12 个孩子的病历，被打进了员工自己的 ChatGPT

美国华盛顿州两所州立精神卫生机构里，一名员工用自己手机上的 ChatGPT 起草病人的个案记录摘要。州政府写给家属的信里承认：不知道这些信息在 ChatGPT 服务器里是怎么存的，所以这些能认出具体病人的健康信息，可能已经落到法律未授权的人手里1。

今年 7 月，Lake Burien 过渡照护机构的一名员工报告说，自己的同事在用 ChatGPT 起草病人个案记录的摘要。这家机构由华盛顿州社会与卫生服务部（DSHS）管辖，收治的是有重度精神卫生需求的青少年。

州里查下去，发现这名员工用的是自己的个人 ChatGPT 账号，而且这个账号里不止一个病人。8 月中旬，机构联系了 12 名病人的家属，告知可能存在的信息泄露——这一步是通过一封信做的。

按州里的说法，涉及的是病人的姓名、具体诊断和用药。社会安全号这类信息不在其中，目前也没有证据显示这些信息已经被进一步披露，或者被用于身份盗用。

要注意措辞：官方用的是「可能」。到现在为止，没有任何一方说这些信息已经被人看过、已经流出去、已经被用掉。

DSHS 发言人 Jessica Nelson 在邮件里说，州里还知道另一起同类事件：西华盛顿州立医院有 4 名病人的信息也可能被暴露。

两起事件里，员工都被重新告知了机构关于病人保密和使用 AI 工具的规定。DSHS 的政策是：未经机构批准，员工不得使用 AI。Lake Burien 那名员工被要求先删掉自己问过的所有问题，再注销账号，据州里说，都照做了。

华盛顿州医院协会执行副总裁 Taya Briley 说得直接：有些安全标准是必须满足的，而你如果只是在手机上用 ChatGPT，这些标准一条都满足不了。

这里要分清两件事。医院里确实有符合 HIPAA 的 AI 工具，用来写笔记、整理资料，医生仍然要复核签字；那是给机构用的版本。普通人手机上下载的那个，是消费级产品，不在这套隐私法覆盖的范围里。用哪一类工具，决定了病人的话会落到什么地方。

病人没做错什么，写记录的人也只是想快一点。这件事真正说明的是：只要内容被打进一个你控制不了的对话框，后面谁看得见、存多久、删没删干净，就不由你决定了。

需要保护的 AI 对话和敏感信息，可以直接发给国内首个加密 AI 对话平台墨镜熊：对话内容全链路加密保护，平台与模型均无法访问您的明文数据2。