Adakah ChatGPT Mematuhi HIPAA? Apa Maksudnya untuk Pesakit dan Klinik

Tidak. Adakah ChatGPT mematuhi HIPAA pada mana-mana pelan yang anda boleh beli hari ini? Ia tidak, kerana OpenAI tidak menandatangani perjanjian rakan kongsi perniagaan untuk peringkat penggunaannya. HIPAA mengawal selia organisasi dan kontrak, bukan model. Dan jika anda menaip maklumat kesihatan anda sendiri ke dalam akaun anda sendiri, HIPAA tidak pernah terpakai.

Ringkasan: Pengambilan utama

• Tiada ChatGPT yang mematuhi HIPAA di pasaran pengguna. Percuma, Plus dan Go, Pasukan, dan Perusahaan tidak dijual dengan perjanjian rakan kongsi perniagaan (BAA).
• HIPAA mengikat rancangan kesihatan, rumah penjelasan, penyedia perkhidmatan, dan vendor kontrak mereka. Ia tidak mengikat anda, menaip gejala anda sendiri ke dalam akaun anda sendiri.
• Apa yang melindungi pengguna sebaliknya ialah dasar privasi vendor dan Suruhanjaya Perdagangan Persekutuan, yang telah mengenakan denda $1.5 juta kepada platform kesihatan.
• Mematikan latihan model dan menggunakan sembang sementara mengurangkan pendedahan. Ia tidak mewujudkan perlindungan undang-undang.
• Jika maklumat kesihatan yang dilindungi (PHI) telah dimasukkan ke dalam ChatGPT biasa, rawatkannya sebagai pelanggaran yang berpotensi dan beritahu pegawai privasi anda pada hari yang sama.

Adakah ChatGPT Mematuhi HIPAA? Tiada dalam mana-mana versi yang anda boleh daftarkan hari ini

Adakah ChatGPT mematuhi HIPAA? Tidak. Pada masa penulisan ini, OpenAI tidak menawarkan perjanjian rakan kongsi perniagaan pada pelan penggunanya (Percuma, Plus dan Go, Pasukan, atau Perusahaan), dan tanpa kontrak yang ditandatangani itu tiada produk yang boleh dilindungi. Tiada model AI yang mematuhi HIPAA dengan sendirinya: HIPAA mengawal selia organisasi dan kontrak, jadi pematuhan bergantung pada BAA yang ditandatangani ditambah cara produk itu dikonfigurasikan, dihadkan dan direkodkan.

Satu-satunya laluan di mana BAA boleh dipertimbangkan ialah barisan khusus penjagaan kesihatan yang dilancarkan oleh OpenAI pada Januari 2026. Barisan itu adalah baharu, terma-termanya adalah fakta yang paling tidak menentu di halaman ini, dan anda harus mengesahkan ketersediaan untuk produk dan peringkat anda sendiri sebelum bergantung padanya.

Sekarang, penyesuaian semula yang lebih penting daripada keputusan: bagi kebanyakan orang yang menaip ke dalam akaun mereka sendiri, HIPAA bukanlah undang-undang yang digunakan.

HIPAA mengikat klinik anda dan vendornya, bukan anda dan papan kekunci anda

Undang-undang menjangkau tepat dua kumpulan, kedua-duanya ditakrifkan di 45 CFR §160.103: entiti yang dilindungi (rancangan kesihatan, rumah penjelasan penjagaan kesihatan, dan penyedia perkhidmatan yang menghantar maklumat kesihatan secara elektronik untuk urus niaga standard) dan rakan kongsi perniagaan, bermakna sesiapa sahaja yang mencipta, menerima, menyimpan, atau menghantar PHI semasa melakukan fungsi bagi pihak entiti yang dilindungi. Frasa itu membawa keseluruhan berat. Sebuah syarikat yang kebetulan menerima teks berkaitan kesihatan daripada ahli orang ramai bukanlah rakan kongsi perniagaan.

HHS telah pun mengusahakan perkara ini untuk aplikasi. Panduan senario penggunaan aplikasi kesihatan mendapati tiada hubungan rakan kongsi perniagaan apabila seseorang mengisi aplikasi dengan data mereka sendiri atas inisiatif mereka sendiri, tanpa kontrak di sebaliknya.

Oleh itu, apabila anda menampal gejala anda sendiri ke dalam akaun ChatGPT anda sendiri, HIPAA tidak terpakai, dan OpenAI tidak melanggarnya. Itu bukanlah satu kelemahan. Ia adalah seni bina undang-undang itu.

