Чи сумісний ChatGPT з HIPAA? Що це означає для пацієнтів та клінік

Ні. Чи сумісний ChatGPT з HIPAA на будь-якому плані, який ви можете придбати сьогодні? Ні, тому що OpenAI не підписує угоду про ділового партнера для своїх споживчих тарифів. HIPAA регулює організації та контракти, а не моделі. І якщо ви вводите власну медичну інформацію у свій обліковий запис, HIPAA ніколи не застосовувався.

TL;DR: Ключові висновки

• На полиці споживача немає сумісного з HIPAA ChatGPT. Безкоштовні, Plus та Go, Team та Enterprise не продаються з угодою про ділового партнера (BAA).
• HIPAA зобов'язує плани охорони здоров'я, клірингові палати, постачальників та їхніх контрактних постачальників. Це не зобов'язує вас, коли ви вводите власні симптоми у свій обліковий запис.
• Що натомість захищає споживачів, так це політика конфіденційності постачальника та Федеральна торгова комісія, яка вже оштрафувала платформу охорони здоров'я на 1,5 мільйона доларів.
• Вимкнення навчання моделі та використання тимчасового чату знижує ризик. Це не створює правового покриття.
• Якщо захищена медична інформація (PHI) вже потрапила до звичайного ChatGPT, розглядайте це як потенційне порушення та повідомте свого керівника з питань конфіденційності того ж дня.

Чи сумісний ChatGPT з HIPAA? Жодна версія, на яку ви можете підписатися сьогодні

Чи сумісний ChatGPT з HIPAA? Ні. На момент написання OpenAI не пропонує угоду про ділового партнера на своїх споживчих планах (Free, Plus and Go, Team або Enterprise), і без цього підписаного контракту жоден продукт не може бути покритий. Жодна модель ШІ сама по собі не сумісна з HIPAA: HIPAA регулює організації та контракти, тому відповідність залежить від підписаної BAA плюс від того, як продукт налаштований, обмежений та зареєстрований.

Єдиний шлях, де BAA навіть обговорюється, це спеціалізована лінійка для охорони здоров'я, яку OpenAI випустила в січні 2026 року. Ця лінійка нова, її умови є найбільш мінливим фактом на цій сторінці, і ви повинні перевірити доступність для свого власного продукту та рівня перед тим, як покладатися на неї.

Тепер переформулювання, яке має більше значення, ніж вирок: для більшості людей, які вводять дані у свій власний обліковий запис, HIPAA ніколи не був чинним законом.

HIPAA зобов'язує вашу клініку та її постачальників, а не вас та вашу клавіатуру

Закон стосується рівно двох груп, обидві визначені за 45 CFR §160.103: охоплені суб'єкти (плани охорони здоров'я, клірингові палати охорони здоров'я та постачальники, які передають медичну інформацію в електронному вигляді для стандартних транзакцій) та ділові партнери, що означає будь-кого, хто створює, отримує, підтримує або передає PHI під час виконання функції від імені охопленого суб'єкта. Ця фраза несе всю вагу. Компанія, яка випадково отримує медичні тексти від члена громадськості, не є діловим партнером.

HHS вже опрацював це для додатків. Його керівництво зі сценаріїв використання додатків для здоров'я не знаходить ділових партнерських відносин, коли особа заповнює додаток власними даними за власною ініціативою, без контракту за цим.

Отже, коли ви вставляєте власні симптоми у свій обліковий запис ChatGPT, HIPAA не застосовується, і OpenAI його не порушує. Це не лазівка. Це архітектура статуту.

Що натомість захищає вас, так це політика конфіденційності OpenAI, яка функціонує як обов'язкова обіцянка, плюс FTC. Оновлене правило повідомлення про порушення стану здоров'я 2024 року явно охоплює програми для здоров'я та подібні технології, що не підпадають під дію HIPAA. І це виконання реальне: FTC отримала цивільний штраф у розмірі 1,5 мільйона доларів проти GoodRx у 2023 році за розкриття даних про рецепти та стан здоров'я Facebook та Google.

Тримайте контраст у своїй голові. Чат-бот для споживачів зобов'язаний вам політикою конфіденційності. Додаток для телемедицини, який охоплюється контрактом, зобов'язаний вам HIPAA. Між візитами додаток-компаньйон для здоров'я, як-от August AI, може допомогти вам реєструвати симптоми та ставити запитання простою мовою, як доповнення до догляду, а не його заміна, і ніколи як те, що приймає рішення.

