Sumusunod ba ang ChatGPT sa HIPAA? Ano ang Ibig Sabihin Nito para sa mga Pasyente at Klinika

Hindi. Sumusunod ba ang ChatGPT sa HIPAA sa anumang plano na mabibili mo ngayon? Hindi, dahil hindi pumipirma ang OpenAI ng business associate agreement para sa mga consumer tier nito. Ire-regulate ng HIPAA ang mga organisasyon at kontrata, hindi ang mga modelo. At kung magta-type ka ng sarili mong impormasyon sa kalusugan sa sarili mong account, hindi kailanman nalalapat ang HIPAA.

TL;DR: Mga pangunahing takeaway

• Walang HIPAA compliant na ChatGPT sa mga consumer shelf. Ang Free, Plus and Go, Team, at Enterprise ay hindi ibinebenta na may kasamang business associate agreement (BAA).
• Ang HIPAA ay nagbubuklod sa mga health plan, clearinghouse, provider, at sa kanilang mga kontratadong vendor. Hindi nito binubugol ang iyo, na nagta-type ng sarili mong mga sintomas sa sarili mong account.
• Ang pumoprotekta sa mga mamimili sa halip ay ang privacy policy ng vendor at ang Federal Trade Commission, na nagmulta na sa isang health platform ng $1.5 milyon.
• Ang pag-patay sa model training at paggamit ng temporary chat ay nakakabawas sa exposure. Hindi ito lumilikha ng legal na saklaw.
• Kung ang protected health information (PHI) ay napasok na sa regular na ChatGPT, ituring ito bilang isang potensyal na paglabag at ipaalam sa iyong privacy officer sa parehong araw.

Sumusunod ba ang ChatGPT sa HIPAA? Hindi sa anumang bersyon na maaari mong i-sign up ngayon

Sumusunod ba ang ChatGPT sa HIPAA? Hindi. Sa oras ng pagsulat na ito, hindi nag-aalok ang OpenAI ng business associate agreement sa kanilang mga consumer plan (Free, Plus and Go, Team, o Enterprise), at kung walang pinirmahang kontrata, walang produkto ang maaaring masakop. Walang AI model ang HIPAA compliant sa sarili nito: Ire-regulate ng HIPAA ang mga organisasyon at kontrata, kaya ang pagsunod ay nakasalalay sa isang pinirmahang BAA kasama kung paano kino-configure, nililimitahan, at nalo-log ang produkto.

Ang isang paraan kung saan ang BAA ay maaaring pag-usapan ay ang healthcare-specific lineup na inilunsad ng OpenAI noong Enero 2026. Ang lineup na iyon ay bago, ang mga tuntunin nito ay ang pinaka pabago-bagong katotohanan sa pahinang ito, at dapat mong i-verify ang availability para sa iyong sariling produkto at tier bago ito pagka-katiwalaan.

Ngayon ang pag-reframe na mas mahalaga kaysa sa hatol: para sa karamihan ng mga taong nagta-type sa kanilang sariling account, ang HIPAA ay hindi kailanman ang batas na ipinatutupad.

Ang HIPAA ay nagbubuklod sa iyong klinika at sa mga vendor nito, hindi sa iyo at sa iyong keyboard

Ang batas ay umaabot lamang sa dalawang grupo, parehong tinukoy sa 45 CFR §160.103: mga saklaw na entity (health plan, health care clearinghouse, at mga provider na nagpapadala ng impormasyon sa kalusugan nang elektroniko para sa mga karaniwang transaksyon) at mga business associate, na nangangahulugang sinumang lumilikha, tumatanggap, nagpapanatili, o nagpapadala ng PHI habang gumaganap ng isang tungkulin sa ngalan ng isang saklaw na entity. Ang pariralang iyon ay may buong bigat. Ang isang kumpanya na nagkataong tumatanggap ng text na may kaugnayan sa kalusugan mula sa isang miyembro ng publiko ay hindi isang business associate.

Nagawa na ito ng HHS para sa mga app. Ang gabay sa mga scenario ng paggamit ng health app nito ay hindi nakakakita ng relasyon ng business associate kapag ang isang tao ay nagpupuno ng app ng sarili niyang data sa sarili niyang inisyatibo, nang walang kontrata sa likod nito.

Kaya kapag pinaste mo ang sarili mong mga sintomas sa sarili mong ChatGPT account, hindi nalalapat ang HIPAA, at hindi ito nilalabag ng OpenAI. Hindi iyon isang loophole. Iyon ang arkitektura ng batas.

