Is ChatGPT HIPAA-compliant? Wat het betekent voor patiënten en klinieken

Nee. Is ChatGPT HIPAA-compliant op welk plan dan ook dat u vandaag kunt kopen? Dat is het niet, omdat OpenAI geen overeenkomst voor zakelijke partners ondertekent voor zijn consumentenabonnementen. HIPAA reguleert organisaties en contracten, niet modellen. En als u uw eigen gezondheidsinformatie in uw eigen account typt, was HIPAA nooit van toepassing.

TL;DR: Belangrijkste conclusies

• Er is geen HIPAA-compliant ChatGPT in de consumentenversie. Gratis, Plus en Go, Team en Enterprise worden niet verkocht met een overeenkomst voor zakelijke partners (BAA).
• HIPAA bindt zorgplannen, clearinghouses, providers en hun gecontracteerde leveranciers. Het bindt u niet, die uw eigen symptomen in uw eigen account typt.
• Wat consumenten in plaats daarvan beschermt, is het privacybeleid van de leverancier en de Federal Trade Commission, die een gezondheidsplatform al $ 1,5 miljoen heeft beboet.
• Het uitschakelen van modeltraining en het gebruik van tijdelijke chat vermindert de blootstelling. Het creëert geen wettelijke dekking.
• Als beschermde gezondheidsinformatie (PHI) al in reguliere ChatGPT is ingevoerd, behandel het dan als een potentiële inbreuk en meld dit dezelfde dag nog aan uw privacyfunctionaris.

Is ChatGPT HIPAA-compliant? Niet in welke versie dan ook waarvoor u zich vandaag kunt aanmelden

Is ChatGPT HIPAA-compliant? Nee. Op het moment van schrijven biedt OpenAI geen overeenkomst voor zakelijke partners aan op zijn consumentenabonnementen (Gratis, Plus en Go, Team of Enterprise), en zonder dat ondertekende contract kan geen enkel product worden gedekt. Geen enkel AI-model is op zichzelf HIPAA-compliant: HIPAA reguleert organisaties en contracten, dus naleving hangt af van een ondertekende BAA plus hoe het product is geconfigureerd, beperkt en gelogd.

De enige route waarbij een BAA überhaupt ter sprake is, is de specifieke lijn voor de gezondheidszorg die OpenAI in januari 2026 heeft gelanceerd. Die lijn is nieuw, de voorwaarden ervan zijn het meest volatiele feit op deze pagina, en u moet de beschikbaarheid voor uw eigen product en niveau verifiëren voordat u erop vertrouwt.

Nu de herformulering die meer belang heeft dan het oordeel: voor de meeste mensen die in hun eigen account typen, was HIPAA nooit de wet die van toepassing was.

HIPAA bindt uw kliniek en haar leveranciers, niet u en uw toetsenbord

De wet reikt precies tot twee groepen, beide gedefinieerd in 45 CFR §160.103: gedekte entiteiten (zorgverzekeraars, gezondheidszorg clearinghouses en zorgverleners die elektronisch gezondheidsinformatie verzenden voor standaardtransacties) en zakelijke partners, wat iedereen betekent die PHI creëert, ontvangt, onderhoudt of verzendt tijdens het uitvoeren van een functie namens een gedekte entiteit. Die zin draagt het volledige gewicht. Een bedrijf dat toevallig gezondheidsgerelateerde tekst ontvangt van een lid van het publiek, is geen zakelijke partner.

HHS heeft dit al uitgewerkt voor apps. De richtlijnen voor gebruiksscenario's van gezondheidsapps vinden geen zakelijke partnerrelatie wanneer een persoon een app vult met zijn eigen gegevens op eigen initiatief, zonder contract erachter.

Dus als u uw eigen symptomen in uw eigen ChatGPT-account plakt, is HIPAA niet van toepassing en schendt OpenAI het niet. Dat is geen mazen in de wet. Het is de architectuur van de wet.