Реальна проблема не в чат-боті. Це в тому, куди йдуть ваші слова далі

Чи ділиться ChatGPT вашими даними? Механічно, так, у звичайний спосіб, як це робить хмарний продукт. На споживчих рівнях за замовчуванням дозволяється використовувати розмови для покращення моделей, зберігати їх протягом певного періоду та переглядати людьми для безпеки та усунення несправностей. Субпроцесори та постачальники інфраструктури торкаються цих даних під час надання послуги, що саме по собі є ланцюжком нижньої течії, який регулюється BAA.

Чесна відповідь на запитання, чи ділиться ChatGPT вашими даними, полягає в тому, що це залежить від вашого рівня, ваших налаштувань та того, що ви до нього підключили. Що призводить до помилки, яку я бачу найчастіше: вимкнення навчання моделі та перехід на тимчасовий чат справді знижує ризик, і вам слід робити і те, і інше. Це не створює покриття HIPAA. Необхідно, але недостатньо.

Потім є тихий ризик. Конектори дозволяють ChatGPT отримувати доступ до Gmail, Google Drive, спільної скриньки клініки або інструменту, суміжного з EHR, і читати те, що там є. Ніхто не повинен нічого вставляти. Конектор, спрямований на поштову скриньку, повну реферальних листів, є розкриттям, яке чекає на свою чергу, і воно не відображатиметься в жодному журналі аудиту.

«Покращена конфіденційність» ChatGPT Health – це обіцянка продукту, а не юридична

Чи сумісний ChatGPT Health з HIPAA?

Чи сумісний ChatGPT Health з HIPAA? Ні. Індивідуальний споживач не може отримати угоду про ділового партнера на ChatGPT Health, незалежно від обраних ним налаштувань конфіденційності, оскільки BAA – це контракт між охопленим суб'єктом та його постачальником, а пацієнт, який використовує особистий обліковий запис, не є ні тим, ні іншим.

Заяви про покращену конфіденційність, ізоляцію та шифрування є твердженнями про дизайн продукту. Вони можуть описувати справжнє інженерне рішення і при цьому не мати жодного юридичного ефекту на застосування HIPAA, оскільки HIPAA залежить від того, хто ви і що ви підписали, а не від того, як побудовано рівень зберігання.

Що змінює продукт для пацієнта, так це стандартна обробка ваших власних даних, що чогось варте. Це не створює регульованих відносин. Тримайте це окремо в своїй голові від видань для лікарів та підприємств охорони здоров'я, випущених у січні 2026 року, які продаються організаціям і є єдиним місцем, де контракт може бути навіть обговорюваним.

Тільки підписана угода про ділового партнера може зробити інструмент ШІ відповідним

Угода про ділового партнера ChatGPT – це єдиний юридичний механізм, який включає OpenAI в HIPAA для використання вашою організацією. Все інше – це гігієна.

BAA підписується організацією, а не окремим лікарем, і вона повинна називати конкретний продукт і рівень, що фактично використовується. BAA, що охоплює обліковий запис API, не охоплює вкладку браузера, в яку хтось увійшов з особистою адресою.

Ось що більшість сторінок вам не скажуть: підписана BAA – це мінімум, а не фінішна пряма. Без контролю доступу на основі ролей, аудиторського журналу, який хтось справді читає, мінімальних необхідних обмежень на те, що надсилається, та навчання персоналу, яке конкретно називає цей інструмент, ви матимете контракт і проблему відповідності одночасно. Отримайте доступність BAA, підтверджену OpenAI письмово для вашого точного SKU, замість того, щоб робити висновки з маркетингової сторінки. Лінійка 2026 року в регуляторних термінах є тижневою.

Видалення імені пацієнта – це не деідентифікація

Рішення деідентифікувати PHI перед використанням ChatGPT – це правильний інстинкт, але планка – це стандарт HHS, а не суб'єктивне рішення. Кваліфікуються два методи: Safe Harbor та формальне експертне визначення кваліфікованим статистиком.

Safe Harbor означає видалення всіх 18 перелічених категорій ідентифікаторів та відсутність фактичного знання про те, що те, що залишилося, може ідентифікувати когось. Це імена; географія менша за штат; усі дати, пов'язані з особою, включаючи дати госпіталізації, виписки, візиту та народження; телефон, факс та електронна пошта; номер соціального страхування, медичної картки, плану охорони здоров'я та облікового запису; номери сертифікатів та ліцензій; ідентифікатори транспортних засобів та пристроїв та серійні номери; URL-адреси та IP-адреси; біометричні дані; фотографії в повний зріст; та будь-який інший унікальний код.

Ті, які лікарі залишають, передбачувані: дати візитів, місто, вік понад 89 років, MRN у заголовку вставленої нотатки, серійний номер пристрою, фотографію та дослівні цитати у вільному тексті, які є достатньо унікальними, щоб назвати особу самостійно.

