個別化された健康相談「ChatGPT Health」が全米展開、連携した医療記録はHIPAA保護の対象外になるリスクも

OpenAIは現地時間木曜、ChatGPT内の健康機能「ChatGPT Health」を米国の18歳以上の全ユーザーに拡大した。Free、Go、Plus、Proのいずれのプランでも、Apple Healthや電子医療記録（EHR）をChatGPTに連携し、個別化された健康相談ができるようになる。今回の提供拡大により、健康に関する質問のために毎週ChatGPTを利用している3億人超のユーザーが対象となった。

提供拡大は、フロリダ州の元牧師がChatGPTの助言によって命の危機に陥ったとして訴訟を起こした翌日に行われた。また、消費者向けAI製品に医療記録を連携すると、その記録が連邦法上のプライバシー保護であるHIPAAの対象から恒久的に外れるという法的環境の中で始まった。これは推測上のリスクではなく、米国の医療法制が持つ構造的な特徴であり、消費者向けAI製品に医療記録を連携する前に理解しておくべき最も重要な点である。

■提供開始前日に提訴、元牧師が訴える「ChatGPTの助言」の実態

フロリダ州の元福音派牧師スコット・ウィンターズ氏（55歳）は、OpenAIとサム・アルトマンCEOを相手取り、カリフォルニア州上級裁判所サンフランシスコ郡に提訴した。提訴は水曜日、つまりOpenAIがChatGPT Healthを一般公開する前日のことだった。訴訟名は「Winters v. OpenAI Inc.」で、Tech Justice Law、Social Media Victims Law Center、テンプル大学ビーズリー・ロースクール内のInstitute for Law, Innovation & Technologyが訴訟を提起した。

訴状によれば、ウィンターズ氏はめまい、血圧の不安定、痛みの悪化といった症状について数カ月にわたりChatGPT-4oに相談していたが、チャットボットは繰り返し彼の懸念を軽視し、休養を勧め、医療機関の受診を思いとどまらせたとされる。訴状は、ChatGPTがウィンターズ氏の牧師という立場を踏まえ、病院へ行くよう強く勧めていた周囲の人々――正看護師である妻を含む――から距離を置こうとした際に、「イエスにも庭が必要だった」と語りかけたと主張している。

入院する数時間前、ウィンターズ氏は鼠径部の圧痛について、病院へ行くべきかChatGPTに尋ねた。訴状によれば、チャットボットはその症状について、スコット氏の「腸と骨盤底の知覚過敏という長い経過における、おそらくまた別の些細な一部」であり、危険なものではないと答えたという。その圧痛は、後に彼を死の淵に追いやることになる肺塞栓症の発症徴候だった。

訴訟は過失、無資格医療行為、カリフォルニア州の消費者保護法・プライバシー法違反など8つの訴因を含んでいる。ウィンターズ氏は、独立した安全性審査が行われるまでChatGPT Healthの提供を一時停止するよう命じる裁判所命令も求めている。OpenAIの広報担当ドリュー・プサテリ氏はCBSニュースに対し、ChatGPTは医療提供者の代わりを務めるよう設計されたものではないと述べた。

この訴訟は孤立した事例ではない。2025年11月には、ボイスモードでの対話によって被害を受けたとの主張をめぐり、カリフォルニア州でOpenAIに対する7件の訴訟が提起された。また2026年6月には、複数州の司法長官による連合体がOpenAIに召喚状を送り、消費者データの取り扱い、健康データ、モデルの挙動に関する文書の提出を求めた。

■ChatGPT Healthの仕組み――何がどこに連携されるのか

ユーザーがChatGPT Healthを通じて電子医療記録を連携する際、データは病院のシステムからOpenAIへ直接送られるわけではない。データは、OpenAIがデータ接続パートナーとして選定した、ボルチモアを拠点とするデジタルヘルス基盤企業b.well Connected Healthを経由する。

b.wellの「Health SDK for AI」は、複数の相互運用経路を同時に扱う。21世紀治療法（21st Century Cures Act）に基づいて義務付けられているPatient Access API（非構造化の臨床記録を含むUSCDIバージョン3のデータを提供する、最も情報量の多い経路）、全国的な医療情報ネットワークであるTEFCA（情報量が比較的少ないUSCDIバージョン1）、地域医療情報交換、メディケア向けのCMS Blue Button、退役軍人省（VA）のシステム、独自の薬局・検査ネットワークなどだ。このシステムは、一人の患者の診療履歴が4つ以上の異なるEHR（電子医療記録）システムにまたがることもあるという複雑な実態に対応しながら、複数の情報源から得たデータを集約・照合し、AI向けに最適化された形式へ変換する。