Ang pumoprotekta sa iyo sa halip ay ang privacy policy ng OpenAI, na gumaganap bilang isang maipapatupad na pangako, kasama ang FTC. Ang 2024 na binagong Health Breach Notification Rule ay malinaw na sumasaklaw sa mga health app at katulad na teknolohiya na hindi sakop ng HIPAA. At ang pagpapatupad na iyon ay totoo: nakakuha ang FTC ng $1.5 milyong civil penalty laban sa GoodRx noong 2023 para sa pagbubunyag ng prescription at health-condition data sa Facebook at Google.

Itago ang kaibahan sa iyong isipan. Ang isang consumer chatbot ay may utang sa iyo ng isang privacy policy. Ang isang telehealth app na sakop ng kontrata ay may utang sa iyo ng HIPAA. Sa pagitan ng mga bisita, ang isang health companion app tulad ng August AI ay makakatulong sa iyo na mag-log ng mga sintomas at magtanong ng mga simpleng tanong, bilang pantulong sa pangangalaga sa halip na kapalit nito, at hindi kailanman bilang ang bagay na magdedesisyon.

Ang tunay na problema ay hindi ang chatbot. Ito ay kung saan pupunta ang iyong mga salita pagkatapos

Ibinabahagi ba ng ChatGPT ang iyong data? Mekanikal, oo, sa karaniwang paraan ng isang cloud product. Sa mga consumer tier, pinapayagan ng mga default na magamit ang mga pag-uusap upang mapabuti ang mga modelo, maimbak sa loob ng isang panahon, at masuri ng mga tao para sa kaligtasan at pag-troubleshoot. Naglalapat ang mga subprocessors at infrastructure vendors sa data na iyon habang pinapatakbo ang serbisyo, na eksakto ang downstream chain na isinulat upang pamunuan ng isang BAA.

Ang tapat na sagot sa kung ibinabahagi ba ng ChatGPT ang iyong data ay nakasalalay ito sa iyong tier, sa iyong mga setting, at sa kung ano ang iyong ikinonekta dito. Na nagdadala ng error na madalas kong nakikita: ang pag-patay sa model training at paglipat sa temporary chat ay tunay na nakakabawas sa exposure, at dapat mong gawin pareho. Hindi ito lumilikha ng saklaw ng HIPAA. Kinakailangan, hindi sapat.

Pagkatapos ay may mas tahimik na panganib. Pinapayagan ng mga connector ang ChatGPT na maabot ang Gmail, Google Drive, isang shared clinic inbox, o isang tool na katabi ng EHR at basahin kung ano ang nandoon. Hindi na kailangang mag-paste ng sinuman. Ang isang connector na nakaturo sa isang mailbox na puno ng referral letter ay isang pagbubunyag na naghihintay na mangyari, at hindi ito magmumukhang ganyan sa audit log ng sinuman.

Ang "enhanced privacy" ng ChatGPT Health ay isang pangako ng produkto, hindi isang legal na pangako

Sumusunod ba ang ChatGPT Health sa HIPAA?

Sumusunod ba ang ChatGPT Health sa HIPAA? Hindi. Hindi maaaring makakuha ng business associate agreement ang isang indibidwal na mamimili sa ChatGPT Health anuman ang piliin nilang mga privacy setting, dahil ang BAA ay isang kontrata sa pagitan ng isang saklaw na entity at ng vendor nito, at ang isang pasyente na gumagamit ng personal na account ay hindi alinman sa dalawa.

Ang mga claim tungkol sa pinahusay na privacy, paghihiwalay, at encryption ay mga pahayag sa disenyo ng produkto. Maaari nilang ilarawan ang tunay na engineering at magkaroon pa rin ng zero legal na epekto kung nalalapat ba ang HIPAA, dahil ang HIPAA ay nakasalalay sa kung sino ka at kung ano ang pinirmahan mo, hindi sa kung paano ginawa ang storage layer.

Ang binabago ng produkto para sa isang pasyente ay ang default na paghawak ng iyong sariling data, na may halaga. Hindi ito lumilikha ng regulated na relasyon. Panatilihin itong hiwalay sa iyong isipan mula sa mga clinician at enterprise healthcare edition na inilunsad noong Enero 2026, na ibinebenta sa mga organisasyon at siyang tanging lugar kung saan maaaring pag-usapan ang isang kontrata.

Tanging isang pinirmahang business associate agreement ang maaaring gawing compliant ang isang AI tool

Ang isang ChatGPT business associate agreement ay ang tanging legal na mekanismo na naglalagay sa OpenAI sa loob ng HIPAA para sa paggamit ng iyong organisasyon. Ang lahat ng iba pa ay kalinisan.

