Czy ChatGPT jest zgodny z HIPAA? Co to oznacza dla pacjentów i klinik

Nie. Czy ChatGPT jest zgodny z HIPAA w ramach żadnego planu, który można dziś kupić? Nie jest, ponieważ OpenAI nie podpisuje umowy o współpracy biznesowej dla swoich poziomów konsumenckich. HIPAA reguluje organizacje i umowy, a nie modele. A jeśli wpiszesz swoje własne informacje o stanie zdrowia do swojego konta, HIPAA nigdy nie miał zastosowania.

TL;DR: Kluczowe wnioski

• Nie ma ChatGPT zgodnego z HIPAA na półce konsumenckiej. Bezpłatne, Plus i Go, Team oraz Enterprise nie są sprzedawane z umową o współpracy biznesowej (BAA).
• HIPAA wiąże plany opieki zdrowotnej, izby rozliczeniowe, świadczeniodawców i ich kontrahentów. Nie wiąże Ciebie, wpisującego własne objawy na własne konto.
• To, co zamiast tego chroni konsumentów, to polityka prywatności dostawcy i Federalna Komisja Handlu, która już nałożyła karę finansową na platformę zdrowotną w wysokości 1,5 miliona dolarów.
• Wyłączenie treningu modelu i korzystanie z tymczasowego czatu zmniejsza ekspozycję. Nie tworzy to ochrony prawnej.
• Jeśli chronione informacje o zdrowiu (PHI) trafiły już do zwykłego ChatGPT, potraktuj to jako potencjalne naruszenie i poinformuj swojego inspektora ochrony danych tego samego dnia.

Czy ChatGPT jest zgodny z HIPAA? Nie w żadnej wersji, na którą możesz się dziś zarejestrować

Czy ChatGPT jest zgodny z HIPAA? Nie. W momencie pisania tego tekstu OpenAI nie oferuje umowy o współpracy biznesowej na swoich planach konsumenckich (Free, Plus and Go, Team, or Enterprise), a bez tej podpisanej umowy żaden produkt nie może być objęty ochroną. Żaden model AI sam w sobie nie jest zgodny z HIPAA: HIPAA reguluje organizacje i umowy, więc zgodność zależy od podpisanej umowy BAA oraz sposobu konfiguracji, ograniczenia i logowania produktu.

Jedyną ścieżką, gdzie BAA jest w ogóle brana pod uwagę, jest specjalna linia produktów dla opieki zdrowotnej, którą OpenAI uruchomiło w styczniu 2026 roku. Ta linia produktów jest nowa, jej warunki są najbardziej zmiennym faktem na tej stronie, i powinieneś zweryfikować dostępność dla swojego produktu i poziomu przed poleganiem na niej.

Teraz przeformułowanie, które ma większe znaczenie niż werdykt: dla większości ludzi wpisujących dane na własne konto, HIPAA nigdy nie było prawem w grze.

HIPAA wiąże Twoją klinikę i jej dostawców, a nie Ciebie i Twoją klawiaturę

Prawo obejmuje dokładnie dwie grupy, obie zdefiniowane w 45 CFR §160.103: objęte podmioty (plany opieki zdrowotnej, izby rozliczeniowe w opiece zdrowotnej i świadczeniodawcy, którzy przesyłają informacje o zdrowiu elektronicznie dla standardowych transakcji) oraz współpracowników biznesowych, co oznacza każdego, kto tworzy, odbiera, utrzymuje lub przesyła PHI podczas wykonywania funkcji w imieniu objętego podmiotu. To sformułowanie ma całą wagę. Firma, która przypadkowo odbiera teksty związane ze zdrowiem od osoby publicznej, nie jest współpracownikiem biznesowym.

HHS już to przeanalizowało w przypadku aplikacji. Jego wytyczne dotyczące scenariuszy użycia aplikacji zdrowotnych nie znajdują relacji współpracy biznesowej, gdy osoba wypełnia aplikację własnymi danymi z własnej inicjatywy, bez żadnej umowy.

Zatem, gdy wklejasz własne objawy na swoje konto ChatGPT, HIPAA nie ma zastosowania, a OpenAI go nie narusza. To nie jest luka prawna. To architektura ustawy.

