ChatGPT có tuân thủ HIPAA không? Điều đó có ý nghĩa gì đối với bệnh nhân và phòng khám

Không. ChatGPT có tuân thủ HIPAA trên bất kỳ gói nào bạn có thể mua ngày hôm nay không? Không, bởi vì OpenAI không ký thỏa thuận đối tác kinh doanh cho các gói dành cho người tiêu dùng của mình. HIPAA điều chỉnh các tổ chức và hợp đồng, không phải các mô hình. Và nếu bạn nhập thông tin sức khỏe của chính mình vào tài khoản của riêng bạn, HIPAA sẽ không bao giờ áp dụng.

TL;DR: Các điểm chính

• Không có ChatGPT tuân thủ HIPAA nào trên thị trường dành cho người tiêu dùng. Các gói Miễn phí, Plus và Go, Team và Enterprise không được bán kèm theo thỏa thuận đối tác kinh doanh (BAA).
• HIPAA ràng buộc các kế hoạch bảo hiểm y tế, các trung tâm thanh toán bù trừ, các nhà cung cấp dịch vụ và các nhà cung cấp được ký hợp đồng của họ. Nó không ràng buộc bạn, người nhập các triệu chứng của mình vào tài khoản của mình.
• Điều bảo vệ người tiêu dùng thay vào đó là chính sách quyền riêng tư của nhà cung cấp và Ủy ban Thương mại Liên bang, cơ quan này đã phạt một nền tảng y tế 1,5 triệu đô la.
• Tắt tính năng đào tạo mô hình và sử dụng trò chuyện tạm thời giúp giảm thiểu rủi ro. Nó không tạo ra phạm vi bảo hiểm pháp lý.
• Nếu thông tin sức khỏe được bảo vệ (PHI) đã được nhập vào ChatGPT thông thường, hãy coi đó là một vi phạm tiềm ẩn và báo cáo cho cán bộ phụ trách quyền riêng tư của bạn ngay trong ngày.

ChatGPT có tuân thủ HIPAA không? Không có phiên bản nào bạn có thể đăng ký ngay hôm nay

ChatGPT có tuân thủ HIPAA không? Không. Tính đến thời điểm viết bài này, OpenAI không cung cấp thỏa thuận đối tác kinh doanh trên các gói dành cho người tiêu dùng của mình (Miễn phí, Plus và Go, Team hoặc Enterprise), và nếu không có hợp đồng đã ký đó thì không có sản phẩm nào có thể được bảo hiểm. Không có mô hình AI nào tự nó tuân thủ HIPAA: HIPAA điều chỉnh các tổ chức và hợp đồng, vì vậy việc tuân thủ phụ thuộc vào BAA đã ký cộng với cách sản phẩm được cấu hình, hạn chế và ghi nhật ký.

Con đường duy nhất mà BAA thậm chí còn được đưa ra là dòng sản phẩm dành riêng cho chăm sóc sức khỏe mà OpenAI đã ra mắt vào tháng 1 năm 2026. Dòng sản phẩm đó còn mới, các điều khoản của nó là sự kiện biến động nhất trên trang này, và bạn nên xác minh tính khả dụng cho sản phẩm và hạng mục của riêng mình trước khi dựa vào nó.

Bây giờ, việc định hình lại quan trọng hơn phán quyết: đối với hầu hết mọi người nhập vào tài khoản của riêng họ, HIPAA chưa bao giờ là luật được áp dụng.

HIPAA ràng buộc phòng khám của bạn và các nhà cung cấp của nó, không phải bạn và bàn phím của bạn

Luật này chỉ áp dụng cho hai nhóm, cả hai đều được định nghĩa tại 45 CFR §160.103: các đơn vị được bảo hiểm (các kế hoạch bảo hiểm y tế, các trung tâm thanh toán bù trừ y tế và các nhà cung cấp dịch vụ truyền thông tin y tế điện tử cho các giao dịch tiêu chuẩn) và các đối tác kinh doanh, nghĩa là bất kỳ ai tạo, nhận, duy trì hoặc truyền PHI trong khi thực hiện chức năng thay mặt cho một đơn vị được bảo hiểm. Cụm từ đó mang toàn bộ trọng lượng. Một công ty tình cờ nhận được văn bản liên quan đến sức khỏe từ một thành viên công chúng không phải là đối tác kinh doanh.