Wat u in plaats daarvan beschermt, is het privacybeleid van OpenAI, dat functioneert als een afdwingbare belofte, plus de FTC. De in 2024 gewijzigde Health Breach Notification Rule dekt expliciet gezondheidsapps en vergelijkbare technologieën die niet onder HIPAA vallen. En die handhaving is reëel: de FTC heeft in 2023 een civiele boete van $ 1,5 miljoen opgelegd aan GoodRx voor het delen van gevoelige gezondheidsgegevens van consumenten met Facebook en Google.

Houd het contrast in gedachten. Een chatbot voor consumenten is u een privacybeleid verschuldigd. Een telehealth-app die contractueel gedekt is is u HIPAA verschuldigd. Tussen bezoeken door kan een gezondheids-companion-app zoals August AI u helpen symptomen te loggen en vragen in begrijpelijke taal te stellen, als aanvulling op zorg in plaats van als vervanging ervan, en nooit als het ding dat beslissingen neemt.

Het echte probleem is niet de chatbot. Het is waar uw woorden daarna naartoe gaan

Deelt ChatGPT uw gegevens? Mechanisch gezien wel, op de gebruikelijke manieren van een cloudproduct. Op consumentenabonnementen staan de standaardinstellingen toe dat gesprekken worden gebruikt om modellen te verbeteren, gedurende een bepaalde periode worden bewaard en door mensen worden beoordeeld op veiligheid en probleemoplossing. Subprocessors en infrastructuurleveranciers raken die gegevens aan tijdens het leveren van de service, wat precies de downstreamketen is waarvoor een BAA is opgesteld.

Het eerlijke antwoord op de vraag of ChatGPT uw gegevens deelt, is dat het afhangt van uw niveau, uw instellingen en waarmee u het hebt verbonden. Wat het meest voorkomende foutieve idee oproept: het uitschakelen van modeltraining en overschakelen naar tijdelijke chat vermindert de blootstelling werkelijk, en u moet beide doen. Het creëert geen HIPAA-dekking. Noodzakelijk, maar niet voldoende.

Dan is er nog het stillere risico. Connectoren laten ChatGPT toegang krijgen tot Gmail, Google Drive, een gedeelde inbox van een kliniek of een EHR-gerelateerd hulpprogramma en lezen wat er is. Niemand hoeft iets te plakken. Een connector die is gericht op een mailbox vol verwijzingsbrieven is een openbaring die op de loer ligt, en het zal niet opvallen in het auditlogboek van wie dan ook.

ChatGPT Health's "verbeterde privacy" is een productbelofte, geen wettelijke belofte

Is ChatGPT Health HIPAA-compliant?

Is ChatGPT Health HIPAA-compliant? Nee. Een individuele consument kan geen overeenkomst voor zakelijke partners verkrijgen op ChatGPT Health, ongeacht welke privacyinstellingen hij kiest, omdat een BAA een contract is tussen een gedekte entiteit en haar leverancier, en een patiënt die een persoonlijk account gebruikt, is geen van beide.

Claims over verbeterde privacy, isolatie en encryptie zijn beweringen over productontwerp. Ze kunnen echt engineering beschrijven en nog steeds geen juridisch effect hebben op de vraag of HIPAA van toepassing is, omdat HIPAA afhangt van wie u bent en wat u hebt ondertekend, niet van hoe de opslaglaag is gebouwd.

Wat het product wel verandert voor een patiënt, is de standaardverwerking van uw eigen gegevens, wat waardevol is. Het creëert geen gereguleerde relatie. Houd het gescheiden van de zakelijke en enterprise-editie voor de gezondheidszorg die in januari 2026 zijn gelanceerd, die aan organisaties worden verkocht en de enige plek zijn waar een contract überhaupt bespreekbaar is.

Alleen een ondertekende overeenkomst voor zakelijke partners kan een AI-tool compliant maken

Een overeenkomst voor zakelijke partners voor ChatGPT is het enige juridische mechanisme dat OpenAI binnen HIPAA trekt voor het gebruik door uw organisatie. Al het andere is hygiëne.

