Este ChatGPT conform HIPAA? Ce înseamnă pentru pacienți și clinici

Nu. Este ChatGPT conform HIPAA pe orice plan pe care îl puteți cumpăra astăzi? Nu este, deoarece OpenAI nu semnează un acord de asociat comercial pentru nivelurile sale de consum. HIPAA reglementează organizațiile și contractele, nu modelele. Și dacă introduceți propriile informații de sănătate în propriul cont, HIPAA nu s-a aplicat niciodată.

TL;DR: Concluzii cheie

• Nu există niciun ChatGPT conform HIPAA pe piața de consum. Free, Plus și Go, Team și Enterprise nu sunt vândute cu un acord de asociat comercial (BAA).
• HIPAA obligă planurile de sănătate, casele de compensare, furnizorii și furnizorii lor contractuali. Nu vă obligă pe dumneavoastră, care introduceți propriile simptome în propriul cont.
• Ceea ce protejează consumatorii în schimb este politica de confidențialitate a furnizorului și Comisia Federală pentru Comerț, care a amendat deja o platformă de sănătate cu 1,5 milioane de dolari.
• Oprirea antrenamentului modelului și utilizarea chat-ului temporar reduc expunerea. Nu creează acoperire legală.
• Dacă informațiile protejate de sănătate (PHI) au intrat deja în ChatGPT obișnuit, tratați-le ca pe o posibilă încălcare și informați-vă ofițerul de confidențialitate în aceeași zi.

Este ChatGPT conform HIPAA? Nu în nicio versiune la care vă puteți abona astăzi

Este ChatGPT conform HIPAA? Nu. La momentul redactării acestui articol, OpenAI nu oferă un acord de asociat comercial pe planurile sale de consum (Free, Plus și Go, Team sau Enterprise), iar fără acel contract semnat, niciun produs nu poate fi acoperit. Niciun model AI nu este conform HIPAA de la sine: HIPAA reglementează organizațiile și contractele, astfel încât conformitatea depinde de un BAA semnat, plus modul în care produsul este configurat, restricționat și înregistrat.

Singura rută unde un BAA este chiar la îndemână este linia de produse specifică sănătății lansată de OpenAI în ianuarie 2026. Această linie este nouă, termenii săi sunt cel mai volatil fapt de pe această pagină și ar trebui să verificați disponibilitatea pentru propriul produs și nivel înainte de a vă baza pe el.

Acum, reîncadrarea care contează mai mult decât verdictul: pentru majoritatea oamenilor care introduc date în propriul cont, HIPAA nu a fost niciodată legea în vigoare.

HIPAA obligă clinica dumneavoastră și furnizorii săi, nu pe dumneavoastră și tastatura dumneavoastră

Legea atinge exact două grupuri, ambele definite la 45 CFR §160.103: entități acoperite (planuri de sănătate, case de compensare medicală și furnizori care transmit informații de sănătate electronic pentru tranzacții standard) și asociați comerciali, însemnând oricine creează, primește, menține sau transmite PHI în timp ce efectuează o funcție în numele unei entități acoperite. Această frază poartă întreaga greutate. O companie care întâmplător primește text legat de sănătate de la un membru al publicului nu este un asociat comercial.

HHS a elaborat deja acest lucru pentru aplicații. Ghidul său privind scenariile de utilizare a aplicațiilor de sănătate nu găsește nicio relație de asociat comercial atunci când o persoană completează o aplicație cu propriile sale date din proprie inițiativă, fără niciun contract în spate.

Deci, atunci când copiați și lipiți propriile simptome în contul dumneavoastră ChatGPT, HIPAA nu se aplică, iar OpenAI nu o încalcă. Aceasta nu este o portiță. Este arhitectura statutului.