Apa yang melindungi anda sebaliknya ialah dasar privasi OpenAI, yang berfungsi sebagai janji yang boleh dikuatkuasakan, ditambah dengan FTC. Peraturan Pemberitahuan Pelanggaran Kesihatan pindaan 2024 secara eksplisit meliputi aplikasi kesihatan dan teknologi serupa yang tidak tertakluk kepada HIPAA. Dan penguatkuasaan itu adalah nyata: FTC memperoleh denda sivil $1.5 juta terhadap GoodRx pada tahun 2023 kerana mendedahkan data preskripsi dan keadaan kesihatan kepada Facebook dan Google.

Simpan perbandingan itu dalam kepala anda. Sembang pengguna berhutang kepada anda dasar privasi. Aplikasi telehealth yang dilindungi kontrak berhutang kepada anda HIPAA. Antara lawatan, aplikasi pendamping kesihatan seperti August AI boleh membantu anda merekod gejala dan bertanya soalan bahasa biasa, sebagai tambahan kepada penjagaan bukannya pengganti, dan tidak pernah sebagai perkara yang memutuskan.

Masalah sebenar bukanlah chatbot. Ia adalah ke mana perkataan anda pergi seterusnya

Adakah ChatGPT berkongsi data anda? Secara mekanikal, ya, dalam cara biasa produk awan beroperasi. Pada peringkat pengguna, lalai membenarkan perbualan digunakan untuk meningkatkan model, disimpan untuk tempoh tertentu, dan disemak oleh manusia untuk keselamatan dan penyelesaian masalah. Pelaksana sub-sistem dan vendor infrastruktur menyentuh data tersebut semasa menjalankan perkhidmatan, yang merupakan rangkaian hiliran tepat yang ditulis untuk dikawal oleh BAA.

Jawapan jujur kepada sama ada ChatGPT berkongsi data anda ialah ia bergantung pada peringkat anda, tetapan anda, dan apa yang anda sambungkannya. Yang membangkitkan kesilapan yang saya lihat paling kerap: mematikan latihan model dan beralih kepada sembang sementara benar-benar mengurangkan pendedahan, dan anda harus melakukan kedua-duanya. Ia tidak mewujudkan perlindungan HIPAA. Perlu, tetapi tidak mencukupi.

Kemudian terdapat risiko yang lebih senyap. Penyambung membenarkan ChatGPT mengakses Gmail, Google Drive, peti masuk klinik yang dikongsi, atau alatan bersebelahan EHR dan membaca apa yang ada di sana. Tiada siapa perlu menampal apa-apa. Penyambung yang diarahkan ke peti mel yang penuh dengan surat rujukan adalah pendedahan yang menunggu untuk berlaku, dan ia tidak akan kelihatan seperti itu dalam log audit sesiapa pun.

"Privasi yang dipertingkatkan" ChatGPT Health adalah janji produk, bukan janji undang-undang

Adakah ChatGPT Health Mematuhi HIPAA?

Adakah ChatGPT Health Mematuhi HIPAA? Tidak. Seorang pengguna individu tidak boleh mendapatkan perjanjian rakan kongsi perniagaan pada ChatGPT Health tidak kira apa tetapan privasi yang mereka pilih, kerana BAA ialah kontrak antara entiti yang dilindungi dan vendornya, dan pesakit yang menggunakan akaun peribadi bukanlah kedua-duanya.

Klaim mengenai privasi yang dipertingkatkan, pengasingan, dan penyulitan adalah kenyataan reka bentuk produk. Ia boleh menerangkan kejuruteraan sebenar dan masih mempunyai kesan undang-undang sifar mengenai sama ada HIPAA terpakai, kerana HIPAA bergantung pada siapa anda dan apa yang anda tandatangani, bukan pada bagaimana lapisan penyimpanan dibina.

Apa yang diubah oleh produk untuk pesakit ialah pengendalian lalai data anda, yang bernilai sesuatu. Ia tidak mewujudkan hubungan yang dikawal selia. Simpan ia berasingan dalam fikiran anda daripada edisi penjagaan kesihatan doktor dan perusahaan yang dilancarkan pada Januari 2026, yang dijual kepada organisasi dan merupakan satu-satunya tempat kontrak boleh dibincangkan.

