Je ChatGPT v súlade s HIPAA? Čo to znamená pre pacientov a kliniky

Nie. Je ChatGPT v súlade s HIPAA na akomkoľvek pláne, ktorý si dnes môžete kúpiť? Nie je, pretože OpenAI nepodpisuje dohodu o obchodnom partnerstve pre svoje spotrebiteľské úrovne. HIPAA reguluje organizácie a zmluvy, nie modely. A ak zadáte svoje vlastné zdravotné informácie do svojho vlastného účtu, HIPAA sa nikdy nevzťahovala.

TL;DR: Kľúčové poznatky

• Na spotrebiteľskom trhu neexistuje žiadne ChatGPT v súlade s HIPAA. Bezplatné, Plus a Go, Tím a Enterprise sa nepredávajú s dohodou o obchodnom partnerstve (BAA).
• HIPAA viaže zdravotné plány, zúčtovacie strediská, poskytovateľov a ich zmluvných dodávateľov. Neviaže vás, zadávanie vlastných príznakov do vlastného účtu.
• Čo namiesto toho chráni spotrebiteľov, je zásada ochrany osobných údajov predajcu a Federálna obchodná komisia, ktorá už pokutovala zdravotnícku platformu 1,5 milióna dolárov.
• Vypnutie tréningu modelu a použitie dočasného chatu znižuje expozíciu. Nevytvára to právne krytie.
• Ak sa chránené zdravotné informácie (PHI) už dostali do bežného ChatGPT, zaobchádzajte s tým ako s potenciálnym únikom údajov a informujte svojho zodpovedného za ochranu osobných údajov v ten istý deň.

Je ChatGPT v súlade s HIPAA? Nie v žiadnej verzii, do ktorej sa dnes môžete zaregistrovať

Je ChatGPT v súlade s HIPAA? Nie. V čase písania tohto článku OpenAI nenúka dohodu o obchodnom partnerstve na svoje spotrebiteľské plány (Free, Plus and Go, Team alebo Enterprise) a bez tejto podpísanej zmluvy nemôže byť žiadny produkt krytý. Žiadny AI model nie je sám o sebe v súlade s HIPAA: HIPAA reguluje organizácie a zmluvy, takže dodržiavanie závisí od podpísanej BAA a od toho, ako je produkt nakonfigurovaný, obmedzený a zaznamenaný.

Jediná cesta, kde je BAA vôbec na stole, je zdravotnícky špecifický rad, ktorý OpenAI spustila v januári 2026. Tento rad je nový, jeho podmienky sú najviac premenlivým faktom na tejto stránke a mali by ste si overiť dostupnosť pre váš vlastný produkt a úroveň skôr, ako sa naň budete spoliehať.

Teraz preformulovanie, ktoré je dôležitejšie ako verdikt: pre väčšinu ľudí, ktorí zadávajú do svojho vlastného účtu, HIPAA nebola nikdy v hre.

HIPAA viaže vašu kliniku a jej dodávateľov, nie vás a vašu klávesnicu

Zákon sa vzťahuje presne na dve skupiny, obe definované na 45 CFR §160.103: kryté subjekty (zdravotné plány, zdravotnícke zúčtovacie strediská a poskytovatelia, ktorí elektronicky prenášajú zdravotné informácie pre štandardné transakcie) a obchodných partnerov, čo znamená kohokoľvek, kto vytvára, prijíma, uchováva alebo prenáša PHI pri výkone funkcie v mene krytého subjektu. Táto fráza nesie celú váhu. Spoločnosť, ktorá náhodou prijíma text týkajúci sa zdravia od člena verejnosti, nie je obchodným partnerom.

HHS už toto pre aplikácie prepracovalo. Jeho usmernenie k scenárom používania zdravotných aplikácií nenachádza žiadny vzťah obchodného partnerstva, keď osoba vyplní aplikáciu svojimi vlastnými údajmi na vlastnú iniciatívu, bez zmluvy za tým.

Takže keď prilepíte svoje vlastné príznaky do svojho vlastného účtu ChatGPT, HIPAA sa neuplatňuje a OpenAI ju neporušuje. To nie je právna medzera. Je to architektúra zákona.