Ceea ce vă protejează în schimb este politica de confidențialitate OpenAI, care funcționează ca o promisiune aplicabilă, plus FTC. Regula revizuită privind notificarea încălcărilor de sănătate din 2024 acoperă explicit aplicațiile de sănătate și tehnologiile similare care nu sunt supuse HIPAA. Și acea aplicare este reală: FTC a obținut o penalitate civilă de 1,5 milioane de dolari împotriva GoodRx în 2023 pentru dezvăluirea datelor despre prescripții și afecțiuni de sănătate către Facebook și Google.

Țineți contrastul în minte. Un chatbot de consum vă datorează o politică de confidențialitate. O aplicație de telemedicină acoperită contractual vă datorează HIPAA. Între vizite, o aplicație de companie pentru sănătate precum August AI vă poate ajuta să înregistrați simptomele și să puneți întrebări în limbaj simplu, ca un adjunct al îngrijirii, nu ca un substitut pentru aceasta, și niciodată ca cel care decide.

Problema reală nu este chatbot-ul. Este unde merg cuvintele dumneavoastră mai departe

Partajează ChatGPT datele dumneavoastră? Mecanic, da, în modurile obișnuite în care o face un produs cloud. Pe nivelurile de consum, setările implicite permit ca conversațiile să fie utilizate pentru a îmbunătăți modelele, să fie păstrate pentru o perioadă și revizuite de către oameni pentru siguranță și depanare. Subprocesatorii și furnizorii de infrastructură ating aceste date în timp ce rulează serviciul, ceea ce este exact lanțul descendent pe care un BAA este scris să îl guverneze.

Răspunsul sincer la întrebarea dacă ChatGPT partajează datele dumneavoastră este că depinde de nivelul dumneavoastră, de setările dumneavoastră și de ceea ce ați conectat. Ceea ce aduce în discuție eroarea pe care o văd cel mai des: dezactivarea antrenamentului modelului și trecerea la chat temporar reduc cu adevărat expunerea și ar trebui să faceți ambele lucruri. Nu creează acoperire HIPAA. Necesare, dar nu suficiente.

Apoi există riscul mai discret. Conectorii permit ChatGPT să acceseze Gmail, Google Drive, o căsuță de e-mail partajată a clinicii sau un instrument adiacent EHR și să citească ceea ce se află acolo. Nimeni nu trebuie să copieze și să lipească nimic. Un conector îndreptat către o căsuță poștală plină de scrisori de trimitere este o dezvăluire care așteaptă să se întâmple și nu va apărea așa în niciun jurnal de audit.

"Confidențialitatea îmbunătățită" a ChatGPT Health este o promisiune a produsului, nu una legală

Este ChatGPT Health conform HIPAA?

Este ChatGPT Health conform HIPAA? Nu. Un consumator individual nu poate obține un acord de asociat comercial pe ChatGPT Health, indiferent de setările de confidențialitate pe care le alege, deoarece un BAA este un contract între o entitate acoperită și furnizorul său, iar un pacient care utilizează un cont personal nu este niciuna dintre acestea.

Afirmațiile despre confidențialitate, izolare și criptare îmbunătățite sunt afirmații de design de produs. Ele pot descrie inginerie reală și totuși să aibă zero efect legal asupra aplicabilității HIPAA, deoarece HIPAA se bazează pe cine sunteți și ce ați semnat, nu pe modul în care este construit stratul de stocare.

Ceea ce produsul schimbă pentru un pacient este gestionarea implicită a datelor dumneavoastră, ceea ce valorează ceva. Nu creează o relație reglementată. Păstrați-o separat în mintea dumneavoastră de edițiile clinice și antreprenoriale de asistență medicală lansate în ianuarie 2026, care sunt vândute organizațiilor și sunt singurul loc unde un contract poate fi chiar discutat.

Doar un acord de asociat comercial semnat poate face un instrument AI conform

Un acord de asociat comercial ChatGPT este singurul mecanism legal care aduce OpenAI în sfera HIPAA pentru utilizarea organizației dumneavoastră. Tot restul este igienă.

