Le ChatGPT est-il conforme à la loi HIPAA ?

HIPAA s'applique aux entités couvertes et à leurs associés commerciaux. Les entités couvertes sont les régimes de santé, les centres d'échange de soins de santé et les prestataires qui effectuent certaines transactions standard par voie électronique, telles que la facturation. Un associé commercial est un fournisseur qui crée, reçoit, stocke ou transmet des informations de santé protégées au nom d'une entité couverte. Les informations de santé protégées (PHI) sont des informations de santé identifiables individuellement : tout ce qui relie une personne à sa santé, à ses soins ou au paiement de ceux-ci. Trois règles comptent le plus. La règle de confidentialité limite la manière dont les PHI peuvent être utilisées et divulguées. La règle de sécurité exige des garanties administratives, physiques et techniques pour les PHI électroniques. La règle de notification des violations exige une notification lorsque des PHI non sécurisés sont compromis. Avant qu'une entité couverte partage des PHI avec un fournisseur, elle a besoin d'un BAA signé dans lequel le fournisseur s'engage à protéger les données et à signaler les incidents. Ainsi, la réponse honnête à la question de savoir si ChatGPT est conforme à la HIPAA est la suivante : cela dépend du produit, en vertu de quel contrat, et de quelle manière. Les plans grand public ChatGPT sont fournis sans BAA, les cliniciens et le personnel ne devraient donc jamais y inclure des PHI. OpenAI déclare pouvoir signer des BAA pour certains clients API et professionnels après examen. Les grandes plates-formes cloud incluent certains services de modèles d'IA dans leurs programmes HIPAA, et d'autres fournisseurs d'IA proposent des BAA sur leurs plans commerciaux. Vérifiez toujours la liste actuelle des services couverts par le fournisseur, car la couverture exclut souvent certaines fonctionnalités. Plusieurs idées fausses sont courantes. Il n'existe pas de certification officielle HIPAA du gouvernement, donc un badge « certifié HIPAA » est un marketing. La désactivation de la formation du modèle ou la suppression d'une discussion ne crée pas de BAA. La suppression d’un nom à elle seule ne désidentifie pas les données. Dans le cadre de la méthode Safe Harbor, 18 types d'identifiants doivent être supprimés, y compris des dates plus spécifiques que l'année et la plupart des détails géographiques plus petits qu'un État. L’alternative est la détermination formelle d’un expert. Le texte libre clinique cache souvent des identifiants dans des dates, des diagnostics rares ou des références à des petites villes. Ne collez jamais de noms, de dates de naissance, de numéros de dossier médical, d'adresses, de numéros de téléphone, de dates de service, de notes complètes ou d'images identifiables dans un chatbot non approuvé.