否。您今日購買的任何方案都不符合 HIPAA 法規。原因是 OpenAI 並未簽署其消費者方案的商業夥伴協議。HIPAA 管轄的是組織和合約，而非模型。如果您將自己的健康資訊輸入您自己的帳戶，HIPAA 根本就不適用。
重點摘要：關鍵要點
- 市面上沒有符合 HIPAA 法規的 ChatGPT。免費版、Plus 和 Go、Team 和 Enterprise 版本均未附帶商業夥伴協議 (BAA)。
- HIPAA 管轄的是健康計畫、清算所、提供者及其簽約的供應商。它並不約束您自行輸入症狀到您自己帳戶的行為。
- 保護消費者的是供應商的隱私權政策以及聯邦貿易委員會，後者已對一家健康平台處以 150 萬美元的罰款。
- 關閉模型訓練並使用臨時聊天可以降低風險。這並不能提供法律保障。
- 如果受保護的健康資訊 (PHI) 已輸入一般版 ChatGPT，請視為潛在的洩漏事件，並於當日告知您的隱私官。
ChatGPT 是否符合 HIPAA 法規？您今日註冊的任何版本均不符合
ChatGPT 是否符合 HIPAA 法規？否。截至本文撰寫之時，OpenAI 並未在其消費者方案（免費版、Plus 和 Go、Team 或 Enterprise 版）中提供商業夥伴協議，若無簽署該合約，任何產品都無法受到保護。任何 AI 模型本身都不符合 HIPAA 法規：HIPAA 管轄的是組織和合約，因此合規性取決於簽署的 BAA 以及產品的配置、限制和記錄方式。
唯一可能討論 BAA 的途徑是 OpenAI 在 2026 年 1 月推出的專為醫療保健設計的系列產品。該系列產品是新的，其條款是此頁面上最不穩定的事實，在依賴它之前，您應確認您自己的產品和方案是否可用。
現在，比這個結論更重要的是值得思考的觀點：對於大多數自行輸入資料的個人而言，HIPAA 從未是適用的法律。
HIPAA 管轄您的診所及其供應商，而非您和您的鍵盤
法律僅適用於兩類群體，兩者均在 45 CFR §160.103 中定義：受規範實體（健康計畫、醫療保健清算所以及為標準交易電子傳輸健康資訊的提供者）以及商業夥伴，意指任何在代表受規範實體執行職能時，創建、接收、維護或傳輸 PHI 的人。這個「代表」一詞具有全部的份量。一家碰巧從公眾成員那裡接收健康相關文字的公司，並非商業夥伴。
HHS 已經針對應用程式處理過這個問題。其 健康應用程式使用情境指南 認定，當個人主動將自己的數據填入應用程式，且沒有合約作為後盾時，不存在商業夥伴關係。
因此，當您將自己的症狀貼入您自己的 ChatGPT 帳戶時，HIPAA 並不適用，OpenAI 也沒有違反它。這不是一個漏洞。這是法規的結構。
保護您的是 OpenAI 的隱私權政策，它構成一項可執行的承諾，再加上 FTC。 2024 年修訂的健康洩漏通知規則 明確涵蓋了不受 HIPAA 管轄的健康應用程式及類似技術。而且這種執法是真實存在的：FTC 在 2023 年因 GoodRx 向 Facebook 和 Google 披露處方和健康狀況數據，處以 150 萬美元的民事罰款。
請記住這之間的對比。消費者聊天機器人應遵守隱私權政策。 簽有合約的遠距醫療應用程式 應遵守 HIPAA。在看診之間，像 August AI 這樣的健康伴侶應用程式可以幫助您記錄症狀並提出淺顯易懂的問題，作為照護的輔助而非替代，並且絕不能作為決策的依據。
真正問題不在於聊天機器人。而在於您的話語接下來會去向何處