Конкретно, нотатка, позбавлена імені, яка все ще читається: "34-річний у Боузмані, оглянутий 3 березня, підтверджено рідкісний аутоімунний діагноз", не є деідентифікованими даними. Це PHI з видаленим найпростішим полем.

Деідентифікація також не є панацеєю. Вона усуває питання HIPAA. Вона не усуває політику допустимого використання вашого роботодавця, ваші договори з постачальниками або закони штату про конфіденційність, кілька з яких охоплюють ширше, ніж HIPAA.

Відповідний робочий процес ШІ у шість кроків, включаючи випадки, коли PHI вже була введена

Сумісний з HIPAA ChatGPT не існує як щось, що ви купуєте; існує прогалина між інструментом та робочим процесом, і ці шість кроків закривають її.

1. Визначте, хто ви читач. Дія від імені охопленого суб'єкта означає, що HIPAA застосовується до того, що ви друкуєте. Використання свого облікового запису для власного здоров'я означає, що він не застосовується.
2. Підтвердьте письмово, чи охоплює BAA конкретний продукт і рівень перед будь-яким клінічним використанням. Без BAA – жодного PHI, крапка.
3. Вимкніть навчання моделі та використовуйте тимчасовий чат. Скажіть вголос, що це: зменшення ризику, а не відповідність.
4. Аудитуйте та відключайте конектори, які мають доступ до клінічної електронної пошти, хмарного сховища або чогось, суміжного з EHR, доки кожен з них не буде переглянуто.
5. Деідентифікуйте до стандарту Safe Harbor перед вставкою, а потім також прочитайте вивід. Моделі повторюють специфіку, яку ви їм подали.
6. Якщо PHI вже потрапила, розглядайте це як потенційне порушення. Припиніть використання теми. Не видаляйте її мовчки, тому що це доказ. Повідомте свого керівника з питань конфіденційності або відповідності того ж дня, задокументуйте, що було розкрито і коли, і дозвольте їм провести оцінку ризику відповідно до Правила повідомлення про порушення та прийняти рішення про повідомлення. Не очищайте його самостійно.

Якщо ви пацієнт, а не лікар, нічого з цього не стосується вас. Вам не потрібна BAA або обхідний шлях. Вирішуйте, чим ви готові поділитися, уникайте ідентифікаторів у запитах, які ви б не публікували публічно, і якщо ви не впевнені, наскільки щось терміново, безкоштовний August AI Symptom Checker є розумним першим кроком тріажу. Коли вам потрібен догляд, а не інформація, наприклад онлайн-оцінка СДУГ, це відбувається в рамках відносин з постачальником, де HIPAA застосовується з першої форми прийому.

Деякі симптоми ніколи не слід починати з чат-бота

Жодна порада щодо конфіденційності в цій статті не повинна затримувати невідкладну медичну допомогу. Якщо ви вирішуєте між набором тексту та дзвінком, телефонуйте.

Телефонуйте 911 або негайно зверніться до відділення невідкладної допомоги, якщо:

• У вас біль у грудях або утруднене дихання.
• У вас раптове оніміння, невиразна мова або опущення обличчя, що є ознаками інсульту.
• У вас сильна кровотеча.
• У вас є думки про самогубство. Припиніть набирати текст і зателефонуйте 911 або 988. ШІ-чат не може вас обстежити або викликати допомогу.

Запишіться на прийом протягом наступного тижня, якщо:

• Ви займаєтеся тріажем одного і того ж симптому за допомогою чат-бота протягом кількох днів, і він не покращується.
• У вас з'явилася нова пухлина або незрозуміла зміна ваги.
• Чат-бот постійно радить вам звернутися до лікаря. Це відповідь, а не заповнювач.

Поговоріть з лікарем перед початком, якщо:

• Відповідь ШІ радить вам припинити прийом призначеного препарату, змінити дозування або ігнорувати вашу команду з догляду. Спочатку підтвердьте це зі своїм лікарем. Ці інструменти надають впевнено неправильні медичні поради, і вони роблять це тим самим тоном, яким вони користуються, коли праві.

Для середнього рівня, онлайн-візит August за 39 доларів США з'єднує вас з ліцензованим лікарем у США, який може оцінити симптоми та призначити лікування, коли він вважає це доцільним. Рішення приймає лікар. Відеовізит не може обстежити вас особисто, замовити зображення на місці або керувати надзвичайною ситуацією, тому будь-що з першого рівня належить до відділення невідкладної допомоги.

Часті запитання

Чи може клініка бути оштрафована, якщо співробітник вставляє інформацію про пацієнта в ChatGPT?

