्या BAA वर तसेच उत्पादन कसे कॉन्फिगर केले जाते, प्रतिबंधित केले जाते आणि लॉग केले जाते यावर अवलंबून असते.

ज्या मार्गाने BAA शक्य आहे तो म्हणजे OpenAI ने जानेवारी 2026 मध्ये लॉन्च केलेली आरोग्य-विशिष्ट उत्पादनांची श्रेणी. ही श्रेणी नवीन आहे, तिचे नियम या पानावर सर्वात अस्थिर सत्य आहेत, आणि त्यावर अवलंबून राहण्यापूर्वी तुम्ही तुमच्या स्वतःच्या उत्पादनासाठी आणि स्तरासाठी उपलब्धता सत्यापित केली पाहिजे.

आता निर्णयापेक्षा महत्त्वाचे असलेले पुनर्मूल्यांकन: स्वतःच्या खात्यात टाइप करणाऱ्या बहुतेक लोकांसाठी, HIPAA हा लागू होणारा कायदा कधीच नव्हता.

HIPAA तुमच्या दवाखान्याला आणि त्याच्या विक्रेत्यांना बांधते, तुम्हाला आणि तुमच्या कीबोर्डला नाही

कायदा फक्त दोन गटांपर्यंत पोहोचतो, दोन्ही 45 CFR §160.103 येथे परिभाषित केलेले आहेत: कव्हर्ड एन्टीटीज (आरोग्य योजना, आरोग्य क्लिअरिंगहाऊस आणि प्रमाणित व्यवहारांसाठी इलेक्ट्रॉनिकरित्या आरोग्य माहिती प्रसारित करणारे प्रदाता) आणि व्यवसाय सहयोगी, म्हणजे जे कोणी कव्हर्ड एन्टीटीच्या वतीने काम करताना PHI तयार करतात, प्राप्त करतात, देखरेख करतात किंवा प्रसारित करतात. हा वाक्यांश संपूर्ण वजन उचलतो. सार्वजनिक सदस्याकडून आरोग्य-संबंधित मजकूर प्राप्त करणारी कंपनी व्यवसाय सहयोगी नसते.

HHS ने ॲप्ससाठी हे आधीच स्पष्ट केले आहे. त्यांच्या आरोग्य ॲप वापर परिस्थिती मार्गदर्शनानुसार (health app use scenarios guidance) जेव्हा एखादी व्यक्ती कोणत्याही कराराशिवाय स्वतःच्या पुढाकाराने आपल्या स्वतःच्या डेटाने ॲप भरते तेव्हा व्यवसाय सहयोगी संबंध आढळत नाही.

त्यामुळे जेव्हा तुम्ही तुमची स्वतःची लक्षणे तुमच्या स्वतःच्या ChatGPT खात्यात पेस्ट करता, तेव्हा HIPAA लागू होत नाही आणि OpenAI त्याचे उल्लंघन करत नाही. हा काही पळवाट नाही. ही कायद्याची रचना आहे.

त्याऐवजी तुमचे संरक्षण करते ती म्हणजे OpenAI चे गोपनीयता धोरण (privacy policy), जे एक लागू करण्यायोग्य वचन म्हणून कार्य करते, तसेच FTC. 2024 च्या सुधारित आरोग्य उल्लंघन सूचना नियमानुसार (Health Breach Notification Rule) HIPAA च्या अधीन नसलेले आरोग्य ॲप्स आणि तत्सम तंत्रज्ञान स्पष्टपणे समाविष्ट केले आहेत. आणि ते अंमलबजावणी वास्तविक आहे: FTC ने 2023 मध्ये GoodRx कडून 1.5 दशलक्ष डॉलर्सचा दंड वसूल केला कारण त्यांनी फेसबुक आणि गुगलला प्रिस्क्रिप्शन आणि आरोग्य-स्थिती डेटा उघड केला.