HHS đã xem xét điều này cho các ứng dụng. Hướng dẫn về các tình huống sử dụng ứng dụng sức khỏe của họ không tìm thấy mối quan hệ đối tác kinh doanh khi một người điền vào ứng dụng với dữ liệu của chính họ theo sáng kiến của riêng họ, không có hợp đồng nào đằng sau nó.

Vì vậy, khi bạn dán các triệu chứng của mình vào tài khoản ChatGPT của mình, HIPAA không áp dụng và OpenAI không vi phạm nó. Đó không phải là một lỗ hổng. Đó là kiến trúc của luật.

Điều bảo vệ bạn thay vào đó là chính sách quyền riêng tư của OpenAI, hoạt động như một lời hứa có thể thi hành, cộng với FTC. Quy tắc Thông báo Vi phạm Sức khỏe sửa đổi năm 2024 bao gồm rõ ràng các ứng dụng sức khỏe và các công nghệ tương tự không thuộc phạm vi điều chỉnh của HIPAA. Và việc thực thi đó là có thật: FTC đã giành được khoản tiền phạt dân sự 1,5 triệu đô la đối với GoodRx vào năm 2023 vì tiết lộ dữ liệu đơn thuốc và tình trạng sức khỏe cho Facebook và Google.

Hãy ghi nhớ sự tương phản này. Một chatbot dành cho người tiêu dùng nợ bạn một chính sách quyền riêng tư. Một ứng dụng telehealth được bảo hiểm theo hợp đồng nợ bạn HIPAA. Giữa các lần khám, một ứng dụng bạn đồng hành sức khỏe như August AI có thể giúp bạn ghi lại các triệu chứng và đặt câu hỏi bằng ngôn ngữ thông thường, như một sự bổ sung cho việc chăm sóc chứ không phải là sự thay thế cho nó, và không bao giờ là thứ đưa ra quyết định.

Vấn đề thực sự không phải là chatbot. Đó là nơi lời nói của bạn đi tiếp theo

ChatGPT có chia sẻ dữ liệu của bạn không? Về mặt cơ học, có, theo những cách thông thường mà một sản phẩm đám mây thực hiện. Trên các gói dành cho người tiêu dùng, cài đặt mặc định cho phép các cuộc trò chuyện được sử dụng để cải thiện mô hình, được lưu giữ trong một khoảng thời gian và được con người xem xét để đảm bảo an toàn và khắc phục sự cố. Các nhà cung cấp phụ trợ và nhà cung cấp cơ sở hạ tầng sẽ chạm vào dữ liệu đó trong khi chạy dịch vụ, đó chính xác là chuỗi tiếp theo mà BAA được viết ra để điều chỉnh.

Câu trả lời trung thực cho câu hỏi ChatGPT có chia sẻ dữ liệu của bạn không là tùy thuộc vào hạng mục của bạn, cài đặt của bạn và những gì bạn đã kết nối nó với. Điều này dẫn đến lỗi mà tôi thấy phổ biến nhất: tắt tính năng đào tạo mô hình và chuyển sang trò chuyện tạm thời thực sự giúp giảm thiểu rủi ro, và bạn nên làm cả hai. Nó không tạo ra phạm vi bảo hiểm HIPAA. Cần thiết, nhưng chưa đủ.

Sau đó là rủi ro thầm lặng hơn. Các trình kết nối cho phép ChatGPT truy cập vào Gmail, Google Drive, hộp thư đến chung của phòng khám hoặc một công cụ liên quan đến EHR và đọc những gì có trong đó. Không ai cần phải dán bất cứ điều gì. Một trình kết nối trỏ đến một hộp thư đầy các thư giới thiệu là một tiết lộ sắp xảy ra, và nó sẽ không xuất hiện như vậy trong bất kỳ nhật ký kiểm toán nào.

ChatGPT Health "tăng cường quyền riêng tư" là một lời hứa về sản phẩm, không phải là một lời hứa pháp lý

ChatGPT Health có tuân thủ HIPAA không?