Hanya perjanjian rakan kongsi perniagaan yang ditandatangani boleh menjadikan alat AI patuh

Perjanjian rakan kongsi perniagaan ChatGPT adalah satu-satunya mekanisme undang-undang yang membawa OpenAI ke dalam HIPAA untuk penggunaan organisasi anda. Semua yang lain adalah kebersihan.

BAA ditandatangani oleh organisasi, bukan oleh doktor individu, dan ia mesti menamakan produk dan peringkat spesifik yang sebenarnya digunakan. BAA yang melindungi akaun API tidak melindungi tab penyemak imbas yang dilog masuk dengan alamat peribadi.

Inilah yang tidak akan diberitahu oleh kebanyakan halaman kepada anda: BAA yang ditandatangani adalah lantai, bukan garisan penamat. Tanpa kawalan akses berasaskan peranan, pengelogan audit yang benar-benar dibaca oleh seseorang, had minimum perlu untuk apa yang dihantar, dan latihan tenaga kerja yang secara spesifik menamakan alat ini, anda mempunyai kontrak dan masalah pematuhan pada masa yang sama. Dapatkan ketersediaan BAA disahkan secara bertulis oleh OpenAI untuk SKU tepat anda daripada menyimpulkannya daripada halaman pemasaran. Barisan 2026 berusia beberapa minggu dari segi peraturan.

Mengalih keluar nama pesakit bukanlah penyah-pengenalan

Memutuskan untuk menyah-pengenalan PHI sebelum menggunakan ChatGPT adalah naluri yang betul, tetapi tahapnya ialah piawaian HHS, bukan panggilan penghakiman. Dua kaedah melayakkan diri: Safe Harbor, dan Penentuan Pakar formal oleh ahli statistik yang berkelayakan.

Safe Harbor bermakna mengalih keluar semua 18 kategori pengecam yang disenaraikan, dan tidak mempunyai pengetahuan sebenar bahawa apa yang tinggal boleh mengenal pasti seseorang. Itu ialah nama; geografi yang lebih kecil daripada negeri; semua tarikh yang dikaitkan dengan individu, termasuk tarikh kemasukan, keluar, lawatan, dan lahir; telefon, faks, dan e-mel; Nombor Keselamatan Sosial, rekod perubatan, rancangan kesihatan, dan akaun; nombor sijil dan lesen; pengecam kenderaan dan peranti serta nombor siri; URL dan alamat IP; biometrik; gambar muka penuh; dan mana-mana kod unik lain.

Yang ditinggalkan oleh doktor adalah boleh diramal: tarikh lawatan, bandar, umur melebihi 89 tahun, MRN yang duduk di pengepala nota yang ditampal, nombor siri peranti, gambar, dan petikan teks percuma verbatim yang cukup tersendiri untuk menamakan orang itu sendiri.

Secara konkrit, nota yang dialih nama tetapi masih berbunyi "berumur 34 tahun di Bozeman, dilihat pada 3 Mac, disahkan diagnosis autoimun jarang berlaku" bukanlah data yang dinyah-pengenalan. Ia adalah PHI dengan medan termudah dipadam.

Penyah-pengenalan juga bukan penawar semua. Ia mengalih keluar soalan HIPAA. Ia tidak mengalih keluar dasar penggunaan yang boleh diterima oleh majikan anda, kontrak vendor anda, atau undang-undang privasi negeri, beberapa daripadanya menyapu lebih luas daripada HIPAA.

Alur kerja AI yang patuh dalam enam langkah, termasuk jika PHI telah dimasukkan

ChatGPT yang mematuhi HIPAA tidak wujud sebagai sesuatu yang anda beli; apa yang wujud ialah jurang antara alat dan alur kerja, dan enam langkah ini menutupnya.

1. Putuskan anda pembaca yang mana. Bertindak untuk entiti yang dilindungi bermakna HIPAA terpakai pada apa yang anda taip. Menggunakan akaun anda sendiri untuk kesihatan anda sendiri bermakna ia tidak.
2. Sahkan secara bertulis sama ada BAA melindungi produk dan peringkat tepat sebelum sebarang penggunaan klinikal. Tiada BAA bermakna tiada PHI, penuh berhenti.
3. Matikan latihan model dan gunakan sembang sementara. Katakan dengan kuat apa ini: pengurangan risiko, bukan pematuhan.
4. Audit dan putuskan sambungan penyambung yang mengakses e-mel klinikal, storan awan, atau apa-apa yang bersebelahan dengan EHR, sehingga setiap satunya telah disemak.
5. Nyah-pengenalan kepada piawaian Safe Harbor sebelum menampal, kemudian baca output juga. Model mengulang semula butiran yang anda berikan kepada mereka.
6. Jika PHI telah dimasukkan, rawatkannya sebagai pelanggaran yang berpotensi. Hentikan penggunaan benang. Jangan padamnya secara senyap, kerana ia adalah bukti. Maklumkan pegawai privasi atau pematuhan anda pada hari yang sama, dokumentasikan apa yang didedahkan dan bila, dan biarkan mereka menjalankan penilaian risiko Peraturan Pemberitahuan Pelanggaran dan membuat keputusan pemberitahuan. Jangan bersihkan sendiri.

