Er ChatGPT HIPAA-kompatibel? Hva det betyr for pasienter og klinikker

Nei. Er ChatGPT HIPAA-kompatibel på noen plan du kan kjøpe i dag? Det er det ikke, fordi OpenAI ikke signerer en forretningspartnerskapsavtale for sine forbrukerplaner. HIPAA regulerer organisasjoner og kontrakter, ikke modeller. Og hvis du skriver inn din egen helseinformasjon på din egen konto, har HIPAA aldri gjaldt.

TL;DR: Viktige poeng

• Det finnes ingen HIPAA-kompatibel ChatGPT i forbrukerhyllen. Gratis, Plus og Go, Team og Enterprise selges ikke med en forretningspartnerskapsavtale (BAA).
• HIPAA binder helseplaner, clearinghus, leverandører og deres kontraktsfestede leverandører. Det binder ikke deg, når du skriver inn dine egne symptomer på din egen konto.
• Det som beskytter forbrukere i stedet, er leverandørens personvernerklæring og Federal Trade Commission, som allerede har bøtelagt en helseplattform for 1,5 millioner dollar.
• Deaktivering av modelltrening og bruk av midlertidige samtaler reduserer eksponeringen. Det skaper ikke juridisk dekning.
• Hvis beskyttet helseinformasjon (PHI) allerede er lagt inn i vanlig ChatGPT, behandle det som et potensielt brudd og informer din personvernsansvarlige samme dag.

Er ChatGPT HIPAA-kompatibel? Ikke i noen versjon du kan registrere deg for i dag

Er ChatGPT HIPAA-kompatibel? Nei. På tidspunktet for denne skriften tilbyr ikke OpenAI en forretningspartnerskapsavtale på sine forbrukerplaner (Gratis, Plus og Go, Team eller Enterprise), og uten den signerte kontrakten kan ingen produkt dekkes. Ingen AI-modell er HIPAA-kompatibel på egen hånd: HIPAA regulerer organisasjoner og kontrakter, så kompatibilitet avhenger av en signert BAA pluss hvordan produktet er konfigurert, begrenset og logget.

Den eneste ruten der en BAA til og med er et alternativ, er den helsespesifikke rekken som OpenAI lanserte i januar 2026. Den rekken er ny, dens vilkår er det mest volatile faktum på denne siden, og du bør verifisere tilgjengeligheten for ditt eget produkt og nivå før du stoler på det.

Nå omformuleringen som betyr mer enn dommen: for de fleste som skriver inn på sin egen konto, var HIPAA aldri loven som gjaldt.

HIPAA binder din klinikk og dens leverandører, ikke deg og ditt tastatur

Loven når nøyaktig to grupper, begge definert i 45 CFR §160.103: dekkede enheter (helseplaner, helse-clearinghus og leverandører som sender helseinformasjon elektronisk for standardtransaksjoner) og forretningspartnere, som betyr alle som oppretter, mottar, vedlikeholder eller sender PHI mens de utfører en funksjon på vegne av en dekket enhet. Frasen bærer hele vekten. Et selskap som tilfeldigvis mottar helserelatert tekst fra et medlem av offentligheten, er ikke en forretningspartner.

HHS har allerede behandlet dette for apper. Deres veiledning for helseapp-bruksscenarier finner ingen forretningspartnerskapsforhold når en person fyller en app med sine egne data på eget initiativ, uten kontrakt bak.

Så når du limer inn dine egne symptomer på din egen ChatGPT-konto, gjelder ikke HIPAA, og OpenAI bryter den ikke. Det er ikke et smutthull. Det er lovens arkitektur.

Det som beskytter deg i stedet, er OpenAI's personvernerklæring, som fungerer som et håndhevbart løfte, pluss FTC. Den reviderte Health Breach Notification Rule fra 2024 dekker eksplisitt helseapper og lignende teknologier som ikke er underlagt HIPAA. Og den håndhevelsen er reell: FTC sikret en sivil bot på 1,5 millioner dollar mot GoodRx i 2023 for deling av reseptbelagte og helsetilstandsdata til Facebook og Google.

Hold kontrasten i hodet. En forbrukerchatbot skylder deg en personvernerklæring. En telehelseapp som er kontraktsmessig dekket skylder deg HIPAA. Mellom besøk kan en helsefølge-app som August AI hjelpe deg med å logge symptomer og stille spørsmål på vanlig språk, som et tillegg til omsorg heller enn en erstatning for den, og aldri som det som bestemmer.