Ang BAA ay pinipirmahan ng organisasyon, hindi ng isang indibidwal na clinician, at dapat nitong pangalanan ang partikular na produkto at tier na aktwal na ginagamit. Ang BAA na sumasakop sa isang API account ay hindi sumasaklaw sa browser tab na naka-log in ng isang tao gamit ang personal na address.

Narito ang hindi sasabihin ng karamihan sa mga pahina: ang isang pinirmahang BAA ay isang sahig, hindi isang tapos na linya. Kung walang role-based access control, audit logging na talagang binabasa ng isang tao, minimum-necessary na limitasyon sa kung ano ang ipinapadala, at workforce training na partikular na nagngangalan ng tool na ito, mayroon kang kontrata at isang problema sa pagsunod nang sabay. Kumpirmahin ang availability ng BAA nang nakasulat ng OpenAI para sa iyong eksaktong SKU sa halip na hanguin ito mula sa isang marketing page. Ang 2026 lineup ay ilang linggo pa lamang ang tanda sa mga tuntunin ng regulasyon.

Ang pag-aalis ng pangalan ng pasyente ay hindi de-identification

Ang pagdedesisyon na i-de-identify ang PHI bago gamitin ang ChatGPT ay ang tamang kaisipan, ngunit ang bar ay isang pamantayan ng HHS, hindi isang desisyon ng paghuhusga. Dalawang paraan ang kwalipikado: Safe Harbor, at pormal na Expert Determination ng isang kwalipikadong istatistiko.

Ang Safe Harbor ay nangangahulugang pag-aalis ng lahat ng 18 nakalista na kategorya ng identifier, at walang tunay na kaalaman na ang natitira ay maaaring makakakilanlan sa isang tao. Iyon ay mga pangalan; heograpiya na mas maliit kaysa sa isang estado; lahat ng mga petsa na nauugnay sa indibidwal, kabilang ang mga petsa ng admission, discharge, bisita, at kapanganakan; telepono, fax, at email; Social Security, medical record, health plan, at mga numero ng account; mga numero ng sertipiko at lisensya; mga identifier ng sasakyan at device at mga serial number; URL at IP address; biometrics; full-face na larawan; at anumang iba pang natatanging code.

Ang mga iniiwan ng mga clinician ay predictable: mga petsa ng bisita, ang lungsod, edad na higit sa 89, ang MRN na nasa header ng ipinaskeng note, isang serial number ng device, isang larawan, at verbatim free-text quotes na sapat na natatangi upang pangalanan ang tao sa kanilang sarili.

Konkretong, ang isang note na tinanggal ang pangalan na nagsasabi pa rin ng "34-taong-gulang sa Bozeman, nakita noong Marso 3, kinumpirma ang bihirang autoimmune diagnosis" ay hindi de-identified data. Ito ay PHI na may pinakamadaling tinanggal na field.

Ang de-identification ay hindi rin isang cure-all. Tinatanggal nito ang tanong sa HIPAA. Hindi nito tinatanggal ang acceptable-use policy ng iyong employer, ang iyong mga vendor contract, o ang batas sa privacy ng estado, na marami sa mga ito ay mas malawak kaysa sa HIPAA.

Isang compliant AI workflow sa anim na hakbang, kabilang ang kung ang PHI ay napasok na

Ang isang HIPAA compliant na ChatGPT ay hindi umiiral bilang isang bagay na binibili mo; ang umiiral ay ang agwat sa pagitan ng isang tool at isang workflow, at ang anim na hakbang na ito ang nagsasara nito.

1. Magpasya kung sino kang reader. Ang pag-arte para sa isang saklaw na entity ay nangangahulugang nalalapat ang HIPAA sa iyong tina-type. Ang paggamit ng iyong sariling account para sa iyong sariling kalusugan ay nangangahulugang hindi ito nalalapat.
2. Kumpirmahin nang nakasulat kung ang BAA ay sumasaklaw sa eksaktong produkto at tier bago ang anumang klinikal na paggamit. Walang BAA, walang PHI, tuldok.
3. Patayin ang model training at gamitin ang temporary chat. Sabihin nang malakas kung ano ito: pagbawas ng panganib, hindi pagsunod.
4. Mag-audit at idiskonekta ang mga connector na umaabot sa clinical email, cloud storage, o anumang katabi ng EHR, hanggang sa masuri ang bawat isa.
5. Mag-de-identify ayon sa pamantayan ng Safe Harbor bago mag-paste, pagkatapos ay basahin din ang output. Ang mga modelo ay nagre-restate ng mga detalye na iyong ibinigay sa kanila.
6. Kung ang PHI ay napasok na, ituring ito bilang isang potensyal na paglabag. Itigil ang paggamit ng thread. Huwag itong tahimik na burahin, dahil ito ay ebidensya. Ipaalam sa iyong privacy o compliance officer sa parehong araw, idokumento kung ano ang ibinunyag at kailan, at hayaan silang magsagawa ng Breach Notification Rule risk assessment at gumawa ng desisyon sa notification. Huwag i-clear ang sarili.