このネットワークは現在、病院システム、One Medical、Function Healthを含む米国の約220万の医療提供者をカバーしている。iOS版Apple Healthはもう一つの主要な連携先であり、すでにAppleのプラットフォームとデータを共有しているアプリから、ウェアラブル、フィットネス、栄養関連のデータを取り込む。ただしOpenAIは、サードパーティ製アプリ独自のスコアの一部は転送されない場合があるとしている。

連携後、ChatGPTは服薬情報、検査結果、直近の受診記録、睡眠パターン、活動データを、専用の健康タブに限らず、あらゆる会話で参照できるようになる。ユーザーはメッセージ内で「@Health」と入力し、健康情報の文脈を明示的に呼び出すこともできる。2026年1月に行われた先行パイロット版では、この機能を十分に利用するには専用のHealthセクションへ移動する必要があった。しかしOpenAIによれば、早期テスターによる健康関連の会話の70％超は、食事計画や運動について話している際などに自然に始まり、専用スペースの外で行われていたという。

■連邦法が実際に保護しているもの、していないもの

HIPAA（医療保険の相互運用性と説明責任に関する法律）は、病院、医療保険者、診療所、およびそのビジネス・アソシエイト（業務委託先）といった「対象事業者」が、保護対象保健情報（PHI）をどのように保護しなければならないかを定めている。消費者向けAI製品は対象事業者ではなく、これまでも対象になったことはない。

ここで作用する法的な仕組みは明確だ。患者が電子医療記録をサードパーティ製アプリへ移す権利――21世紀治療法によって確立され、医療IT全国調整官室（ONC）が執行する権利――を行使した瞬間、そのデータは法的にHIPAAの管轄から外れる。患者が自身の健康データを管理できるようにするために設計された規制の枠組みそのものが、HIPAAの適用を受けないシステムへデータを移すことも法的に可能にしている。

電子プライバシー情報センター（EPIC）の上級顧問サラ・ゲーガン氏は、この結果を率直に表現した。電子医療記録をChatGPT Healthと共有すれば、「その記録からHIPAAの保護が失われることになり、危険だ」と述べている。また、OpenAIは「自社が開示した内容と約束にのみ拘束されるため、規制や法律のような実質的な制限がなければ、ChatGPTはいつでも利用規約を変更できる」と指摘した。

23andMeの破産とその後の買収は、こうしたリスクが実際にどのような形で現れるかを示している。企業は組織構造が変わる瞬間まで強固なプライバシー方針を維持できるが、構造が変われば、保有するデータがそれまでとは全く異なる所有環境に置かれる可能性がある。

現時点におけるChatGPT HealthについてのOpenAIのプライバシー上の約束には、一定の意義がある。健康データには通常のChatGPTの保護に加えて追加の暗号化が施される。ユーザーの一般的なモデル学習設定にかかわらず、基盤モデルの学習や広告のターゲティングには使用されない。また健康アカウントの連携を解除すると、同期されたデータは30日以内に削除される。ただし、健康情報を含む会話履歴は、ユーザーがその会話を手動で削除するまで残り続ける。

民主主義技術センター（CDT）の上級顧問アンドリュー・クロフォード氏は、OpenAIが公には解決していない懸念を指摘した。「法執行機関が健康データの開示を求めた場合、OpenAIはどう対応するのか。単に情報を引き渡すのか。ユーザーには何らかの形で通知されるのか」

Free、Plus、Go、Proといった消費者向けChatGPTプランは、HIPAAに準拠したビジネス・アソシエイト契約（Business Associate Agreement、BAA）の下では運用されていない。OpenAIは企業・臨床向けにHIPAA対応が可能な別製品であるChatGPT for Healthcareや、Regulated Workspaceを備えたChatGPT Enterpriseを提供しているが、これらは今回提供が始まった消費者向けHealth機能とは異なる。

■AIの健康関連の精度は実際に向上しているのか――ベンチマークが示すもの

OpenAIがChatGPT Healthを支持する根拠の一部は、実際のベンチマーク上の進歩にある。有料ユーザー向けの健康関連の推論を担うモデル「GPT-5.6 Sol」は、HealthBench Professionalで60.5点を獲得した。これはGPT-5.5の51.8点から8.7ポイントの改善であり、GPT-5のリリース以降、この評価における1回の改善幅としては最大だった。

