OpenAI integriert Epic in ChatGPT for Healthcare – und wirft Fragen zur HIPAA-Eignung auf

OpenAI bringt Epic-Patientenkontext in ChatGPT for Healthcare

OpenAI hat eine neue Integration für ChatGPT for Healthcare angekündigt, die es Gesundheitsorganisationen ermöglicht, ihre Epic-Umgebung direkt mit dem KI-Workspace zu verbinden. Dadurch gelangt autorisierter Patientenkontext aus der elektronischen Patientenakte in ChatGPT. Kliniker können dann Fragen stellen wie „Was hat sich seit dem letzten Besuch dieses Patienten geändert?“, „Welche aktuellen Laborergebnisse sollte ich vor dem heutigen Termin prüfen?“ oder „Gab es Medikamentenänderungen oder neue Facharztbefunde?“. Statt in Terminnotizen, Laborergebnissen, Medikationslisten und Facharztberichten suchen zu müssen, sollen die Informationen gebündelt im Workspace verfügbar sein. Zusätzlich führt OpenAI ein Healthcare Public Data Plugin ein, das direkten strukturierten Zugriff auf offizielle Gesundheitsdatensätze wie PubMed, DailyMed und CMS Coverage bietet. Nach Angaben von OpenAI bringt die Kombination ChatGPT näher an die Systeme und Quellen, denen Gesundheitsteams vertrauen. Der Hintergrund: Patientendaten, medizinische Evidenz, öffentliche Gesundheitsdaten und organisatorisches Wissen liegen häufig in getrennten Systemen. Die Integration soll diese Quellen in einem kontrollierten Workspace zusammenführen, damit Teams die richtigen Informationen finden, im Kontext verstehen und für ihre Arbeit nutzen können. OpenAI betont, dass Gesundheitsorganisationen KI benötigen, die über die Systeme und Informationen hinweg funktioniert, die für Versorgung und Betrieb zentral sind. Die Ankündigung unterstreicht den Anspruch, klinische Arbeitsabläufe zu vereinfachen, indem die Suche nach patientenbezogenen Informationen nicht mehr über mehrere Systeme verteilt erfolgen muss, sondern in einer einzigen, verwalteten Umgebung gebündelt wird.

Sicherheitsversprechen: HIPAA, Verschlüsselung und Kundenkontrolle

OpenAI listet ChatGPT for Healthcare offiziell als HIPAA-berechtigtes Produkt, für das ein Business Associate Agreement (BAA) abgeschlossen werden kann. Laut der produktbezogenen Übersicht des Unternehmens sind neben ChatGPT for Healthcare auch „ChatGPT for Enterprise with Regulated Workspace“, ChatGPT FedRAMP, ChatGPT for Clinicians sowie API-Varianten mit modifizierter Aufbewahrung als HIPAA-berechtigt aufgeführt. Das BAA umfasst eine Reihe von Funktionen, darunter Chat, Dateien und Bibliothek, Websuche, Deep Research, Projekte, Agents, GPTs und Voice – sofern sie aus einem berechtigten Workspace genutzt und für die jeweilige Rolle freigeschaltet sind. OpenAI weist ausdrücklich darauf hin, dass die Verfügbarkeit einer Funktion allein nicht bestimmt, ob eine bestimmte Nutzung oder ein verbundener Drittdienst vom BAA abgedeckt ist. Laut OpenAI werden Unternehmensdaten standardmäßig nicht für das Training der Modelle verwendet – weder Eingaben noch Ausgaben aus ChatGPT for Healthcare fließen demnach in das Modelltraining ein. Die Daten seien bei der Übertragung und im Ruhezustand verschlüsselt, konkret mit AES-256 im Ruhezustand und TLS 1.2 oder höher bei der Übertragung. Zusätzlich bietet OpenAI Enterprise Key Management (EKM) an, mit dem Kunden eigene Verschlüsselungsschlüssel kontrollieren können. Diese Sicherheitsmerkmale sind zentrale Bestandteile des Vertrauensversprechens, das OpenAI gegenüber Gesundheitsorganisationen abgibt. Sie sollen gewährleisten, dass sensible Patientendaten weder für Modellverbesserungen verwendet noch unverschlüsselt übertragen oder gespeichert werden. Die Kombination aus BAA, standardmäßigem Trainingsausschluss und mehrschichtiger Verschlüsselung bildet die technische und vertragliche Grundlage für den Einsatz in regulierten Umgebungen.