Čo vás namiesto toho chráni, je zásada ochrany osobných údajov OpenAI, ktorá funguje ako vynútiteľný sľub, plus FTC. Upravené pravidlo o oznámení o úniku zdravotných údajov z roku 2024 výslovne pokrýva zdravotné aplikácie a podobné technológie, na ktoré sa nevzťahuje HIPAA. A táto vynútiteľnosť je skutočná: FTC zabezpečila pokutu 1,5 milióna dolárov proti GoodRx v roku 2023 za zdieľanie citlivých údajov o receptoch a zdravotnom stave spotrebiteľov s Facebookom a Google.

Majte v hlave ten kontrast. Chatbot pre spotrebiteľov vám dlhuje zásadu ochrany osobných údajov. Telehealth aplikácia, ktorá je zmluvne krytá, vám dlhuje HIPAA. Medzi návštevami vám aplikácia pre spoločníkov v oblasti zdravia, ako je August AI, môže pomôcť zaznamenávať príznaky a klásť otázky v bežnom jazyku, ako doplnok k starostlivosti, nie ako náhrada, a nikdy ako vec, ktorá rozhoduje.

Skutočný problém nie je chatbot. Je to, kam idú vaše slová ďalej

Zdieľa ChatGPT vaše údaje? Mechanicky áno, bežným spôsobom ako cloudový produkt. Na spotrebiteľských úrovniach predvolené nastavenia umožňujú používať konverzácie na zlepšenie modelov, uchovávať ich po určitú dobu a kontrolovať ich ľuďmi kvôli bezpečnosti a riešeniu problémov. Subdodávatelia a poskytovatelia infraštruktúry sa dotýkajú týchto údajov pri prevádzke služby, čo je presne ten následný reťazec, na ktorý je napísaná BAA, aby ho riadil.

Úprimná odpoveď na otázku, či ChatGPT zdieľa vaše údaje, je, že to závisí od vašej úrovne, vašich nastavení a toho, čo ste k nemu pripojili. Čo sa týka najčastejšej chyby: vypnutie tréningu modelu a prepnutie na dočasný chat skutočne znižuje expozíciu a mali by ste urobiť oboje. Nevytvára to však krytie HIPAA. Je to nevyhnutné, ale nie dostačujúce.

Potom je tu tichšie riziko. Konektory umožňujú ChatGPT prístup do Gmailu, Google Drive, zdieľanej schránky kliniky alebo nástroja pripojeného k EHR a čítanie toho, čo je tam. Nikto nemusí nič prilepovať. Konektor namierený na poštovú schránku plnú odporúčacích listov je zverejnenie, ktoré čaká na svoju príležitosť, a nebude to tak vyzerať v žiadnom auditnom zázname.

„Zvýšená ochrana osobných údajov“ v ChatGPT Health je sľub produktu, nie právny

Je ChatGPT Health v súlade s HIPAA?

Je ChatGPT Health v súlade s HIPAA? Nie. Jednotlivec ako spotrebiteľ nemôže získať dohodu o obchodnom partnerstve na ChatGPT Health bez ohľadu na to, aké nastavenia ochrany osobných údajov si zvolí, pretože BAA je zmluva medzi krytým subjektom a jeho dodávateľom a pacient používajúci osobné účet nie je ani jedno.

Tvrdenia o zvýšenej ochrane osobných údajov, izolácii a šifrovaní sú tvrdenia dizajnu produktu. Môžu popisovať skutočné inžinierstvo a stále mať nulový právny účinok na to, či sa HIPAA vzťahuje, pretože HIPAA sa riadi tým, kto ste a čo ste podpísali, nie tým, ako je postavená vrstva úložiska.

Čo produkt mení pre pacienta, je predvolené spracovanie vašich vlastných údajov, čo má určitú hodnotu. Nevytvára to regulovaný vzťah. Majte to oddelené v mysli od edícií pre lekárov a podnikové zdravotníctvo spustených v januári 2026, ktoré sa predávajú organizáciám a sú jediným miestom, kde je možné zmluvu vôbec diskutovať.

Len podpísaná dohoda o obchodnom partnerstve môže urobiť AI nástroj v súlade

Dohoda o obchodnom partnerstve ChatGPT je jediným právnym mechanizmom, ktorý začleňuje OpenAI do HIPAA pre používanie vašej organizácie. Všetko ostatné je hygiena.