Det virkelige problemet er ikke chatbotten. Det er hvor ordene dine går videre

Deler ChatGPT dataene dine? Mekanisk sett, ja, på vanlige måter et skytjenesteprodukt gjør. På forbrukerplaner tillater standardinnstillingene at samtaler brukes til å forbedre modeller, beholdes for en periode, og gjennomgås av mennesker for sikkerhet og feilsøking. Underleverandører og infrastrukturleverandører berører disse dataene mens de kjører tjenesten, noe som er nøyaktig kjeden nedstrøms som en BAA er skrevet for å styre.

Det ærlige svaret på deler ChatGPT dataene dine, er at det avhenger av nivået ditt, innstillingene dine og hva du koblet det til. Som fører til feilen jeg ser oftest: å deaktivere modelltrening og bytte til midlertidig chat reduserer virkelig eksponeringen, og du bør gjøre begge deler. Det skaper ikke HIPAA-dekning. Nødvendig, men ikke tilstrekkelig.

Så er det den roligere risikoen. Koblinger lar ChatGPT nå inn i Gmail, Google Drive, en delt klinikk-innboks, eller et verktøy tilknyttet EHR og lese det som er der. Ingen trenger å lime inn noe. En kobling rettet mot en postkasse full av henvisningsbrev er en avsløring som venter på å skje, og det vil ikke se ut som en i noens revisjonslogg.

ChatGPT Healths "forbedrede personvern" er et produktløfte, ikke et juridisk løfte

Er ChatGPT Health HIPAA-kompatibel?

Er ChatGPT Health HIPAA-kompatibel? Nei. En individuell forbruker kan ikke oppnå en forretningspartnerskapsavtale på ChatGPT Health uansett hvilke personverninnstillinger de velger, fordi en BAA er en kontrakt mellom en dekket enhet og dens leverandør, og en pasient som bruker en personlig konto er ingen av delene.

Påstander om forbedret personvern, isolasjon og kryptering er produkt-designpåstander. De kan beskrive genuin ingeniørkunst og fortsatt ha null juridisk effekt på om HIPAA gjelder, fordi HIPAA avhenger av hvem du er og hva du har signert, ikke på hvordan lagringslaget er bygget.

Det produktet endrer for en pasient, er standardhåndteringen av dine egne data, noe som er verdt noe. Det skaper ikke et regulert forhold. Hold det adskilt i tankene fra kliniker- og bedriftshelseutgavene som ble lansert i januar 2026, som selges til organisasjoner og er det eneste stedet en kontrakt kan diskuteres.

Bare en signert forretningspartnerskapsavtale kan gjøre et AI-verktøy kompatibelt

En ChatGPT forretningspartnerskapsavtale er den eneste juridiske mekanismen som trekker OpenAI inn under HIPAA for din organisasjons bruk. Alt annet er hygiene.

BAA signeres av organisasjonen, ikke av en individuell kliniker, og den må navngi det spesifikke produktet og nivået som faktisk er i bruk. En BAA som dekker en API-konto, dekker ikke nettleserfanen som noen logget inn på med en personlig adresse.

Her er hva de fleste sider ikke vil fortelle deg: en signert BAA er et gulv, ikke en målstrek. Uten rollebasert tilgangskontroll, revisjonslogging som noen faktisk leser, minimum-nødvendige grenser for hva som sendes, og opplæring av ansatte som spesifikt navngir dette verktøyet, har du en kontrakt og et kompatibilitetsproblem samtidig. Få BAA-tilgjengelighet bekreftet skriftlig av OpenAI for din eksakte SKU i stedet for å utlede den fra en markedsføringsside. 2026-serien er uker gammel i regulatoriske termer.

Fjerning av pasientens navn er ikke anonymisering

Beslutningen om å anonymisere PHI før bruk av ChatGPT er den riktige impulsen, men standarden er en HHS-standard, ikke en skjønnsmessig vurdering. To metoder kvalifiserer: Safe Harbor, og formell ekspertbestemmelse av en kvalifisert statistiker.

Safe Harbor betyr å fjerne alle 18 oppførte identifikatorer, og ikke ha noen faktisk kunnskap om at det som gjenstår kan identifisere noen. Det er navn; geografi mindre enn en stat; alle datoer knyttet til individet, inkludert innleggelses-, utskrivnings-, besøks- og fødselsdatoer; telefon, faks og e-post; personnummer, helsekortnummer, helseplan- og kontonumre; sertifikat- og lisensnummer; kjøretøy- og enhetsidentifikatorer og serienumre; URL-er og IP-adresser; biometri; fullfjesbilder; og enhver annen unik kode.