तुमच्या डोक्यात हा फरक ठेवा. एका ग्राहक चॅटबॉटवर तुमच्या गोपनीयता धोरणाची जबाबदारी असते. कराराद्वारे कव्हर केलेल्या टेलिहेल्थ ॲपवर तुमची HIPAA ची अपेक्षा असते. भेटींच्या दरम्यान, August AI सारखे आरोग्य सहकारी ॲप तुम्हाला लक्षणे नोंदवण्यासाठी आणि साध्या भाषेतील प्रश्न विचारण्यासाठी मदत करू शकते, उपचारांना पर्याय म्हणून नाही तर सहाय्यक म्हणून, आणि कधीही निर्णय घेणारी गोष्ट म्हणून नाही.

खरी समस्या चॅटबॉट नाही. तुमची वाक्ये पुढे कुठे जातात ही खरी समस्या आहे

ChatGPT तुमचा डेटा शेअर करते का? यांत्रिक दृष्ट्या, होय, क्लाउड उत्पादन ज्या सामान्य मार्गांनी काम करते त्या मार्गांनी. ग्राहक स्तरांवर, डीफॉल्ट सेटिंग्ज संभाषणांना मॉडेल सुधारण्यासाठी, ठराविक कालावधीसाठी ठेवण्यासाठी आणि सुरक्षा आणि समस्यानिवारणासाठी मानवांद्वारे पुनरावलोकन करण्यासाठी वापरण्याची परवानगी देतात. सेवा चालवताना सबप्रोसेसर आणि इन्फ्रास्ट्रक्चर विक्रेते या डेटाला स्पर्श करतात, जो नेमका डाउनस्ट्रीम चेन आहे ज्याचे नियमन करण्यासाठी BAA लिहिलेला असतो.

ChatGPT तुमचा डेटा शेअर करते का, या प्रश्नाचे प्रामाणिक उत्तर असे आहे की ते तुमच्या स्तरावर, तुमच्या सेटिंग्जवर आणि तुम्ही त्याला काय कनेक्ट केले आहे यावर अवलंबून असते. यामुळे मी अनेकदा पाहतो ती चूक समोर येते: मॉडेल ट्रेनिंग बंद करणे आणि तात्पुरत्या चॅटवर स्विच करणे यामुळे संपर्क खरोखर कमी होतो, आणि तुम्ही दोन्ही करावे. यामुळे HIPAA कव्हरेज मिळत नाही. हे आवश्यक आहे, पण पुरेसे नाही.

मग एक शांत धोका आहे. कनेक्टर्स ChatGPT ला Gmail, Google Drive, सामायिक केलेला क्लिनिक इनबॉक्स किंवा EHR-संबंधित टूलमध्ये प्रवेश करण्याची आणि तेथे काय आहे ते वाचण्याची परवानगी देतात. कोणालाही काहीही पेस्ट करण्याची गरज नाही. रेफरल पत्रांनी भरलेल्या मेलबॉक्सकडे निर्देशित केलेला कनेक्टर म्हणजे उघड होणारे एक उघड आहे, आणि ते कोणाच्याही ऑडिट लॉगमध्ये दिसणार नाही.

ChatGPT Health चे "वर्धित गोपनीयता" हे उत्पादन वचन आहे, कायदेशीर वचन नाही

ChatGPT Health HIPAA अनुरूप आहे का?

ChatGPT Health HIPAA अनुरूप आहे का? नाही. कोणताही वैयक्तिक ग्राहक ChatGPT Health वर व्यवसाय सहयोगी करार (BAA) मिळवू शकत नाही, कितीही गोपनीयता सेटिंग्ज निवडल्या तरी, कारण BAA हा कव्हर्ड एन्टीटी आणि त्याच्या विक्रेत्यामधील करार असतो, आणि वैयक्तिक खाते वापरणारा रुग्ण यापैकी काहीही नाही.

वर्धित गोपनीयता, अलगीकरण आणि एन्क्रिप्शनबद्दलचे दावे हे उत्पादन-डिझाइनचे विधान आहेत. ते वास्तविक अभियांत्रिकीचे वर्णन करू शकतात आणि तरीही HIPAA लागू होते की नाही यावर त्याचा कोणताही कायदेशीर प्रभाव पडत नाही, कारण HIPAA तुम्ही कोण आहात आणि तुम्ही काय स्वाक्षरी केली यावर अवलंबून असते, स्टोरेज लेयर कसे तयार केले आहे यावर नाही.

