Da li je ChatGPT usklađen sa HIPAA-om? Šta to znači za pacijente i klinike

Ne. Da li je ChatGPT usklađen sa HIPAA-om na bilo kom planu koji možete kupiti danas? Nije, jer OpenAI ne potpisuje sporazum o poslovnom saradniku za svoje potrošačke nivoe. HIPAA reguliše organizacije i ugovore, a ne modele. A ako unesete sopstvene zdravstvene informacije u svoj nalog, HIPAA se nikada nije primenjivala.

TL;DR: Ključne tačke

• Ne postoji ChatGPT usklađen sa HIPAA-om na potrošačkom tržištu. Free, Plus and Go, Team i Enterprise se ne prodaju sa sporazumom o poslovnom saradniku (BAA).
• HIPAA obavezuje zdravstvene planove, klirinške kuće, provajdere i njihove ugovorene dobavljače. Ne obavezuje vas, koji unosite sopstvene simptome u svoj nalog.
• Ono što umesto toga štiti potrošače je politika privatnosti dobavljača i Federalna komisija za trgovinu, koja je već kaznila zdravstvenu platformu sa 1,5 miliona dolara.
• Isključivanje obuke modela i korišćenje privremenog ćaskanja smanjuje izloženost. To ne stvara zakonsku pokrivenost.
• Ako su zaštićene zdravstvene informacije (PHI) već unete u redovni ChatGPT, tretirajte to kao potencijalno kršenje i obavestite svog službenika za privatnost istog dana.

Da li je ChatGPT usklađen sa HIPAA-om? Ni u jednoj verziji za koju se možete prijaviti danas

Da li je ChatGPT usklađen sa HIPAA-om? Ne. U trenutku pisanja ovog teksta, OpenAI ne nudi sporazum o poslovnom saradniku na svojim potrošačkim planovima (Free, Plus and Go, Team ili Enterprise), a bez tog potpisanog ugovora nijedan proizvod ne može biti pokriven. Nijedan AI model sam po sebi nije usklađen sa HIPAA-om: HIPAA reguliše organizacije i ugovore, tako da usklađenost zavisi od potpisanog BAA-a plus načina na koji je proizvod konfigurisan, ograničen i logovan.

Jedini put kada je BAA uopšte na stolu je linija proizvoda specifičnih za zdravstvo koju je OpenAI lansirao u januaru 2026. Ta linija je nova, njeni uslovi su najnestabilnija činjenica na ovoj stranici, i trebalo bi da potvrdite dostupnost za svoj proizvod i nivo pre nego što se oslonite na nju.

Sada preformulisajmo ono što je važnije od presude: za većinu ljudi koji unose podatke u svoj nalog, HIPAA nikada nije bio zakon u igri.

HIPAA obavezuje vašu kliniku i njene dobavljače, ne vas i vašu tastaturu

Zakon obuhvata tačno dve grupe, obe definisane na 45 CFR §160.103: obuhvaćene entitete (zdravstveni planovi, klirinške kuće zdravstvene zaštite i provajderi koji elektronski prenose zdravstvene informacije za standardne transakcije) i poslovne saradnike, što znači bilo koga ko kreira, prima, održava ili prenosi PHI dok obavlja funkciju u ime obuhvaćenog entiteta. Ta fraza nosi svu težinu. Kompanija koja slučajno primi tekst u vezi sa zdravljem od člana javnosti nije poslovni saradnik.

HHS je već ovo razradio za aplikacije. Njegovo uputstvo o scenarijima korišćenja zdravstvenih aplikacija ne nalazi poslovni odnos kada osoba popunjava aplikaciju sopstvenim podacima na sopstvenu inicijativu, bez ikakvog ugovora iza toga.

Dakle, kada zalepite sopstvene simptome u svoj nalog za ChatGPT, HIPAA se ne primenjuje, a OpenAI ga ne krši. To nije rupa u zakonu. To je arhitektura zakona.