BAA podpisuje organizácia, nie individuálny lekár, a musí pomenovať špecifický produkt a úroveň, ktoré sa skutočne používajú. BAA pokrývajúca účet API nepokrýva kartu prehliadača, do ktorej sa niekto prihlásil pomocou osobnej adresy.

Tu je to, čo vám väčšina stránok nepovie: podpísaná BAA je spodná hranica, nie cieľová čiara. Bez riadenia prístupu na základe rolí, auditného záznamu, ktorý niekto skutočne číta, minimálnych nevyhnutných obmedzení na to, čo sa posiela, a školenia zamestnancov, ktoré konkrétne pomenúva tento nástroj, máte zmluvu a problém s dodržiavaním predpisov súčasne. Nechajte si dostupnosť BAA potvrdiť písomne od OpenAI pre váš presný SKU namiesto odvodzovania z marketingovej stránky. Rôznorodnosť z roku 2026 je v regulačných termínoch týždne stará.

Odstránenie mena pacienta nie je anonymizácia

Rozhodnutie anonymizovať PHI pred použitím ChatGPT je správny inštinkt, ale hranica je štandard HHS, nie rozhodnutie.

Bezpečná metóda znamená odstránenie všetkých 18 vymenovaných kategórií identifikátorov a nemanie skutočných vedomostí o tom, že to, čo zostalo, by mohlo niekoho identifikovať. Sú to mená; zemepisné oblasti menšie ako štát; všetky dátumy spojené s jednotlivcom, vrátane dátumov prijatia, prepustenia, návštevy a narodenia; telefónne číslo, fax a e-mail; čísla sociálneho zabezpečenia, zdravotných záznamov, zdravotných plánov a účtov; čísla certifikátov a licencií; identifikátory a sériové čísla vozidiel a zariadení; URL a IP adresy; biometrické údaje; fotografie tváre; a akýkoľvek iný jedinečný kód.

Tie, ktoré lekári nechávajú, sú predvídateľné: dátumy návštev, mesto, vek nad 89 rokov, MRN sediaci v hlavičke prilepenej poznámky, sériové číslo zariadenia, fotografia a presné citácie v bežnom texte, ktoré sú dostatočne jedinečné na to, aby samy o sebe pomenovali osobu.

Konkrétne, poznámka zbavená mena, ktorá stále znie „34-ročný v Bozeman, videný 3. marca, potvrdená zriedkavá autoimunitná diagnóza“, nie je anonymizovaná. Sú to PHI s najľahším odstráneným poľom.

Anonymizácia tiež nie je všeliek. Odstraňuje otázku HIPAA. Neodstraňuje politiku prijateľného používania vášho zamestnávateľa, zmluvy s dodávateľmi ani zákony o ochrane osobných údajov štátov, z ktorých mnohé sú širšie ako HIPAA.

Kompatibilný pracovný postup AI v šiestich krokoch, vrátane prípadu, ak sa PHI už dostali dnu

ChatGPT kompatibilné s HIPAA neexistuje ako niečo, čo si kúpite; existuje medzera medzi nástrojom a pracovným postupom a týchto šesť krokov ju uzatvára.

1. Rozhodnite sa, ktorý čitateľ ste. Konanie v mene krytého subjektu znamená, že HIPAA sa vzťahuje na to, čo napíšete. Používanie vlastného účtu pre svoje vlastné zdravie znamená, že sa to nevzťahuje.
2. Písomne potvrďte, či BAA pokrýva presný produkt a úroveň pred akýmkoľvek klinickým použitím. Žiadna BAA znamená žiadne PHI, bodka.
3. Vypnite tréning modelu a použite dočasný chat. Hlasno povedzte, čo to je: zníženie rizika, nie dodržiavanie predpisov.
4. Auditujte a odpojte konektory, ktoré pristupujú ku klinickému e-mailu, cloudovému úložisku alebo čomukoľvek pripojenému k EHR, kým každý z nich nebude preskúmaný.
5. Pred prilepením anonymizujte na štandard Bezpečnej metódy, potom si prečítajte aj výstup. Modely opakujú špecifiká, ktoré ste im zadali.
6. Ak sa PHI už dostali dnu, zaobchádzajte s tým ako s potenciálnym únikom údajov. Zastavte používanie vlákna. Ticho ho neignorujte, pretože je to dôkaz. Informujte svojho zodpovedného za ochranu osobných údajov alebo zodpovedného za dodržiavanie predpisov v ten istý deň, zdokumentujte, čo bolo zverejnené a kedy, a nechajte ich vykonať posúdenie rizika podľa pravidla o oznámení o úniku údajov a urobiť rozhodnutie o oznámení. Neodstraňujte to sami.