उत्पादनात रुग्णासाठी जो बदल होतो तो म्हणजे तुमच्या स्वतःच्या डेटाची डीफॉल्ट हाताळणी, जी काहीतरी मौल्यवान आहे. यामुळे नियमन केलेले नातेसंबंध तयार होत नाही. हे जानेवारी 2026 मध्ये लॉन्च झालेल्या क्लिनिशियन आणि एंटरप्राइज हेल्थकेअर आवृत्त्यांपासून वेगळे ठेवा, जे संस्थांना विकले जातात आणि हाच एकमेव मार्ग आहे जिथे करार चर्चेसाठी उपलब्ध आहे.

फक्त स्वाक्षरी केलेला व्यवसाय सहयोगी करार (BAA) AI टूलला अनुरूप बनवू शकतो

ChatGPT व्यवसाय सहयोगी करार (BAA) हा एकमेव कायदेशीर मार्ग आहे जो तुमच्या संस्थेच्या वापरासाठी OpenAI ला HIPAA च्या कक्षेत आणतो. बाकी सर्व स्वच्छता आहे.

BAA संस्थेद्वारे स्वाक्षरी केला जातो, वैयक्तिक क्लिनिशियनद्वारे नाही, आणि त्यात वापरलेले विशिष्ट उत्पादन आणि स्तर नमूद केलेला असावा. API खात्याला कव्हर करणारा BAA वैयक्तिक पत्त्यावर लॉग इन केलेल्या ब्राउझर टॅबला कव्हर करत नाही.

बहुतेक पृष्ठे तुम्हाला हे सांगणार नाहीत: स्वाक्षरी केलेला BAA हा पाया आहे, अंतिम रेषा नाही. भूमिका-आधारित प्रवेश नियंत्रणे (role-based access controls), ऑडिट लॉगिंग ज्यावर कोणीतरी खरोखर लक्ष देते, पाठवल्या जाणार्‍या गोष्टींवर किमान-आवश्यक मर्यादा (minimum-necessary limits), आणि या साधनाचे विशेषतः नाव देणारे कर्मचारी प्रशिक्षण याशिवाय, तुमच्याकडे एकाच वेळी एक करार आणि एक अनुरूपतेची समस्या असेल. मार्केटिंग पृष्ठावरून अंदाज लावण्याऐवजी OpenAI कडून तुमच्या अचूक SKU साठी लेखी स्वरूपात BAA उपलब्धता निश्चित करा. 2026 ची श्रेणी नियामक अटींनुसार काही आठवड्यांची आहे.

रुग्णाचे नाव काढणे म्हणजे ओळख नसणे नव्हे

ChatGPT वापरण्यापूर्वी PHI ची ओळख काढून टाकण्याचा निर्णय घेणे हा योग्य विचार आहे, परंतु यासाठी HHS मानक (HHS standard) आहे, वैयक्तिक निर्णय नाही. दोन पद्धती पात्र आहेत: सेफ हार्बर (Safe Harbor), आणि पात्र सांख्यिकीशास्त्रज्ञाद्वारे (statistician) औपचारिक तज्ञ निर्धारण (Expert Determination).

सेफ हार्बर म्हणजे 18 सूचीबद्ध ओळखकर्त्यांच्या सर्व श्रेणी काढून टाकणे आणि उर्वरित व्यक्तीची ओळख पटवू शकतील असे कोणतेही वास्तविक ज्ञान नसणे. यात नावे; राज्यापेक्षा लहान भौगोलिक क्षेत्र; व्यक्तीशी संबंधित सर्व तारखा, ज्यात प्रवेश, सुटका, भेट आणि जन्मतारीख यांचा समावेश आहे; फोन, फॅक्स आणि ईमेल; सामाजिक सुरक्षा, वैद्यकीय रेकॉर्ड, आरोग्य योजना आणि खाते क्रमांक; प्रमाणपत्र आणि परवाना क्रमांक; वाहन आणि उपकरण ओळखकर्ते आणि अनुक्रमांक; URL आणि IP पत्ते; बायोमेट्रिक्स; पूर्ण-चेहऱ्याचे फोटो; आणि इतर कोणताही अद्वितीय कोड समाविष्ट आहे.

