Соответствует ли ChatGPT стандарту HIPAA? Что это значит для пациентов и клиник

Нет. Соответствует ли ChatGPT стандарту HIPAA на любом доступном сегодня плане? Нет, поскольку OpenAI не подписывает соглашение о деловом партнерстве для своих потребительских тарифов. HIPAA регулирует организации и контракты, а не модели. И если вы вводите свою собственную информацию о здоровье в свою учетную запись, HIPAA никогда не применялся.

Краткое изложение: Основные выводы

• HIPAA-совместимого ChatGPT для потребителей в свободной продаже нет. Бесплатные, Plus и Go, Team и Enterprise не продаются с соглашением о деловом партнерстве (BAA).
• HIPAA связывает планы медицинского страхования, клиринговые центры, поставщиков медицинских услуг и их подрядчиков. Он не связывает вас, когда вы вводите свои симптомы в свою учетную запись.
• Вместо этого потребителей защищает политика конфиденциальности поставщика услуг и Федеральная торговая комиссия, которая уже оштрафовала медицинскую платформу на 1,5 миллиона долларов.
• Отключение обучения модели и использование временных чатов снижает риски. Это не обеспечивает правовой защиты.
• Если защищенная медицинская информация (PHI) уже была введена в обычный ChatGPT, рассматривайте это как потенциальную утечку и сообщите об этом своему специалисту по конфиденциальности в тот же день.

Соответствует ли ChatGPT стандарту HIPAA? Ни одна из версий, на которую вы можете подписаться сегодня

Соответствует ли ChatGPT стандарту HIPAA? Нет. На момент написания этой статьи OpenAI не предлагает соглашение о деловом партнерстве для своих потребительских планов (Free, Plus and Go, Team или Enterprise), и без этого подписанного контракта ни один продукт не может быть охвачен. Ни одна модель ИИ сама по себе не соответствует стандарту HIPAA: HIPAA регулирует организации и контракты, поэтому соответствие зависит от подписанного BAA, а также от того, как продукт настроен, ограничен и протоколируется.

Единственный путь, где BAA вообще обсуждается, — это линейка продуктов, разработанных специально для здравоохранения, которую OpenAI запустила в январе 2026 года. Эта линейка новая, ее условия — самый изменчивый факт на этой странице, и вам следует проверить доступность для вашего собственного продукта и уровня перед тем, как полагаться на нее.

Теперь переформулировка, которая важнее приговора: для большинства людей, вводящих данные в свою собственную учетную запись, HIPAA никогда не был действующим законом.

HIPAA связывает вашу клинику и ее поставщиков, а не вас и вашу клавиатуру

Закон распространяется ровно на две группы, обе из которых определены в 45 CFR §160.103: охватываемые организации (планы медицинского страхования, клиринговые центры медицинских услуг и поставщики, которые передают медицинскую информацию в электронном виде для стандартных транзакций) и деловые партнеры, то есть любой, кто создает, получает, хранит или передает PHI при выполнении функции от имени охватываемой организации. Эта фраза несет весь вес. Компания, которая случайно получает текст, связанный со здоровьем, от члена общественности, не является деловым партнером.

HHS уже проработал этот вопрос для приложений. Его руководство по сценариям использования приложений для здоровья не находит деловых отношений, когда человек заполняет приложение своими данными по собственной инициативе, без какого-либо контракта.

Таким образом, когда вы вставляете свои симптомы в свою учетную запись ChatGPT, HIPAA не применяется, и OpenAI не нарушает его. Это не лазейка. Это архитектура закона.

Что защищает вас вместо этого, так это политика конфиденциальности OpenAI, которая действует как принудительное обещание, плюс FTC. Измененное в 2024 году правило уведомления об утечке данных о здоровье явно охватывает приложения для здоровья и аналогичные технологии, не подпадающие под действие HIPAA. И это принудительное исполнение реально: FTC добилась гражданского штрафа в размере 1,5 миллиона долларов против GoodRx в 2023 году за раскрытие данных о рецептах и состоянии здоровья Facebook и Google.

Держите этот контраст в голове. Потребительский чат-бот обязан предоставить вам политику конфиденциальности. Приложение для телемедицины, подпадающее под контрактное покрытие, обязано соблюдать HIPAA. Между визитами приложение-компаньон для здоровья, такое как August AI, может помочь вам записывать симптомы и задавать вопросы на простом языке, как дополнение к уходу, а не как его замена, и никогда не как решающий фактор.