Ak ste pacient, nie lekár, nič z toho sa na vás nevzťahuje. Nepotrebujete žiadnu BAA ani riešenie. Rozhodnite sa, čo ste ochotní zdieľať, držte identifikátory mimo otázok, ktoré by ste nezverejnili verejne, a ak si nie ste istí, aká naliehavá je situácia, bezplatný August AI Symptom Checker je rozumným prvým triážnym krokom. Keď potrebujete starostlivosť, nie informácie, napríklad online hodnotenie ADHD, deje sa to v rámci vzťahu s poskytovateľom, kde HIPAA platí od prvého registračného formulára.

Niektoré príznaky by nikdy nemali ísť najprv k chatbotu

Žiadna z rád ohľadom ochrany osobných údajov v tomto článku by nemala oddialiť pohotovostnú starostlivosť. Ak sa rozhodujete medzi zadaním a zavolaním, zavolajte.

Okamžite zavolajte na číslo 911 alebo choďte na pohotovosť, ak:

• Máte bolesti na hrudníku alebo problémy s dýchaním.
• Máte náhle znecitlivenie, nezreteľnú reč alebo poklesnutie tváre, čo sú príznaky mŕtvice.
• Máte silné krvácanie.
• Máte samovražedné myšlienky. Prestaňte písať a zavolajte na číslo 911 alebo 988. AI chat vás nemôže vyšetriť ani vyslať pomoc.

Objednajte si návštevu do týždňa, ak:

• Už niekoľko dní triážujete rovnaký príznak pomocou chatbota a nedochádza k zlepšeniu.
• Máte novú hrčku alebo nevysvetliteľnú zmenu hmotnosti.
• Chatbot vám stále hovorí, aby ste navštívili lekára. To je odpoveď, nie zástupný symbol.

Porozprávajte sa s lekárom skôr, ako začnete, ak:

• Odpoveď AI vám hovorí, aby ste prestali užívať predpísaný liek, zmenili dávku alebo ignorovali svoj tím starostlivosti. Najprv sa poraďte so svojím predpisujúcim lekárom. Tieto nástroje produkujú sebavedome nesprávne lekárske rady a robia to v rovnakom tóne, ako keď majú pravdu.

Pre strednú úroveň vás online návšteva urgentnej starostlivosti August za 39 dolárov spojí s licencovaným lekárom v USA, ktorý môže vyhodnotiť príznaky a predpísať lieky, keď to považuje za vhodné. Rozhoduje lekár. Video návšteva nemôže fyzicky vyšetriť pacienta, okamžite nariadiť zobrazovacie vyšetrenia ani zvládnuť núdzový stav, takže čokoľvek v prvej úrovni patrí na pohotovosť.

Často kladené otázky

Môže byť klinika pokutovaná, ak zamestnanec prilepí informácie o pacientovi do ChatGPT?

Áno. Zodpovednosť nesie organizácia, nie jednotlivec. Podľa úpravy inflácie z 28. januára 2026 sa pokuty za občianskoprávne penále HIPAA pohybujú od minimálnej úrovne 1 (Tier 1) vo výške 145 dolárov za porušenie po minimálnu úroveň 4 (Tier 4) vo výške 73 011 dolárov za porušenie, s ročným limitom 2 190 294 dolárov na kategóriu porušenia. Každý záznam sa môže počítať samostatne, čo je spôsob, akým sa malé incidenty stávajú veľkými číslami.

Sú Microsoft Copilot, Google Gemini alebo Claude namiesto toho v súlade s HIPAA?

Zvyčajne nie, a úprimná odpoveď je princíp, nie hodnotenie predajcu. Dodržiavanie predpisov sleduje zmluvu, nie model. Žiadny spotrebiteľský chatbot od žiadneho predajcu sa nepredáva v rámci BAA, a ani ChatGPT nie je v súlade s HIPAA vo svojich spotrebiteľských úrovniach. Ak vám predajca povie, že jeho podnikové alebo cloudové riešenie môže byť kryté, nechajte si to potvrdiť písomne s uvedením vášho presného produktu.