BAA este semnat de organizație, nu de un clinician individual, și trebuie să numească produsul și nivelul specific utilizat efectiv. Un BAA care acoperă un cont API nu acoperă fila browserului în care cineva s-a conectat cu o adresă personală.

Iată ce nu vă vor spune majoritatea paginilor: un BAA semnat este un prag, nu o linie de sosire. Fără controale de acces bazate pe roluri, înregistrare de audit pe care cineva o citește efectiv, limite minime necesare pentru ceea ce este trimis și instruire a forței de muncă care numește specific acest instrument, aveți un contract și o problemă de conformitate în același timp. Obțineți disponibilitatea BAA confirmată în scris de OpenAI pentru SKU-ul dumneavoastră exact, mai degrabă decât să o deduceți dintr-o pagină de marketing. Linia de produse din 2026 are săptămâni vechime în termeni de reglementare.

Îndepărtarea numelui pacientului nu este dezidentificare

Decizia de a dezidentifica PHI înainte de a utiliza ChatGPT este instinctul corect, dar standardul este un standard HHS, nu o decizie subiectivă. Două metode se califică: Safe Harbor și Expert Determination formală de către un statistician calificat.

Safe Harbor înseamnă eliminarea tuturor celor 18 categorii de identificatori enumerate și neavând nicio cunoștință reală că ceea ce a rămas ar putea identifica pe cineva. Acestea sunt nume; geografie mai mică decât un stat; toate datele legate de individ, inclusiv datele de internare, externare, vizită și naștere; telefon, fax și e-mail; numere de securitate socială, de dosar medical, de plan de sănătate și de cont; certificate și numere de licență; identificatori de vehicule și dispozitive și numere de serie; URL-uri și adrese IP; biometrie; fotografii cu fața întreagă; și orice alt cod unic.

Cele pe care clinicienii le lasă sunt previzibile: date de vizită, orașul, vârste peste 89 de ani, MRN-ul care se află în antetul notei lipite, un număr de serie al dispozitivului, o fotografie și citate text liber exacte care sunt suficient de distinctive pentru a numi persoana singură.

Concret, o notă lipsită de nume care încă citește „persoană de 34 de ani din Bozeman, văzută pe 3 martie, diagnostic confirmat de boală autoimună rară” nu sunt date dezidentificate. Sunt PHI cu cel mai ușor câmp șters.

Dezidentificarea nu este, de asemenea, un panaceu. Elimină întrebarea HIPAA. Nu elimină politica de utilizare acceptabilă a angajatorului dumneavoastră, contractele cu furnizorii sau legea de confidențialitate a statului, dintre care mai multe au o gamă mai largă decât HIPAA.

Un flux de lucru AI conform în șase pași, inclusiv dacă PHI a intrat deja

Un ChatGPT conform HIPAA nu există ca ceva ce cumpărați; ceea ce există este decalajul dintre un instrument și un flux de lucru, iar acești șase pași îl închid.

1. Decideți ce cititor sunteți. Acționând în numele unei entități acoperite, HIPAA se aplică la ceea ce introduceți. Utilizarea propriului cont pentru propria sănătate înseamnă că nu se aplică.
2. Confirmați în scris dacă un BAA acoperă produsul și nivelul exact înainte de orice utilizare clinică. Fără BAA, fără PHI, punct final.
3. Opriți antrenamentul modelului și utilizați chat-ul temporar. Spuneți cu voce tare ce este aceasta: reducerea riscului, nu conformitatea.
4. Auditați și deconectați conectorii care accesează e-mail clinic, stocare în cloud sau orice altceva adiacent EHR, până când fiecare dintre aceștia a fost revizuit.
5. Dezidentificați conform standardului Safe Harbor înainte de a lipi, apoi citiți și rezultatul. Modelele repetă specificul pe care le-ați introdus.
6. Dacă PHI a intrat deja, tratați-o ca pe o posibilă încălcare. Opriți utilizarea firului. Nu o ștergeți în tăcere, deoarece este o dovadă. Informați ofițerul dumneavoastră de confidențialitate sau conformitate în aceeași zi, documentați ce a fost dezvăluit și când, și lăsați-l să efectueze evaluarea riscurilor conform Regulei privind notificarea încălcărilor și să ia decizia de notificare. Nu o ștergeți singur.

