Är ChatGPT HIPAA-kompatibel? Vad det innebär för patienter och kliniker

Nej. Är ChatGPT HIPAA-kompatibel på någon plan du kan köpa idag? Det är det inte, eftersom OpenAI inte undertecknar ett avtal för affärspartners för sina konsumentnivåer. HIPAA reglerar organisationer och kontrakt, inte modeller. Och om du skriver in din egen hälsoinformation i ditt eget konto, har HIPAA aldrig gällt.

TL;DR: Viktiga slutsatser

• Det finns ingen HIPAA-kompatibel ChatGPT för konsumenter. Gratis, Plus och Go, Team och Enterprise säljs inte med ett avtal för affärspartners (BAA).
• HIPAA binder hälsoförsäkringar, clearinghus, leverantörer och deras avtalade leverantörer. Det binder inte dig, som skriver in dina egna symtom i ditt eget konto.
• Det som skyddar konsumenter istället är leverantörens integritetspolicy och Federal Trade Commission, som redan har bötfällt en hälsoplattform med 1,5 miljoner dollar.
• Att stänga av modellträning och använda tillfällig chatt minskar exponeringen. Det skapar inte juridiskt skydd.
• Om skyddad hälsoinformation (PHI) redan har angetts i vanlig ChatGPT, behandla det som ett potentiellt dataintrång och meddela din integritetsofficer samma dag.

Är ChatGPT HIPAA-kompatibel? Inte i någon version du kan registrera dig för idag

Är ChatGPT HIPAA-kompatibel? Nej. I skrivande stund erbjuder OpenAI inte ett avtal för affärspartners på sina konsumentplaner (Gratis, Plus och Go, Team eller Enterprise), och utan det undertecknade kontraktet kan ingen produkt täckas. Ingen AI-modell är HIPAA-kompatibel i sig: HIPAA reglerar organisationer och kontrakt, så efterlevnad beror på ett undertecknat BAA plus hur produkten är konfigurerad, begränsad och loggad.

Den enda vägen där en BAA ens är aktuell är den sjukvårdsspecifika produktlinjen som OpenAI lanserade i januari 2026. Den produktlinjen är ny, dess villkor är det mest volatila faktum på den här sidan, och du bör verifiera tillgängligheten för din egen produkt och nivå innan du förlitar dig på den.

Nu kommer omformningen som betyder mer än domen: för de flesta som skriver in i sitt eget konto, var HIPAA aldrig den tillämpliga lagen.

HIPAA binder din klinik och dess leverantörer, inte dig och ditt tangentbord

Lagen når exakt två grupper, båda definierade i 45 CFR §160.103: berörda enheter (hälsoförsäkringar, clearinghus för hälso- och sjukvård samt leverantörer som överför hälsoinformation elektroniskt för standardtransaktioner) och affärspartners, vilket innebär alla som skapar, tar emot, underhåller eller överför PHI när de utför en funktion på uppdrag av en berörd enhet. Den frasen bär hela tyngden. Ett företag som råkar ta emot hälsorelaterad text från allmänheten är inte en affärspartner.

HHS har redan utrett detta för appar. Dess vägledning för hälsosapplikationsscenarier finner ingen affärspartnerskapsrelation när en person fyller en app med sina egna data på eget initiativ, utan något kontrakt bakom det.

Så när du klistrar in dina egna symtom i ditt eget ChatGPT-konto, gäller inte HIPAA, och OpenAI bryter inte mot det. Det är inte ett kryphål. Det är lagstiftningens arkitektur.

Vad som skyddar dig istället är OpenAI:s integritetspolicy, som fungerar som ett verkställbart löfte, plus FTC. Den reviderade Health Breach Notification Rule från 2024 täcker uttryckligen hälsosappar och liknande tekniker som inte omfattas av HIPAA. Och den tillsynen är verklig: FTC säkrade en civilrättslig påföljd på 1,5 miljoner dollar mot GoodRx 2023 för att ha lämnat ut recept- och hälsotillståndsdata till Facebook och Google.

Håll kontrasten i huvudet. En konsumentchattbot är skyldig dig en integritetspolicy. En telehealth-app som är kontraktsmässigt täckt är skyldig dig HIPAA. Mellan besöken kan en hälsokompanjonsapp som August AI hjälpa dig att logga symtom och ställa frågor på vanligt språk, som ett komplement till vård snarare än en ersättning för den, och aldrig som det som bestämmer.