ChatGPT 是否會分享您的數據？在技術上，是的，就像雲端產品的普通運作方式一樣。在消費者方案中，預設設定允許對話用於改進模型、保留一段時間，並由人工審查以確保安全和故障排除。子處理器和基礎設施供應商在運行服務時會接觸到這些數據，這正是 BAA 所要管理的下游鏈條。
關於 ChatGPT 是否分享您的數據，誠實的答案是：這取決於您的方案、您的設定以及您連接了什麼。這就引出了我最常看到的一個錯誤：關閉模型訓練並切換到臨時聊天確實能降低風險，您應該兩者都做。這並不能提供 HIPAA 保障。這是必要的，但不足夠。
然後還有一個較不明顯的風險。連接器讓 ChatGPT 可以存取 Gmail、Google Drive、共用診所收件箱或與 EHR 相關的工具，並閱讀其中的內容。無需貼上任何內容。一個指向充滿轉診信的郵箱的連接器將是一個潛在的洩漏事件，而這在任何人的審核記錄中都不會顯現。
ChatGPT Health 的「增強隱私」是產品承諾，而非法律承諾
ChatGPT Health 是否符合 HIPAA 法規？
ChatGPT Health 是否符合 HIPAA 法規？否。無論個人選擇何種隱私設定，個人消費者都無法獲得 ChatGPT Health 的商業夥伴協議，因為 BAA 是受規範實體及其供應商之間的合約，而使用個人帳戶的病患既非受規範實體也非供應商。
關於增強隱私、隔離和加密的說法是產品設計聲明。它們可能描述真實的工程，但對 HIPAA 是否適用沒有任何法律效力，因為 HIPAA 取決於您是誰以及您簽署了什麼，而不是儲存層是如何建構的。
該產品對病患的改變在於對您個人數據的預設處理方式，這是有價值的。它並未建立受監管的關係。請將其與 2026 年 1 月推出的臨床醫生和企業醫療保健版本區分開來，後者是出售給組織的，並且是唯一可以討論合約的場合。
只有簽署商業夥伴協議才能使 AI 工具符合規定
ChatGPT 的商業夥伴協議是將 OpenAI 納入您組織使用範圍內的 HIPAA 保護下的唯一法律機制。其他一切都只是衛生措施。
| 產品或方案 | 是否可以涵蓋 BAA？ |
| 免費版 | 否。永久排除。 |
| Plus / Go | 否。永久排除。 |
| Team | 未提供。 |
| Business | 未提供。 |
| Enterprise | 未以消費者為術語提供。在假設之前請書面詢問。 |
| Edu | 否。這不是醫療保健 SKU。 |
| API / 平台 | 請勿假設。針對您的帳戶書面獲取答案。 |
| ChatGPT for Healthcare | 可能。請確認您的確切 SKU。 |
| ChatGPT for Clinicians | 可能。請確認您的確切 SKU。 |
| ChatGPT Health (消費者版) | 否。不對個人提供。 |
BAA 由組織簽署，而非個別臨床醫生，且必須指明實際使用的特定產品和方案。涵蓋 API 帳戶的 BAA 不涵蓋使用個人地址登錄的瀏覽器分頁。
大多數網頁不會告訴您這個：簽署的 BAA 是一個底線，而不是終點線。沒有基於角色的存取控制、有人真正閱讀的審核記錄、最低必要限制傳送的內容，以及專門指明此工具的員工培訓，您將同時面臨合約和合規性問題。請透過 OpenAI 以書面形式確認您的確切 SKU 是否提供 BAA，而不是從行銷頁面上推斷。2026 年推出的產品系列在監管術語上是數週前才推出的。
移除病患姓名並非去識別化
在將 PHI 去識別化後使用 ChatGPT 的決定是正確的直覺，但標準是 HHS 標準，而非判斷。有兩種方法符合資格：安全港 (Safe Harbor) 和由合格統計學家進行的正式專家判定 (Expert Determination)。