Dacă sunteți pacient, nu clinician, nimic din toate acestea nu vi se aplică. Nu aveți nevoie de BAA și nici de soluții. Decideți ce sunteți confortabil să partajați, păstrați identificatorii în afara solicitărilor pe care nu le-ați posta public, iar dacă nu sunteți sigur de urgența unei situații, verificatorul gratuit de simptome August AI este un prim pas de triaj rezonabil. Când ceea ce aveți nevoie este îngrijire, nu informații, de exemplu, o evaluare online pentru ADHD, acest lucru se întâmplă în cadrul unei relații cu un furnizor, unde HIPAA se aplică de la primul formular de internare.

Unele simptome nu ar trebui să ajungă niciodată la un chatbot mai întâi

Nimic din sfaturile de confidențialitate din acest articol nu ar trebui să întârzie îngrijirea de urgență. Dacă decideți între a tasta și a suna, sunați.

Sunați la 911 sau mergeți la o cameră de urgență acum dacă:

• Aveți dureri în piept sau dificultăți de respirație.
• Aveți amorțeală bruscă, dificultăți de vorbire sau căderea feței, care sunt semne de accident vascular cerebral.
• Aveți sângerări severe.
• Aveți gânduri de sinucidere. Opriți tastarea și sunați la 911 sau 988. Chat-ul AI nu vă poate examina și nici nu poate dispatch ajutor.

Programează o vizită în următoarea săptămână dacă:

• Ați triat același simptom cu un chatbot de zile întregi și acesta nu se îmbunătățește.
• Aveți un nou nodul sau o schimbare inexplicabilă în greutate.
• Chatbot-ul continuă să vă spună să consultați un medic. Acesta este răspunsul, nu un placeholder.

Vorbiți cu un clinician înainte de a începe dacă:

• Un răspuns AI vă spune să opriți un medicament prescris, să schimbați o doză sau să ignorați echipa dumneavoastră de îngrijire. Confirmați mai întâi cu medicul dumneavoastră prescriptor. Aceste instrumente produc sfaturi medicale greșite cu încredere și o fac în același ton pe care îl folosesc atunci când au dreptate.

Pentru nivelul mediu, vizita de urgență online a August la 39 USD vă conectează cu un clinician licențiat în SUA care poate evalua simptomele și prescrie atunci când consideră acest lucru adecvat. Clinicianul decide. O vizită video nu vă poate examina în persoană, nu poate comanda imagistică pe loc și nici nu poate gestiona o urgență, deci orice din primul nivel aparține unui departament de urgență.

Întrebări frecvente

Poate fi amendată o clinică dacă un membru al personalului introduce informații despre pacienți în ChatGPT?

Da. Răspunderea revine organizației, nu individului. Conform ajustării inflației din 28 ianuarie 2026, penalitățile monetare civile HIPAA variază de la un minim de nivel 1 de 145 USD per încălcare la un minim de nivel 4 de 73.011 USD per încălcare, cu un plafon anual de 2.190.294 USD per categorie de încălcare. Fiecare înregistrare poate conta separat, ceea ce explică cum incidentele mici devin numere mari.

Sunt Microsoft Copilot, Google Gemini sau Claude conform HIPAA în schimb?

De obicei, nu, iar răspunsul sincer este un principiu mai degrabă decât un clasament al furnizorilor. Conformitatea urmează contractul, nu modelul. Niciun chatbot de consum de la niciun furnizor nu este vândut sub un BAA, și nici ChatGPT nu este conform HIPAA în nivelurile sale de consum. Dacă un furnizor vă spune că oferta sa enterprise sau cloud poate fi acoperită, obțineți acest lucru în scris, numind produsul dumneavoastră exact.