Ono što vas umesto toga štiti je politika privatnosti OpenAI-ja, koja funkcioniše kao primenljiv obećanje, plus FTC. Amdndirana pravila o obaveštavanju o zdravstvenim kršenjima iz 2024. godine izričito pokrivaju zdravstvene aplikacije i slične tehnologije koje nisu podložne HIPAA-i. A ta primena je stvarna: FTC je u 2023. godini obezbedio građansku novčanu kaznu od 1,5 miliona dolara protiv GoodRx-a zbog objavljivanja podataka o receptima i zdravstvenim stanjima Fejsbuku i Guglu.

Zadržite kontrast u mislima. Potrošački četbot vam duguje politiku privatnosti. Telehealth aplikacija koja je ugovorno pokrivena duguje vam HIPAA. Između poseta, aplikacija za zdravstvenog saputnika kao što je August AI vam može pomoći da zabeležite simptome i postavite pitanja jednostavnim jezikom, kao dodatak nezi, a ne kao zamenu za nju, i nikada kao stvar koja donosi odluke.

Pravi problem nije četbot. To je gde vaše reči idu dalje

Da li ChatGPT deli vaše podatke? Mehanički, da, na uobičajene načine na koje to čini cloud proizvod. Na potrošačkim nivoima podrazumevane postavke omogućavaju da se razgovori koriste za poboljšanje modela, zadržavaju se određeni period i pregledaju od strane ljudi radi sigurnosti i rešavanja problema. Podizvođači i dobavljači infrastrukture dotiču te podatke prilikom pokretanja usluge, što je upravo lanac nizvodno koji BAA-a treba da reguliše.

Iskren odgovor na pitanje da li ChatGPT deli vaše podatke je da to zavisi od vašeg nivoa, vaših postavki i od toga na šta ste ga povezali. Što dovodi do greške koju najčešće viđam: isključivanje obuke modela i prebacivanje na privremeno ćaskanje istinski smanjuje izloženost, i trebalo bi da uradite oboje. To ne stvara HIPAA pokriće. Neophodno, ali ne i dovoljno.

Zatim tu je i tiši rizik. Konektori omogućavaju ChatGPT-u da prodre u Gmail, Google Drive, deljeni inbox klinike ili alat povezan sa EHR-om i pročita šta se tamo nalazi. Niko ne mora ništa da zalepi. Konektor usmeren na poštansko sanduče puno referentnih pisama je objavljivanje koje čeka da se dogodi, i to se neće pojaviti ni u jednom dnevniku revizije.

"Pojačana privatnost" ChatGPT Health-a je obećanje proizvoda, a ne zakonsko

Da li je ChatGPT Health usklađen sa HIPAA-om?

Da li je ChatGPT Health usklađen sa HIPAA-om? Ne. Pojedinačni potrošač ne može dobiti sporazum o poslovnom saradniku na ChatGPT Health bez obzira koje postavke privatnosti odabere, jer je BAA ugovor između obuhvaćenog entiteta i njegovog dobavljača, a pacijent koji koristi lični nalog nije ni jedno ni drugo.

Tvrdnje o pojačanoj privatnosti, izolaciji i enkripciji su tvrdnje o dizajnu proizvoda. One mogu opisati istinsko inženjerstvo i i dalje imati nulti pravni efekat na to da li se HIPAA primenjuje, jer HIPAA zavisi od toga ko ste i šta ste potpisali, a ne od toga kako je izgrađen sloj za skladištenje.

Ono što proizvod menja za pacijenta je podrazumevano rukovanje vašim sopstvenim podacima, što vredi. To ne stvara regulisani odnos. Zadržite to odvojeno u svom umu od izdanja za lekare i preduzeća u zdravstvu lansiranih u januaru 2026. godine, koja se prodaju organizacijama i predstavljaju jedino mesto gde se ugovor uopšte može raspravljati.

Samo potpisani sporazum o poslovnom saradniku može učiniti AI alat usklađenim

Sporazum o poslovnom saradniku za ChatGPT je jedini pravni mehanizam koji uvodi OpenAI u HIPAA za korišćenje vaše organizacije. Sve ostalo je higijena.