Настоящая проблема не в чат-боте. Проблема в том, куда идут ваши слова дальше

Делится ли ChatGPT вашими данными? Механически, да, обычными способами, как это делает облачный продукт. На потребительских тарифах настройки по умолчанию позволяют использовать разговоры для улучшения моделей, хранить их в течение определенного периода и просматривать людьми в целях безопасности и устранения неполадок. Субподрядчики и поставщики инфраструктуры получают доступ к этим данным при предоставлении услуги, что именно является той цепочкой, которую призвано регулировать BAA.

Честный ответ на вопрос, делится ли ChatGPT вашими данными: это зависит от вашего тарифа, ваших настроек и того, с чем вы его связали. Что приводит к ошибке, которую я вижу чаще всего: отключение обучения модели и переход на временный чат действительно снижает риски, и вам следует сделать и то, и другое. Это не создает HIPAA-покрытие. Необходимо, но недостаточно.

Затем есть более тихий риск. Коннекторы позволяют ChatGPT получать доступ к Gmail, Google Drive, общей клинике или инструменту, связанному с EHR, и читать то, что там находится. Никому не нужно ничего копировать. Коннектор, направленный на почтовый ящик, полный писем-направлений, — это раскрытие информации, которое вот-вот произойдет, и оно не будет выглядеть как таковое ни в одном журнале аудита.

«Улучшенная конфиденциальность» ChatGPT Health — это обещание продукта, а не юридическое

Соответствует ли ChatGPT Health стандарту HIPAA?

Соответствует ли ChatGPT Health стандарту HIPAA? Нет. Отдельный потребитель не может получить соглашение о деловом партнерстве для ChatGPT Health, независимо от выбранных им настроек конфиденциальности, поскольку BAA — это контракт между охватываемой организацией и ее поставщиком, а пациент, использующий личную учетную запись, не является ни тем, ни другим.

Заявления об улучшенной конфиденциальности, изоляции и шифровании — это утверждения о дизайне продукта. Они могут описывать реальную инженерию и по-прежнему не иметь никакого юридического эффекта на то, применяется ли HIPAA, поскольку HIPAA зависит от того, кто вы и что вы подписали, а не от того, как построены слои хранения.

То, что продукт меняет для пациента, — это обработка ваших собственных данных по умолчанию, что имеет определенную ценность. Это не создает регулируемых отношений. Держите это отдельно в своем сознании от версий для клиницистов и корпоративных медицинских версий, запущенных в январе 2026 года, которые продаются организациям и являются единственным местом, где можно даже обсуждать контракт.

Только подписанное соглашение о деловом партнерстве может сделать инструмент ИИ соответствующим требованиям

Соглашение о деловом партнерстве ChatGPT — это единственный юридический механизм, который включает OpenAI в сферу действия HIPAA для использования вашей организацией. Все остальное — гигиена.

BAA подписывается организацией, а не отдельным клиницистом, и в нем должен быть указан конкретный продукт и тариф, который фактически используется. BAA, охватывающий учетную запись API, не охватывает вкладку браузера, в которую кто-то вошел с личным адресом.

Вот что большинство страниц вам не расскажут: подписанное BAA — это минимум, а не финишная черта. Без ролевого контроля доступа, аудиторского журнала, который кто-то фактически читает, ограничений на минимально необходимый объем передаваемых данных и обучения персонала, в котором конкретно упоминается этот инструмент, у вас одновременно возникнут проблемы с контрактом и соответствием требованиям. Получите подтверждение доступности BAA в письменном виде от OpenAI для вашего конкретного SKU, а не выводите его из маркетинговой страницы. Линейка 2026 года в регуляторном плане насчитывает всего несколько недель.

Удаление имени пациента — это не деидентификация

Решение деидентифицировать PHI перед использованием ChatGPT — это правильный инстинкт, но критерием является стандарт HHS, а не субъективное решение. Квалифицируются два метода: Safe Harbor (безопасная гавань) и формальное определение экспертом от квалифицированного статистика.

Safe Harbor означает удаление всех 18 перечисленных категорий идентификаторов и отсутствие фактического знания о том, что оставшееся может идентифицировать кого-либо. Это имена; географические названия меньше штата; все даты, связанные с человеком, включая даты поступления, выписки, визита и рождения; телефон, факс и электронная почта; номера социального страхования, медицинских карт, планов медицинского страхования и счетов; номера свидетельств и лицензий; идентификаторы транспортных средств и устройств, а также серийные номера; URL-адреса и IP-адреса; биометрия; фотографии всего лица; и любой другой уникальный код.

Те, которые клиницисты оставляют, предсказуемы: даты визитов, город, возраст старше 89 лет, MRN, находящийся в заголовке вставленной заметки, серийный номер устройства, фотография и дословные цитаты в свободной форме, которые достаточно уникальны, чтобы назвать человека самому по себе.