Widersprüchliche Angaben zur HIPAA-Eignung von ChatGPT-Produkten

Bei der Frage, welche ChatGPT-Produkte tatsächlich HIPAA-konform genutzt werden können, widersprechen sich verschiedene Fachquellen. Die offizielle Produktliste von OpenAI führt als HIPAA-berechtigt: ChatGPT for Healthcare, ChatGPT for Enterprise with Regulated Workspace, ChatGPT FedRAMP, ChatGPT for Clinicians, API with Modified Retention und API FedRAMP with Modified Retention. sonomos.ai behauptet dagegen in einem Leitfaden, ChatGPT Enterprise könne mit BAA in HIPAA-regulierten Workflows genutzt werden, und schließt die freien und Plus-Tarife ausdrücklich von der PHI-Nutzung aus. accountablehq.com gibt an, dass sales-managed Enterprise- oder Edu-Konten sowie ChatGPT for Healthcare Kunden ein BAA erhalten können, und stellt fest, dass ChatGPT Business nicht berechtigt ist. intuitionlabs.ai bestätigt, dass die offizielle Liste nur „ChatGPT for Enterprise with Regulated Workspace“ aufführt – nicht das gewöhnliche Enterprise – und dass Edu nicht als eigenständiges Produkt gelistet ist. Der Widerspruch liegt offenbar in einer unterschiedlichen Genauigkeit: sonomos.ai und accountablehq.com vereinfachen die Sachlage, indem sie allgemein von Enterprise oder Edu sprechen, während die offizielle Liste und intuitionlabs.ai die spezifische Variante mit Regulated Workspace hervorheben. Für Anwender bedeutet das: Die bloße Bezeichnung „Enterprise“ oder „Edu“ reicht nicht aus, um eine HIPAA-Eignung anzunehmen. Entscheidend ist, ob das konkrete Produkt in der offiziellen Liste von OpenAI als HIPAA-berechtigt geführt wird und ob ein BAA für genau diese Variante abgeschlossen wurde. Die Diskrepanz zwischen den Quellen zeigt, dass selbst Fachpublikationen die Produktlandschaft von OpenAI unterschiedlich interpretieren. Während einige Autoren die allgemeine Enterprise-Ebene als ausreichend darstellen, betont die offizielle Dokumentation die Notwendigkeit eines speziell konfigurierten Workspace. Diese Unschärfe kann in der Praxis zu gefährlichen Fehlannahmen führen, wenn Organisationen davon ausgehen, dass ein Standard-Enterprise-Account bereits alle Compliance-Anforderungen erfüllt.

Offene Fragen für Gesundheitsorganisationen

Angesichts der widersprüchlichen Angaben sollten Gesundheitsorganisationen vor dem Einsatz von ChatGPT for Healthcare oder anderen OpenAI-Produkten die offizielle HIPAA-berechtigte Produktliste von OpenAI konsultieren. Nur dort ist verbindlich festgelegt, welche Produktvarianten unter ein Business Associate Agreement fallen. Im Zweifel ist eine direkte Klärung mit OpenAI erforderlich, um sicherzustellen, dass die geplante Nutzung tatsächlich abgedeckt ist. Zusätzlich ist der regulatorische Kontext zu beachten: Die EU hat ChatGPT als Suchmaschine eingestuft. Diese Einstufung bringt zusätzliche Pflichten mit sich, etwa im Hinblick auf Transparenz und Risikomanagement. Für europäische Gesundheitsorganisationen ist das relevant, auch wenn die HIPAA-Regelung ein US-amerikanisches Gesetz ist. Wer Patientendaten in einem KI-Workspace verarbeitet, muss sowohl die US-amerikanischen als auch die europäischen Anforderungen erfüllen. Die neue Epic-Integration und das Healthcare Public Data Plugin erweitern die Funktionalität von ChatGPT for Healthcare, doch die Compliance-Fragen bleiben komplex. Eine sorgfältige Prüfung der offiziellen Dokumentation und der vertraglichen Vereinbarungen ist daher unerlässlich. Gesundheitsorganisationen sollten sich nicht auf sekundäre Quellen verlassen, sondern die Primärdokumentation von OpenAI als maßgeblich betrachten. Nur so lässt sich vermeiden, dass vermeintlich HIPAA-konforme Produkte tatsächlich außerhalb des BAA-Scopes betrieben werden und damit ein erhebliches rechtliches Risiko entsteht.