BAA potpisuje organizacija, a ne pojedinačni lekar, i mora navesti specifičan proizvod i nivo koji se zapravo koristi. BAA koji pokriva API nalog ne pokriva karticu pregledača u koju se neko prijavio sa ličnom adresom.

Evo šta većina stranica neće reći: potpisani BAA je pod, a ne ciljna linija. Bez kontrole pristupa zasnovane na ulogama, logovanja revizije koje neko zaista čita, ograničenja najmanje neophodnosti na ono što se šalje, i obuke radne snage koja imenuje ovaj alat specifično, imate ugovor i problem sa usklađenošću istovremeno. Dobijte dostupnost BAA-a pismeno od OpenAI-ja za vaš tačan SKU umesto da ga izvodite iz marketinške stranice. Linija iz 2026. stara je nekoliko nedelja u regulatornom smislu.

Uklanjanje imena pacijenta nije deidentifikacija

Odluka o deidentifikaciji PHI pre korišćenja ChatGPT-a je pravi instinkt, ali je standard HHS-a, a ne procena, ono što je bar. Dva metoda se kvalifikuju: Safe Harbor i formalna Ekspertska Presuda od strane kvalifikovanog statističara.

Safe Harbor znači uklanjanje svih 18 nabrojanih kategorija identifikatora i nemanje stvarne spoznaje da ono što ostane može identifikovati nekoga. To su imena; geografija manja od države; svi datumi vezani za pojedinca, uključujući datume prijema, otpusta, posete i rođenja; telefon, faks i mejl; socijalni broj, broj medicinskog kartona, broj zdravstvenog plana i broj računa; brojevi sertifikata i licenci; identifikatori i serijski brojevi vozila i uređaja; URL-ovi i IP adrese; biometrija; fotografije celog lica; i bilo koji drugi jedinstveni kod.

Oni koje lekari ostave su predvidljivi: datumi poseta, grad, uzrast preko 89 godina, MRN koji se nalazi u zaglavlju zalepljene beleške, serijski broj uređaja, fotografija i doslovni citati u slobodnom tekstu koji su dovoljno prepoznatljivi da sami nazovu osobu.

Konkretno, beleška bez imena koja i dalje glasi "34-godišnjak u Bozemenu, viđen 3. marta, potvrđena retka autoimuna dijagnoza" nije deidentifikovan podatak. To je PHI sa izbrisanim najlakšim poljem.

Deidentifikacija takođe nije univerzalno rešenje. Ona uklanja pitanje HIPAA-e. Ne uklanja politiku prihvatljive upotrebe vašeg poslodavca, vaše ugovore sa dobavljačima, ili državni zakon o privatnosti, od kojih nekoliko obuhvata više od HIPAA-e.

Usklađen radni tok AI u šest koraka, uključujući i ako je PHI već unet

HIPAA usklađen ChatGPT ne postoji kao nešto što kupujete; ono što postoji je jaz između alata i radnog toka, i ovih šest koraka ga zatvara.

1. Odlučite koji ste čitač. Delovanje u ime obuhvaćenog entiteta znači da se HIPAA primenjuje na ono što unosite. Korišćenje vašeg ličnog naloga za vaše zdravlje znači da se ne primenjuje.
2. Potvrdite pismeno da li BAA pokriva tačan proizvod i nivo pre bilo kakve kliničke upotrebe. Bez BAA-a, nema PHI-ja, tačka.
3. Isključite obuku modela i koristite privremeno ćaskanje. Glasno recite šta je ovo: smanjenje rizika, ne usklađenost.
4. Revidirajte i isključite konektore koji dopiru do kliničke elektronske pošte, cloud skladišta ili bilo čega što je povezano sa EHR-om, dok se svaki od njih ne pregleda.
5. Deidentifikujte prema Safe Harbor standardu pre lepljenja, a zatim pročitajte i izlaz. Modeli ponavljaju specifičnosti koje ste im dali.
6. Ako je PHI već unet, tretirajte ga kao potencijalno kršenje. Prestanite da koristite nit. Nemojte ga tiho brisati, jer je to dokaz. Obavestite svog službenika za privatnost ili usklađenost istog dana, dokumentujte šta je otkriveno i kada, i prepustite im procenu rizika prema pravilima o obaveštavanju o kršenju i donošenje odluke o obaveštavanju. Nemojte se sami oslobađati toga.