De som klinikere lar stå igjen er forutsigbare: besøksdatoer, byen, aldre over 89, MRN i toppteksten på den innlimte notatet, et enhets serienummer, et bilde, og ordrette sitater i fritekst som er karakteristiske nok til å navngi personen på egen hånd.

Konkret er et notat strippet for navnet som fortsatt lyder "34-åring i Bozeman, sett 3. mars, bekreftet sjelden autoimmun diagnose" ikke anonymisert data. Det er PHI med det enkleste feltet slettet.

Anonymisering er heller ikke en universell løsning. Det fjerner HIPAA-spørsmålet. Det fjerner ikke arbeidsgiverens akseptable brukspolicy, leverandørkontraktene dine, eller delstatens personvernlov, hvorav flere feier bredere enn HIPAA.

En kompatibel AI-arbeidsflyt i seks trinn, inkludert hvis PHI allerede er lagt inn

En HIPAA-kompatibel ChatGPT eksisterer ikke som noe du kjøper; det som eksisterer er gapet mellom et verktøy og en arbeidsflyt, og disse seks trinnene lukker det.

1. Bestem hvilken leser du er. Å handle for en dekket enhet betyr at HIPAA gjelder det du skriver. Å bruke din egen konto for din egen helse betyr at det ikke gjør det.
2. Bekreft skriftlig om en BAA dekker det nøyaktige produktet og nivået før klinisk bruk. Ingen BAA betyr ingen PHI, full stopp.
3. Deaktiver modelltrening og bruk midlertidig chat. Si høyt hva dette er: risikoreduksjon, ikke kompatibilitet.
4. Revider og koble fra koblinger som får tilgang til klinisk e-post, skylagring eller noe tilknyttet EHR, inntil hver enkelt er gjennomgått.
5. Anonymiser i henhold til Safe Harbor-standarden før du limer inn, og les deretter utdataene også. Modeller gjentar spesifikasjonene du matet dem med.
6. Hvis PHI allerede er lagt inn, behandle det som et potensielt brudd. Slutt å bruke tråden. Ikke slett den stille, for det er bevis. Varsle din personvern- eller compliance-ansvarlige samme dag, dokumenter hva som ble avslørt og når, og la dem kjøre risikovurderingen for Breach Notification Rule og ta beslutningen om varsling. Ikke rydd opp i det selv.

Hvis du er en pasient snarere enn en kliniker, gjelder ingen av disse. Du trenger ingen BAA og ingen omveier. Bestem hva du er komfortabel med å dele, hold identifikatorer unna prompter du ikke ville publisere offentlig, og hvis du er usikker på hvor alvorlig noe er, er den gratis August AI Symptom Checker et rimelig første triage-trinn. Når det du trenger er omsorg snarere enn informasjon, for eksempel en online ADHD-vurdering, skjer det innenfor et leverandørforhold der HIPAA gjelder fra det første inntaksskjemaet.

Noen symptomer bør aldri gå til en chatbot først

Ingen av personvern-rådene i denne artikkelen bør forsinke nødhjelp. Hvis du velger mellom å skrive og ringe, ring.

Ring 113 eller dra til legevakten nå hvis:

• Du har brystsmerter eller pustevansker.
• Du har plutselig nummenhet, sløret tale, eller hengende ansikt, som er tegn på slag.
• Du har alvorlige blødninger.
• Du har selvmordstanker. Slutt å skrive og ring 113 eller 112. AI-chat kan ikke undersøke deg eller sende hjelp.

Bestill en legetime innen neste uke hvis:

• Du har triagert det samme symptomet med en chatbot i dager og det ikke blir bedre.
• Du har en ny kul eller en uforklarlig vekttap.
• Chatbotten fortsetter å fortelle deg at du bør se en lege. Det er svaret, ikke en plassholder.

Snakk med en kliniker før du begynner hvis:

• Et AI-svar forteller deg å slutte med foreskrevet medisin, endre dose, eller ignorere ditt omsorgsteam. Bekreft med foreskriveren din først. Disse verktøyene gir selvsikkert feil medisinsk veiledning, og de gjør det i samme tone som når de har rett.

For mellomnivået, forbinder Augusts online akuttbehandlingsbesøk for $39 deg med en amerikansk-lisensiert kliniker som kan evaluere symptomer og forskrive når de anser det som passende. Klinikeren bestemmer. Et videoopptak kan ikke undersøke deg personlig, bestille bildediagnostikk på stedet, eller håndtere en nødsituasjon, så alt i det første nivået hører hjemme på legevakten.

Ofte stilte spørsmål

Kan en klinikk bøtelegges hvis en ansatt limer inn pasientinformasjon i ChatGPT?

