¿ChatGPT cumple con HIPAA? Cuándo aplica un BAA (2026)

Respuesta corta: no por defecto. El ChatGPT que usa la mayoría (Free, Plus, Pro) y ChatGPT Business no incluyen un Business Associate Agreement (BAA), así que no debe ingresar información de salud protegida (PHI) en ellos. OpenAI sí firma un BAA para algunos productos: ChatGPT Enterprise y Edu gestionados por ventas, ChatGPT for Healthcare, ChatGPT for Clinicians (cuentas elegibles) y la API de OpenAI. Aun así, la propia OpenAI dice que un BAA por sí solo no hace que su uso cumpla con HIPAA.

Aviso: Arkangel AI escribió este artículo y desarrolla una herramienta de IA clínica. Los datos sobre OpenAI provienen de sus propias páginas, revisadas a octubre de 2026; planes y requisitos cambian a menudo, así que confírmelos con OpenAI. Esto no es asesoría legal.

Por qué un "ChatGPT conforme a HIPAA" depende del plan

HIPAA aplica a las entidades cubiertas (planes de salud, cámaras de compensación y prestadores que realizan ciertas transacciones electrónicas) y a sus business associates. Una entidad cubierta solo puede compartir PHI con un proveedor después de obtener garantías por escrito, normalmente un BAA, de que protegerá los datos (HHS sobre business associates). El HHS incluso pone como ejemplo de business associate a un chatbot de IA de terceros que maneja PHI de pacientes para un prestador.

La pregunta no es si ChatGPT "cumple" como software, sino si OpenAI firmó un BAA que cubra el producto exacto que usa y si su organización aplica las salvaguardas alrededor.

Qué opciones de ChatGPT incluyen BAA (a octubre de 2026)

Opción	Para quién	BAA con OpenAI	Notas de OpenAI
ChatGPT Free, Plus, Pro	Personas	No se ofrece	La guía de BAA de OpenAI solo lista los productos siguientes
ChatGPT Business	Equipos	No	"No ofrecemos un BAA para ChatGPT Business"
ChatGPT Enterprise / Edu (gestionado por ventas)	Organizaciones, universidades	Disponible a través de ventas	Los datos no se usan para entrenar por defecto; retención controlada por el administrador
ChatGPT for Healthcare	Hospitales y redes de salud	Sí	Lanzado el 8 de enero de 2026; residencia de datos, registros de auditoría, claves gestionadas por el cliente; no entrena con el contenido
ChatGPT for Clinicians	Médicos, enfermeros de práctica avanzada, asistentes médicos y farmacéuticos verificados en EE. UU.	Opcional, para cuentas elegibles (dentro del producto)	Gratis desde el 22 de abril de 2026; las conversaciones no se usan para entrenar
API de OpenAI	Desarrolladores y proveedores	Sí, autoservicio para organizaciones elegibles	Requiere historial de uso de la API, o escribir a baa@openai.com

Fuentes: Centro de ayuda de OpenAI, Getting a BAA for the OpenAI API (incluye las reglas de BAA de ChatGPT); Introducing OpenAI for Healthcare; Making ChatGPT better for clinicians; Enterprise privacy at OpenAI.

Dos puntos del centro de ayuda importan a los equipos de cumplimiento: una vez activado el soporte HIPAA en una organización de la API, no se puede desactivar desde la configuración, y no debe incluir PHI en solicitudes de soporte ni capturas enviadas a OpenAI.

Lo que un BAA no hace

• No hace que su uso cumpla por sí solo. OpenAI dice que aceptar un BAA no hace, por sí mismo, que su aplicación cumpla con HIPAA; usted sigue a cargo del análisis de riesgos, controles de acceso, reglas de mínimo necesario y capacitación.
• Solo cubre el producto y la configuración elegibles. Un médico con una cuenta Plus personal queda fuera del BAA que su hospital firmó para un espacio Enterprise.
• No cubre a los pacientes. Cuando un paciente sube su propia historia a un chatbot de consumo, ese uso en general no está protegido por HIPAA, como explica I. Glenn Cohen, de Harvard Law School (Harvard Law Today).

Qué puede pegar un médico en ChatGPT de consumo

Nada que identifique a un paciente. El método Safe Harbor del HHS enumera 18 identificadores a eliminar, entre ellos nombres, unidades geográficas menores que un estado, todos los elementos de fechas salvo el año, teléfonos y faxes, correo, número de seguro social, números de historia clínica y de plan de salud, números de cuenta y licencia, identificadores de dispositivos y vehículos, URL, direcciones IP, biometría, fotos del rostro y cualquier otro código único (guía de desidentificación del HHS). Las iniciales y los números parciales también cuentan, igual que los identificadores dentro de notas pegadas.

