Je ChatGPT skladen s HIPAA? Kaj to pomeni za bolnike in klinike

Ne. Ali je ChatGPT skladen s HIPAA na katerem koli načrtu, ki ga lahko kupite danes? Ni, ker OpenAI ne podpiše pogodbe o poslovnem sodelovanju za svoje potrošniške ravni. HIPAA ureja organizacije in pogodbe, ne modelov. In če v svoj račun vnesete svoje zdravstvene podatke, HIPAA nikoli ni veljal.

TL;DR: Ključni povzetki

• Na prodajnih policah ni na voljo ChatGPT, ki bi bil skladen s HIPAA. Brezplačni, Plus in Go, Team in Enterprise se ne prodajajo s pogodbo o poslovnem sodelovanju (BAA).
• HIPAA zavezuje zdravstvene načrte, klirinške hiše, ponudnike in njihove pogodbenike. Ne zavezuje vas, da v svoj račun vnašate lastne simptome.
• Kar namesto tega ščiti potrošnike, je pravilnik o zasebnosti ponudnika in Zvezna trgovinska komisija, ki je zdravstveno platformo že kaznovala z 1,5 milijona dolarjev.
• Izklop modelnega treninga in uporaba začetnega klepeta zmanjšata izpostavljenost. Ne zagotavljata pravne zaščite.
• Če so zaščiteni zdravstveni podatki (PHI) že vstopili v običajen ChatGPT, jih obravnavajte kot možno kršitev in o tem isti dan obvestite svojega pooblaščenega zastopnika za zasebnost.

Je ChatGPT skladen s HIPAA? Ne v nobeni različici, za katero se lahko prijavite danes

Je ChatGPT skladen s HIPAA? Ne. Trenutno OpenAI ne ponuja pogodbe o poslovnem sodelovanju na svojih potrošniških načrtih (Brezplačni, Plus in Go, Team ali Enterprise), in brez te podpisane pogodbe noben izdelek ne more biti zajet. Noben model umetne inteligence sam po sebi ni skladen s HIPAA: HIPAA ureja organizacije in pogodbe, zato skladnost temelji na podpisani BAA ter na tem, kako je izdelek konfiguriran, omejen in zabeležen.

Edina pot, kjer je BAA sploh mogoča, je linija izdelkov, posebej namenjenih zdravstvu, ki jo je OpenAI predstavil januarja 2026. Ta linija je nova, njeni pogoji so najbolj nestabilen podatek na tej strani, in pred zanašanjem nanjo morate preveriti razpoložljivost za svoj izdelek in raven.

Zdaj pa preusmeritev, ki je bolj pomembna kot sodba: za večino ljudi, ki vnašajo podatke v svoj račun, HIPAA nikoli ni bil v veljavi.

HIPAA zavezuje vašo kliniko in njene ponudnike, ne vas in vaše tipkovnice

Zakon se nanaša natančno na dve skupini, obe opredeljeni na 45 CFR §160.103: zavezane entitete (zdravstveni načrti, klirinške hiše zdravstvenih storitev in ponudniki, ki elektronsko prenašajo zdravstvene podatke za standardne transakcije) in poslovni sodelavci, kar pomeni kogar koli, ki ustvarja, prejema, vzdržuje ali prenaša PHI med opravljanjem funkcije v imenu zavezane entitete. Ta fraza nosi celotno težo. Podjetje, ki po naključju prejme z zdravjem povezano besedilo od posameznika, ni poslovni sodelavec.

HHS je to že razjasnil za aplikacije. Njegovo navodilo o scenarijih uporabe zdravstvenih aplikacij ne najde odnosa poslovnega sodelavca, kadar posameznik izpolni aplikacijo s svojimi podatki na lastno pobudo, brez pogodbe za tem.

Torej, ko svoje simptome prilepite v svoj račun ChatGPT, HIPAA ne velja in OpenAI ga ne krši. To ni luknja. To je arhitektura zakona.