क्लिनिशियन जे सोडून देतात ते अपेक्षित आहेत: भेटीच्या तारखा, शहर, 89 पेक्षा जास्त वय, पेस्ट केलेल्या नोटच्या हेडरमध्ये असलेला MRN, डिव्हाइसचा अनुक्रमांक, फोटो आणि व्यक्तीचे स्वतःहून नाव देणारे स्पष्ट मुक्त-मजकूर कोट्स.

ठोसपणे सांगायचे तर, नाव वगळलेली नोट जी "बोझेमनमध्ये 34 वर्षांचा, 3 मार्च रोजी पाहिलेला, दुर्मिळ स्वयंप्रतिकार रोगाचे निदान निश्चित" अशी वाचते, ती ओळख नसलेला डेटा नाही. ती PHI आहे ज्यातून सर्वात सोपे फील्ड हटवले आहे.

ओळख काढून टाकणे (De-identification) हे देखील सर्व समस्यांचे निराकरण नाही. ते HIPAA चा प्रश्न काढून टाकते. ते तुमच्या मालकाच्या स्वीकार्य-वापर धोरणास (acceptable-use policy), तुमच्या विक्रेता करारांना (vendor contracts), किंवा राज्य गोपनीयता कायद्यांना (state privacy law) दूर करत नाही, ज्यापैकी काही HIPAA पेक्षा व्यापक आहेत.

सहा चरणांमध्ये अनुरूप AI कार्यप्रवाह, PHI आधीच गेल्यास देखील

HIPAA अनुरूप ChatGPT खरेदी करण्यासारखे काहीतरी म्हणून अस्तित्वात नाही; जे अस्तित्वात आहे ते म्हणजे साधन (tool) आणि कार्यप्रवाह (workflow) यांच्यातील अंतर, आणि ही सहा पावले ते भरून काढतात.

1. तुम्ही कोणता वाचक आहात हे ठरवा. कव्हर्ड एन्टीटीसाठी कृती करणे म्हणजे HIPAA तुम्ही काय टाइप करता याला लागू होते. तुमच्या स्वतःच्या आरोग्यासाठी तुमचे स्वतःचे खाते वापरणे म्हणजे ते लागू होत नाही.
2. कोणताही क्लिनिकल वापर करण्यापूर्वी BAA अचूक उत्पादन आणि स्तराला कव्हर करते की नाही याची लेखी पुष्टी करा. BAA नसेल तर PHI नाही, पूर्णविराम.
3. मॉडेल ट्रेनिंग बंद करा आणि तात्पुरती चॅट वापरा. हे काय आहे हे मोठ्याने सांगा: अनुपालनासाठी नाही, तर संपर्काचा धोका कमी करण्यासाठी.
4. ऑडिट करा आणि कनेक्टर्स डिस्कनेक्ट करा जे क्लिनिकल ईमेल, क्लाउड स्टोरेज किंवा EHR शी संबंधित कोणत्याही गोष्टीत प्रवेश करतात, प्रत्येक पुनरावलोकन करेपर्यंत.
5. पेस्ट करण्यापूर्वी सेफ हार्बर मानकांपर्यंत ओळख काढून टाका, मग आउटपुटचेही पुनरावलोकन करा. मॉडेल तुम्ही दिलेले विशिष्ट तपशील पुन्हा सांगतात.
6. जर PHI आधीच आत गेले असेल, तर संभाव्य उल्लंघनासारखे (breach) वागा. थ्रेड वापरणे थांबवा. ते शांतपणे हटवू नका, कारण ते पुरावा आहे. त्याच दिवशी तुमच्या गोपनीयता किंवा अनुपालन अधिकाऱ्याला सूचित करा, काय उघड झाले आणि कधी याची नोंद ठेवा, आणि त्यांना Breach Notification Rule चा धोका मूल्यांकन (risk assessment) करू द्या आणि सूचना देण्याचा निर्णय घेऊ द्या. स्वतःहून क्लिअर करू नका.