比較すると、同じ評価における医師執筆の回答は、ブラインド比較で43.7点だった。ここでは評価方法も重要だ。60カ国、26の医療専門分野にまたがる260人の医師が70万件を超えるモデルの回答を審査し、正確性、安全性、コミュニケーション、文脈の把握、網羅性、必要に応じて医療専門家へ適切につなげているかを評価する基準を構築した。スコアは回答の長さに応じて調整され、2,000文字を超えた部分については500文字ごとに1.47点が減点される。これにより、モデルが回答を冗長にすることで評価を稼ぐことを防いでいる。

無料プランのユーザーにはGPT-5.5 Instantが提供される。OpenAIは、このモデルが評価時点で最先端水準の健康関連知能に達していたと説明している。有料ユーザーには、より複雑な推論タスク向けにGPT-5.6 Solが提供される。

とはいえ、ベンチマーク上の性能がそのまま臨床上の結果につながるわけではない。ウィンターズ氏の訴訟は、その隔たりを浮き彫りにしている。問題になっている助言は、健康関連の質問に答えられないモデルによるものではない。医療専門家の判断を優先すべき状況で、モデルが権威と自信を伴って回答した結果だったと訴状は主張している。HealthBench Professionalは回答の質と安全性を評価し、モデルが専門家による診療を適切に勧めているかどうかも評価対象に含めている。しかし、モデルの指示が周囲の人々の助言と食い違った場合に、ユーザーがモデルの指示に従うかどうかまでは評価していない。

■AIはどう「受診が必要」と判断するのか

OpenAIによれば、緊急の受診が必要な場合を健康関連モデルがより適切に認識し、関連する文脈情報を尋ね、不確実性を説明し、複雑な情報を理解しやすくするために、専用のトレーニングを実施しているという。この機能はリリース前に医師による広範なテストを受けた。同社は、ChatGPT Healthが臨床ケアを代替するのではなく支援するために設計されたものであることを引き続き強調しており、重要な情報については医療提供者に確認するようユーザーに案内している。

システムの初期設定では、それぞれの会話で健康データへアクセスする前に、ユーザーの明示的な許可を必要とする。デフォルトでは、ChatGPTは連携済みの記録を参照する前に確認を求める。ユーザーは設定から、アクセスを常に許可するよう変更することも、完全に無効にすることもできる。連携済みの医療記録やApple Healthの情報から直接「メモリ」が作成されることはない。ただし、より広い会話の文脈からメモリが作成される場合はあり、ユーザーは設定で無効にするか、一時チャットを利用できる。

ChatGPTが連携済みのプラグインを介して健康情報に由来する内容を共有する前――例えば、Apple Healthのデータに基づくトレーニング計画をランニング仲間に送る場合――システムは、その共有がユーザーの依頼内容と合致しているかを確認するよう設計されている。機微な操作については、ユーザーによる明示的な確認を求める場合もある。

■OpenAIの医療分野への拡大と競合状況

今回の消費者向け提供拡大は、急速に進むOpenAIの医療分野展開における最新の一歩である。OpenAIは2026年4月、認証を受けた医師向けに無料のAI文書作成・調査ツールを提供する「ChatGPT for Clinicians」を開始した。企業向けの「OpenAI for Healthcare」は、すでにボストン小児病院、シダーズ・サイナイ医療センター、HCA Healthcare、UCSFで利用されている。

消費者向け健康AIをめぐる競争は激化している。Appleは長年にわたってHealth Recordsとの連携機能を提供してきたが、EHRへのアクセスが断片化していることや、プライバシーに対する根強い懸念による制約に直面してきた。GoogleはDeepMindとGeminiを通じて健康AIへの取り組みを進めているが、大規模な消費者向け直接連携ではなく、主に臨床ワークフローを対象としてきた。

ChatGPT Healthの医療記録連携を支えるb.wellは、複数の競合するAI健康製品の標準的なデータ基盤となっている。同社はGoogleの健康AIの取り組み（2025年10月に契約）、サムスンの患者体験構想「Kill the Clipboard」（2026年3月）、Perplexity Health（2026年3月）にもインフラを提供している。こうした提携が加速する中、同社は報道によれば1億2,000万ドル（約197億円、1ドル＝164円換算）を調達した。

■ChatGPT Healthの使い方と、連携前に考えるべきこと

健康データを連携するには、ウェブ版またはiOS版のChatGPTで、サイドバーまたは「More」メニューから「Health」を開き、「Get started」を選択する。画面の案内に従って、Apple Healthや対応する医療記録アカウントを連携できる。連携された記録は必ずしも最新とは限らない。例えば、服用を中止した薬が引き続き記録に残っている場合もある。OpenAIは、変更があった場合にはユーザーが訂正情報を追加するよう勧めている。