Det verkliga problemet är inte chattboten. Det är vart dina ord tar vägen härnäst

Delar ChatGPT dina data? Mekaniskt sett ja, på de vanliga sätten som en molnprodukt gör. På konsumentnivå tillåter standardinställningarna att konversationer används för att förbättra modeller, sparas under en period och granskas av människor för säkerhet och felsökning. Underleverantörer och infrastrukturleverantörer vidrör dessa data när de kör tjänsten, vilket är precis den nedströmskedja som ett BAA är skrivet för att styra.

Det ärliga svaret på frågan om ChatGPT delar dina data är att det beror på din nivå, dina inställningar och vad du anslutit den till. Vilket leder till det fel jag ser oftast: att stänga av modellträning och byta till tillfällig chatt minskar verkligen exponeringen, och du bör göra båda. Det skapar inte HIPAA-täckning. Nödvändigt, men inte tillräckligt.

Sedan finns det den tystare risken. Anslutningar låter ChatGPT nå in i Gmail, Google Drive, en delad klinikinkorg eller ett verktyg kopplat till EHR och läsa vad som finns där. Ingen behöver klistra in något. En anslutning riktad mot en brevlåda full av remissbrev är en upplysning som väntar på att hända, och det kommer inte att synas i någons revisionslogg.

ChatGPT Healths "förbättrade integritet" är ett produktlöfte, inte ett juridiskt

Är ChatGPT Health HIPAA-kompatibel?

Är ChatGPT Health HIPAA-kompatibel? Nej. En enskild konsument kan inte erhålla ett avtal för affärspartners för ChatGPT Health oavsett vilka integritetsinställningar de väljer, eftersom ett BAA är ett kontrakt mellan en berörd enhet och dess leverantör, och en patient som använder ett personligt konto är varken det ena eller det andra.

Påståenden om förbättrad integritet, isolering och kryptering är produktutformningsuttalanden. De kan beskriva verklig ingenjörskonst och ändå ha noll juridisk effekt på om HIPAA gäller, eftersom HIPAA handlar om vem du är och vad du har undertecknat, inte hur lagringslagret är byggt.

Vad produkten förändrar för en patient är standardhanteringen av dina egna data, vilket är värt något. Det skapar inte ett reglerat förhållande. Håll det separat i ditt sinne från klinik- och företagshälsoversionerna som lanserades i januari 2026, som säljs till organisationer och är det enda stället där ett kontrakt ens kan diskuteras.

Endast ett undertecknat avtal för affärspartners kan göra ett AI-verktyg kompatibelt

Ett avtal för affärspartners för ChatGPT är den enda juridiska mekanismen som drar in OpenAI inom HIPAA för din organisations användning. Allt annat är hygien.

BAA undertecknas av organisationen, inte av en enskild kliniker, och det måste namnge den specifika produkten och nivån som faktiskt används. Ett BAA som täcker ett API-konto täcker inte webbläsarfliken som någon loggat in på med en personlig adress.

Här är vad de flesta sidor inte kommer att berätta för dig: ett undertecknat BAA är ett golv, inte en mållinje. Utan rollbaserad åtkomstkontroll, revisionsloggning som någon faktiskt läser, minimala nödvändiga begränsningar för vad som skickas, och personalutbildning som specifikt namnger detta verktyg, har du ett kontrakt och ett efterlevnadsproblem samtidigt. Få BAA-tillgänglighet bekräftad skriftligen av OpenAI för din exakta SKU snarare än att härleda den från en marknadsföringssida. Produktlinjen från 2026 är bara veckor gammal i regulatoriska termer.

Att ta bort patientens namn är inte avidentifiering

Att besluta sig för att avidentifiera PHI innan man använder ChatGPT är den rätta instinkten, men tröskeln är en HHS-standard, inte en bedömningsfråga. Två metoder kvalificerar: Safe Harbor, och formell expertbedömning av en kvalificerad statistiker.

Safe Harbor innebär att ta bort alla 18 uppräknade identifierarkategorier och inte ha någon faktisk kunskap om att det som återstår kan identifiera någon. Det är namn; geografi mindre än en stat; alla datum kopplade till individen, inklusive inläggnings-, utskrivnings-, besöks- och födelsedatum; telefon, fax och e-post; personnummer, journalnummer, hälsoplan- och kontonummer; certifikat- och licensnummer; fordons- och enhetsidentifierare och serienummer; URL:er och IP-adresser; biometriska data; helansiktsfoton; och alla andra unika koder.

