不。您今天购买的任何套餐的 ChatGPT 都符合 HIPAA 标准吗？不是，因为 OpenAI 不会为其消费者套餐签署业务伙伴协议。HIPAA 管理组织和合同，而不是模型。如果您将自己的健康信息键入自己的帐户，HIPAA 永远不适用。
摘要：主要观点
- 市面上没有符合 HIPAA 标准的 ChatGPT。免费、Plus 和 Go、Team 和 Enterprise 套餐均不附带业务伙伴协议 (BAA)。
- HIPAA 约束健康计划、清算所、提供商及其合同供应商。它不约束您，您将自己的症状键入自己的帐户。
- 取而代之的是，保护消费者的是供应商的隐私政策和联邦贸易委员会，后者已对一家健康平台处以 150 万美元的罚款。
- 关闭模型训练并使用临时聊天可降低风险。但这并不能提供法律保障。
- 如果受保护的健康信息 (PHI) 已输入普通 ChatGPT，请将其视为潜在泄露，并在当天告知您的隐私官。
ChatGPT 符合 HIPAA 标准吗？您今天注册的任何版本都不符合
ChatGPT 符合 HIPAA 标准吗？不。在撰写本文时，OpenAI 未在其消费者套餐（免费、Plus 和 Go、Team 或 Enterprise）中提供业务伙伴协议，没有该签署的合同，任何产品都无法获得覆盖。任何 AI 模型本身都不符合 HIPAA 标准：HIPAA 管理组织和合同，因此合规性取决于签署的 BAA 以及产品的配置、限制和日志记录方式。
唯一可能提供 BAA 的途径是 OpenAI 于 2026 年 1 月推出的医疗保健专用产品系列。该产品系列是新的，其条款是此页面上最不确定的事实，在依赖它之前，您应确认您的产品和套餐的可用性。
现在，比判决更重要的是重塑视角：对于大多数键入自己帐户的人来说，HIPAA 从未成为适用的法律。
HIPAA 约束您的诊所及其供应商，而不是您和您的键盘
该法律精确地涉及两类群体，这两类群体均在 45 CFR §160.103 中定义：受保实体（健康计划、医疗保健清算所和为标准交易电子传输健康信息的提供商）和业务伙伴，即在代表受保实体执行职能时，创建、接收、维护或传输 PHI 的任何人。这句话承载了全部分量。碰巧从公众成员那里接收健康相关文本的公司不是业务伙伴。
HHS 已经为应用程序处理了这一点。其 健康应用程序使用场景指南 发现，当个人主动填写应用程序并提供自己的数据，且没有合同支持时，不存在业务伙伴关系。
因此，当您将自己的症状粘贴到自己的 ChatGPT 帐户中时，HIPAA 不适用，OpenAI 也没有违反它。这不是一个漏洞。这是法规的架构。
保护您的是 OpenAI 的隐私政策，该政策起着可执行承诺的作用，此外还有 FTC。2024 年修订的《健康泄露通知规则》明确涵盖了不受 HIPAA 管辖的健康应用程序和类似技术。而且这种执法是真实的：FTC 在 2023 年因 GoodRx 向 Facebook 和 Google 披露处方药和健康状况数据而对其处以 150 万美元的民事罚款。
请牢记这种对比。消费者聊天机器人应为您提供隐私政策。获得合同覆盖的远程医疗应用程序则应为您提供 HIPAA。在两次就诊之间，像 August AI 这样的健康伴侣应用程序可以帮助您记录症状并提出通俗易懂的问题，作为护理的辅助而非替代品，绝不能作为决定性因素。
真正的问题不在于聊天机器人。而在于您的言语接下来会去向何处
ChatGPT 会共享您的数据吗？机械上来说，是的，以云产品的方式。在消费者套餐中，默认设置允许将对话用于改进模型，并保留一段时间，由人工审查以确保安全和进行故障排除。子处理器和基础设施供应商在运行服务时会接触到这些数据，而这正是 BAA 所要管辖的下游链。
对于 ChatGPT 是否共享您的数据，诚实的答案是：这取决于您的套餐、您的设置以及您连接了什么。这引出了我最常看到的错误：关闭模型训练并切换到临时聊天确实可以降低风险，您应该两者都做。但这并不能提供 HIPAA 覆盖。这是必要条件，而非充分条件。
然后是更隐蔽的风险。连接器允许 ChatGPT 访问 Gmail、Google Drive、共享的诊所收件箱或 EHR 辅助工具，并读取其中的内容。没有人需要粘贴任何内容。指向包含转诊信的邮箱的连接器是即将发生的泄露，并且在任何人的审计日志中都不会显示出来。
ChatGPT Health 的“增强隐私”是产品承诺，而非法律承诺
ChatGPT Health 符合 HIPAA 标准吗？
ChatGPT Health 符合 HIPAA 标准吗？不。即使选择任何隐私设置，个人消费者也无法在 ChatGPT Health 上获得业务伙伴协议，因为 BAA 是受保实体与其供应商之间的合同，而使用个人帐户的患者两者都不是。