De BAA wordt ondertekend door de organisatie, niet door een individuele clinicus, en moet het specifieke product en niveau vermelden dat daadwerkelijk in gebruik is. Een BAA die een API-account dekt, dekt niet het browservenster waarin iemand is ingelogd met een persoonlijk adres.

Dit is wat de meeste pagina's u niet zullen vertellen: een ondertekende BAA is een vloer, geen finishlijn. Zonder op rollen gebaseerde toegangscontroles, auditlogging die iemand daadwerkelijk leest, minimaal noodzakelijke beperkingen op wat wordt verzonden, en personeelstraining die deze tool specifiek benoemt, hebt u tegelijkertijd een contract en een nalevingsprobleem. Laat de beschikbaarheid van een BAA schriftelijk bevestigen door OpenAI voor uw exacte SKU in plaats van deze af te leiden van een marketingpagina. De lijn van 2026 is in termen van regelgeving weken oud.

Het verwijderen van de patiëntnaam is geen de-identificatie

Besluiten om PHI te de-identificeren vóór het gebruik van ChatGPT is het juiste instinct, maar de lat is een standaard van HHS, geen beoordelingsbeslissing. Twee methoden komen in aanmerking: Safe Harbor en formele Expert Determination door een gekwalificeerde statisticus.

Safe Harbor betekent het verwijderen van alle 18 genoemde identificatiecategorieën en geen daadwerkelijke kennis hebben dat wat overblijft iemand zou kunnen identificeren. Dat zijn namen; geografie kleiner dan een staat; alle datums die aan het individu zijn gekoppeld, inclusief opname-, ontslag-, bezoek- en geboortedatums; telefoon, fax en e-mail; Social Security, medisch dossier, zorgplan en accountnummers; certificaat- en licentienummers; voertuig- en apparaatidentificaties en serienummers; URL's en IP-adressen; biometrie; volledige gezichtsfoto's; en elke andere unieke code.

De items die clinici achterlaten zijn voorspelbaar: bezoekdatums, de stad, leeftijden boven de 89, het MRN in de header van de geplakte notitie, een serienummer van een apparaat, een foto en letterlijke citaatquotes die onderscheidend genoeg zijn om de persoon op zichzelf te noemen.

Concreet is een notitie ontdaan van de naam die nog steeds luidt: "34-jarige in Bozeman, gezien op 3 maart, zeldzame auto-immuunziekte bevestigd" geen gedetailleerde data. Het is PHI met het gemakkelijkste veld verwijderd.

De-identificatie is ook geen wondermiddel. Het verwijdert de HIPAA-vraag. Het verwijdert het acceptatiebeleid van uw werkgever niet, uw leverancierscontracten of de privacywetgeving van de staat, waarvan er verschillende breder zijn dan HIPAA.

Een HIPAA-compliant AI-workflow in zes stappen, inclusief als PHI al is ingevoerd

Een HIPAA-compliant ChatGPT bestaat niet als iets dat u koopt; wat bestaat is de kloof tussen een hulpmiddel en een workflow, en deze zes stappen sluiten die.

1. Bepaal welke lezer u bent. Handelen voor een gedekte entiteit betekent dat HIPAA van toepassing is op wat u typt. Uw eigen account gebruiken voor uw eigen gezondheid betekent dat dit niet het geval is.
2. Bevestig schriftelijk of een BAA het exacte product en niveau dekt voordat u het klinisch gebruikt. Geen BAA betekent geen PHI, punt uit.
3. Schakel modeltraining uit en gebruik tijdelijke chat. Zeg hardop wat dit is: risicovermindering, geen naleving.
4. Controleer en ontkoppel connectoren die toegang hebben tot klinische e-mail, cloudopslag of iets dat grenst aan het EHR, totdat elk ervan is beoordeeld.
5. De-identificeer volgens de Safe Harbor-standaard vóór het plakken, en lees vervolgens ook de uitvoer. Modellen herhalen de specificaties die u hebt ingevoerd.
6. Als PHI al is ingevoerd, behandel het dan als een potentiële inbreuk. Stop met het gebruik van de thread. Verwijder deze niet stilzwijgend, want het is bewijs. Meld dit dezelfde dag nog aan uw privacy- of compliancefunctionaris, documenteer wat is onthuld en wanneer, en laat hen de risicobeoordeling van de Breach Notification Rule uitvoeren en de beslissing tot melding nemen. Zelf vrijspreken mag niet.