Ja. Ansvar påligger organisasjonen, ikke individet. Under inflasjonsjusteringen av 28. januar 2026, løper HIPAA sivile pengeboter fra et minimum på Tier 1 på 145 dollar per overtredelse til et minimum på Tier 4 på 73 011 dollar per overtredelse, med et årlig tak på 2 190 294 dollar per overtredelseskategori. Hver journal kan telle separat, noe som er hvordan små hendelser blir store tall.

Er Microsoft Copilot, Google Gemini eller Claude HIPAA-kompatible i stedet?

Ikke vanligvis, og det ærlige svaret er et prinsipp snarere enn en leverandørrangering. Kompatibilitet følger kontrakten, ikke modellen. Ingen forbrukerchatbot fra noen leverandør selges under en BAA, og heller ikke ChatGPT er HIPAA-kompatibel i sine forbrukerplaner. Hvis en leverandør forteller deg at deres bedrifts- eller skytjeneste kan dekkes, få det skriftlig og navngi ditt eksakte produkt.

Kan jeg sende inn en HIPAA-klage mot OpenAI?

Ikke vanligvis. HHS Office for Civil Rights tar imot klager om dekkede enheter og deres forretningspartnere. Uten en BAA på plass, er OpenAI ingen av delene, så OCR har ingen jurisdiksjon over dine personlige samtaler. FTC er riktig instans for en forbrukerklage om et ikke-HIPAA helseverktøy, under FTC Act og Health Breach Notification Rule.

Hvis jeg sletter en ChatGPT-samtale, er helseinformasjonen borte?

Nei. Sletting fjerner tråden fra ditt syn og starter en oppbevaringsklokke; kopier kan forbli i sikkerhetskopier, sikkerhetssystemer og underleverandørlogger for en periode. Viktigere for en klinikk, sletting ugyldiggjør ikke en avsløring som allerede har skjedd. Hvis PHI ble lagt inn, eksisterer kompatibilitetsforpliktelsen uansett, og sletting av tråden ødelegger bevisene din personvernsansvarlige trenger.

Kan arbeidsgiveren min se helsespørsmålene jeg skrev inn i en arbeidskonto for ChatGPT?

Ja, potensielt. På arbeidsplassplaner eier organisasjonen kontoen, setter oppbevaring, og kan ha administrativ tilgang til samtaldata. Anta at alt som skrives inn i en arbeidskonto er synlig for din arbeidsgiver, på samme måte som arbeidse-post. Personlige helsespørsmål hører hjemme i en personlig konto på en personlig enhet, på din egen tid.

Endes noe jeg spør ChatGPT om helsen min opp i min medisinske journal eller når min forsikringsutbyder?

Nei. En forbrukerchatbot har ingen tilkobling til din klinikers EHR eller til din helseplan, og dine samtaler flyter ikke inn i noen av delene. Unntakene er de du selv oppretter: å koble verktøyet til kontoer som inneholder dine journaler, eller å lime inn utdataene i en pasientportal-melding. Annonserings- og datadelingspraksis er et eget anliggende som reguleres av personvernerklæringen.

Er det et HIPAA-brudd å bruke ChatGPT til å utarbeide et pasientbrev?

Noen ganger, og delelinjen er identifikatorer. Å be om en generell mal for appellbrev uten pasientdetaljer er ikke en avsløring av PHI, selv om arbeidsgiverens policy kan forby det. Å lime inn et navn, fødselsdato, besøksdato eller diagnose gjør det til en avsløring til en leverandør uten BAA, noe som er bruddet.

Bunnen linje

Er ChatGPT HIPAA-kompatibel? Nei, og det svaret vil ikke endres på grunn av en innstilling du endrer. Det endres bare når en organisasjon signerer en BAA som navngir et spesifikt produkt og deretter bygger tilgangskontroller, logging og opplæring rundt det. Hvis du er kliniker, er sekvensen enkel: ingen kontrakt, ingen PHI, og anonymiser til Safe Harbor-standarden når du bruker den. Hvis du er pasient, var spørsmålet rettet mot feil lov. HIPAA begrenser dine leverandører og deres leverandører. Din beskyttelse kommer fra personvernerklæringen du godtok, FTC bak den, og din egen vurdering av hva du skal skrive.

Ansvarsfraskrivelse: Denne artikkelen er kun til informasjonsformål og utgjør ikke medisinsk rådgivning. Konsulter alltid en kvalifisert helsepersonell for diagnose- og behandlingsbeslutninger. Hvis du opplever en medisinsk nødsituasjon, ring 113 eller gå til nærmeste legevakt umiddelbart.