ChatGPT Health có tuân thủ HIPAA không? Không. Một người tiêu dùng cá nhân không thể có được thỏa thuận đối tác kinh doanh trên ChatGPT Health bất kể họ chọn cài đặt quyền riêng tư nào, bởi vì BAA là một hợp đồng giữa một đơn vị được bảo hiểm và nhà cung cấp của nó, và một bệnh nhân sử dụng tài khoản cá nhân thì không phải cả hai.

Các tuyên bố về quyền riêng tư tăng cường, cô lập và mã hóa là các tuyên bố về thiết kế sản phẩm. Chúng có thể mô tả kỹ thuật chân thực và vẫn có tác dụng pháp lý bằng không đối với việc HIPAA có áp dụng hay không, bởi vì HIPAA phụ thuộc vào việc bạn là ai và bạn đã ký gì, chứ không phải cách lớp lưu trữ được xây dựng.

Những gì sản phẩm thay đổi đối với bệnh nhân là cách xử lý mặc định dữ liệu của bạn, điều này có giá trị. Nó không tạo ra mối quan hệ được quản lý. Hãy giữ nó tách biệt trong tâm trí bạn với các phiên bản dành cho bác sĩ lâm sàng và doanh nghiệp chăm sóc sức khỏe được ra mắt vào tháng 1 năm 2026, được bán cho các tổ chức và là nơi duy nhất có thể thảo luận về hợp đồng.

Chỉ có thỏa thuận đối tác kinh doanh đã ký mới có thể làm cho công cụ AI tuân thủ

Thỏa thuận đối tác kinh doanh ChatGPT là cơ chế pháp lý duy nhất kéo OpenAI vào phạm vi điều chỉnh của HIPAA cho việc sử dụng của tổ chức bạn. Tất cả những thứ khác là vệ sinh.

BAA được ký bởi tổ chức, không phải bởi một bác sĩ lâm sàng cá nhân, và nó phải nêu rõ sản phẩm và hạng mục cụ thể đang được sử dụng. BAA bao gồm một tài khoản API không bao gồm tab trình duyệt mà ai đó đã đăng nhập bằng địa chỉ cá nhân.

Đây là những gì hầu hết các trang sẽ không cho bạn biết: BAA đã ký là một sàn, không phải là vạch đích. Nếu không có kiểm soát truy cập dựa trên vai trò, ghi nhật ký kiểm toán mà ai đó thực sự đọc, giới hạn tối thiểu cần thiết đối với những gì được gửi và đào tạo nhân viên nêu rõ công cụ này, bạn sẽ gặp phải cả vấn đề hợp đồng và tuân thủ. Nhận xác nhận tính khả dụng của BAA bằng văn bản từ OpenAI cho SKU chính xác của bạn thay vì suy luận từ trang tiếp thị. Dòng sản phẩm năm 2026 chỉ mới vài tuần tuổi theo thuật ngữ quy định.

Loại bỏ tên bệnh nhân không phải là khử nhận dạng

Quyết định khử nhận dạng PHI trước khi sử dụng ChatGPT là bản năng đúng, nhưng thanh tiêu chuẩn là tiêu chuẩn của HHS, không phải là một quyết định phán đoán. Hai phương pháp đủ điều kiện: Safe Harbor và Xác định Chuyên gia chính thức bởi một nhà thống kê đủ tiêu chuẩn.

Safe Harbor có nghĩa là loại bỏ tất cả 18 loại định danh được liệt kê và không có kiến thức thực tế nào về những gì còn lại có thể xác định được một người. Đó là tên; địa lý nhỏ hơn một tiểu bang; tất cả các ngày liên quan đến cá nhân, bao gồm ngày nhập viện, xuất viện, thăm khám và ngày sinh; điện thoại, fax và email; Số An sinh Xã hội, hồ sơ y tế, kế hoạch y tế và số tài khoản; số chứng chỉ và giấy phép; số nhận dạng và số sê-ri của phương tiện và thiết bị; URL và địa chỉ IP; sinh trắc học; ảnh toàn khuôn mặt; và bất kỳ mã duy nhất nào khác.

Những cái mà bác sĩ lâm sàng thường bỏ sót là: ngày thăm khám, thành phố, độ tuổi trên 89, MRN nằm ở đầu ghi chú được dán, số sê-ri thiết bị, ảnh và các trích dẫn văn bản tự do nguyên văn đủ đặc biệt để tự nó đặt tên cho người đó.