Als u een patiënt bent in plaats van een clinicus, is niets daarvan op u van toepassing. U hebt geen BAA en geen workaround nodig. Beslis wat u comfortabel deelt, houd identificaties weg uit prompts die u niet publiekelijk zou plaatsen, en als u niet zeker weet hoe dringend iets is, is de gratis August AI Symptom Checker een redelijke eerste triage stap. Wanneer u zorg nodig heeft in plaats van informatie, bijvoorbeeld een online ADHD-evaluatie, gebeurt dat binnen een providerrelatie waar HIPAA geldt vanaf het eerste intakeformulier.

Sommige symptomen mogen nooit eerst naar een chatbot gaan

Niets in het privacyadvies van dit artikel mag spoedeisende medische hulp vertragen. Als u kiest tussen typen en bellen, bel dan.

Bel 911 of ga nu naar een spoedeisende hulpafdeling als:

• U pijn op de borst of ademhalingsproblemen heeft.
• U plotselinge gevoelloosheid, slappe spraak of hangende gezichtshelften heeft, wat tekenen van een beroerte zijn.
• U ernstige bloedingen heeft.
• U gedachten aan zelfmoord heeft. Stop met typen en bel 911 of 988. AI-chat kan u niet onderzoeken of hulp sturen.

Boek een bezoek binnen de komende week als:

• U al dagenlang een symptoom trieert met een chatbot en het niet verbetert.
• U een nieuwe knobbel of een onverklaarbare gewichtsverandering heeft.
• De chatbot u steeds vertelt een arts te raadplegen. Dat is het antwoord, geen tijdelijke oplossing.

Overleg met een clinicus voordat u begint als:

• Een AI-reactie u adviseert een voorgeschreven medicijn te stoppen, de dosering te wijzigen of uw zorgteam te negeren. Bevestig eerst met uw voorschrijver. Deze tools produceren met vertrouwen onjuiste medische begeleiding, en ze doen dit in dezelfde toon als wanneer ze gelijk hebben.

Voor de middelste categorie verbindt August's online spoedeisende zorgbezoek van $ 39 u met een in de VS gelicentieerde clinicus die symptomen kan evalueren en voorschrijven wanneer hij/zij dit passend acht. De clinicus beslist. Een videobezoek kan u niet persoonlijk onderzoeken, ter plekke beeldvorming bestellen, of een noodgeval beheren, dus alles in de eerste categorie hoort thuis op een spoedeisende hulp.

Veelgestelde vragen

Kan een kliniek een boete krijgen als een medewerker patiëntgegevens in ChatGPT plakt?

Ja. Aansprakelijkheid ligt bij de organisatie, niet bij het individu. Onder de inflatiecorrectie van 28 januari 2026 lopen civiele geldboetes van HIPAA van een minimum van $145 per overtreding (Tier 1) tot een minimum van $73.011 per overtreding (Tier 4), met een jaarlijks maximum van $2.190.294 per overtredingscategorie. Elk record kan afzonderlijk tellen, wat verklaart hoe kleine incidenten grote bedragen worden.

Zijn Microsoft Copilot, Google Gemini of Claude in plaats daarvan HIPAA-compliant?

Niet meestal, en het eerlijke antwoord is een principe in plaats van een leveranciersrangschikking. Naleving volgt het contract, niet het model. Geen enkele consumentenchatbot van welke leverancier dan ook wordt verkocht onder een BAA, en ChatGPT is ook niet HIPAA-compliant in zijn consumentenabonnementen. Als een leverancier u vertelt dat zijn enterprise- of cloudaanbod gedekt kan worden, vraag dit dan schriftelijk met vermelding van uw exacte product.