Tym, co Cię chroni, jest polityka prywatności OpenAI, która działa jako egzekwowalna obietnica, plus FTC. Zmieniona w 2024 roku zasada powiadamiania o naruszeniach danych zdrowotnych wyraźnie obejmuje aplikacje zdrowotne i podobne technologie, które nie podlegają HIPAA. A egzekwowanie tego jest realne: FTC uzyskało karę cywilną w wysokości 1,5 miliona dolarów przeciwko GoodRx w 2023 roku za ujawnienie danych o receptach i stanie zdrowia Facebookowi i Google.

Zapamiętaj tę różnicę. Chatbot konsumencki jest Ci winien politykę prywatności. Aplikacja telemedyczna objęta umową jest Ci winna zgodność z HIPAA. Pomiędzy wizytami aplikacja towarzysząca zdrowiu, taka jak August AI, może pomóc Ci rejestrować objawy i zadawać pytania w prostym języku, jako uzupełnienie opieki, a nie jej zastępstwo, i nigdy jako coś, co podejmuje decyzje.

Prawdziwy problem to nie chatbot. To dokąd trafią Twoje słowa dalej

Czy ChatGPT udostępnia Twoje dane? Mechanicznie tak, w zwykły sposób, w jaki robią to produkty chmurowe. Na poziomach konsumenckich domyślne ustawienia pozwalają na wykorzystanie rozmów do ulepszania modeli, ich przechowywanie przez pewien czas i przeglądanie przez ludzi w celu zapewnienia bezpieczeństwa i rozwiązywania problemów. Poddostawcy i dostawcy infrastruktury mają dostęp do tych danych podczas świadczenia usługi, co jest dokładnie tym dalszym łańcuchem, do którego napisana jest umowa BAA.

Uczciwa odpowiedź na pytanie, czy ChatGPT udostępnia Twoje dane, brzmi: to zależy od Twojego poziomu, Twoich ustawień i tego, do czego go podłączyłeś. Co prowadzi do najczęstszego błędu: wyłączenie treningu modelu i przełączenie na tymczasowy czat faktycznie zmniejsza ekspozycję, i powinieneś zrobić obie te rzeczy. Nie tworzy to ochrony HIPAA. Konieczne, ale nie wystarczające.

Następnie istnieje cichsze ryzyko. Łączniki pozwalają ChatGPT na dostęp do Gmaila, Dysk Google, współdzielonej skrzynki odbiorczej kliniki lub narzędzia powiązanego z EHR i odczytywanie tego, co tam jest. Nikt nie musi niczego wklejać. Łącznik skierowany na skrzynkę pocztową pełną listów polecających to ujawnienie czekające na wystąpienie i nie pojawi się ono w żadnym dzienniku audytu.

„Ulepszone prywatność” ChatGPT Health to obietnica produktu, nie prawna

Czy ChatGPT Health jest zgodny z HIPAA?

Czy ChatGPT Health jest zgodny z HIPAA? Nie. Indywidualny konsument nie może uzyskać umowy o współpracy biznesowej na ChatGPT Health, niezależnie od wybranych ustawień prywatności, ponieważ umowa BAA to umowa między objętym podmiotem a jego dostawcą, a pacjent korzystający z osobistego konta nie jest ani jednym, ani drugim.

Twierdzenia o ulepszonej prywatności, izolacji i szyfrowaniu to stwierdzenia dotyczące projektu produktu. Mogą one opisywać rzeczywiste inżynierią i nadal mieć zerowy efekt prawny na to, czy HIPAA ma zastosowanie, ponieważ HIPAA opiera się na tym, kim jesteś i co podpisałeś, a nie na tym, jak zbudowana jest warstwa przechowywania.

To, co produkt zmienia dla pacjenta, to domyślne przetwarzanie własnych danych, co jest czymś wartym. Nie tworzy to regulowanej relacji. Trzymaj to oddzielnie w swojej świadomości od wydań klinicznych i korporacyjnych dla opieki zdrowotnej, które zostały uruchomione w styczniu 2026 r., które są sprzedawane organizacjom i są jedynym miejscem, w którym umowa może być w ogóle omawiana.

Tylko podpisana umowa o współpracy biznesowej może uczynić narzędzie AI zgodnym

Umowa o współpracy biznesowej ChatGPT to jedyny mechanizm prawny, który wciąga OpenAI w zakres HIPAA dla użytku Twojej organizacji. Wszystko inne to higiena.