Cụ thể, một ghi chú bị xóa tên nhưng vẫn đọc "bệnh nhân 34 tuổi ở Bozeman, được khám ngày 3 tháng 3, xác nhận chẩn đoán tự miễn hiếm gặp" không phải là dữ liệu được khử nhận dạng. Đó là PHI với trường dễ nhất đã bị xóa.

Khử nhận dạng cũng không phải là giải pháp toàn diện. Nó loại bỏ câu hỏi HIPAA. Nó không loại bỏ chính sách sử dụng chấp nhận được của người sử dụng lao động của bạn, hợp đồng nhà cung cấp của bạn, hoặc luật bảo mật của tiểu bang, trong đó một số luật bao quát hơn HIPAA.

Quy trình làm việc AI tuân thủ trong sáu bước, bao gồm cả trường hợp PHI đã được nhập

ChatGPT tuân thủ HIPAA không tồn tại như một thứ bạn mua; cái tồn tại là khoảng cách giữa một công cụ và một quy trình làm việc, và sáu bước này sẽ thu hẹp nó lại.

1. Quyết định bạn là người đọc nào. Hành động thay mặt cho một đơn vị được bảo hiểm có nghĩa là HIPAA áp dụng cho những gì bạn nhập. Sử dụng tài khoản của riêng bạn cho sức khỏe của riêng bạn có nghĩa là nó không áp dụng.
2. Xác nhận bằng văn bản liệu BAA có bao gồm sản phẩm và hạng mục chính xác hay không trước khi sử dụng lâm sàng. Không có BAA nghĩa là không có PHI, dừng hoàn toàn.
3. Tắt tính năng đào tạo mô hình và sử dụng trò chuyện tạm thời. Nói to điều này là gì: giảm thiểu rủi ro, không phải tuân thủ.
4. Kiểm tra và ngắt kết nối các trình kết nối truy cập vào email lâm sàng, lưu trữ đám mây hoặc bất kỳ thứ gì liền kề với EHR, cho đến khi mỗi trình kết nối được xem xét.
5. Khử nhận dạng theo tiêu chuẩn Safe Harbor trước khi dán, sau đó đọc cả đầu ra. Các mô hình lặp lại các chi tiết cụ thể mà bạn đã cung cấp cho chúng.
6. Nếu PHI đã được nhập, hãy coi đó là một vi phạm tiềm ẩn. Ngừng sử dụng luồng đó. Đừng âm thầm xóa nó, vì đó là bằng chứng. Thông báo cho cán bộ phụ trách quyền riêng tư hoặc tuân thủ của bạn ngay trong ngày, ghi lại những gì đã được tiết lộ và khi nào, và để họ thực hiện đánh giá rủi ro của Quy tắc Thông báo Vi phạm và đưa ra quyết định thông báo. Đừng tự mình giải quyết.

Nếu bạn là bệnh nhân thay vì bác sĩ lâm sàng, thì không có điều nào trong số này áp dụng cho bạn. Bạn không cần BAA và không cần giải pháp thay thế. Quyết định xem bạn thoải mái chia sẻ những gì, giữ các định danh ra khỏi các lời nhắc mà bạn sẽ không đăng công khai, và nếu bạn không chắc mức độ khẩn cấp của điều gì đó, Công cụ kiểm tra triệu chứng của August AI miễn phí là một bước phân loại ban đầu hợp lý. Khi những gì bạn cần là chăm sóc chứ không phải thông tin, ví dụ như đánh giá ADHD trực tuyến, điều đó xảy ra trong mối quan hệ nhà cung cấp, nơi HIPAA áp dụng ngay từ mẫu tiếp nhận ban đầu.

Một số triệu chứng không bao giờ nên được đưa cho chatbot trước

Không có lời khuyên về quyền riêng tư nào trong bài viết này nên trì hoãn việc chăm sóc khẩn cấp. Nếu bạn đang phân vân giữa việc nhập và gọi điện, hãy gọi.