Kan ik een HIPAA-klacht indienen tegen OpenAI?

Niet meestal. Het HHS Office for Civil Rights behandelt klachten over gedekte entiteiten en hun zakelijke partners. Zonder een BAA is OpenAI geen van beide, dus OCR heeft geen jurisdictie over uw persoonlijke chats. De FTC is de juiste instantie voor een consumentenklacht over een niet-HIPAA-gezondheidstool, onder de FTC Act en de Health Breach Notification Rule.

Als ik een ChatGPT-gesprek verwijder, zijn de gezondheidsgegevens dan weg?

Nee. Verwijdering verwijdert de thread uit uw zicht en start een bewaartermijn; kopieën kunnen gedurende een bepaalde periode in back-ups, veiligheidssystemen en subprocesser-logs blijven bestaan. Belangrijker nog voor een kliniek, verwijdering maakt een openbaring die al heeft plaatsgevonden niet ongedaan. Als PHI is ingevoerd, bestaat de nalevingsverplichting ongeacht, en het verwijderen van de thread vernietigt het bewijs dat uw privacyfunctionaris nodig heeft.

Kan mijn werkgever de gezondheidsvragen zien die ik in een werk-ChatGPT-account heb getypt?

Ja, potentieel. Op werkplanningsabonnementen is de organisatie eigenaar van het account, stelt de retentie in en kan deze administratieve toegang hebben tot gespreksgegevens. Ga ervan uit dat alles wat in een werkaccount wordt getypt, zichtbaar is voor uw werkgever, net als werk-e-mail. Persoonlijke gezondheidsvragen horen thuis in een persoonlijk account op een persoonlijk apparaat, op uw eigen tijd.

Wordt iets wat ik ChatGPT vraag over mijn gezondheid opgenomen in mijn medisch dossier of bereikt het mijn verzekeraar?

Nee. Een consumentenchatbot heeft geen verbinding met het EHR van uw clinicus of met uw zorgplan, en uw chats stromen niet naar een van beide. De uitzonderingen zijn diegene die u zelf creëert: het verbinden van het hulpmiddel met accounts die uw dossiers bevatten, of het plakken van de uitvoer ervan in een bericht van het patiëntenportaal. Reclame- en gegevensuitwisselingspraktijken zijn een aparte zorg die wordt beheerst door het privacybeleid.

Is het een HIPAA-schending om ChatGPT te gebruiken om een patiëntenbrief op te stellen?

Soms, en de scheidslijn zijn identificaties. Vragen om een generiek sjabloon voor een beroepsbrief zonder patiëntgegevens is geen openbaring van PHI, hoewel het beleid van uw werkgever dit nog steeds kan verbieden. Het plakken van een naam, geboortedatum, bezoekdatum of diagnose maakt het een openbaring aan een leverancier zonder BAA, wat de schending is.

De bodemlijn

Is ChatGPT HIPAA-compliant? Nee, en dat antwoord zal niet veranderen door een instelling die u aanpast. Het verandert alleen wanneer een organisatie een BAA ondertekent waarin een specifiek product wordt genoemd en vervolgens toegangscontroles, logging en training daaromheen bouwt. Als u een clinicus bent, is de volgorde eenvoudig: geen contract, geen PHI, en de-identificeer volgens de Safe Harbor-standaard wanneer u het gebruikt. Als u een patiënt bent, was de vraag gericht aan de verkeerde wet. HIPAA beperkt uw zorgverleners en hun leveranciers. Uw bescherming komt van het privacybeleid waarmee u akkoord bent gegaan, de FTC daarachter, en uw eigen oordeel over wat u typt.

Disclaimer: Dit artikel is alleen bedoeld voor informatieve doeleinden en vormt geen medisch advies. Raadpleeg altijd een gekwalificeerde zorgverlener voor diagnose- en behandelingsbeslissingen. Als u een medische noodsituatie ervaart, bel dan 911 of ga onmiddellijk naar de dichtstbijzijnde spoedeisende hulp.