जर तुम्ही क्लिनिशियनऐवजी रुग्ण असाल, तर यापैकी काहीही तुम्हाला लागू होत नाही. तुम्हाला BAA किंवा कोणत्याही वर्कअराउंडची आवश्यकता नाही. तुम्ही काय शेअर करण्यास आरामदायक आहात ते ठरवा, अशा प्रॉम्प्ट्समधून ओळखकर्ते (identifiers) बाहेर ठेवा जे तुम्ही सार्वजनिकपणे पोस्ट करणार नाही, आणि जर तुम्हाला काहीतरी किती तातडीचे आहे याबद्दल खात्री नसेल, तर मोफत August AI Symptom Checker हे एक वाजवी पहिले ट्रायएज (triage) पाऊल आहे. जेव्हा तुम्हाला माहितीऐवजी काळजीची गरज असते, उदाहरणार्थ ADHD चे ऑनलाइन मूल्यांकन, तेव्हा ते प्रदाता संबंधांमध्ये होते जिथे पहिल्या इंटेक फॉर्मपासून HIPAA लागू होते.

काही लक्षणे कधीही प्रथम चॅटबॉटला देऊ नयेत

या लेखातील कोणतीही गोपनीयता सल्ला आपत्कालीन उपचारांना विलंब लावणारा नसावा. जर तुम्ही टाइप करणे आणि कॉल करणे यात निवड करत असाल, तर कॉल करा.

जर तुम्हाला खालीलपैकी काही होत असेल, तर त्वरित 911 वर कॉल करा किंवा आपत्कालीन कक्षात जा:

• तुम्हाला छातीत दुखत आहे किंवा श्वास घेण्यास त्रास होत आहे.
• तुम्हाला अचानक बधिरता, बोलण्यात अडखळणे किंवा चेहऱ्याचा अशक्तपणा येत आहे, जे स्ट्रोकची चिन्हे आहेत.
• तुम्हाला तीव्र रक्तस्त्राव होत आहे.
• तुमच्या मनात आत्महत्येचे विचार येत आहेत. टाइप करणे थांबवा आणि 911 किंवा 988 वर कॉल करा. AI चॅट तुमची तपासणी करू शकत नाही किंवा मदत पाठवू शकत नाही.

जर खालीलपैकी काही होत असेल, तर पुढील आठवड्यात भेट बुक करा:

• तुम्ही दिवसांपासून एकाच लक्षणाचे चॅटबॉटद्वारे ट्रायएज करत आहात आणि ते सुधारत नाही.
• तुम्हाला नवीन गाठ (lump) आहे किंवा वजनात अनपेक्षित बदल झाला आहे.
• चॅटबॉट तुम्हाला डॉक्टरकडे जाण्यास सांगत आहे. ते उत्तर आहे, जागा भरण्यासाठी नाही.

सुरुवात करण्यापूर्वी डॉक्टरांशी बोला जर:

• AI प्रतिसाद तुम्हाला प्रिस्क्रिप्शन औषध थांबवण्यास, डोस बदलण्यास किंवा तुमच्या काळजी टीमकडे दुर्लक्ष करण्यास सांगतो. प्रथम तुमच्या प्रिस्क्रायबरशी (prescriber) पुष्टी करा. ही साधने आत्मविश्वासाने चुकीचे वैद्यकीय मार्गदर्शन देतात, आणि ते त्याच आवाजात करतात जेव्हा ते बरोबर असतात.

मध्यम स्तरासाठी, August ची $39 ऑनलाइन तात्काळ काळजी भेट (urgent care visit) तुम्हाला US-परवानाधारक क्लिनिशियनशी जोडते जे लक्षणे तपासू शकतात आणि योग्य वाटल्यास औषध लिहून देऊ शकतात. क्लिनिशियन ठरवतो. व्हिडिओ भेट तुम्हाला प्रत्यक्ष तपासू शकत नाही, त्वरित इमेजिंग ऑर्डर करू शकत नाही, किंवा आपत्कालीन परिस्थितीचे व्यवस्थापन करू शकत नाही, म्हणून पहिल्या स्तरातील काहीही ER मध्येच करावे.

