ChatGPT est-il conforme à la HIPAA ? Quand un BAA s'applique (2026)

Réponse courte : pas par défaut. Le ChatGPT que la plupart des gens utilisent (Free, Plus, Pro) et ChatGPT Business ne sont assortis d'aucun Business Associate Agreement (BAA) : n'y saisissez pas d'informations de santé protégées (PHI). OpenAI signe en revanche un BAA pour certains produits : ChatGPT Enterprise et Edu gérés par l'équipe commerciale, ChatGPT for Healthcare, ChatGPT for Clinicians (comptes éligibles) et l'API OpenAI. Même alors, OpenAI rappelle qu'un BAA ne suffit pas à rendre votre usage conforme.

Avertissement : Arkangel AI a rédigé cet article et édite un outil d'IA clinique. Les informations sur OpenAI viennent de ses propres pages, vérifiées en octobre 2026 ; offres et conditions changent souvent, confirmez-les auprès d'OpenAI. La HIPAA est une loi américaine ; en Europe, le RGPD s'applique. Ceci n'est pas un avis juridique.

Pourquoi un « ChatGPT conforme HIPAA » dépend de l'offre

La HIPAA s'applique aux entités couvertes (assureurs santé, chambres de compensation et prestataires de soins réalisant certaines transactions électroniques) et à leurs business associates. Une entité couverte ne peut partager des PHI avec un prestataire qu'après avoir obtenu des garanties écrites, en général un BAA, qu'il protégera les données (HHS sur les business associates). Le HHS cite même un chatbot d'IA tiers traitant les PHI de patients pour un prestataire comme exemple de business associate.

La question n'est donc pas de savoir si ChatGPT est « conforme » en tant que logiciel, mais si OpenAI a signé un BAA couvrant le produit précis que vous utilisez, et si votre organisation applique les garde-fous autour.

Quelles offres ChatGPT incluent un BAA (en octobre 2026)

Offre	Pour qui	BAA avec OpenAI	Précisions d'OpenAI
ChatGPT Free, Plus, Pro	Particuliers	Non proposé	Les consignes BAA d'OpenAI ne listent que les produits ci-dessous
ChatGPT Business	Équipes	Non	« Nous ne proposons pas de BAA pour ChatGPT Business »
ChatGPT Enterprise / Edu (géré par l'équipe commerciale)	Organisations, universités	Disponible via l'équipe commerciale	Données non utilisées pour l'entraînement par défaut ; conservation réglée par l'administrateur
ChatGPT for Healthcare	Hôpitaux et groupes de santé	Oui	Lancé le 8 janvier 2026 ; résidence des données, journaux d'audit, clés gérées par le client ; contenu non utilisé pour l'entraînement
ChatGPT for Clinicians	Médecins, infirmiers en pratique avancée, assistants médicaux et pharmaciens vérifiés aux États-Unis	Optionnel, pour les comptes éligibles (dans le produit)	Gratuit depuis le 22 avril 2026 ; conversations non utilisées pour l'entraînement
API OpenAI	Développeurs et éditeurs	Oui, en libre-service pour les organisations éligibles	Exige un historique d'utilisation de l'API, ou un contact à baa@openai.com

Sources : centre d'aide OpenAI, Getting a BAA for the OpenAI API (règles de BAA pour ChatGPT incluses) ; Introducing OpenAI for Healthcare ; Making ChatGPT better for clinicians ; Enterprise privacy at OpenAI.

Deux points du centre d'aide intéressent les équipes conformité : une fois le support HIPAA activé pour une organisation API, il ne peut plus être désactivé dans les paramètres, et aucune PHI ne doit figurer dans les demandes de support ou captures envoyées à OpenAI.

Ce qu'un BAA ne fait pas

• Il ne rend pas votre usage conforme à lui seul. OpenAI précise qu'accepter un BAA ne rend pas, en soi, votre application conforme à la HIPAA ; analyse de risques, contrôles d'accès, règle du minimum nécessaire et formation restent à votre charge.
• Il ne couvre que le produit et la configuration éligibles. Un médecin avec un compte Plus personnel est hors du BAA signé par son hôpital pour un espace Enterprise.
• Il ne couvre pas les patients. Quand un patient envoie son propre dossier à un chatbot grand public, cet usage n'est en général pas protégé par la HIPAA, comme l'explique I. Glenn Cohen, de la Harvard Law School (Harvard Law Today).

Ce qu'un médecin peut coller dans ChatGPT grand public

Rien qui identifie un patient. La méthode Safe Harbor du HHS liste 18 identifiants à supprimer, dont les noms, les unités géographiques plus petites qu'un État, tous les éléments de date sauf l'année, téléphones et fax, e-mail, numéro de sécurité sociale, numéros de dossier et d'assurance, numéros de compte et de licence, identifiants d'appareils et de véhicules, URL, adresses IP, biométrie, photos du visage et tout autre code unique (guide de désidentification du HHS). Initiales et numéros partiels comptent aussi, comme les identifiants cachés dans une note collée.