Gọi 911 hoặc đến phòng cấp cứu ngay lập tức nếu:

• Bạn bị đau ngực hoặc khó thở.
• Bạn bị tê đột ngột, nói lắp hoặc sụp mặt, đó là dấu hiệu đột quỵ.
• Bạn bị chảy máu nặng.
• Bạn có ý định tự tử. Dừng gõ và gọi 911 hoặc 988. Trò chuyện AI không thể khám cho bạn hoặc điều động trợ giúp.

Đặt lịch hẹn trong vòng một tuần nếu:

• Bạn đã phân loại cùng một triệu chứng với chatbot trong nhiều ngày và nó không cải thiện.
• Bạn có một khối u mới hoặc thay đổi cân nặng không rõ nguyên nhân.
• Chatbot liên tục khuyên bạn nên đi khám bác sĩ. Đó là câu trả lời, không phải là chỗ giữ chỗ.

Nói chuyện với bác sĩ lâm sàng trước khi bạn bắt đầu nếu:

• Phản hồi của AI khuyên bạn ngừng dùng thuốc theo đơn, thay đổi liều lượng hoặc phớt lờ đội ngũ chăm sóc của bạn. Hãy xác nhận với người kê đơn trước. Các công cụ này đưa ra hướng dẫn y tế sai một cách tự tin, và chúng thực hiện điều đó với cùng một giọng điệu như khi chúng đúng.

Đối với hạng mục giữa, chuyến thăm chăm sóc khẩn cấp trực tuyến trị giá 39 đô la của August kết nối bạn với một bác sĩ lâm sàng được cấp phép tại Hoa Kỳ, người có thể đánh giá các triệu chứng và kê đơn khi họ cho là phù hợp. Bác sĩ lâm sàng quyết định. Một cuộc gọi video không thể khám cho bạn trực tiếp, yêu cầu chụp ảnh ngay lập tức hoặc quản lý trường hợp khẩn cấp, vì vậy bất cứ điều gì trong hạng mục đầu tiên đều thuộc về phòng cấp cứu.

Các câu hỏi thường gặp

Phòng khám có thể bị phạt nếu nhân viên dán thông tin bệnh nhân vào ChatGPT không?

Có. Trách nhiệm pháp lý thuộc về tổ chức, không phải cá nhân. Theo điều chỉnh lạm phát ngày 28 tháng 1 năm 2026, các khoản phạt tiền dân sự HIPAA dao động từ mức tối thiểu Hạng 1 là 145 đô la cho mỗi lần vi phạm đến mức tối thiểu Hạng 4 là 73.011 đô la cho mỗi lần vi phạm, với giới hạn hàng năm là 2.190.294 đô la cho mỗi loại vi phạm. Mỗi hồ sơ có thể được tính riêng, đó là cách các sự cố nhỏ trở thành số lượng lớn.

Microsoft Copilot, Google Gemini hoặc Claude có tuân thủ HIPAA thay thế không?

Thường thì không, và câu trả lời trung thực là một nguyên tắc thay vì xếp hạng nhà cung cấp. Tuân thủ đi theo hợp đồng, không phải mô hình. Không có chatbot dành cho người tiêu dùng nào từ bất kỳ nhà cung cấp nào được bán theo BAA, và ChatGPT cũng không tuân thủ HIPAA trong các gói dành cho người tiêu dùng của nó. Nếu nhà cung cấp cho bạn biết rằng các dịch vụ doanh nghiệp hoặc đám mây của họ có thể được bảo hiểm, hãy lấy điều đó bằng văn bản nêu rõ sản phẩm chính xác của bạn.

Tôi có thể nộp đơn khiếu nại HIPAA đối với OpenAI không?

Thường thì không. Văn phòng Dân quyền của HHS tiếp nhận các khiếu nại về các đơn vị được bảo hiểm và các đối tác kinh doanh của họ. Nếu không có BAA, OpenAI không phải là một trong hai, vì vậy OCR không có thẩm quyền đối với các cuộc trò chuyện cá nhân của bạn. FTC là nơi thích hợp cho một khiếu nại của người tiêu dùng về một công cụ y tế không tuân thủ HIPAA, theo Đạo luật FTC và Quy tắc Thông báo Vi phạm Sức khỏe.

Nếu tôi xóa một cuộc trò chuyện ChatGPT, liệu thông tin sức khỏe có bị xóa không?