Môžem podať sťažnosť na porušenie HIPAA proti OpenAI?

Zvyčajne nie. Úrad pre občianske práva HHS vybavuje sťažnosti týkajúce sa krytých subjektov a ich obchodných partnerov. Bez BAA nemá OpenAI žiadnu jurisdikciu nad vašimi osobnými konverzáciami. FTC je správnym miestom na podanie sťažnosti spotrebiteľa na zdravotnícky nástroj, na ktorý sa nevzťahuje HIPAA, podľa zákona FTC a pravidla o oznámení o úniku zdravotných údajov.

Ak vymažem konverzáciu ChatGPT, sú zdravotné informácie preč?

Nie. Vymazanie odstráni vlákno z vášho pohľadu a spustí časovač uchovávania; kópie sa môžu uchovávať v zálohách, bezpečnostných systémoch a záznamoch subdodávateľov po určitú dobu. Dôležitejšie pre kliniku je, že vymazanie neodstráni zverejnenie, ktoré sa už uskutočnilo. Ak sa PHI dostali dnu, záväzok dodržiavania predpisov existuje bez ohľadu na to a vymazanie vlákna ničí dôkazy, ktoré váš zodpovedný za ochranu osobných údajov potrebuje.

Môže môj zamestnávateľ vidieť zdravotné otázky, ktoré som napísal do pracovného účtu ChatGPT?

Áno, potenciálne. V rámci pracovných plánov organizácia vlastní účet, nastavuje uchovávanie a môže mať administratívny prístup k údajom o konverzáciách. Predpokladajte, že čokoľvek napísané do pracovného účtu je viditeľné pre vášho zamestnávateľa, rovnako ako pracovná e-mailová pošta. Osobné zdravotné otázky patria do osobného účtu na osobnom zariadení, vo váš voľný čas.

Skončí sa niečo, na čo sa pýtam ChatGPT o svojom zdraví, v mojej lekárskej záznamoch alebo sa dostane k môjmu poisťovateľovi?

Nie. Chatbot pre spotrebiteľov nemá žiadne spojenie s EHR vášho lekára ani s vaším zdravotným plánom a vaše konverzácie sa do žiadneho z nich neprenášajú. Výnimkami sú tie, ktoré vytvoríte vy: pripojenie nástroja k účtom obsahujúcim vaše záznamy alebo prilepenie jeho výstupu do správy v pacientskom portáli. Reklamné a dátové praktiky sú samostatnou záležitosťou, ktorou sa riadi zásada ochrany osobných údajov.

Je porušením HIPAA používať ChatGPT na vypracovanie listu pacientovi?

Niekedy, a deliaca čiara sú identifikátory. Požiadanie o generickú šablónu odvolacieho listu bez podrobností o pacientovi nie je zverejnením PHI, aj keď politiky vášho zamestnávateľa to môžu stále zakazovať. Prilepenie mena, dátumu narodenia, dátumu návštevy alebo diagnózy z neho robí zverejnenie dodávateľovi bez BAA, čo je porušenie.

Záver

Je ChatGPT v súlade s HIPAA? Nie, a táto odpoveď sa nezmení kvôli nastaveniu, ktoré prepnete. Zmení sa iba vtedy, keď organizácia podpíše BAA pomenúvajúci špecifický produkt a potom okolo neho vytvorí riadenie prístupu, záznamy a školenia. Ak ste lekár, postup je jednoduchý: žiadna zmluva, žiadne PHI a anonymizácia na štandard Bezpečnej metódy, keď ho používate. Ak ste pacient, otázka bola namierená na nesprávny zákon. HIPAA obmedzuje vašich poskytovateľov a ich dodávateľov. Vaša ochrana pochádza zo zásady ochrany osobných údajov, s ktorou ste súhlasili, FTC za ňou a vášho vlastného úsudku o tom, čo zadávať.

Zrieknutie sa zodpovednosti: Tento článok je určený len na informačné účely a nepredstavuje lekársku radu. Vždy sa poraďte s kvalifikovaným zdravotníckym pracovníkom pri rozhodovaní o diagnóze a liečbe. Ak máte lekársku pohotovosť, okamžite zavolajte na číslo 911 alebo choďte na najbližšiu pohotovosť.