Kar vas namesto tega ščiti, je pravilnik o zasebnosti OpenAI, ki deluje kot izvršljiva obljuba, plus FTC. Posodobljeno pravilo o obveščanju o zdravstvenih kršitvah iz leta 2024 izrecno zajema zdravstvene aplikacije in podobne tehnologije, ki niso predmet HIPAA. In ta izvrševanje je resnično: FTC je leta 2023 proti GoodRx-u zagotovil civilno globo v višini 1,5 milijona dolarjev za razkritje podatkov o receptih in zdravstvenem stanju Facebooku in Googlu.

Imejte v mislih kontrast. Pogovorni robot za potrošnike vam dolguje pravilnik o zasebnosti. Telezdravstvena aplikacija s pogodbeno zajeto storitvijo vam dolguje HIPAA. Med obiski vam lahko zdravstvena spremljevalna aplikacija, kot je August AI, pomaga zabeležiti simptome in postavljati vprašanja v preprostem jeziku, kot dodatek k negi in ne kot nadomestilo zanjo, in nikoli kot stvar, ki odloča.

Prava težava ni pogovorni robot. Gre za to, kam gredo vaše besede naprej

Ali ChatGPT deli vaše podatke? Mehansko, da, na običajne načine, kot to počnejo izdelki v oblaku. Na potrošniških ravneh privzete nastavitve omogočajo uporabo pogovorov za izboljšanje modelov, njihovo shranjevanje za določeno obdobje in pregledovanje s strani ljudi za varnost in odpravljanje težav. Podizvajalci in ponudniki infrastrukture se dotikajo teh podatkov med izvajanjem storitve, kar je natanko zaporedna veriga, ki jo je namenjena urejati pogodba BAA.

Pošten odgovor na vprašanje, ali ChatGPT deli vaše podatke, je, da je odvisno od vaše ravni, vaših nastavitev in tega, s čim ste ga povezali. To pa pripelje do napake, ki jo vidim najpogosteje: izklop modelnega treninga in preklop na začasni klepet resnično zmanjšata izpostavljenost, in oboje bi morali storiti. To ne ustvarja pravne pokritosti HIPAA. Potrebno, vendar ne zadostno.

Nato je tu še tišja tveganja. Povezovalci omogočajo ChatGPT, da dostopa do Gmaila, Google Drive, skupnega nabiralnika klinike ali orodja, povezanega z EHR, in bere, kaj je tam. Nihče vam ni treba ničesar prilepiti. Povezovalnik, usmerjen v predal sodnih pisem s napotitvami, je razkritje, ki čaka, da se zgodi, in ne bo videti tako v nobenem dnevniku nadzora.

"Izboljšana zasebnost" ChatGPT Health je obljuba izdelka, ne pravna obljuba

Je ChatGPT Health skladen s HIPAA?

Je ChatGPT Health skladen s HIPAA? Ne. Posamezni potrošnik ne more pridobiti pogodbe o poslovnem sodelovanju za ChatGPT Health, ne glede na izbrane nastavitve zasebnosti, ker je BAA pogodba med zavezano entiteto in njenim ponudnikom, pacient, ki uporablja osebni račun, pa ni ne eno ne drugo.

Trditve o izboljšani zasebnosti, izolaciji in šifriranju so izjave o zasnovi izdelka. Lahko opisujejo resnično inženirstvo in imajo še vedno ničelno pravno učinkovitost glede tega, ali HIPAA velja, ker HIPAA temelji na tem, kdo ste in kaj ste podpisali, ne na tem, kako je zgrajen sloj za shranjevanje.

Kar izdelek spremeni za pacienta, je privzeto ravnanje z vašimi podatki, kar je nekaj vredno. Ne ustvarja reguliranega odnosa. Imejte ga ločeno v mislih od različic za klinike in podjetja, lansiranih januarja 2026, ki se prodajajo organizacijam in so edino mesto, kjer se lahko pogaja o pogodbi.

Le podpisana pogodba o poslovnem sodelovanju lahko naredi orodje umetne inteligence skladno

Pogodba o poslovnem sodelovanju ChatGPT je edini pravni mehanizem, ki vključi OpenAI v okvir HIPAA za uporabo vaše organizacije. Vse ostalo je higiena.