安全港意味著移除所有 18 項列舉的識別符類別，並且實際上不知道剩餘的內容可以識別某人。這些是姓名；小於州的地理區域；與個人相關的所有日期，包括入院、出院、就診和出生日期；電話、傳真和電子郵件；社會安全號碼、病歷號碼、健康計畫號碼和帳戶號碼；證書和執照號碼；車輛和設備識別符及序號；URL 和 IP 地址；生物特徵；全臉照片；以及任何其他唯一代碼。
臨床醫生經常忽略的項目是：就診日期、城市、89 歲以上的年齡、貼上的病歷記錄標頭中的 MRN、設備序號、照片，以及足夠獨特以自行命名該人的逐字引述。
具體來說，一個刪除了姓名但仍顯示「一位 34 歲住在 Bozeman 的患者，於 3 月 3 日就診，確認罕見自身免疫性疾病」的病歷，並非去識別化的數據。它是刪除最簡單欄位的 PHI。
去識別化也不是萬靈丹。它消除了 HIPAA 的問題。但它並不能消除您雇主的允許使用政策、您的供應商合約，或某些比 HIPAA 範圍更廣的州隱私法。
合規的 AI 工作流程六步驟，包括 PHI 已輸入的情況
符合 HIPAA 法規的 ChatGPT 並非可購買的產品；真正存在的是工具和工作流程之間的差距，而這六個步驟可以彌補這個差距。
- 決定您扮演的角色。 以受規範實體的名義行事意味著 HIPAA 適用於您輸入的內容。使用您自己的帳戶處理您自己的健康問題則不適用。
- 在進行任何臨床使用前，請書面確認 BAA 是否涵蓋確切的產品和方案。無 BAA 則意味著無 PHI，就此結束。
- 關閉模型訓練並使用臨時聊天。 清楚說明這是什麼：降低風險，而非合規。
- 審核並斷開連接器，這些連接器會存取臨床電子郵件、雲端儲存或 EHR 以外的任何內容，直到每個連接器都經過審查。
- 在貼上之前，請按照安全港標準進行去識別化，然後再審查輸出。模型會重述您提供的具體細節。
- 如果 PHI 已輸入，請視為潛在的洩漏事件。 停止使用該對話串。不要悄悄刪除它，因為它是證據。當日通知您的隱私或合規官，記錄披露的內容和時間，並讓他們執行洩漏通知規則風險評估並做出通知決定。切勿自行處理。
如果您是病患而非臨床醫生，以上這些都不適用於您。您不需要 BAA 和解決方案。決定您願意分享多少內容，在您不打算公開發布的提示中避免使用識別符，如果您不確定某件事情的緊迫性，免費的 August AI 症狀檢查器 是一個合理的初步分診步驟。當您需要的是照護而非資訊時，例如 線上 ADHD 評估，這將在一個適用 HIPAA 的提供者關係中進行，從第一個登記表開始。
有些症狀絕不應先告知聊天機器人
本文中的任何隱私建議都不應延誤緊急照護。如果您在打字和打電話之間猶豫，請打電話。
如果您出現以下情況，請立即撥打 911 或前往急診室：
- 您感到胸痛或呼吸困難。
- 您出現突然麻木、言語不清或臉部下垂，這些是中風的跡象。
- 您嚴重出血。
- 您有自殺念頭。停止打字，請撥打 911 或 988。AI 聊天無法為您檢查或派遣協助。
如果您出現以下情況，請在一週內預約就診：
- 您已經用聊天機器人診斷同一症狀數天，但情況並未改善。
- 您出現新的腫塊或體重不明原因的變化。
- 聊天機器人不斷建議您就醫。這是建議，不是佔位符。
在開始之前，請與臨床醫生討論：
- AI 回應建議您停用處方藥、更改劑量或忽略您的照護團隊。請先與您的開藥醫師確認。這些工具會產生錯誤但聽起來很確定的醫療建議，而且它們會以與正確時相同的語氣進行。