वारंवार विचारले जाणारे प्रश्न

जर एखाद्या कर्मचाऱ्याने रुग्णाची माहिती ChatGPT मध्ये पेस्ट केली तर दवाखान्यावर दंड होऊ शकतो का?

होय. दायित्व संस्थेवर (organization) येते, व्यक्तीवर नाही. 28 जानेवारी 2026 च्या महागाई समायोजनानुसार (inflation adjustment), HIPAA चे नागरी मौद्रिक दंड (civil monetary penalties) प्रति उल्लंघन $145 (Tier 1) पासून प्रति उल्लंघन $73,011 (Tier 4) पर्यंत चालतात, प्रति उल्लंघन श्रेणीसाठी वार्षिक मर्यादा $2,190,294 आहे. प्रत्येक रेकॉर्ड स्वतंत्रपणे मोजले जाऊ शकते, ज्यामुळे लहान घटना मोठ्या आकड्यांमध्ये रूपांतरित होतात.

त्याऐवजी Microsoft Copilot, Google Gemini, किंवा Claude HIPAA अनुरूप आहेत का?

सामान्यतः नाही, आणि प्रामाणिक उत्तर हे एका विक्रेत्याच्या रँकिंगऐवजी एक तत्वज्ञान आहे. अनुरूपता कराराचे अनुसरण करते, मॉडेलचे नाही. कोणत्याही विक्रेत्याचे ग्राहक चॅटबॉट BAA अंतर्गत विकले जात नाही, आणि ChatGPT देखील त्याच्या ग्राहक स्तरांमध्ये HIPAA अनुरूप नाही. जर एखादा विक्रेता तुम्हाला सांगतो की त्याचे एंटरप्राइज किंवा क्लाउड ऑफरिंग कव्हर केले जाऊ शकते, तर ते तुमच्या अचूक उत्पादनाचे नाव लेखी स्वरूपात मिळवा.

मी OpenAI विरुद्ध HIPAA तक्रार दाखल करू शकेन का?

सामान्यतः नाही. HHS Office for Civil Rights कव्हर्ड एन्टीटीज आणि त्यांच्या व्यवसाय सहयोग्यांविरुद्ध तक्रारी घेते. BAA च्या अनुपस्थितीत, OpenAI यापैकी काहीही नाही, त्यामुळे OCR ला तुमच्या वैयक्तिक चॅट्सवर अधिकार नाही. HIPAA नसलेल्या आरोग्य साधनाबद्दल ग्राहक तक्रारीसाठी FTC हे योग्य ठिकाण आहे, FTC कायदा आणि आरोग्य उल्लंघन सूचना नियमानुसार (Health Breach Notification Rule).

मी ChatGPT संभाषण हटवले तर आरोग्य माहिती निघून जाते का?

नाही. डिलीट केल्याने थ्रेड तुमच्या दृश्यातून निघून जातो आणि रिटेन्शन क्लॉक (retention clock) सुरू होतो; बॅकअप, सुरक्षा प्रणाली आणि सबप्रोसेसर लॉगमध्ये प्रती काही कालावधीसाठी टिकून राहू शकतात. दवाखान्यासाठी अधिक महत्त्वाचे म्हणजे, डिलीट करणे हे आधीच झालेल्या उघडकीस येण्याला (disclosure) उलटवत नाही. जर PHI आत गेले असेल, तर अनुरूपतेची जबाबदारी तरीही अस्तित्वात राहते, आणि थ्रेड डिलीट केल्याने तुमच्या गोपनीयता अधिकाऱ्याला आवश्यक असलेला पुरावा नष्ट होतो.

माझा नियोक्ता कामासाठी वापरल्या जाणाऱ्या ChatGPT खात्यात मी टाइप केलेले आरोग्य प्रश्न पाहू शकतो का?

