このページでは、OpenAI の HIPAA 対象製品およびその機能の概要を説明します。これらの製品の使用および設定の詳細については、BAA で参照されているHIPAAガイドをご覧ください。

HIPAA 対象製品

OpenAI は、Business Associate Agreement（BAA）に基づき、以下の HIPAA 対象製品を提供しています。

ChatGPT for Healthcare
規制対応ワークスペースを備えたChatGPT for Enterprise
ChatGPT FedRAMP
医療従事者向け ChatGPT
Modified Retention を伴う API
Modified Retention を伴う API FedRAMP

BAA の対象となる ChatGPT 機能

HIPAA 対象の ChatGPT 製品には、HIPAA 準拠をサポートし、OpenAI Business Associate and Healthcare Addendum（以下「BAA」）の対象となる、以下の機能が含まれています。

管理機能
SSO
Compliance API
RBAC
ファイルを使ったチャット
チャットの共有
音声（音声文字変換／高度な音声モード）
Python ツールとファイルのダウンロード
Web 検索 & Deep Research（詳細は以下をご覧ください）
Canvas と Canvas コード実行
画像生成
メモリ
プロジェクト
通知
アプリ / コネクター
GPT
デスクトップクライアント：MacOS および Windows
モバイルアプリ
記録
アプリと連携
ChatGPT for Excel と Google Sheets
ワークスペースエージェント
ライブラリ
Codex Local（詳細は以下をご覧ください）
学習モード（ChatGPT for Edu でのみ利用可能）
信頼性の高い臨床検索（ヘルスケア向け ChatGPT でのみ利用可能）

Codex Local（ChatGPT でサインイン）

Codex Local では、ローカルワークステーションに Codex Local Client をインストールします。HIPAA対応の ChatGPT アカウントでサインインしている場合、HIPAA対応のローカルクライアントには、CLI、IDE、デスクトップアプリが含まれます。Codex Local Client が処理のために PHI を OpenAI に送信する場合、OpenAI は BAA に従ってお客様の PHI を保護します。

OpenAI BAA は、Codex Local Client をお客様のクライアントマシン上で実行すること、またはお客様の使用または指示に起因して Codex Local Client がアクセスする第三者サービスには適用されません。お客様は、PHI を扱う用途に関する自らの要件を満たすように、Codex Local Client のインストール、その運用環境を評価し、管理された構成を確立する責任を負います。

組織に Codex を導入する方法の詳細については、管理者向けロールアウトガイドを参照してください。

Codex Local の設定オプションについては、Managed ConfigurationおよびCodex HIPAA 実装ガイドを参照してください。

Web Search と Deep Research

OpenAI は、HIPAA 対象の ChatGPT ワークスペースを OpenAI の検索インデックスを使用するよう設定します。ユーザーが Web Search または Deep Research ツールを有効にした場合、またはモデルがウェブから情報を取得する場合、OpenAI のインデックス内の情報が使用されます。HIPAA 対象のワークスペースを使用している場合、OpenAI はクエリをサードパーティの検索プロバイダー（Bing など）に送信しません。

BAA の対象外の ChatGPT の機能へのアクセス

お客様は、自己の単独の裁量により、BAA の対象外である追加の ChatGPT 機能へのアクセスを有効にすることができます。これらの追加機能は、デフォルトでは無効になっています。ワークスペース管理者は、RBAC グループを通じてこれらの機能へのアクセスを有効にできます。RBAC のロールとグループの構成方法について詳しくは、こちらの記事をご覧ください。このアクセスは、PHI の送信、保存、または処理を伴わない用途のみを目的としています。

BAA の対象となる API 機能

OpenAI API における HIPAA 適格性は、OpenAI が別途指定する場合を除き、お客様のアカウントに Modified Retention がプロビジョニングされていることを条件とします。お客様の組織ID に Modified Retention がプロビジョニングされると、OpenAI BAA の締結後は、データが保持される場合でも、以下に記載されているエンドポイントを PHI の処理に使用できます。

HIPAA 対象エンドポイント

/v1/chat/completions

/v1/responses

/v1/assistants

/v1/threads

/v1/threads/messages

/v1/threads/runs

/v1/vector_stores

/v1/threads/runs/steps

/v1/images/generations

/v1/images/edits

/v1/images/variations

/v1/embeddings

/v1/audio/transcriptions

/v1/audio/translations

/v1/audio/speech

/v1/files

/v1/fine_tuning/jobs

/v1/batches

/v1/moderations

/v1/completions

/v1/realtime

Codex Local（API キー）

OpenAI API Services に対してお客様提供の OpenAI API キーを使用して Codex Local を利用する場合、その利用は、OpenAI が処理するデータに関して、Modified Retention 付きの API Services を Eligible Service として含む BAA をお客様が OpenAI と締結している場合に限り、BAA の適用対象となります。BAA の適用範囲およびお客様の責任事項の詳細については、上記の Codex Local（ChatGPT でサインイン）セクションをご覧ください。

HIPAA 対象製品および機能