Una consulta segura: "Adulto con diabetes tipo 2, TFGe 38, en metformina: ¿qué fármacos de segunda línea se prefieren y por qué? Cite guías." Una riesgosa: una epicrisis copiada.

Alternativas seguras para médicos

1. Use la herramienta aprobada por su organización. Si su empleador tiene ChatGPT for Healthcare, Enterprise u otra herramienta bajo BAA, use esa cuenta para todo lo que involucre PHI.
2. Use un producto para clínicos con un BAA al que sea elegible, como ChatGPT for Clinicians en EE. UU., y confirme que su empleador lo permite.
3. Haga preguntas desidentificadas en un buscador médico con citas. Para preguntas de evidencia casi nunca hace falta la identidad; las herramientas para clínicos citan los estudios para que pueda verificarlos. Los chatbots generales han inventado referencias en estudios (47 % de las referencias generadas por ChatGPT-3.5 en una evaluación, Cureus 2023).
4. Mantenga la documentación en la historia clínica electrónica, y desactive el historial o el uso compartido cuando su plan lo permita.

Arkangel AI es una de esas herramientas con citas: las respuestas enlazan a estudios y guías en español, inglés, portugués y francés. Tiene certificación ISO 27001:2022 y ofrece cumplimiento HIPAA y firma de BAA solo en planes Enterprise; en los planes de autoservicio Free, Pro y Team lo que se ingresa no está cubierto por HIPAA, así que elimine identificadores antes de preguntar (seguridad y cumplimiento, Trust Center, precios). Para una comparación completa, vea ChatGPT para médicos, IA para médicos y nuestra guía sobre si OpenEvidence cumple con HIPAA.

Preguntas frecuentes

¿ChatGPT cumple con HIPAA?

No por defecto. ChatGPT de consumo (Free, Plus, Pro) y ChatGPT Business no incluyen BAA. OpenAI ofrece un BAA para ChatGPT Enterprise y Edu gestionados por ventas, ChatGPT for Healthcare, cuentas elegibles de ChatGPT for Clinicians y la API, y aclara que un BAA por sí solo no hace que su uso cumpla.

¿Existe una versión de ChatGPT conforme a HIPAA?

Sí, en el sentido de que algunos productos de OpenAI pueden usarse con PHI bajo un BAA: ChatGPT for Healthcare para redes de salud, ChatGPT Enterprise gestionado por ventas, ChatGPT for Clinicians para clínicos verificados y elegibles en EE. UU., y la API. Su organización igual debe configurarlos y gobernarlos.

¿OpenAI firma un BAA para ChatGPT Plus?

La guía de BAA de OpenAI no incluye ChatGPT Plus, Free ni Pro entre los productos con BAA, y dice expresamente que no ofrece BAA para ChatGPT Business. Considere esos planes inadecuados para PHI.

¿ChatGPT for Clinicians cumple con HIPAA?

OpenAI describe un "soporte opcional para el cumplimiento de HIPAA" mediante un BAA para cuentas elegibles. A octubre de 2026 es gratis para médicos, enfermeros de práctica avanzada, asistentes médicos y farmacéuticos verificados en EE. UU. Confirme que su empleador lo permite antes de ingresar PHI.

¿Pueden los médicos usar ChatGPT sin violar HIPAA?

Sí, si mantienen la PHI fuera de herramientas sin BAA. Elimine los 18 identificadores de HIPAA y describa el caso en términos generales, o use un producto aprobado por su organización bajo un BAA. Verifique siempre las respuestas clínicas con las fuentes citadas.

¿OpenAI entrena con lo que escribo?

En sus productos empresariales (Business, Enterprise, Healthcare, Edu y la API), OpenAI dice que no entrena con sus datos por defecto. También indica que las conversaciones de ChatGPT for Clinicians no se usan para entrenar. La configuración de consumo es distinta, otra razón para no ingresar PHI.

Fuentes (revisadas en octubre de 2026)

• OpenAI. Getting a Business Associate Agreement for the OpenAI API; Introducing OpenAI for Healthcare (8 de enero de 2026); Making ChatGPT better for clinicians (22 de abril de 2026); Enterprise privacy.
• Departamento de Salud y Servicios Humanos de EE. UU. (HHS). Business associates; Guía de desidentificación.
• Harvard Law School. Does HIPAA protect what you tell ChatGPT? (15 de julio de 2026).
• Cureus (2023). Referencias inventadas por ChatGPT.
• Arkangel AI. Trust Center.