BAA podpiše organizacija, ne posamezen klinik, in mora navajati specifičen izdelek in raven, ki se dejansko uporablja. BAA, ki zajema API račun, ne zajema brskalniške tablice, v katero je nekdo prijavljen z osebnim naslovom.

Tukaj je, česar večina strani ne bo povedala: podpisana BAA je spodnja meja, ne ciljna črta. Brez kontrol dostopa na podlagi vlog, nadzornega beleženja, ki ga nekdo dejansko bere, omejitev na minimum potrebnega glede tega, kaj je poslano, in usposabljanja delovne sile, ki to orodje posebej omenja, imate istočasno pogodbo in problem s skladnostjo. Zagotovite si potrditev razpoložljivosti BAA v pisni obliki od OpenAI za vašo natančno SKU, namesto da jo sklepate iz marketinške strani. Linija izdelkov iz leta 2026 je glede na regulativne izraze stara nekaj tednov.

Odstranitev imena pacienta ni deidentifikacija

Odločitev za deidentifikacijo PHI pred uporabo ChatGPT je pravilen instinkt, vendar je merilo standard HHS-ja, ne presojanje. Dve metodi se kvalificirata: Varno pristanišče in formalna določitev s strani strokovnjaka s strani usposobljenega statistika.

Varno pristanišče pomeni odstranitev vseh 18 naštetih kategorij identifikatorjev in dejanskega nepoznavanja, da bi lahko ostalo kar ostane, še vedno identificiralo nekoga. To so imena; geografija, manjša od države; vsi datumi, povezani s posameznikom, vključno z datumi sprejema, odpusta, obiska in rojstva; telefon, faks in e-pošta; socialna varnost, zdravstveni karton, zdravstveni načrt in številke računov; številke potrdil in dovoljenj; identifikatorji vozil in naprav ter serijske številke; URL-ji in IP naslovi; biometrija; fotografije celega obraza; in katera koli druga edinstvena koda.

Tiste, ki jih kliniki pustijo notri, so predvidljive: datumi obiskov, mesto, starosti nad 89 let, MRN v glavi prilepljene opombe, serijska številka naprave, fotografija in neposredni citati iz prostega besedila, ki so dovolj značilni, da sami poimenujejo osebo.

Konkretno, opomba, iz katere je bilo odstranjeno ime, ki še vedno glasi "34-letnik v Bozemanu, obravnavan 3. marca, potrjena redka avtoimunska diagnoza", ni deidentificirani podatek. To so PHI z izbrisanim najlažjim poljem.

Deidentifikacija tudi ni rešitev za vse. Odstrani vprašanje HIPAA. Ne odstrani pravilnika o dovoljeni uporabi vašega delodajalca, vaših pogodbenih določil z ponudniki ali zakonov o zasebnosti posameznih držav, od katerih jih več zajema širše kot HIPAA.

Skladen delovni postopek umetne inteligence v šestih korakih, vključno s primerom, če so PHI že vneseni

Skladen ChatGPT s HIPAA ne obstaja kot nekaj, kar kupite; obstaja vrzel med orodjem in delovnim postopkom, teh šest korakov jo zapre.

1. Odločite, kateri bralec ste. Delovanje v imenu zavezane entitete pomeni, da HIPAA velja za to, kar vnesete. Uporaba vašega računa za vaše zdravje pomeni, da ne.
2. Pisno potrdite, ali BAA pokriva natančen izdelek in raven pred kakršno koli klinično uporabo. Brez BAA, brez PHI, pika.
3. Izklopite modelni trening in uporabite začetni klepet. Povejte na glas, kaj je to: zmanjšanje tveganja, ne skladnost.
4. Preglejte in odklopite povezovalce, ki dostopajo do klinične e-pošte, shranjevanja v oblaku ali česar koli, kar je povezano z EHR, dokler ni vsak od njih pregledan.
5. Deidentificirajte po standardu Varno pristanišče pred prilepitvijo, nato preberite tudi izhod. Modeli ponavljajo specifikacije, ki ste jim jih dali.
6. Če so PHI že vneseni, jih obravnavajte kot možno kršitev. Prenehajte uporabljati nit. Ne brišite je tiho, ker je dokaz. Obvestite svojega pooblaščenega zastopnika za zasebnost ali skladnost isti dan, dokumentirajte, kaj je bilo razkrito in kdaj, in mu dovolite, da izvede oceno tveganja kršitve po pravilu o obveščanju o kršitvah in sprejme odločitev o obveščanju. Ne razrešujte si tega sami.