Umowa BAA jest podpisywana przez organizację, a nie przez indywidualnego lekarza, i musi określać konkretny produkt i poziom faktycznie używany. Umowa BAA obejmująca konto API nie obejmuje karty przeglądarki, do której zalogowano się za pomocą osobistego adresu.

Oto, czego większość stron nie powie Ci: podpisana umowa BAA to podłoga, a nie linia mety. Bez kontroli dostępu opartych na rolach, rejestrowania audytów, które ktoś faktycznie czyta, ograniczeń do niezbędnego minimum tego, co jest wysyłane, i szkolenia personelu, które konkretnie wymienia to narzędzie, masz jednocześnie problem z umową i zgodnością. Uzyskaj dostępność BAA potwierdzoną na piśmie przez OpenAI dla Twojego dokładnego SKU, zamiast wyciągać wnioski ze strony marketingowej. Linia produktów z 2026 roku jest nowa w terminologii regulacyjnej.

Usuwanie nazwiska pacjenta nie jest anonimizacją

Decyzja o anonimizacji PHI przed użyciem ChatGPT jest właściwym instynktem, ale poprzeczka to standard HHS, a nie decyzja. Kwalifikują się dwie metody: Safe Harbor i formalne ustalenie przez eksperta przez wykwalifikowanego statystyka.

Safe Harbor oznacza usunięcie wszystkich 18 wymienionych kategorii identyfikatorów i brak faktycznej wiedzy, że pozostałe dane mogą zidentyfikować kogoś. Są to: imiona i nazwiska; geografia mniejsza niż stan; wszystkie daty związane z osobą, w tym daty przyjęcia, wypisu, wizyty i urodzenia; telefon, faks i e-mail; numery ubezpieczenia społecznego, karty zdrowia i konta; numery certyfikatów i licencji; identyfikatory i numery seryjne pojazdów i urządzeń; adresy URL i IP; biometria; zdjęcia pełnotwarzowe; oraz każdy inny unikalny kod.

Te, które lekarze pozostawiają, są przewidywalne: daty wizyt, miasto, wiek powyżej 89 lat, MRN w nagłówku wklejonej notatki, numer seryjny urządzenia, zdjęcie i dosłowne cytaty z tekstu swobodnego, które są wystarczająco charakterystyczne, aby same w sobie nazwać osobę.

Konkretnie, notatka pozbawiona nazwiska, która nadal brzmi „34-latek z Bozeman, widziany 3 marca, potwierdzono rzadką diagnozę autoimmunologiczną”, nie jest zanonimizowanymi danymi. Są to PHI z usuniętym najłatwiejszym polem.

Anonimizacja również nie jest panaceum. Usuwa pytanie o HIPAA. Nie usuwa polityki akceptowalnego użytkowania Twojego pracodawcy, Twoich umów z dostawcami ani prawa stanowego dotyczącego prywatności, z których wiele jest szerszych niż HIPAA.

Zgodny przepływ pracy AI w sześciu krokach, w tym jeśli PHI już zostało wprowadzone

ChatGPT zgodny z HIPAA nie istnieje jako coś, co kupujesz; istnieje luka między narzędziem a przepływem pracy, a te sześć kroków ją zamyka.

1. Zdecyduj, kim jesteś czytelnikiem. Działanie w imieniu objętego podmiotu oznacza, że HIPAA ma zastosowanie do tego, co wpisujesz. Korzystanie z własnego konta w celu uzyskania informacji o własnym zdrowiu oznacza, że nie ma zastosowania.
2. Potwierdź na piśmie, czy umowa BAA obejmuje dokładny produkt i poziom przed jakimkolwiek użyciem klinicznym. Brak umowy BAA oznacza brak PHI, kropka.
3. Wyłącz trening modelu i używaj tymczasowego czatu. Powiedz głośno, czym to jest: redukcją ryzyka, a nie zgodnością.
4. Audytuj i odłącz łączniki, które uzyskują dostęp do klinicznej poczty e-mail, przechowywania w chmurze lub czegokolwiek innego związanego z EHR, dopóki każdy z nich nie zostanie przejrzany.
5. Zanonimizuj zgodnie ze standardem Safe Harbor przed wklejeniem, a następnie przeczytaj również wynik. Modele powtarzają szczegóły, które im podałeś.
6. Jeśli PHI już zostało wprowadzone, potraktuj to jako potencjalne naruszenie. Przestań używać wątku. Nie usuwaj go po cichu, ponieważ jest to dowód. Poinformuj swojego inspektora ochrony danych lub zgodności tego samego dnia, udokumentuj, co zostało ujawnione i kiedy, i pozwól mu przeprowadzić ocenę ryzyka zgodnie z zasadą powiadamiania o naruszeniach i podjąć decyzję o powiadomieniu. Nie czyść tego samodzielnie.