Jika anda seorang pesakit dan bukannya doktor, semua itu tidak terpakai kepada anda. Anda tidak memerlukan BAA dan penyelesaian masalah. Putuskan apa yang anda selesa kongsi, elakkan pengecam dalam gesaan yang anda tidak akan siarkan secara terbuka, dan jika anda tidak pasti betapa mendesaknya sesuatu, Pemeriksa Gejala AI Percuma August AI ialah langkah triase pertama yang munasabah. Apabila apa yang anda perlukan ialah penjagaan dan bukannya maklumat, contohnya penilaian ADHD dalam talian, itu berlaku dalam hubungan penyedia perkhidmatan di mana HIPAA terpakai dari borang kemasukan pertama.

Beberapa gejala tidak seharusnya pergi ke chatbot dahulu

Tiada apa-apa dalam nasihat privasi artikel ini sepatutnya menangguhkan penjagaan kecemasan. Jika anda membuat keputusan antara menaip dan menghubungi, hubungi.

Hubungi 911 atau pergi ke bilik kecemasan sekarang jika:

• Anda mengalami sakit dada atau kesukaran bernafas.
• Anda mengalami kebas tiba-tiba, pertuturan yang tidak jelas, atau muka yang terkulai, yang merupakan tanda strok.
• Anda mengalami pendarahan teruk.
• Anda mempunyai fikiran bunuh diri. Hentikan menaip dan hubungi 911 atau 988. Sembang AI tidak boleh memeriksa anda atau menghantar bantuan.

Tempah lawatan dalam tempoh seminggu jika:

• Anda telah membuat triase gejala yang sama dengan chatbot selama berhari-hari dan ia tidak bertambah baik.
• Anda mempunyai benjolan baharu atau perubahan berat badan yang tidak dapat dijelaskan.
• Chatbot terus memberitahu anda untuk berjumpa doktor. Itu adalah jawapan, bukan tempat letak kereta.

Berbincang dengan doktor sebelum anda mula jika:

• Respons AI memberitahu anda untuk menghentikan ubat yang dipreskripsi, menukar dos, atau mengabaikan pasukan penjagaan anda. Sahkan dengan preskriber anda dahulu. Alat ini menghasilkan panduan perubatan yang salah dengan yakin, dan mereka melakukannya dengan nada yang sama seperti apabila mereka betul.

Untuk peringkat pertengahan, lawatan penjagaan segera dalam talian August sebanyak $39 menghubungkan anda dengan doktor berlesen AS yang boleh menilai gejala dan menetapkan preskripsi apabila mereka menilainya sesuai. Doktor yang membuat keputusan. Lawatan video tidak boleh memeriksa anda secara peribadi, memesan pengimejan di tempat, atau menguruskan kecemasan, jadi apa-apa dalam peringkat pertama patut dimasukkan ke dalam ER.

Soalan Lazim

Bolehkah klinik didenda jika kakitangan menampal maklumat pesakit ke dalam ChatGPT?

Ya. Liabiliti terikat pada organisasi, bukan individu. Di bawah penyelarasan inflasi 28 Januari 2026, denda monetari sivil HIPAA berjalan dari minimum Tahap 1 sebanyak $145 setiap pelanggaran kepada minimum Tahap 4 sebanyak $73,011 setiap pelanggaran, dengan had tahunan sebanyak $2,190,294 setiap kategori pelanggaran. Setiap rekod boleh dikira secara berasingan, yang bagaimana insiden kecil menjadi nombor besar.

Adakah Microsoft Copilot, Google Gemini, atau Claude mematuhi HIPAA sebaliknya?