Ako ste pacijent, a ne lekar, ništa od ovoga se ne primenjuje na vas. Ne treba vam BAA ni rešenje. Odlučite šta ste udobni da delite, držite identifikatore izvan upita koje ne biste objavili javno, i ako niste sigurni koliko je nešto hitno, besplatni August AI Symptom Checker je razuman prvi korak trijaže. Kada vam je potrebna nega, a ne informacije, na primer online ADHD evaluacija, to se dešava u okviru odnosa sa provajderom gde se HIPAA primenjuje od prvog obrasca za unos.

Neki simptomi nikada ne bi trebalo prvo da idu kod četbota

Ništa u savetima o privatnosti u ovom članku ne bi trebalo da odloži hitnu negu. Ako se dvoumite između kucanja i poziva, pozovite.

Pozovite 911 ili idite u hitnu pomoć odmah ako:

• Imate bol u grudima ili probleme sa disanjem.
• Imate iznenadnu utrnulost, nejasan govor ili spuštenost lica, što su znaci moždanog udara.
• Imate jako krvarenje.
• Imate samoubilačke misli. Prestanite da kucate i pozovite 911 ili 988. AI ćaskanje vas ne može pregledati niti poslati pomoć.

Zakažite posetu u roku od nedelju dana ako:

• Dani unosite trijažu istog simptoma sa četbotom i ne poboljšava se.
• Imate novu kvrgu ili neobjašnjivu promenu težine.
• Četbot vam stalno govori da posetite lekara. To je odgovor, ne zamena.

Razgovarajte sa lekarom pre nego što počnete ako:

• Odgovor veštačke inteligencije vam kaže da prestanete sa propisanim lekom, promenite dozu ili zanemarite svoj tim za negu. Prvo proverite sa svojim lekarom. Ovi alati daju samouvereno pogrešne medicinske savete, i to čine istim tonom kojim govore kada su u pravu.

Za srednji nivo, August-ova poseta online hitnoj pomoći od 39 dolara vas povezuje sa lekarom sa licencom u SAD koji može proceniti simptome i propisati lek kada to smatraju prikladnim. Lekar odlučuje. Video poseta ne može vas pregledati lično, odmah naručiti snimanje, ili upravljati hitnim slučajem, tako da sve u prvom nivou pripada hitnoj pomoći.

Često postavljana pitanja

Da li klinika može biti kažnjena ako zaposleni unese podatke pacijenta u ChatGPT?

Da. Odgovornost snosi organizacija, a ne pojedinac. Prema usklađivanju sa inflacijom od 28. januara 2026. godine, novčane kazne za HIPAA kreću se od minimalne od 145 dolara po prekršaju u Rangu 1 do minimalne od 73.011 dolara po prekršaju u Rangu 4, sa godišnjim ograničenjem od 2.190.294 dolara po kategoriji prekršaja. Svaki zapis se može računati odvojeno, što je način na koji mali incidenti postaju veliki brojevi.

Da li su Microsoft Copilot, Google Gemini ili Claude umesto toga usklađeni sa HIPAA-om?

Obično ne, a iskren odgovor je princip, a ne rangiranje dobavljača. Usklađenost prati ugovor, a ne model. Nijedan potrošački četbot od bilo kog dobavljača ne prodaje se pod BAA-om, niti je ChatGPT usklađen sa HIPAA-om u svojim potrošačkim nivoima. Ako vam dobavljač kaže da njegova ponuda za preduzeća ili cloud može biti pokrivena, dobijte to pismeno navodeći vaš tačan proizvod.