De som kliniker lämnar kvar är förutsägbara: besöksdatum, staden, åldrar över 89, MRN i sidhuvudet på den inklistrade noten, ett serienummer på enheten, ett foto och verbatim citat i fritext som är tillräckligt distinkta för att namnge personen i sig.

Konkret sett är en anteckning som strippats från namnet men som fortfarande lyder "34-årig i Bozeman, besökt 3 mars, bekräftad sällsynt autoimmun diagnos" inte avidentifierad data. Det är PHI med det enklaste fältet borttaget.

Avidentifiering är inte heller en universallösning. Det tar bort HIPAA-frågan. Det tar inte bort din arbetsgivares policy för acceptabel användning, dina leverantörsavtal eller delstatliga integritetslagar, varav flera sveper bredare än HIPAA.

En HIPAA-kompatibel AI-arbetsflöde i sex steg, inklusive om PHI redan har gått in

En HIPAA-kompatibel ChatGPT finns inte som något du köper; det som finns är gapet mellan ett verktyg och ett arbetsflöde, och dessa sex steg stänger det.

1. Bestäm vilken läsare du är. Att agera för en berörd enhet innebär att HIPAA gäller för det du skriver. Att använda ditt eget konto för din egen hälsa innebär att det inte gör det.
2. Bekräfta skriftligen om ett BAA täcker den exakta produkten och nivån före någon klinisk användning. Inget BAA innebär ingen PHI, punkt slut.
3. Stäng av modellträning och använd tillfällig chatt. Säg högt vad detta är: riskminskning, inte efterlevnad.
4. Granska och koppla bort anslutningar som når klinisk e-post, molnlagring eller något som är kopplat till EHR, tills var och en har granskats.
5. Avidentifiera enligt Safe Harbor-standarden innan du klistrar in, läs sedan även utdata. Modeller upprepar detaljerna du matade dem med.
6. Om PHI redan har gått in, behandla det som ett potentiellt dataintrång. Sluta använda tråden. Radera den inte i hemlighet, eftersom den är bevis. Meddela din integritets- eller efterlevnadsofficer samma dag, dokumentera vad som avslöjades och när, och låt dem genomföra riskbedömningen för Breach Notification Rule och fatta beslut om anmälan. Rensa det inte själv.

Om du är en patient snarare än en kliniker, gäller inget av detta för dig. Du behöver inget BAA och ingen lösning. Bestäm vad du är bekväm med att dela, håll identifierare borta från prompter som du inte skulle lägga upp offentligt, och om du är osäker på hur brådskande något är, är den kostnadsfria August AI Symptom Checker ett rimligt första triagesteg. När det du behöver är vård snarare än information, till exempel en online ADHD-utvärdering, sker det inom en leverantörsrelation där HIPAA gäller från det första intagsformuläret.

Vissa symtom bör aldrig gå till en chattbot först

Ingen av integritetsrådena i den här artikeln bör försena akutvård. Om du väljer mellan att skriva och ringa, ring.

Ring 112 eller gå till en akutmottagning nu om:

• Du har bröstsmärta eller andningssvårigheter.
• Du har plötslig domningar, sluddrigt tal eller ansiktsförlamning, vilket är tecken på stroke.
• Du har allvarliga blödningar.
• Du har självmordstankar. Sluta skriva och ring 112 eller 988. AI-chatt kan inte undersöka dig eller skicka hjälp.

Boka ett besök inom nästa vecka om:

• Du har triagerat samma symtom med en chattbot i dagar och det inte förbättras.
• Du har en ny knöl eller en oförklarlig viktförändring.
• Chattboten fortsätter att säga åt dig att söka läkare. Det är svaret, inte en platshållare.

Prata med en kliniker innan du börjar om:

• Ett AI-svar säger åt dig att sluta med ett föreskrivet läkemedel, ändra dos eller ignorera ditt vårdteam. Bekräfta med din förskrivare först. Dessa verktyg ger självsäkert felaktig medicinsk vägledning, och de gör det med samma ton som när de har rätt.

För mellansegmentet, Augusts onlineakutvårdsbesök för 39 dollar kopplar dig till en amerikansk licensierad kliniker som kan utvärdera symtom och skriva ut recept när de bedömer det som lämpligt. Klinikern bestämmer. Ett videobesök kan inte undersöka dig personligen, beställa röntgen på plats eller hantera en nödsituation, så allt i det första segmentet hör hemma på en akutmottagning.

Vanliga frågor

Kan en klinik bötfällas om en anställd klistrar in patientinformation i ChatGPT?