Конкретно, заметка, лишенная имени, но все еще читаемая: «34-летний житель Боузмана, осмотрен 3 марта, подтвержден редкий аутоиммунный диагноз», не является деидентифицированными данными. Это PHI с удаленным самым простым полем.

Деидентификация также не является панацеей. Она снимает вопрос HIPAA. Она не снимает с рассмотрения политику допустимого использования вашего работодателя, ваши контракты с поставщиками или законы штата о конфиденциальности, несколько из которых распространяются шире, чем HIPAA.

Соответствующий требованиям рабочий процесс ИИ в шесть шагов, включая случай, если PHI уже была введена

Соответствующий требованиям HIPAA ChatGPT не существует как нечто, что вы покупаете; существует разрыв между инструментом и рабочим процессом, и эти шесть шагов закрывают его.

1. Определите, кто вы. Действия от имени охватываемой организации означают, что HIPAA применяется к тому, что вы вводите. Использование вашей собственной учетной записи для вашего собственного здоровья означает, что это не так.
2. Подтвердите в письменном виде, охватывает ли BAA конкретный продукт и тариф перед любым клиническим использованием. Нет BAA — нет PHI, точка.
3. Отключите обучение модели и используйте временный чат. Произнесите вслух, что это такое: снижение рисков, а не соответствие требованиям.
4. Проверьте и отключите коннекторы, которые получают доступ к клинической почте, облачному хранилищу или чему-либо, связанному с EHR, до тех пор, пока каждый из них не будет проверен.
5. Деидентифицируйте по стандарту Safe Harbor перед вставкой, затем прочитайте результат. Модели повторяют детали, которые вы им предоставили.
6. Если PHI уже была введена, рассматривайте это как потенциальную утечку. Прекратите использование ветки. Не удаляйте ее молча, потому что это доказательство. Уведомите вашего специалиста по конфиденциальности или соответствию требованиям в тот же день, документируйте, что было раскрыто и когда, и позвольте им провести оценку рисков в соответствии с правилом уведомления об утечке и принять решение об уведомлении. Не очищайте это самостоятельно.

Если вы пациент, а не клиницист, ничего из этого к вам не относится. Вам не нужен BAA и никаких обходных путей. Решите, чем вы готовы поделиться, избегайте идентификаторов в запросах, которые вы не стали бы публиковать, и если вы не уверены в срочности чего-либо, бесплатный инструмент проверки симптомов August AI — разумный первый шаг триажа. Когда вам нужен уход, а не информация, например онлайн-оценка СДВГ, это происходит в рамках отношений с поставщиком услуг, где HIPAA применяется с первой формы ввода.

Некоторые симптомы никогда не следует обращаться к чат-боту в первую очередь

Ни один из советов по конфиденциальности в этой статье не должен задерживать экстренную медицинскую помощь. Если вы выбираете между набором текста и звонком, звоните.

Позвоните по номеру 911 или обратитесь в отделение неотложной помощи немедленно, если:

• У вас боль в груди или затрудненное дыхание.
• У вас внезапное онемение, невнятная речь или опущение одной стороны лица, что является признаками инсульта.
• У вас сильное кровотечение.
• У вас есть мысли о самоубийстве. Прекратите набор текста и позвоните по номеру 911 или 988. ИИ-чат не может вас осмотреть или вызвать помощь.

Запишитесь на прием в течение следующей недели, если:

• Вы уже несколько дней занимаетесь триажем одного и того же симптома с помощью чат-бота, и он не улучшается.
• У вас появилась новая шишка или необъяснимое изменение веса.
• Чат-бот постоянно советует вам обратиться к врачу. Это ответ, а не заполнитель.

Поговорите с клиницистом, прежде чем начинать, если:

• Ответ ИИ советует вам прекратить прием назначенных лекарств, изменить дозировку или проигнорировать свою команду по уходу. Сначала подтвердите это у своего врача. Эти инструменты дают уверенно неправильные медицинские рекомендации, и делают это с тем же тоном, который используют, когда правы.

Для среднего уровня, онлайн-визит к специалисту неотложной помощи August за 39 долларов связывает вас с лицензированным в США клиницистом, который может оценить симптомы и назначить лечение, когда он сочтет это целесообразным. Решает клиницист. Видеовизит не может осмотреть вас лично, немедленно назначить визуализацию или справиться с чрезвычайной ситуацией, поэтому все, что относится к первому уровню, должно быть в отделении неотложной помощи.