Kung ikaw ay isang pasyente sa halip na isang clinician, wala sa mga iyon ang nalalapat sa iyo. Hindi mo kailangan ng BAA at walang workaround. Magpasya kung ano ang komportable kang ibahagi, panatilihing walang identifier ang mga prompt na hindi mo ipo-post sa publiko, at kung hindi ka sigurado kung gaano kailangang kagyat ang isang bagay, ang libreng August AI Symptom Checker ay isang makatuwirang unang hakbang sa triage. Kapag ang kailangan mo ay pangangalaga sa halip na impormasyon, halimbawa isang online ADHD evaluation, nangyayari iyon sa loob ng isang relasyon sa provider kung saan nalalapat ang HIPAA mula sa unang intake form.

Ilang sintomas ang hindi dapat unang mapunta sa isang chatbot

Wala sa payo sa privacy ng artikulong ito ang dapat magpaantala ng emergency care. Kung nagdedesisyon ka sa pagitan ng pagta-type at pagtawag, tumawag.

Tumawag sa 911 o pumunta sa emergency room ngayon kung:

• Mayroon kang pananakit sa dibdib o hirap sa paghinga.
• Mayroon kang biglaang pamamanhid, malabong pananalita, o pagbagsak ng mukha, na mga senyales ng stroke.
• Mayroon kang malubhang pagdurugo.
• Mayroon kang mga pag-iisip ng pagpapakamatay. Itigil ang pagta-type at tumawag sa 911 o 988. Hindi ka maaaring suriin ng AI chat o magpadala ng tulong.

Mag-book ng pagbisita sa loob ng susunod na linggo kung:

• Nag-triage ka na ng parehong sintomas sa isang chatbot sa loob ng mga araw at hindi ito bumubuti.
• Mayroon kang bagong bukol o hindi maipaliwanag na pagbabago sa timbang.
• Patuloy na sinasabi sa iyo ng chatbot na kumonsulta sa doktor. Iyon ang sagot, hindi isang placeholder.

Makipag-usap sa isang clinician bago ka magsimula kung:

• Ang tugon ng AI ay nagsasabi sa iyo na itigil ang isang iniresetang gamot, baguhin ang dosis, o huwag pansinin ang iyong care team. Kumpirmahin muna sa iyong prescriber. Ang mga tool na ito ay nagbibigay ng kumpiyansang maling medikal na gabay, at ginagawa nila ito sa parehong tono na ginagamit nila kapag tama sila.

Para sa gitnang tier, ang August's $39 online urgent care visit ay kumokonekta sa iyo sa isang clinician na may lisensya sa US na maaaring suriin ang mga sintomas at magreseta kapag napagpasyahan nila na naaangkop ito. Ang clinician ang magdedesisyon. Ang isang video visit ay hindi maaaring suriin ka nang personal, mag-order ng imaging kaagad, o pamahalaan ang isang emergency, kaya ang anumang nasa unang tier ay dapat nasa ER.

Mga Madalas Itanong

Maaari bang multa ang isang klinika kung ang isang miyembro ng staff ay magp-paste ng impormasyon ng pasyente sa ChatGPT?

Oo. Ang pananagutan ay nakakabit sa organisasyon, hindi sa indibidwal. Sa ilalim ng Enero 28, 2026 inflation adjustment, ang HIPAA civil monetary penalties ay tumatakbo mula sa Tier 1 minimum na $145 bawat paglabag hanggang sa Tier 4 minimum na $73,011 bawat paglabag, na may taunang cap na $2,190,294 bawat kategorya ng paglabag. Ang bawat record ay maaaring bilangin nang hiwalay, na siyang dahilan kung paano nagiging malalaking numero ang maliliit na insidente.

Sumusunod ba ang Microsoft Copilot, Google Gemini, o Claude sa HIPAA sa halip?

Hindi karaniwan, at ang tapat na sagot ay isang prinsipyo sa halip na isang vendor ranking. Ang pagsunod ay sumusunod sa kontrata, hindi sa modelo. Walang consumer chatbot mula sa sinumang vendor ang ibinebenta sa ilalim ng BAA, at hindi rin sumusunod sa HIPAA ang ChatGPT sa mga consumer tier nito. Kung sasabihin sa iyo ng isang vendor na ang kanilang enterprise o cloud offering ay maaaring masakop, kunin iyon nang nakasulat na nagngangalan ng iyong eksaktong produkto.