Ja. Ansvar knyts till organisationen, inte individen. Enligt inflationsjusteringen den 28 januari 2026, löper HIPAA-civilrättsliga böter från en Tier 1-minimum på 145 dollar per överträdelse till en Tier 4-minimum på 73 011 dollar per överträdelse, med en årlig takgräns på 2 190 294 dollar per överträdelsekategori. Varje register kan räknas separat, vilket är hur små incidenter blir stora siffror.

Är Microsoft Copilot, Google Gemini eller Claude HIPAA-kompatibla istället?

Oftast inte, och det ärliga svaret är en princip snarare än en leverantörsranking. Efterlevnad följer kontraktet, inte modellen. Ingen konsumentchattbot från någon leverantör säljs under ett BAA, och inte heller är ChatGPT HIPAA-kompatibel i sina konsumentnivåer. Om en leverantör säger att dess företags- eller molnerbjudande kan täckas, få det skriftligt och namnge din exakta produkt.

Kan jag lämna in ett HIPAA-klagomål mot OpenAI?

Oftast inte. HHS Office for Civil Rights tar emot klagomål om berörda enheter och deras affärspartners. Utan ett BAA på plats är OpenAI varken det ena eller det andra, så OCR har ingen jurisdiktion över dina personliga chattar. FTC är rätt forum för ett konsumentklagomål om ett icke-HIPAA-hälsverktyg, enligt FTC Act och Health Breach Notification Rule.

Om jag raderar en ChatGPT-konversation, är hälsoinformationen borta?

Nej. Radering tar bort tråden från din vy och startar en lagringstid; kopior kan finnas kvar i säkerhetskopior, säkerhetssystem och underleverantörsloggar under en period. Viktigare för en klinik är att radering inte ångrar en upplysning som redan har skett. Om PHI gick in, kvarstår efterlevnadsskyldigheten oavsett, och att radera tråden förstör bevisen som din integritetsofficer behöver.

Kan min arbetsgivare se hälsorelaterade frågor jag skrev in i ett arbets-ChatGPT-konto?

Ja, potentiellt. På arbetsplansnivå äger organisationen kontot, ställer in lagringstiden och kan ha administrativ åtkomst till konversationsdata. Anta att allt som skrivs in i ett arbets konto är synligt för din arbetsgivare, precis som arbets-e-post. Personliga hälsorelaterade frågor hör hemma i ett personligt konto på en personlig enhet, på din egen tid.

Hamnar något jag frågar ChatGPT om min hälsa i min journal eller når min försäkringsgivare?

Nej. En konsumentchattbot har ingen koppling till din klinikers EHR eller till din hälsoförsäkring, och dina chattar flödar inte in i något av dem. Undantagen är de du skapar: att ansluta verktyget till konton som innehåller dina journaler, eller att klistra in dess utdata i ett meddelande till patientportalen. Annonserings- och datadelningspraxis är en separat fråga som regleras av integritetspolicyn.

Är det ett HIPAA-brott att använda ChatGPT för att utarbeta ett patientbrev?

Ibland, och skiljelinjen är identifierare. Att be om en generell mall för överklagandebrev utan patientuppgifter är inte en upplysning av PHI, även om din arbetsgivares policy fortfarande kan förbjuda det. Att klistra in ett namn, födelsedatum, besöksdatum eller diagnos gör det till en upplysning till en leverantör utan BAA, vilket är brottet.

Slutsats

Är ChatGPT HIPAA-kompatibel? Nej, och det svaret kommer inte att ändras på grund av en inställning du ändrar. Det ändras bara när en organisation tecknar ett BAA som namnger en specifik produkt och sedan bygger åtkomstkontroller, loggning och utbildning kring det. Om du är en kliniker är sekvensen enkel: inget kontrakt, ingen PHI, och avidentifiera enligt Safe Harbor-standarden när du väl använder det. Om du är patient var frågan riktad mot fel lag. HIPAA begränsar dina leverantörer och deras leverantörer. Ditt skydd kommer från integritetspolicyn du gick med på, FTC bakom den och ditt eget omdöme om vad du ska skriva.

Friskrivning: Den här artikeln är endast avsedd för informationsändamål och utgör inte medicinsk rådgivning. Rådgör alltid med en kvalificerad vårdgivare för diagnos- och behandlingsbeslut. Om du upplever en medicinsk nödsituation, ring 112 eller gå till närmaste akutmottagning omedelbart.