Часто задаваемые вопросы

Может ли клиника быть оштрафована, если сотрудник вставит информацию о пациенте в ChatGPT?

Да. Ответственность возлагается на организацию, а не на физическое лицо. Согласно корректировке инфляции от 28 января 2026 года, штрафы за нарушение HIPAA составляют от минимума уровня 1 в 145 долларов за нарушение до минимума уровня 4 в 73 011 долларов за нарушение, с годовым лимитом в 2 190 294 доллара за каждую категорию нарушений. Каждая запись может считаться отдельно, что объясняет, как мелкие инциденты превращаются в большие суммы.

Microsoft Copilot, Google Gemini или Claude вместо этого соответствуют стандарту HIPAA?

Обычно нет, и честный ответ — это принцип, а не рейтинг поставщика. Соответствие требованиям следует за контрактом, а не за моделью. Ни один потребительский чат-бот от любого поставщика не продается по BAA, и ни один из потребительских тарифов ChatGPT не соответствует стандарту HIPAA. Если поставщик заявляет, что его корпоративное или облачное предложение может быть охвачено, получите это в письменном виде с указанием вашего конкретного продукта.

Могу ли я подать жалобу HIPAA на OpenAI?

Обычно нет. Управление по гражданским правам HHS принимает жалобы на охватываемые организации и их деловых партнеров. Без BAA OpenAI не является ни тем, ни другим, поэтому OCR не имеет юрисдикции над вашими личными чатами. FTC — это правильный орган для потребительской жалобы на медицинский инструмент, не подпадающий под действие HIPAA, в соответствии с Актом FTC и Правилом уведомления об утечке данных о здоровье.

Если я удалю разговор в ChatGPT, медицинская информация будет удалена?

Нет. Удаление убирает ветку из вашего поля зрения и запускает таймер хранения; копии могут сохраняться в резервных копиях, системах безопасности и журналах субподрядчиков в течение определенного периода. Важнее для клиники: удаление не отменяет уже произошедшее раскрытие. Если PHI была введена, обязательство по соблюдению требований существует независимо, а удаление ветки уничтожает доказательства, которые нужны вашему специалисту по конфиденциальности.

Может ли мой работодатель видеть вопросы о здоровье, которые я вводил в рабочий аккаунт ChatGPT?

Да, потенциально. В планах для рабочих мест организация владеет учетной записью, устанавливает сроки хранения и может иметь административный доступ к данным разговоров. Предполагайте, что все, что вводится в рабочий аккаунт, видимо вашему работодателю, как и рабочая электронная почта. Личные вопросы о здоровье должны быть в личном аккаунте на личном устройстве, в ваше свободное время.

Все ли, что я спрашиваю ChatGPT о своем здоровье, попадает в мою медицинскую карту или доходит до моего страховщика?

Нет. Потребительский чат-бот не имеет связи с EHR вашего клинициста или вашим медицинским планом, и ваши чаты не перетекают ни в одно из них. Исключения — это те, которые вы создаете сами: подключение инструмента к учетным записям, содержащим ваши записи, или вставка его вывода в сообщение портала для пациентов. Практика рекламы и обмена данными — это отдельный вопрос, регулируемый политикой конфиденциальности.

Является ли нарушением HIPAA использование ChatGPT для составления письма пациенту?

Иногда, и разделительная линия — это идентификаторы. Запрос шаблона общего письма-апелляции без данных пациента не является раскрытием PHI, хотя политика вашего работодателя все еще может его запрещать. Вставка имени, даты рождения, даты визита или диагноза делает это раскрытием поставщику без BAA, что является нарушением.

Итог

Соответствует ли ChatGPT стандарту HIPAA? Нет, и этот ответ не изменится из-за переключателя настроек. Он изменится только тогда, когда организация подпишет BAA с указанием конкретного продукта, а затем построит вокруг него средства контроля доступа, журналирование и обучение. Если вы клиницист, последовательность проста: нет контракта — нет PHI, и деидентифицируйте до стандарта Safe Harbor, когда вы его используете. Если вы пациент, вопрос был направлен не на тот закон. HIPAA ограничивает ваших поставщиков и их поставщиков. Ваша защита исходит из политики конфиденциальности, с которой вы согласились, FTC, стоящей за ней, и вашего собственного суждения о том, что вводить.

Отказ от ответственности: Эта статья предназначена только для информационных целей и не является медицинской консультацией. Всегда консультируйтесь с квалифицированным поставщиком медицинских услуг для принятия решений о диагностике и лечении. Если вы испытываете неотложную медицинскую помощь, немедленно позвоните по номеру 911 или обратитесь в ближайшее отделение неотложной помощи.