Če ste pacient in ne klinik, nič od tega ne velja za vas. Ne potrebujete BAA in ne rešitve. Odločite se, kaj ste pripravljeni deliti, izogibajte se identifikatorjem v pozivih, ki jih ne bi objavili javno, in če niste prepričani, kako nujno je nekaj, je brezplačni August AI Symptom Checker razumen prvi korak triaže. Ko potrebujete nego namesto informacij, na primer spletno oceno ADHD, se to zgodi v okviru odnosa s ponudnikom, kjer HIPAA velja od prvega vnosnega obrazca.

Nekaterih simptomov nikoli ne smete najprej vprašati chatbota

Noben nasvet o zasebnosti v tem članku ne sme odložiti nujne oskrbe. Če se odločate med tipkanjem in klicanjem, pokličite.

Pokličite 911 ali pojdite na urgenco zdaj, če:

• Imate bolečine v prsih ali težave z dihanjem.
• Imate nenadno odrevenelost, slabo govorico ali povešenost obraza, kar so znaki možganske kapi.
• Imate hudo krvavitev.
• Imate samomorilne misli. Nehajte tipkati in pokličite 911 ali 988. Klepet z umetno inteligenco vas ne more pregledati ali poslati pomoči.

Naročite se na obisk v naslednjem tednu, če:

• Že več dni triažite iste simptome s chatbotom in se ne izboljšujejo.
• Imate nov izrastek ali nepojasnjeno spremembo teže.
• Chatbot vam nenehno govori, da morate videti zdravnika. To je odgovor, ne nadomestilo.

Pogovorite se s kliničnim strokovnjakom, preden začnete, če:

• Odgovor umetne inteligence vam svetuje, da prenehate jemati predpisano zdravilo, spremenite odmerek ali ignorirate svojo ekipo za nego. Najprej potrdite pri svojem predpisovalcu. Ta orodja dajejo samozavestno napačne zdravstvene napotke in to počnejo v enakem tonu, kot ko imajo prav.

Za srednji nivo, Augustov obisk urgentne oskrbe na spletu za 39 $ vas poveže z licenciranim ameriškim kliničnim strokovnjakom, ki lahko oceni simptome in predpiše zdravila, ko to presodi za primerno. Odloči klinični strokovnjak. Video obisk vas ne more osebno pregledati, na mestu naročiti slikanje ali obvladovati nujnega primera, zato vse v prvem nivoju spada na urgenco.

Pogosto zastavljena vprašanja

Ali je lahko klinika kaznovana, če zaposleni prilepi podatke pacienta v ChatGPT?

Da. Odgovornost se nanaša na organizacijo, ne na posameznika. V skladu z prilagoditvijo inflacije z dne 28. januarja 2026, globe za kršitve HIPAA segajo od minimalne stopnje 1 145 USD na kršitev do minimalne stopnje 4 73.011 USD na kršitev, z letnim zgornjim limitom 2.190.294 USD na kategorijo kršitev. Vsak zapis se lahko šteje posebej, kar pomeni, da majhni incidenti postanejo velike številke.

Ali sta Microsoft Copilot, Google Gemini ali Claude namesto tega skladna s HIPAA?

Običajno ne, in pošten odgovor je načelo, ne uvrščanje ponudnikov. Skladnost sledi pogodbi, ne modelu. Noben potrošniški pogovorni robot katerega koli ponudnika se ne prodaja pod BAA, prav tako ChatGPT v svojih potrošniških ravneh ni skladen s HIPAA. Če vam ponudnik pove, da je njegova poslovna ali spletna ponudba lahko pokrita, to zahtevajte v pisni obliki z navedbo vašega natančnega izdelka.