Pot depune o plângere HIPAA împotriva OpenAI?

De obicei, nu. Biroul pentru Drepturi Civile al HHS primește plângeri despre entitățile acoperite și asociații lor comerciali. Fără un BAA în vigoare, OpenAI nu este niciuna dintre acestea, deci OCR nu are jurisdicție asupra conversațiilor dumneavoastră personale. FTC este sediul potrivit pentru o plângere a consumatorului cu privire la un instrument de sănătate ne-HIPAA, în conformitate cu Legea FTC și Regula privind notificarea încălcărilor de sănătate.

Dacă șterg o conversație ChatGPT, informațiile de sănătate dispar?

Nu. Ștergerea elimină firul din vedere și pornește un cronometru de retenție; copii pot persista în copii de rezervă, sisteme de siguranță și jurnalele subprocesatorilor pentru o perioadă. Mai important pentru o clinică, ștergerea nu anulează o dezvăluire care a avut deja loc. Dacă au intrat PHI, obligația de conformitate există indiferent, iar ștergerea firului distruge dovezile de care ofițerul dumneavoastră de confidențialitate are nevoie.

Angajatorul meu poate vedea întrebările de sănătate pe care le-am introdus într-un cont ChatGPT de lucru?

Da, potențial. Pe planurile de lucru, organizația deține contul, stabilește retenția și poate avea acces administrativ la datele conversațiilor. Presupuneți că orice este introdus într-un cont de lucru este vizibil angajatorului dumneavoastră, la fel ca e-mailul de lucru. Întrebările personale de sănătate aparțin unui cont personal pe un dispozitiv personal, în timpul dumneavoastră.

Orice lucru pe care îl întreb ChatGPT despre sănătatea mea ajunge în dosarul meu medical sau ajunge la asigurătorul meu?

Nu. Un chatbot de consum nu are nicio conexiune cu EHR-ul clinicianului dumneavoastră sau cu planul dumneavoastră de sănătate, iar conversațiile dumneavoastră nu curg în niciunul dintre acestea. Excepțiile sunt cele pe care le creați: conectarea instrumentului la conturi care dețin dosarele dumneavoastră sau copierea și lipirea rezultatului său într-un mesaj al portalului pacienților. Practicile de publicitate și partajare a datelor sunt o preocupare separată guvernată de politica de confidențialitate.

Este o încălcare HIPAA să folosesc ChatGPT pentru a redacta o scrisoare către un pacient?

Uneori, iar linia de despărțire sunt identificatorii. Solicitarea unui șablon generic de scrisoare de apel, fără detalii despre pacient, nu este o dezvăluire de PHI, deși politica angajatorului dumneavoastră o poate interzice. Copierea și lipirea unui nume, data nașterii, data vizitei sau un diagnostic o fac o dezvăluire către un furnizor fără BAA, ceea ce este încălcarea.

Concluzia

Este ChatGPT conform HIPAA? Nu, și acest răspuns nu se va schimba din cauza unei setări pe care o comutați. Se schimbă doar atunci când o organizație semnează un BAA care numește un produs specific și apoi construiește controale de acces, înregistrare și instruire în jurul acestuia. Dacă sunteți clinician, secvența este simplă: fără contract, fără PHI, și dezidentificați la standardul Safe Harbor atunci când îl folosiți. Dacă sunteți pacient, întrebarea a fost adresată legii greșite. HIPAA restricționează furnizorii dumneavoastră și furnizorii lor. Protecția dumneavoastră provine de la politica de confidențialitate cu care ați fost de acord, FTC din spate și propriul dumneavoastră judecată cu privire la ce să introduceți.

Disclaimer: Acest articol este doar în scop informativ și nu constituie sfaturi medicale. Consultați întotdeauna un profesionist calificat în domeniul sănătății pentru decizii de diagnostic și tratament. Dacă aveți o urgență medicală, sunați la 911 sau mergeți imediat la cea mai apropiată cameră de urgență.