Une requête sûre : « Adulte diabétique de type 2, DFG 38, sous metformine : quels traitements de deuxième ligne privilégier et pourquoi ? Citez les recommandations. » Une requête risquée : un compte rendu d'hospitalisation copié-collé.

Alternatives sûres pour les médecins

1. Utilisez l'outil approuvé par votre organisation. Si votre employeur a déployé ChatGPT for Healthcare, Enterprise ou un autre outil sous BAA, utilisez ce compte pour tout ce qui implique des PHI.
2. Utilisez un produit pour cliniciens avec un BAA auquel vous êtes éligible, comme ChatGPT for Clinicians aux États-Unis, et vérifiez que votre employeur l'autorise.
3. Posez des questions désidentifiées dans un moteur de recherche médical avec citations. Les questions de preuves n'exigent presque jamais l'identité ; les outils pour cliniciens citent les études pour que vous puissiez les vérifier. Les chatbots généralistes ont inventé des références dans des études (47 % des références générées par ChatGPT-3.5 dans une évaluation, Cureus 2023).
4. Gardez la documentation dans le dossier patient informatisé, et désactivez l'historique ou le partage si votre offre le permet.

Arkangel AI fait partie de ces outils cités : les réponses renvoient vers des études et des recommandations en français, anglais, espagnol et portugais. Il est certifié ISO 27001:2022 et propose la conformité HIPAA et un BAA uniquement sur les offres Enterprise ; sur les offres en libre-service Free, Pro et Team, les saisies ne sont pas couvertes par la HIPAA, retirez donc les identifiants avant de poser une question (sécurité et conformité, Trust Center, tarifs). Pour une comparaison complète, voir ChatGPT pour les médecins, IA pour les médecins et notre guide OpenEvidence est-il conforme à la HIPAA ?.

Questions fréquentes

ChatGPT est-il conforme à la HIPAA ?

Pas par défaut. ChatGPT grand public (Free, Plus, Pro) et ChatGPT Business n'ont pas de BAA. OpenAI propose un BAA pour ChatGPT Enterprise et Edu gérés par l'équipe commerciale, ChatGPT for Healthcare, les comptes éligibles de ChatGPT for Clinicians et l'API, et précise qu'un BAA seul ne rend pas l'usage conforme.

Existe-t-il une version de ChatGPT conforme à la HIPAA ?

Oui, au sens où certains produits OpenAI peuvent être utilisés avec des PHI sous BAA : ChatGPT for Healthcare pour les établissements, ChatGPT Enterprise géré par l'équipe commerciale, ChatGPT for Clinicians pour les cliniciens vérifiés et éligibles aux États-Unis, et l'API. Votre organisation doit encore les configurer et les encadrer.

OpenAI signe-t-il un BAA pour ChatGPT Plus ?

Les consignes BAA d'OpenAI ne mentionnent pas ChatGPT Plus, Free ou Pro parmi les produits avec BAA, et indiquent clairement qu'aucun BAA n'est proposé pour ChatGPT Business. Considérez ces offres comme inadaptées aux PHI.

ChatGPT for Clinicians est-il conforme à la HIPAA ?

OpenAI décrit un « support optionnel de la conformité HIPAA » via un BAA pour les comptes éligibles. En octobre 2026, il est gratuit pour les médecins, infirmiers en pratique avancée, assistants médicaux et pharmaciens vérifiés aux États-Unis. Vérifiez que votre employeur l'autorise avant d'y saisir des PHI.

Les médecins peuvent-ils utiliser ChatGPT sans enfreindre la HIPAA ?

Oui, s'ils tiennent les PHI à l'écart des outils sans BAA. Retirez les 18 identifiants HIPAA et décrivez le cas en termes généraux, ou utilisez un produit approuvé par votre organisation sous BAA. Vérifiez toujours les réponses cliniques dans les sources citées.

OpenAI entraîne-t-il ses modèles sur ce que je saisis ?

Pour ses offres professionnelles (Business, Enterprise, Healthcare, Edu et l'API), OpenAI indique ne pas entraîner ses modèles sur vos données par défaut. Il précise aussi que les conversations de ChatGPT for Clinicians ne servent pas à l'entraînement. Les réglages grand public diffèrent, raison de plus pour ne pas y saisir de PHI.

Sources (vérifiées en octobre 2026)

• OpenAI. Getting a Business Associate Agreement for the OpenAI API ; Introducing OpenAI for Healthcare (8 janvier 2026) ; Making ChatGPT better for clinicians (22 avril 2026) ; Enterprise privacy.
• Département américain de la Santé (HHS). Business associates ; Guide de désidentification.
• Harvard Law School. Does HIPAA protect what you tell ChatGPT? (15 juillet 2026).
• Cureus (2023). Références inventées par ChatGPT.
• Arkangel AI. Trust Center.