Так. Відповідальність лягає на організацію, а не на особу. Відповідно до коригування інфляції від 28 січня 2026 року, штрафи HIPAA становлять від мінімуму рівня 1 (145 доларів США) за порушення до мінімуму рівня 4 (73 011 доларів США) за порушення, з річним лімітом у 2 190 294 доларів США за категорію порушення. Кожен запис може рахуватися окремо, тому невеликі інциденти перетворюються на великі цифри.

Чи Microsoft Copilot, Google Gemini або Claude сумісні з HIPAA замість цього?

Зазвичай ні, і чесна відповідь – це принцип, а не рейтинг постачальника. Відповідність залежить від контракту, а не від моделі. Жоден споживчий чат-бот від будь-якого постачальника не продається за BAA, і ChatGPT також не є сумісним з HIPAA на своїх споживчих рівнях. Якщо постачальник стверджує, що його корпоративна або хмарна пропозиція може бути покрита, отримайте це письмово, назвавши ваш точний продукт.

Чи можу я подати скаргу HIPAA на OpenAI?

Зазвичай ні. Управління з цивільних прав HHS приймає скарги щодо охоплених суб'єктів та їхніх ділових партнерів. Без BAA, OpenAI не є ні тим, ні іншим, тому OCR не має юрисдикції щодо ваших особистих чатів. FTC є правильним місцем для споживчої скарги щодо не-HIPAA інструменту для здоров'я, відповідно до Закону FTC та Правила повідомлення про порушення стану здоров'я.

Якщо я видалю розмову ChatGPT, чи зникне інформація про здоров'я?

Ні. Видалення прибирає тему з вашого поля зору та запускає годинник збереження; копії можуть зберігатися в резервних копіях, системах безпеки та журналах субпроцесорів протягом певного періоду. Що важливіше для клініки, видалення не скасовує розкриття, яке вже відбулося. Якщо PHI потрапила, зобов'язання щодо відповідності існує незалежно, а видалення теми знищує докази, які потрібні вашому керівнику з питань конфіденційності.

Чи може мій роботодавець бачити медичні запитання, які я ввів у робочий обліковий запис ChatGPT?

Так, потенційно. На робочих планах організація володіє обліковим записом, встановлює термін збереження та може мати адміністративний доступ до даних розмов. Припускайте, що все, що введено в робочий обліковий запис, є видимим для вашого роботодавця, так само як і робоча електронна пошта. Особисті медичні запитання належать до особистого облікового запису на особистому пристрої, у ваш вільний час.

Чи все, що я запитую ChatGPT про своє здоров'я, потрапляє до моєї медичної картки або досягає мого страховика?

Ні. Споживчий чат-бот не має зв'язку з EHR вашого лікаря або з вашим планом охорони здоров'я, і ваші чати не потрапляють ні в той, ні в інший. Винятки – це ті, які ви створюєте: підключення інструменту до облікових записів, що містять ваші записи, або вставлення його виводу в повідомлення порталу пацієнта. Практики реклами та обміну даними є окремим питанням, яке регулюється політикою конфіденційності.

Чи є порушенням HIPAA використання ChatGPT для написання листа пацієнту?

Іноді, і роздільна лінія – це ідентифікатори. Запит шаблону загального листа-апеляції без деталей пацієнта не є розкриттям PHI, хоча політика вашого роботодавця все ще може забороняти це. Вставка імені, дати народження, дати візиту або діагнозу робить це розкриттям постачальнику без BAA, що є порушенням.

Висновок

Чи сумісний ChatGPT з HIPAA? Ні, і ця відповідь не зміниться через налаштування, яке ви перемикаєте. Вона змінюється лише тоді, коли організація підписує BAA, що називає конкретний продукт, а потім створює навколо нього засоби контролю доступу, журналювання та навчання. Якщо ви лікар, послідовність проста: без контракту – жодного PHI, і деідентифікуйте до стандарту Safe Harbor, коли ви його використовуєте. Якщо ви пацієнт, запитання було адресоване не тому закону. HIPAA обмежує ваших постачальників та їхніх постачальників. Ваш захист походить від політики конфіденційності, з якою ви погодилися, FTC, що стоїть за нею, та вашого власного судження щодо того, що друкувати.

Відмова від відповідальності: Ця стаття призначена виключно для інформаційних цілей і не є медичною порадою. Завжди консультуйтеся з кваліфікованим медичним працівником для прийняття рішень щодо діагностики та лікування. Якщо ви перебуваєте в надзвичайній медичній ситуації, негайно зателефонуйте 911 або зверніться до найближчого відділення невідкладної допомоги.