¿El ChatGPT cumple con HIPAA?

HIPAA se aplica a entidades cubiertas y sus socios comerciales. Las entidades cubiertas son planes de salud, cámaras de compensación de atención médica y proveedores que realizan ciertas transacciones estándar de forma electrónica, como la facturación. Un socio comercial es un proveedor que crea, recibe, almacena o transmite información de salud protegida en nombre de una entidad cubierta. La información de salud protegida (PHI) es información de salud de identificación individual: cualquier cosa que vincule a una persona con su salud, su atención o el pago de la misma. Tres reglas son las más importantes. La Regla de Privacidad limita cómo se puede utilizar y divulgar la PHI. La Regla de Seguridad requiere salvaguardias administrativas, físicas y técnicas para la PHI electrónica. La regla de notificación de infracciones requiere notificación cuando la PHI no segura se ve comprometida. Antes de que una entidad cubierta comparta su PHI con un proveedor, necesita un BAA firmado en el que el proveedor se compromete a proteger los datos e informar incidentes. Entonces, la respuesta honesta a si ChatGPT cumple con HIPAA es: depende de qué producto, bajo qué contrato y cómo se haya configurado. Los planes para consumidores ChatGPT vienen sin un BAA, por lo que los médicos y el personal nunca deben incluir PHI en ellos. OpenAI afirma que puede firmar BAA para algunas API y clientes comerciales después de la revisión. Las grandes plataformas en la nube incluyen ciertos servicios de modelos de IA en sus programas HIPAA, y otros proveedores de IA ofrecen BAA en planes comerciales. Siempre consulte la lista actual de servicios cubiertos del proveedor, porque la cobertura a menudo excluye algunas funciones. Son comunes varios conceptos erróneos. No existe una certificación HIPAA oficial del gobierno, por lo que se comercializa una insignia de "certificación HIPAA". Desactivar el entrenamiento de modelos o eliminar un chat no crea un BAA. Eliminar un nombre por sí solo no elimina la identificación de los datos. Según el método Safe Harbor, se deben eliminar 18 tipos de identificadores, incluidas fechas más específicas que el año y la mayoría de los detalles geográficos menores que un estado. La alternativa es la Determinación formal de Expertos. El texto clínico libre a menudo oculta identificadores en fechas, diagnósticos raros o referencias de ciudades pequeñas. Nunca pegue nombres, fechas de nacimiento, números de registros médicos, direcciones, números de teléfono, fechas de servicio, notas completas o imágenes identificables en un chatbot no aprobado.