對於中等緊急情況，August 的 39 美元的線上緊急照護就診 將您與美國執業的臨床醫生聯繫起來，他們可以在判斷適當時為您評估症狀並開處方。由臨床醫生決定。視訊就診無法親自為您檢查、當場訂購影像學檢查或處理緊急情況，因此第一級情況應送往急診室。
常見問題
如果員工將病患資訊貼入 ChatGPT，診所會被罰款嗎？
是的。責任歸屬於組織，而非個人。根據 2026 年 1 月 28 日的通貨膨脹調整，HIPAA 民事貨幣罰款從第一級最低 145 美元/次違規，到第四級最低 73,011 美元/次違規，每種違規類別的年度上限為 2,190,294 美元。每筆記錄都可以單獨計算，這就是小事件如何變成大數字。
Microsoft Copilot、Google Gemini 或 Claude 是否符合 HIPAA 法規？
通常不符合，而且誠實的答案是一個原則而非供應商排名。合規性遵循合約，而非模型。任何供應商的消費者聊天機器人在銷售時都不附帶 BAA，ChatGPT 的消費者方案也不符合 HIPAA 法規。如果供應商告知您其企業版或雲端產品可以涵蓋，請書面確認並指明您的確切產品。
我可以對 OpenAI 提出 HIPAA 投訴嗎？
通常不能。HHS આCivil Rights Office 接受關於受規範實體及其商業夥伴的投訴。在沒有 BAA 的情況下，OpenAI 既非受規範實體也非商業夥伴，因此 OCR 對您的個人聊天沒有管轄權。對於非 HIPAA 健康工具的消費者投訴，FTC 是適當的處理機構，依據 FTC 法案和健康洩漏通知規則。
如果我刪除 ChatGPT 對話，健康資訊會消失嗎？
不會。刪除會從您的視圖中移除對話串並啟動保留時鐘；副本可能會在備份、安全系統和子處理器日誌中保留一段時間。對診所而言更重要的是，刪除並不能撤銷已經發生的洩漏。如果 PHI 已輸入，合規義務仍然存在，刪除對話串會破壞您的隱私官所需的證據。
我的雇主可以看到我在工作版 ChatGPT 帳戶中鍵入的健康問題嗎？
是的，可能。在工作空間方案中，組織擁有帳戶，設定保留時間，並可以管理對話數據的存取權。請假設在工作帳戶中鍵入的任何內容都可能被您的雇主看到，這與工作電子郵件相同。個人的健康問題應在個人設備上的個人帳戶中，在您自己的時間處理。
我詢問 ChatGPT 的健康相關問題會出現在我的病歷中或到達我的保險公司嗎？
不會。消費者聊天機器人與您的臨床醫生的 EHR 或您的健康計畫沒有連接，您的聊天記錄也不會流入其中。例外情況是您自己造成的：將工具連接到包含您記錄的帳戶，或將其輸出貼入病患入口網站訊息。廣告和數據共享慣例是受隱私權政策管轄的獨立問題。
使用 ChatGPT 起草病患信函是否違反 HIPAA？
有時會，界線在於識別符。要求一個通用的申訴信範本，不包含病患詳細資訊，並非 PHI 的洩漏，儘管您的雇主政策可能仍禁止。貼入姓名、出生日期、就診日期或診斷，使其成為向無 BAA 的供應商洩漏，這就是違規。
結論
ChatGPT 是否符合 HIPAA 法規？否，這個答案不會因為您切換設定而改變。只有當一個組織簽署了指明特定產品的 BAA，然後圍繞它建立存取控制、記錄和培訓時，這個答案才會改變。如果您是臨床醫生，順序很簡單：無合約，無 PHI，並且在使用時按照安全港標準進行去識別化。如果您是病患，這個問題的適用法律是錯誤的。HIPAA 限制您的提供者及其供應商。您的保護來自您同意的隱私權政策、其背後的 FTC，以及您對要輸入內容的判斷。
免責聲明：本文僅供參考，不構成醫療建議。請務必諮詢合格的醫療保健提供者以獲取診斷和治療決策。如果您正在經歷醫療緊急情況，請立即撥打 911 或前往最近的急診室。