Maaari ba akong maghain ng reklamo sa HIPAA laban sa OpenAI?

Hindi karaniwan. Tinatanggap ng HHS Office for Civil Rights ang mga reklamo tungkol sa mga saklaw na entity at sa kanilang mga business associate. Kung walang BAA na nakalatag, hindi sila alinman, kaya ang OCR ay walang hurisdiksyon sa iyong personal na mga chat. Ang FTC ang tamang venue para sa isang reklamo ng mamimili tungkol sa isang non-HIPAA health tool, sa ilalim ng FTC Act at ng Health Breach Notification Rule.

Kung buburahin ko ang isang ChatGPT conversation, mawawala na ba ang health information?

Hindi. Ang pagbubura ay nag-aalis ng thread mula sa iyong pananaw at nagpapatakbo ng retention clock; maaaring manatili ang mga kopya sa mga backup, safety system, at subprocessor log sa isang panahon. Higit sa lahat para sa isang klinika, ang pagbubura ay hindi nagpapawalang-saysay sa isang pagbubunyag na nangyari na. Kung ang PHI ay napasok na, ang obligasyon sa pagsunod ay umiiral pa rin, at ang pagbubura ng thread ay sumisira sa ebidensya na kailangan ng iyong privacy officer.

Makikita ba ng aking employer ang mga katanungan sa kalusugan na aking tina-type sa isang work ChatGPT account?

Oo, potensyal. Sa mga workspace plan, ang organisasyon ang nagmamay-ari ng account, nagtatakda ng retention, at maaaring magkaroon ng administrative access sa conversation data. Ipagpalagay na anumang tina-type sa isang work account ay nakikita ng iyong employer, katulad ng work email. Ang mga personal na katanungan sa kalusugan ay dapat mapunta sa isang personal na account sa isang personal na device, sa iyong sariling oras.

Mayroon ba akong anumang tinatanong ko sa ChatGPT tungkol sa aking kalusugan na mapupunta sa aking medical record o maabot ang aking insurer?

Hindi. Ang isang consumer chatbot ay walang koneksyon sa EHR ng iyong clinician o sa iyong health plan, at ang iyong mga chat ay hindi dumadaloy sa alinman sa mga ito. Ang mga exception ay ang mga nililikha mo: pagkokonekta ng tool sa mga account na naglalaman ng iyong mga record, o pag-paste ng output nito sa isang mensahe sa patient portal. Ang mga kasanayan sa advertising at data-sharing ay isang hiwalay na alalahanin na pinamamahalaan ng privacy policy.

Ito ba ay paglabag sa HIPAA na gamitin ang ChatGPT upang gumawa ng isang pasyenteng sulat?

Minsan, at ang naghihiwalay na linya ay ang mga identifier. Ang paghiling ng generic appeal-letter template na walang detalye ng pasyente ay hindi pagbubunyag ng PHI, bagaman ang policy ng iyong employer ay maaaring ipagbawal pa rin ito. Ang pag-paste ng pangalan, petsa ng kapanganakan, petsa ng bisita, o diagnosis ay nagiging pagbubunyag sa isang vendor na walang BAA, na siyang paglabag.

Ang Bottom Line

Sumusunod ba ang ChatGPT sa HIPAA? Hindi, at ang sagot na iyon ay hindi magbabago dahil sa isang setting na iyong binabago. Nagbabago lamang ito kapag ang isang organisasyon ay pumirma ng isang BAA na nagngangalan ng isang partikular na produkto at pagkatapos ay bumuo ng access control, logging, at training sa paligid nito. Kung ikaw ay isang clinician, ang sequence ay simple: walang kontrata, walang PHI, at mag-de-identify ayon sa pamantayan ng Safe Harbor kapag ginamit mo ito. Kung ikaw ay isang pasyente, ang tanong ay nakatutok sa maling batas. Nililimitahan ng HIPAA ang iyong mga provider at ang kanilang mga vendor. Ang iyong proteksyon ay nagmumula sa privacy policy na iyong sinang-ayunan, ang FTC sa likod nito, at ang iyong sariling paghuhusga tungkol sa kung ano ang ita-type mo.

Disclaimer: Ang artikulong ito ay para lamang sa impormasyon at hindi bumubuo ng medikal na payo. Palaging kumonsulta sa isang kwalipikadong healthcare provider para sa mga desisyon sa diagnosis at paggamot. Kung nakakaranas ka ng medikal na emergency, tumawag sa 911 o pumunta sa pinakamalapit na emergency room kaagad.