Jeśli jesteś pacjentem, a nie lekarzem, nic z tego Cię nie dotyczy. Nie potrzebujesz umowy BAA ani obejścia. Zdecyduj, czym jesteś komfortowy, aby się dzielić, trzymaj identyfikatory z dala od monitów, których nie opublikowałbyś publicznie, i jeśli nie jesteś pewien, jak pilna jest sprawa, darmowy August AI Symptom Checker jest rozsądnym pierwszym krokiem triage. Kiedy potrzebujesz opieki, a nie informacji, na przykład online ocena ADHD, odbywa się to w ramach relacji świadczeniodawca-pacjent, w której HIPAA ma zastosowanie od pierwszego formularza wprowadzającego.

Niektóre objawy nigdy nie powinny najpierw trafiać do chatbota

Nic w poradach dotyczących prywatności zawartych w tym artykule nie powinno opóźniać pilnej pomocy medycznej. Jeśli decydujesz się między pisaniem a dzwonieniem, zadzwoń.

Zadzwoń pod 911 lub udaj się na pogotowie teraz, jeśli:

• Masz ból w klatce piersiowej lub problemy z oddychaniem.
• Masz nagłe drętwienie, niewyraźną mowę lub opadanie twarzy, które są oznakami udaru.
• Masz silne krwawienie.
• Masz myśli samobójcze. Przestań pisać i zadzwoń pod 911 lub 988. Czat AI nie może Cię zbadać ani wysłać pomocy.

Umów wizytę w ciągu najbliższego tygodnia, jeśli:

• Od kilku dni próbujesz triage objawów za pomocą chatbota i nie poprawia się.
• Masz nowe zgrubienie lub niewyjaśnioną zmianę wagi.
• Chatbot ciągle każe Ci iść do lekarza. To jest odpowiedź, a nie miejsce na zastępstwo.

Porozmawiaj z lekarzem przed rozpoczęciem, jeśli:

• Odpowiedź AI każe Ci przerwać przyjmowanie przepisanych leków, zmienić dawkę lub zignorować swój zespół opieki. Najpierw potwierdź to ze swoim lekarzem. Te narzędzia dostarczają medycznych porad, które są pewnie błędne, i robią to w tym samym tonie, w jakim są poprawne.

Dla średniego poziomu, wizyta online w nagłych wypadkach za 39 USD od August łączy Cię z licencjonowanym w USA lekarzem, który może ocenić objawy i przepisać leki, gdy uzna to za stosowne. Decyduje lekarz. Wizyta wideo nie może zbadać Cię osobiście, zlecić zdjęć od razu ani zarządzać stanem zagrożenia życia, więc wszystko w pierwszym poziomie należy zgłosić na pogotowie.

Często zadawane pytania

Czy klinika może zostać ukarana, jeśli pracownik wklei dane pacjenta do ChatGPT?

Tak. Odpowiedzialność spoczywa na organizacji, a nie na osobie fizycznej. Zgodnie z dostosowaniem inflacyjnym z 28 stycznia 2026 r. kary pieniężne z tytułu HIPAA wahają się od minimum Tiers 1 wynoszącego 145 USD za naruszenie do minimum Tiers 4 wynoszącego 73 011 USD za naruszenie, z rocznym limitem 2 190 294 USD na kategorię naruszenia. Każdy rekord może być liczony osobno, co sprawia, że małe incydenty stają się dużymi liczbami.

Czy Microsoft Copilot, Google Gemini lub Claude są zamiast tego zgodne z HIPAA?

Zazwyczaj nie, a uczciwa odpowiedź to zasada, a nie ranking dostawców. Zgodność idzie w parze z umową, a nie z modelem. Żaden chatbot konsumencki od żadnego dostawcy nie jest sprzedawany na podstawie umowy BAA, podobnie jak ChatGPT nie jest zgodny z HIPAA w swoich poziomach konsumenckich. Jeśli dostawca twierdzi, że jego oferta korporacyjna lub chmurowa może być objęta ochroną, uzyskaj to na piśmie, określając dokładny produkt.