关于增强隐私、隔离和加密的声明是产品设计断言。它们可以描述真正的工程，但对 HIPAA 是否适用仍然没有法律影响，因为 HIPAA 取决于您是谁以及您签署了什么，而不是存储层是如何构建的。
该产品为患者改变的是对您自己数据的默认处理方式，这很有价值。它并没有建立受监管的关系。请将其与 2026 年 1 月推出的临床医生和企业医疗保健版本分开考虑，这些版本是面向组织的，也是唯一可以讨论合同的地方。
只有签署的业务伙伴协议才能使 AI 工具合规
ChatGPT 业务伙伴协议是唯一能够让 OpenAI 为您组织的使用而纳入 HIPAA 的法律机制。其他一切都是卫生习惯。
| 产品或套餐 | BAA 可以覆盖它吗？ |
| 免费 | 否。永久排除。 |
| Plus / Go | 否。永久排除。 |
| Team | 不提供。 |
| Business | 不提供。 |
| Enterprise | 不作为面向消费者的术语提供。在假设之前书面询问。 |
| Edu | 否。它不是医疗保健 SKU。 |
| API / 平台 | 不要假设。为您的帐户获取书面答复。 |
| ChatGPT for Healthcare | 可能。请确认您的确切 SKU。 |
| ChatGPT for Clinicians | 可能。请确认您的确切 SKU。 |
| ChatGPT Health (消费者) | 否。不对个人提供。 |
BAA 由组织签署，而不是由个人临床医生签署，并且必须命名实际使用的特定产品和套餐。涵盖 API 帐户的 BAA 不涵盖使用个人地址登录的浏览器标签页。
大多数页面不会告诉您这一点：签署的 BAA 是一个底线，而不是终点线。没有基于角色的访问控制、有人实际阅读的审计日志、最小必要限制发送的内容，以及明确命名此工具的员工培训，您就会同时面临合同和合规问题。请通过 OpenAI 书面确认 BAA 的可用性，针对您的确切 SKU，而不是从营销页面推断。2026 年的产品系列在监管方面是几周前才出现的。
删除患者姓名不是去标识化
决定在将 PHI 用于 ChatGPT 之前进行去标识化是正确的想法，但标准是 HHS 标准，而不是判断。
安全港意味着删除所有 18 个列出的标识符类别，并且不确切知道剩余的内容是否可以识别某人。这些是姓名；小于州级别的地理位置；所有与个人相关的日期，包括入院、出院、就诊和出生日期；电话、传真和电子邮件；社会安全号、病历号、健康计划号和账号；证书和许可证号；车辆和设备标识符及序列号；URL 和 IP 地址；生物特征；全脸照片；以及任何其他唯一代码。
临床医生会遗漏的项是可以预测的：就诊日期、城市、89 岁以上年龄、粘贴的病历中的病历号 (MRN)、设备序列号、照片，以及足够独特的 verbatim 自由文本引用，可以单独指明某人。
具体来说，一份去除了姓名但仍然显示“一名 34 岁的患者在 Bozeman 就诊，于 3 月 3 日确诊罕见自身免疫性疾病”的病历，不是去标识化数据。它是删除了最简单字段的 PHI。
去标识化也不是万能药。它消除了 HIPAA 问题。它并没有消除您雇主的可用使用政策、您的供应商合同或州隐私法，其中一些法律的覆盖范围比 HIPAA 更广。
合规的 AI 工作流程六步法，包括 PHI 已输入的情况
符合 HIPAA 标准的 ChatGPT 不是您可以购买的东西；存在的是工具和工作流程之间的差距，这六个步骤可以弥合它。
- 确定您是哪个读者。代表受保实体行事意味着 HIPAA 适用于您键入的内容。使用您自己的帐户处理您自己的健康意味着不适用。
- 在任何临床使用之前，书面确认 BAA 是否涵盖确切的产品和套餐。没有 BAA 就没有 PHI，全盘否定。
- 关闭模型训练并使用临时聊天。明确说明这是什么：风险降低，而非合规。
- 审计并断开连接器，在审查每个连接器之前，断开连接到临床电子邮件、云存储或 EHR 附近的任何内容的连接。
- 在粘贴之前，按安全港标准进行去标识化，然后也阅读输出。模型会重述您输入它们的具体细节。
- 如果 PHI 已输入，请将其视为潜在泄露。停止使用该线程。不要悄悄删除它，因为它是有证据。立即通知您的隐私或合规官，记录披露的内容和时间，并让他们运行泄露通知规则风险评估并做出通知决定。不要自行处理。
如果您是患者而不是临床医生，以上都不适用。您不需要 BAA 和变通方法。决定您愿意分享什么，在您不会公开发布的提示中避免使用标识符，如果您不确定事情的紧迫性，免费的 August AI 症状检查器 是一个合理的初步分诊步骤。当您需要的是护理而非信息时，例如 在线 ADHD 评估，这发生在提供商关系中，HIPAA 从第一个入会表格开始就适用。
