O ChatGPT está em conformidade com a HIPAA? Quando há BAA (2026)

Resposta curta: não por padrão. O ChatGPT que a maioria usa (Free, Plus, Pro) e o ChatGPT Business não têm Business Associate Agreement (BAA), então você não deve inserir informações de saúde protegidas (PHI) neles. A OpenAI assina BAA para alguns produtos: ChatGPT Enterprise e Edu geridos pela equipe de vendas, ChatGPT for Healthcare, ChatGPT for Clinicians (contas elegíveis) e a API da OpenAI. Mesmo assim, a própria OpenAI diz que um BAA, sozinho, não torna o seu uso conforme à HIPAA.

Aviso: a Arkangel AI escreveu este artigo e desenvolve uma ferramenta de IA clínica. Os dados sobre a OpenAI vêm das páginas da própria OpenAI, verificadas em outubro de 2026; planos e requisitos mudam com frequência, então confirme com a OpenAI. Isto não é aconselhamento jurídico.

Por que um "ChatGPT conforme à HIPAA" depende do plano

A HIPAA se aplica a entidades cobertas (planos de saúde, câmaras de compensação e prestadores que realizam certas transações eletrônicas) e aos seus business associates. Uma entidade coberta só pode compartilhar PHI com um fornecedor depois de obter garantias por escrito, normalmente um BAA, de que ele protegerá os dados (HHS sobre business associates). O HHS cita até um chatbot de IA de terceiros que trata PHI de pacientes para um prestador como exemplo de business associate.

A pergunta não é se o ChatGPT "está em conformidade" como software, mas se a OpenAI assinou um BAA que cubra o produto exato que você usa e se sua organização aplica as salvaguardas em volta dele. A HIPAA é uma lei dos EUA; no Brasil, o tratamento de dados de saúde segue a LGPD.

Quais opções do ChatGPT têm BAA (em outubro de 2026)

Opção	Para quem	BAA com a OpenAI	Observações da OpenAI
ChatGPT Free, Plus, Pro	Pessoas físicas	Não oferecido	A orientação de BAA da OpenAI lista apenas os produtos abaixo
ChatGPT Business	Equipes	Não	"Não oferecemos BAA para o ChatGPT Business"
ChatGPT Enterprise / Edu (gerido por vendas)	Organizações, universidades	Disponível pela equipe de vendas	Dados não usados para treinamento por padrão; retenção controlada pelo administrador
ChatGPT for Healthcare	Hospitais e redes de saúde	Sim	Lançado em 8 de janeiro de 2026; residência de dados, logs de auditoria, chaves gerenciadas pelo cliente; não treina com o conteúdo
ChatGPT for Clinicians	Médicos, enfermeiros de prática avançada, assistentes médicos e farmacêuticos verificados nos EUA	Opcional, para contas elegíveis (no próprio produto)	Gratuito desde 22 de abril de 2026; conversas não usadas para treinamento
API da OpenAI	Desenvolvedores e fornecedores	Sim, self-service para organizações elegíveis	Exige histórico de uso da API, ou contato via baa@openai.com

Fontes: Central de ajuda da OpenAI, Getting a BAA for the OpenAI API (inclui as regras de BAA do ChatGPT); Introducing OpenAI for Healthcare; Making ChatGPT better for clinicians; Enterprise privacy at OpenAI.

Dois pontos da central de ajuda importam para times de compliance: depois de ativado o suporte à HIPAA numa organização da API, ele não pode ser desativado nas configurações, e você não deve incluir PHI em pedidos de suporte ou capturas de tela enviados à OpenAI.

O que um BAA não faz

• Não torna o seu uso conforme por si só. A OpenAI diz que aceitar um BAA não torna, por si só, sua aplicação conforme à HIPAA; análise de risco, controles de acesso, regras de mínimo necessário e treinamento continuam com você.
• Só cobre o produto e a configuração elegíveis. Um médico com conta Plus pessoal fica fora do BAA que o hospital assinou para um espaço Enterprise.
• Não cobre pacientes. Quando o paciente envia o próprio prontuário a um chatbot de consumo, esse uso em geral não é protegido pela HIPAA, como explica I. Glenn Cohen, da Harvard Law School (Harvard Law Today).

O que um médico pode colar no ChatGPT de consumo

Nada que identifique o paciente. O método Safe Harbor do HHS lista 18 identificadores a remover, entre eles nomes, unidades geográficas menores que um estado, todos os elementos de datas exceto o ano, telefones e faxes, e-mail, número do seguro social, números de prontuário e de plano de saúde, números de conta e licença, identificadores de dispositivos e veículos, URLs, endereços IP, biometria, fotos do rosto e qualquer outro código único (guia de desidentificação do HHS). Iniciais e números parciais também contam, assim como identificadores dentro de notas coladas.