Không. Việc xóa sẽ loại bỏ luồng đó khỏi tầm nhìn của bạn và bắt đầu một đồng hồ lưu giữ; các bản sao có thể vẫn còn trong các bản sao lưu, hệ thống an toàn và nhật ký của nhà cung cấp phụ trợ trong một khoảng thời gian. Quan trọng hơn đối với phòng khám, việc xóa không thể đảo ngược một tiết lộ đã xảy ra. Nếu PHI đã được nhập, nghĩa vụ tuân thủ vẫn tồn tại bất kể, và việc xóa luồng sẽ phá hủy bằng chứng mà cán bộ phụ trách quyền riêng tư của bạn cần.

Giám đốc điều hành của tôi có thể xem các câu hỏi sức khỏe mà tôi đã nhập vào tài khoản ChatGPT của công ty không?

Có, có thể. Trên các gói làm việc, tổ chức sở hữu tài khoản, đặt cấu hình lưu giữ và có thể có quyền truy cập quản trị vào dữ liệu cuộc trò chuyện. Giả định rằng bất cứ điều gì được nhập vào tài khoản công việc đều có thể nhìn thấy được đối với người sử dụng lao động của bạn, giống như email công việc. Các câu hỏi sức khỏe cá nhân nên được đặt trong tài khoản cá nhân trên thiết bị cá nhân, vào thời gian của riêng bạn.

Bất cứ điều gì tôi hỏi ChatGPT về sức khỏe của tôi có kết thúc trong hồ sơ y tế của tôi hoặc đến được người bảo hiểm của tôi không?

Không. Một chatbot dành cho người tiêu dùng không có kết nối với EHR của bác sĩ lâm sàng của bạn hoặc với kế hoạch y tế của bạn, và các cuộc trò chuyện của bạn không chuyển vào một trong hai. Các ngoại lệ là những cái bạn tạo ra: kết nối công cụ với các tài khoản chứa hồ sơ của bạn, hoặc dán đầu ra của nó vào tin nhắn cổng thông tin bệnh nhân. Thực hành quảng cáo và chia sẻ dữ liệu là một mối quan tâm riêng biệt được điều chỉnh bởi chính sách quyền riêng tư.

Việc sử dụng ChatGPT để soạn thư cho bệnh nhân có vi phạm HIPAA không?

Đôi khi, và ranh giới phân chia là các định danh. Yêu cầu một mẫu thư kháng nghị chung chung không có thông tin chi tiết về bệnh nhân không phải là tiết lộ PHI, mặc dù chính sách của người sử dụng lao động của bạn có thể vẫn cấm điều đó. Dán tên, ngày sinh, ngày khám, hoặc chẩn đoán làm cho nó trở thành một tiết lộ cho một nhà cung cấp không có BAA, đó là sự vi phạm.

Điểm mấu chốt

ChatGPT có tuân thủ HIPAA không? Không, và câu trả lời đó sẽ không thay đổi vì một cài đặt bạn điều chỉnh. Nó chỉ thay đổi khi một tổ chức ký một BAA nêu rõ một sản phẩm cụ thể và sau đó xây dựng các kiểm soát truy cập, ghi nhật ký và đào tạo xung quanh nó. Nếu bạn là bác sĩ lâm sàng, trình tự rất đơn giản: không có hợp đồng, không có PHI, và khử nhận dạng theo tiêu chuẩn Safe Harbor khi bạn sử dụng nó. Nếu bạn là bệnh nhân, câu hỏi đã được nhắm mục tiêu sai luật. HIPAA hạn chế các nhà cung cấp của bạn và các nhà cung cấp của họ. Sự bảo vệ của bạn đến từ chính sách quyền riêng tư mà bạn đã đồng ý, FTC đứng sau nó, và phán đoán của riêng bạn về những gì cần nhập.

Tuyên bố miễn trừ trách nhiệm: Bài viết này chỉ nhằm mục đích cung cấp thông tin và không cấu thành lời khuyên y tế. Luôn tham khảo ý kiến của nhà cung cấp dịch vụ chăm sóc sức khỏe đủ điều kiện để đưa ra quyết định chẩn đoán và điều trị. Nếu bạn đang gặp trường hợp cấp cứu y tế, hãy gọi 911 hoặc đến phòng cấp cứu gần nhất ngay lập tức.