होय, शक्य आहे. वर्कस्पेस प्लॅन्सवर, संस्था खात्याची मालक असते, रिटेन्शन सेट करते आणि संभाषणाच्या डेटामध्ये प्रशासकीय प्रवेश (administrative access) करू शकते. असे गृहीत धरा की कामाच्या खात्यात टाइप केलेली कोणतीही गोष्ट तुमच्या नियोक्त्याला दृश्यमान आहे, जसे की कामाचे ईमेल. वैयक्तिक आरोग्य प्रश्न वैयक्तिक खात्यात, वैयक्तिक डिव्हाइसवर, तुमच्या स्वतःच्या वेळेत असावेत.

मी माझ्या आरोग्याबद्दल ChatGPT ला विचारलेल्या कोणत्याही गोष्टी माझ्या वैद्यकीय नोंदीमध्ये (medical record) येतात किंवा माझ्या विमा कंपनीपर्यंत पोहोचतात का?

नाही. ग्राहक चॅटबॉटला तुमच्या क्लिनिशियनच्या EHR किंवा तुमच्या आरोग्य योजनेशी (health plan) कोणताही संबंध नाही, आणि तुमचे चॅट यापैकी कोणत्याहीमध्ये जात नाहीत. अपवाद ते आहेत जे तुम्ही तयार करता: तुमच्या रेकॉर्ड असलेल्या खात्यांशी साधन कनेक्ट करणे, किंवा त्याचे आउटपुट पेशंट पोर्टल संदेशात पेस्ट करणे. जाहिरात आणि डेटा-शेअरिंग पद्धती (data-sharing practices) गोपनीयता धोरणाद्वारे नियंत्रित केले जाणारे एक वेगळे प्रकरण आहे.

रुग्णांसाठी पत्र तयार करण्यासाठी ChatGPT वापरणे हे HIPAA उल्लंघन आहे का?

कधीकधी, आणि विभाजक रेषा ओळखकर्ते (identifiers) आहेत. रुग्णांच्या तपशिलांशिवाय सामान्य अपील-पत्र टेम्पलेटसाठी विचारणे हे PHI चा खुलासा नाही, जरी तुमच्या मालकाचे धोरण तरीही ते प्रतिबंधित करू शकते. नाव, जन्मतारीख, भेटीची तारीख किंवा निदान पेस्ट केल्याने ते BAA नसलेल्या विक्रेत्याला केलेला खुलासा होतो, जो उल्लंघन आहे.

निष्कर्ष

ChatGPT HIPAA अनुरूप आहे का? नाही, आणि ही उत्तरे तुम्ही टॉगल करत असलेल्या सेटिंगमुळे बदलणार नाही. ते तेव्हाच बदलते जेव्हा एखादी संस्था विशिष्ट उत्पादनाचे नाव देणारा BAA स्वाक्षरी करते आणि नंतर त्यावर प्रवेश नियंत्रणे, लॉगिंग आणि प्रशिक्षण तयार करते. जर तुम्ही क्लिनिशियन असाल, तर क्रम सोपा आहे: करार नाही, PHI नाही, आणि जेव्हा तुम्ही ते वापराल तेव्हा सेफ हार्बर मानकांपर्यंत ओळख काढून टाका. जर तुम्ही रुग्ण असाल, तर प्रश्न चुकीच्या कायद्याला उद्देशून होता. HIPAA तुमच्या प्रदात्यांना आणि त्यांच्या विक्रेत्यांना प्रतिबंधित करते. तुमचे संरक्षण तुम्ही सहमत असलेल्या गोपनीयता धोरणातून, त्यामागे असलेल्या FTC मधून आणि तुम्ही काय टाइप करण्याबद्दल तुमच्या स्वतःच्या निर्णयामधून येते.

अस्वीकरण: हा लेख केवळ माहितीसाठी आहे आणि वैद्यकीय सल्ला म्हणून विचारात घेऊ नये. निदान आणि उपचारांच्या निर्णयांसाठी नेहमी पात्र आरोग्य सेवा प्रदात्याचा सल्ला घ्या. जर तुम्हाला वैद्यकीय आपत्कालीन परिस्थितीचा अनुभव येत असेल, तर त्वरित 911 वर कॉल करा किंवा जवळच्या आपत्कालीन कक्षात जा.