Ali lahko vložim pritožbo HIPAA proti OpenAI?

Običajno ne. Urad za državljanske pravice HHS sprejema pritožbe zoper zavezane entitete in njihove poslovne sodelavce. Brez BAA, OpenAI ni ne eno ne drugo, zato OCR nima pristojnosti nad vašimi osebnimi klepeti. FTC je pravi organ za potrošniško pritožbo glede zdravstvenega orodja, ki ni predmet HIPAA, v skladu z zakonom FTC in pravilom o obveščanju o zdravstvenih kršitvah.

Če izbrišem pogovor ChatGPT, ali so zdravstveni podatki izginili?

Ne. Brisanje odstrani nit iz vašega pogleda in sproži časovnik za hrambo; kopije se lahko ohranijo v varnostnih kopijah, varnostnih sistemih in dnevnikih podizvajalcev za določeno obdobje. Še pomembneje za kliniko, brisanje ne razveljavi razkritja, ki se je že zgodilo. Če so bili PHI vneseni, obveznost skladnosti obstaja ne glede na to, in brisanje niti uniči dokaze, ki jih potrebuje vaš pooblaščeni zastopnik za zasebnost.

Ali lahko moj delodajalec vidi zdravstvena vprašanja, ki sem jih vnesel v delovni račun ChatGPT?

Da, potencialno. Na delovnih načrtih organizacija lasti račun, določa hrambo in ima lahko skrbniški dostop do podatkov pogovorov. Predvidevajte, da je vse, kar vnesete v delovni račun, vidno vašemu delodajalcu, enako kot delovna e-pošta. Osebna zdravstvena vprašanja pripadajo osebnemu računu na osebni napravi, v vašem prostem času.

Ali karkoli, kar vprašam ChatGPT o svojem zdravju, konča v moji zdravstveni kartoteki ali doseže mojega zavarovalca?

Ne. Potrošniški pogovorni robot nima povezave z EHR vašega klinika ali vašim zdravstvenim načrtom, in vaši klepeti ne tečejo v nobenega od njiju. Izjeme so tiste, ki jih ustvarite sami: povezovanje orodja z računi, ki hranijo vaše zapise, ali prilepljanje izhoda v sporočilo portala za paciente. Oglaševalske in podatkovne prakse so ločena skrb, ki jo ureja pravilnik o zasebnosti.

Je kršitev HIPAA, če uporabim ChatGPT za pripravo pisma pacienta?

Včasih, in delilna črta so identifikatorji. Prošnja za predlogo splošnega pisma za pritožbo brez podatkov o pacientu ni razkritje PHI, čeprav lahko pravilnik vašega delodajalca to še vedno prepoveduje. Prilepljanje imena, datuma rojstva, datuma obiska ali diagnoze ga naredi za razkritje ponudniku brez BAA, kar je kršitev.

Zaključek

Je ChatGPT skladen s HIPAA? Ne, in ta odgovor se ne bo spremenil zaradi nastavitve, ki jo vklopite. Spremeni se le, ko organizacija podpiše BAA, ki imenuje specifičen izdelek, in nato okoli njega zgradi nadzor dostopa, beleženje in usposabljanje. Če ste klinik, je zaporedje preprosto: brez pogodbe, brez PHI, in pri uporabi deidentificirajte po standardu Varno pristanišče. Če ste pacient, je bilo vprašanje usmerjeno k napačnemu zakonu. HIPAA omejuje vaše ponudnike in njihove ponudnike. Vaša zaščita izhaja iz pravilnika o zasebnosti, s katerim ste se strinjali, FTC za njim, in vašega lastnega presojanja o tem, kaj vnašati.

Izjava o omejitvi odgovornosti: Ta članek je samo v informativne namene in ne predstavlja zdravniškega nasveta. Vedno se posvetujte s usposobljenim zdravstvenim delavcem za odločitve o diagnozi in zdravljenju. Če doživljate nujno zdravstveno stanje, takoj pokličite 911 ali pojdite na najbližjo urgentno sobo.