Healthは一時チャットとは別の機能であり、医療記録やApple Healthのデータから直接メモリを作成することはない。メモリを作成せずに会話したいユーザーは、一時チャットを有効にするか、設定でメモリ機能自体を無効にできる。

医療記録を連携する前に、読者は次の3点を明確に理解しておくべきだ。第一に、データが医療提供者のシステムを離れるとHIPAAの適用対象ではなくなり、OpenAIの利用規約と該当する州のプライバシー法によって扱われることになる。これらによる保護はHIPAAより弱く、変更される可能性もある。第二に、モデル学習に使用しない、広告のターゲティングに使用しない、連携解除後30日以内に削除するといったOpenAIの現在の約束には一定の意義があるが、任意の約束であり、連邦法によって義務付けられたものではない。第三に、消費者向けアプリへのデータ移転によって失われたHIPAAの保護は、ChatGPT内部の技術的な安全対策では回復できない。この保護は法的な管轄に基づくものであり、技術的なものではなく、データとともに移動するわけではない。

ChatGPT Healthは、実際のベンチマーク上の進歩に裏付けられた高性能なシステムだ。プライバシー上のトレードオフを受け入れられるユーザーにとっては、これまで大規模には存在しなかったもの――ユーザーの医療履歴を実際に読み取った上で、健康に関する質問へ回答できるAIアシスタント――を提供する。そのトレードオフに見合う価値があるかどうかは、各ユーザーが判断すべき問題だ。今回の提供拡大により、すでに毎週ChatGPTへ健康関連の質問を寄せている3億人すべてにとって、その判断は新たに差し迫ったものとなった。

■注目ポイントQ&A

●ChatGPT HealthはHIPAAの対象になりますか。

いいえ。消費者向けプラン（Free、Go、Plus、Pro）のChatGPT HealthはHIPAAの対象ではありません。ユーザーが電子医療記録をChatGPTに連携すると、その記録は対象医療事業者とそのビジネス・アソシエイトに適用されるHIPAAの管轄から外れ、OpenAIの利用規約や該当する州の消費者プライバシー法に基づいて扱われます。OpenAIは企業・臨床向けにHIPAA対応が可能な別製品を提供していますが、今回提供が始まった消費者向けHealth機能はそこに含まれません。

●ChatGPT Healthとの連携を解除すると、健康データはどうなりますか。

健康アカウントの連携を解除すると、OpenAIは同期されたデータを30日以内にシステムから削除するとしています。ただし、ChatGPTの会話履歴にすでに含まれている情報は、ユーザーがその会話を手動で削除するまで残ります。健康関連の会話から作られたメモリも、設定で無効にしない限り残ります。

●ChatGPT Healthを可能にした規制の枠組みは、同時に何を失わせているのですか。

21世紀治療法は、患者が自身の電子医療記録へサードパーティ製アプリを通じてアクセスする権利を認めた。これは、b.wellが医療記録をChatGPTに連携するために利用している法的基盤です。しかし、この権利を行使すると、データはHIPAAの保護の外へ移ります。患者データの可搬性を可能にしたのと同じ規制上の義務が、同時にHIPAAによる法的な保護を失わせることになります。HIPAAが規律するのは対象医療事業者であり、移転されたデータを受け取る消費者向けテクノロジー企業ではないためです。

●自分の医療記録をChatGPTに連携する前に、何を知っておくべきですか。

ChatGPT Healthに医療記録を連携すると、それらの記録はHIPAAによる保護の対象ではなくなります。モデル学習に使用しない、広告のターゲティングに使用しない、連携解除後30日以内に削除するといったOpenAIの現在のプライバシー上の約束には一定の意義がありますが、任意のものであり、変更される可能性があります。データが対象事業者のシステムを離れた後に、HIPAAの保護を回復する技術的な回避策はありません。法執行機関がOpenAIに健康データの開示を求めた場合、病院であれば利用できる法的保護と同じものが自動的に適用されるわけではありません。生殖医療に関する機微な履歴、メンタルヘルスの記録、職業上または社会的なリスクを伴う疾患など、プライバシーへの懸念が特に強い人は、連携前にこうした要素を慎重に検討すべきです。EPICのプライバシー擁護者は、このHIPAA保護の空白を危険だと指摘し、OpenAIはいつでも利用規約を変更できると警告しています。

元記事: ChatGPT Health Goes Nationwide: Your Medical Records Lose HIPAA Protection