Biasanya tidak, dan jawapan jujur adalah prinsip dan bukannya kedudukan vendor. Pematuhan mengikut kontrak, bukan model. Tiada sembang pengguna daripada vendor mana pun dijual di bawah BAA, dan begitu juga ChatGPT mematuhi HIPAA dalam peringkat penggunanya. Jika vendor memberitahu anda penawaran perusahaan atau awan mereka boleh dilindungi, dapatkan itu secara bertulis menamakan produk tepat anda.

Bolehkah saya memfailkan aduan HIPAA terhadap OpenAI?

Biasanya tidak. Pejabat Hak Sivil HHS menerima aduan tentang entiti yang dilindungi dan rakan kongsi perniagaan mereka. Tanpa BAA, OpenAI bukanlah kedua-duanya, jadi OCR tidak mempunyai bidang kuasa ke atas sembang peribadi anda. FTC adalah tempat yang sesuai untuk aduan pengguna mengenai alat kesihatan bukan HIPAA, di bawah Akta FTC dan Peraturan Pemberitahuan Pelanggaran Kesihatan.

Jika saya memadam perbualan ChatGPT, adakah maklumat kesihatan hilang?

Tidak. Pemadaman mengalih keluar benang daripada pandangan anda dan memulakan jam pengekalan; salinan mungkin kekal dalam sandaran, sistem keselamatan, dan log pelaksana sub-sistem untuk tempoh tertentu. Lebih penting lagi untuk klinik, pemadaman tidak membatalkan pendedahan yang telah berlaku. Jika PHI masuk, kewajipan pematuhan wujud tanpa mengira, dan memadam benang itu memusnahkan bukti yang diperlukan oleh pegawai privasi anda.

Bolehkah majikan saya melihat soalan kesihatan yang saya taip ke dalam akaun ChatGPT kerja?

Ya, berpotensi. Pada pelan tempat kerja, organisasi memiliki akaun, menetapkan pengekalan, dan boleh mempunyai akses pentadbiran kepada data perbualan. Anggapkan apa sahaja yang ditaip ke dalam akaun kerja boleh dilihat oleh majikan anda, sama seperti e-mel kerja. Soalan kesihatan peribadi patut dimasukkan ke dalam akaun peribadi pada peranti peribadi, pada masa anda sendiri.

Adakah apa-apa yang saya tanya ChatGPT tentang kesihatan saya berakhir dalam rekod perubatan saya atau sampai kepada penanggung insurans saya?

Tidak. Sembang pengguna tidak mempunyai sambungan kepada EHR doktor anda atau kepada rancangan kesihatan anda, dan sembang anda tidak mengalir ke kedua-duanya. Pengecualian adalah yang anda cipta: menyambungkan alat kepada akaun yang menyimpan rekod anda, atau menampal outputnya ke dalam mesej portal pesakit. Amalan pengiklanan dan perkongsian data adalah kebimbangan berasingan yang dikawal oleh dasar privasi.

Adakah ia pelanggaran HIPAA menggunakan ChatGPT untuk merangka surat pesakit?

Kadang-kadang, dan garis pemisah adalah pengecam. Meminta templat surat rayuan generik tanpa butiran pesakit bukanlah pendedahan PHI, walaupun dasar majikan anda mungkin masih melarangnya. Menampal nama, tarikh lahir, tarikh lawatan, atau diagnosis menjadikannya pendedahan kepada vendor tanpa BAA, yang merupakan pelanggaran itu.

Kesimpulannya

Adakah ChatGPT mematuhi HIPAA? Tidak, dan jawapan itu tidak akan berubah kerana tetapan yang anda suis. Ia hanya berubah apabila organisasi menandatangani BAA yang menamakan produk spesifik dan kemudian membina kawalan akses, pengelogan, dan latihan di sekelilingnya. Jika anda seorang doktor, urutannya mudah: tiada kontrak, tiada PHI, dan nyah-pengenalan kepada piawaian Safe Harbor apabila anda menggunakannya. Jika anda seorang pesakit, soalan itu diarahkan kepada undang-undang yang salah. HIPAA menyekat penyedia perkhidmatan anda dan vendor mereka. Perlindungan anda datang daripada dasar privasi yang anda bersetuju, FTC di belakangnya, dan penilaian anda sendiri tentang apa yang perlu ditaip.

Penafian: Artikel ini adalah untuk tujuan maklumat sahaja dan tidak merupakan nasihat perubatan. Sentiasa berunding dengan penyedia penjagaan kesihatan yang berkelayakan untuk keputusan diagnosis dan rawatan. Jika anda mengalami kecemasan perubatan, hubungi 911 atau pergi ke bilik kecemasan terdekat dengan segera.