Czy mogę złożyć skargę HIPAA na OpenAI?

Zazwyczaj nie. Biuro Praw Obywatelskich HHS rozpatruje skargi dotyczące objętych podmiotów i ich współpracowników biznesowych. Bez podpisanej umowy BAA OpenAI nie jest ani jednym, ani drugim, więc OCR nie ma jurysdykcji nad Twoimi osobistymi czatami. FTC jest właściwym organem do składania skarg konsumenckich dotyczących narzędzia zdrowotnego niepodlegającego HIPAA, zgodnie z ustawą FTC i zasadą powiadamiania o naruszeniach danych zdrowotnych.

Jeśli usunę rozmowę ChatGPT, czy informacje o zdrowiu znikną?

Nie. Usunięcie usuwa wątek z Twojego widoku i rozpoczyna zegar retencji; kopie mogą pozostać w kopiach zapasowych, systemach bezpieczeństwa i logach poddostawców przez pewien czas. Co ważniejsze dla kliniki, usunięcie nie unieważnia ujawnienia, które już miało miejsce. Jeśli PHI zostało wprowadzone, obowiązek zgodności istnieje niezależnie, a usunięcie wątku niszczy dowody, których potrzebuje Twój inspektor ochrony danych.

Czy mój pracodawca może zobaczyć pytania dotyczące zdrowia, które wpisałem do służbowego konta ChatGPT?

Tak, potencjalnie. W planach roboczych organizacja jest właścicielem konta, ustala okres retencji i może mieć dostęp administracyjny do danych z rozmów. Zakładaj, że wszystko, co wpisujesz na służbowe konto, jest widoczne dla Twojego pracodawcy, tak samo jak służbowa poczta e-mail. Osobiste pytania dotyczące zdrowia należą do osobistego konta na osobistym urządzeniu, w Twoim czasie.

Czy cokolwiek, o co pytam ChatGPT na temat mojego zdrowia, trafi do mojej dokumentacji medycznej lub dotrze do mojego ubezpieczyciela?

Nie. Chatbot konsumencki nie ma żadnego połączenia z EHR Twojego lekarza ani z Twoim planem zdrowotnym, a Twoje czaty nie przepływają do żadnego z nich. Wyjątki to te, które sam tworzysz: podłączenie narzędzia do kont zawierających Twoje rekordy lub wklejenie jego wyników do wiadomości w portalu pacjenta. Praktyki reklamowe i udostępnianie danych to odrębna kwestia regulowana polityką prywatności.

Czy używanie ChatGPT do tworzenia listu dla pacjenta jest naruszeniem HIPAA?

Czasami, a linią podziału są identyfikatory. Prośba o szablon generycznego listu apelacyjnego bez danych pacjenta nie jest ujawnieniem PHI, chociaż polityka Twojego pracodawcy może nadal tego zabraniać. Wklejenie nazwiska, daty urodzenia, daty wizyty lub diagnozy sprawia, że jest to ujawnienie dostawcy bez umowy BAA, co jest naruszeniem.

Podsumowując

Czy ChatGPT jest zgodny z HIPAA? Nie, i ta odpowiedź nie zmieni się z powodu przełączanej opcji. Zmienia się tylko wtedy, gdy organizacja podpisze umowę BAA określającą konkretny produkt, a następnie zbuduje wokół niej kontrolę dostępu, logowanie i szkolenia. Jeśli jesteś lekarzem, sekwencja jest prosta: brak umowy, brak PHI i anonimizacja do standardu Safe Harbor, gdy już jej używasz. Jeśli jesteś pacjentem, pytanie zostało skierowane do niewłaściwego prawa. HIPAA ogranicza Twoich świadczeniodawców i ich dostawców. Twoja ochrona pochodzi z polityki prywatności, na którą się zgodziłeś, FTC za nią i Twojego własnego osądu dotyczącego tego, co wpisać.

Zastrzeżenie: Ten artykuł ma charakter wyłącznie informacyjny i nie stanowi porady medycznej. Zawsze skonsultuj się z wykwalifikowanym pracownikiem służby zdrowia w celu podjęcia decyzji dotyczących diagnozy i leczenia. Jeśli doświadczasz nagłego przypadku medycznego, natychmiast zadzwoń pod numer 911 lub udaj się na najbliższy oddział ratunkowy.