Mogu li da podnesem HIPAA pritužbu protiv OpenAI-ja?

Obično ne. Kancelarija za građanska prava HHS-a preuzima pritužbe o obuhvaćenim entitetima i njihovim poslovnim saradnicima. Bez BAA-a, OpenAI nije ni jedno ni drugo, tako da OCR nema jurisdikciju nad vašim ličnim razgovorima. FTC je pravo mesto za pritužbu potrošača na zdravstveni alat koji nije pod HIPAA-om, u skladu sa Zakonom o FTC-u i Pravilom o obaveštavanju o zdravstvenim kršenjima.

Ako izbrišem ChatGPT razgovor, da li su zdravstveni podaci nestali?

Ne. Brisanje uklanja nit iz vašeg prikaza i pokreće sat za zadržavanje; kopije mogu ostati u rezervnim kopijama, sistemima za sigurnost i logovima podizvođača na određeni period. Važnije za kliniku, brisanje ne poništava već nastalo objavljivanje. Ako je PHI unet, obaveza usklađenosti postoji bez obzira, a brisanje niti uništava dokaz koji je potreban vašem službeniku za privatnost.

Da li moj poslodavac može videti zdravstvena pitanja koja sam uneo u radni ChatGPT nalog?

Da, potencijalno. Na planovima za radne prostorije, organizacija poseduje nalog, postavlja zadržavanje i može imati administratorski pristup podacima o razgovorima. Pretpostavite da je sve što unesete u radni nalog vidljivo vašem poslodavcu, isto kao i radni mejl. Lična zdravstvena pitanja pripadaju ličnom nalogu na ličnom uređaju, u vaše slobodno vreme.

Da li sve što pitam ChatGPT o svom zdravlju završava u mom medicinskom kartonu ili dopire do mog osiguravača?

Ne. Potrošački četbot nema vezu sa EHR-om vašeg lekara ili vašim zdravstvenim planom, i vaši razgovori ne prelaze ni u jedan od njih. Izuzeci su oni koje sami kreirate: povezivanje alata sa nalozima koji sadrže vaše zapise, ili lepljenje njegovog izlaza u poruku na pacijentskom portalu. Praksa oglašavanja i deljenja podataka je zasebno pitanje kojim se bavi politika privatnosti.

Da li je kršenje HIPAA-e korišćenje ChatGPT-a za sastavljanje pisma pacijentu?

Ponekad, a granična linija su identifikatori. Traženje generičkog predloška žalbenog pisma bez detalja o pacijentu nije otkrivanje PHI-ja, mada politika vašeg poslodavca to i dalje može zabraniti. Lepljenje imena, datuma rođenja, datuma posete ili dijagnoze čini ga objavljivanjem dobavljaču bez BAA-a, što je kršenje.

Zaključak

Da li je ChatGPT usklađen sa HIPAA-om? Ne, i taj odgovor se neće promeniti zbog podešavanja koje uključite. Menja se samo kada organizacija potpiše BAA koji imenuje specifičan proizvod i zatim izgradi kontrolu pristupa, logovanje i obuku oko njega. Ako ste lekar, redosled je jednostavan: bez ugovora, bez PHI-ja, i deidentifikujte prema Safe Harbor standardu kada ga koristite. Ako ste pacijent, pitanje je bilo usmereno na pogrešan zakon. HIPAA ograničava vaše provajdere i njihove dobavljače. Vaša zaštita dolazi od politike privatnosti na koju ste pristali, FTC-a iza nje, i vaše sopstvene procene o tome šta unosite.

Odricanje od odgovornosti: Ovaj članak je samo u informativne svrhe i ne predstavlja medicinski savet. Uvek se posavetujte sa kvalifikovanim zdravstvenim radnikom za odluke o dijagnozi i lečenju. Ako doživljavate hitan medicinski slučaj, pozovite 911 ili odmah idite u najbližu hitnu pomoć.