有些症状不应首先咨询聊天机器人
本文中的隐私建议不应延迟紧急护理。如果您在打字和打电话之间犹豫不决，请打电话。
如果您出现以下情况，请立即拨打 911 或前往急诊室：
- 您感到胸痛或呼吸困难。
- 您突然出现麻木、言语不清或面部下垂，这些是中风的迹象。
- 您有严重出血。
- 您有自杀念头。停止打字并拨打 911 或 988。AI 聊天无法检查您或派遣帮助。
如果您出现以下情况，请在下周内预约就诊：
- 您已经用聊天机器人对同一种症状进行了几天分诊，但没有改善。
- 您发现了一个新的肿块或体重不明原因的变化。
- 聊天机器人一直建议您去看医生。这就是答案，而不是占位符。
如果您出现以下情况，请在开始之前与临床医生交谈：
- AI 回复建议您停止服用处方药、更改剂量或忽视您的护理团队。请先与您的处方医生确认。这些工具会产生自信错误的医疗建议，并且它们以与正确时相同的语气进行。
对于中间层，August 39 美元的在线紧急护理访问 可连接到一名获得美国执业资格的临床医生，该医生可以评估症状并在他们认为合适时开具处方。临床医生决定。视频就诊无法亲自检查您、当场订购影像检查或处理紧急情况，因此第一层的情况都属于急诊室的范畴。
常见问题解答
如果员工将患者信息粘贴到 ChatGPT 中，诊所会被罚款吗？
是的。责任归属于组织，而不是个人。根据 2026 年 1 月 28 日的通货膨胀调整，HIPAA 民事罚款从第一级最低的每项违规 145 美元到第四级最低的每项违规 73,011 美元不等，每项违规类别的年度上限为 2,190,294 美元。每条记录都可以单独计算，这就是小事件如何变成大数字。
Microsoft Copilot、Google Gemini 或 Claude 是否符合 HIPAA 标准？
通常不符合，诚实的答案是一个原则而不是供应商排名。合规性遵循合同，而不是模型。任何供应商的消费者聊天机器人都不在 BAA 下销售，ChatGPT 也不在其消费者套餐中符合 HIPAA 标准。如果供应商告诉您其企业版或云产品可以覆盖，请将其书面记录下来，并明确您的确切产品。
我可以就 OpenAI 提起 HIPAA 投诉吗？
通常不能。HHS 公共卫生办公室处理有关受保实体及其业务伙伴的投诉。在没有 BAA 的情况下，OpenAI 两者都不是，因此 OCR 对您的个人聊天没有管辖权。根据 FTC 法案和《健康泄露通知规则》，FTC 是消费者就非 HIPAA 健康工具提起投诉的正确渠道。
如果我删除 ChatGPT 对话，健康信息是否就消失了？
不。删除会将对话从您的视图中移除并启动保留时钟；副本可能会在一段时间内保留在备份、安全系统和子处理器日志中。对于诊所来说更重要的是，删除并不能撤销已经发生的披露。如果 PHI 已输入，合规义务仍然存在，删除对话会销毁您的隐私官所需的证据。
我的雇主能看到我输入工作 ChatGPT 帐户的健康问题吗？
是的，有可能。在工作区计划中，组织拥有帐户，设置保留期，并可以管理对话数据的访问权限。假设输入工作帐户的任何内容都可能被您的雇主看到，这与工作电子邮件相同。个人健康问题应该在您自己的时间，使用您自己的设备，在您自己的帐户中提出。
我向 ChatGPT 提出的关于我健康的任何问题是否会进入我的病历或到达我的保险公司？
不。消费者聊天机器人与您的临床医生的 EHR 或您的健康计划没有任何联系，您的聊天内容也不会流入其中。例外情况是您自己创建的：将工具连接到包含您记录的帐户，或将其输出粘贴到患者门户消息中。广告和数据共享实践是隐私政策管辖的另一个独立问题。
使用 ChatGPT 起草患者信函是否违反 HIPAA？
有时，界线在于标识符。要求一个通用的申诉信模板，不包含患者详细信息，不构成 PHI 的披露，尽管您的雇主政策可能仍然禁止这样做。粘贴姓名、出生日期、就诊日期或诊断信息，就构成向没有 BAA 的供应商披露，这就是违规行为。
结论
ChatGPT 符合 HIPAA 标准吗？不，这个答案不会因为您切换一个设置而改变。只有当一个组织签署了命名特定产品的 BAA，然后围绕它建立了访问控制、日志记录和培训时，这个答案才会改变。如果您是临床医生，顺序很简单：没有合同，就没有 PHI，并且在使用时按照安全港标准进行去标识化。如果您是患者，这个问题问错了法律。HIPAA 限制您的提供商及其供应商。您的保护来自于您同意的隐私政策、其背后的 FTC，以及您自己关于输入什么的判断。
免责声明：本文仅供参考，不构成医疗建议。在做出诊断和治疗决定时，请务必咨询合格的医疗保健提供者。如果您正在经历医疗紧急情况，请立即拨打 911 或前往最近的急诊室。