Um prompt seguro: "Adulto com diabetes tipo 2, TFGe 38, em uso de metformina: quais fármacos de segunda linha são preferidos e por quê? Cite diretrizes." Um arriscado: um resumo de alta copiado.

Alternativas seguras para médicos

1. Use a ferramenta aprovada pela sua organização. Se o empregador usa ChatGPT for Healthcare, Enterprise ou outra ferramenta com BAA, use essa conta para tudo que envolva PHI.
2. Use um produto para clínicos com BAA para o qual você seja elegível, como o ChatGPT for Clinicians nos EUA, e confirme que o empregador permite.
3. Faça perguntas desidentificadas numa busca médica com citações. Perguntas de evidência raramente precisam de identidade; ferramentas para clínicos citam os estudos para você conferir. Chatbots gerais já inventaram referências em estudos (47% das referências geradas pelo ChatGPT-3.5 numa avaliação, Cureus 2023).
4. Mantenha a documentação no prontuário eletrônico e desative o histórico ou o compartilhamento quando o plano permitir.

A Arkangel AI é uma dessas ferramentas com citações: as respostas trazem links para estudos e diretrizes em português, inglês, espanhol e francês. Tem certificação ISO 27001:2022 e oferece conformidade com a HIPAA e BAA apenas nos planos Enterprise; nos planos self-service Free, Pro e Team o que é inserido não é coberto pela HIPAA, então remova identificadores antes de perguntar (segurança e compliance, Trust Center, preços). Para uma comparação completa, veja ChatGPT para médicos, IA para médicos e nosso guia sobre se o OpenEvidence está em conformidade com a HIPAA.

Perguntas frequentes

O ChatGPT está em conformidade com a HIPAA?

Não por padrão. O ChatGPT de consumo (Free, Plus, Pro) e o ChatGPT Business não têm BAA. A OpenAI oferece BAA para ChatGPT Enterprise e Edu geridos por vendas, ChatGPT for Healthcare, contas elegíveis do ChatGPT for Clinicians e a API, e diz que um BAA sozinho não torna o uso conforme.

Existe uma versão do ChatGPT conforme à HIPAA?

Sim, no sentido de que alguns produtos da OpenAI podem ser usados com PHI sob BAA: ChatGPT for Healthcare para redes de saúde, ChatGPT Enterprise gerido por vendas, ChatGPT for Clinicians para clínicos verificados e elegíveis nos EUA, e a API. Sua organização ainda precisa configurá-los e governá-los.

A OpenAI assina BAA para o ChatGPT Plus?

A orientação de BAA da OpenAI não inclui o ChatGPT Plus, Free ou Pro entre os produtos com BAA e diz claramente que não oferece BAA para o ChatGPT Business. Considere esses planos inadequados para PHI.

O ChatGPT for Clinicians está em conformidade com a HIPAA?

A OpenAI descreve "suporte opcional à conformidade com a HIPAA" por meio de BAA para contas elegíveis. Em outubro de 2026, é gratuito para médicos, enfermeiros de prática avançada, assistentes médicos e farmacêuticos verificados nos EUA. Confirme que o empregador permite antes de inserir PHI.

Médicos podem usar o ChatGPT sem violar a HIPAA?

Sim, se mantiverem PHI fora de ferramentas sem BAA. Remova os 18 identificadores da HIPAA e descreva o caso em termos gerais, ou use um produto aprovado pela organização sob BAA. Sempre confira as respostas clínicas nas fontes citadas.

A OpenAI treina com o que eu digito?

Nos produtos empresariais (Business, Enterprise, Healthcare, Edu e a API), a OpenAI diz que não treina com seus dados por padrão. Também informa que as conversas do ChatGPT for Clinicians não são usadas para treinamento. As configurações de consumo são diferentes, mais um motivo para não inserir PHI.

Fontes (verificadas em outubro de 2026)

• OpenAI. Getting a Business Associate Agreement for the OpenAI API; Introducing OpenAI for Healthcare (8 de janeiro de 2026); Making ChatGPT better for clinicians (22 de abril de 2026); Enterprise privacy.
• Departamento de Saúde e Serviços Humanos dos EUA (HHS). Business associates; Guia de desidentificação.
• Harvard Law School. Does HIPAA protect what you tell ChatGPT? (15 de julho de 2026).
• Cureus (2023). Referências inventadas pelo ChatGPT.
• Arkangel AI. Trust Center.