Johns Hopkins: 3182 beteg adata nem jóváhagyott AI-ban

Mi történt?

A baltimore-i Johns Hopkins Bayview Medical Center értesíti mintegy 3182 betegét, hogy egészségügyi adataik illetéktelenekhez kerülhettek (WMAR-2 News). A kórház szerint 2026. szeptember 21-én egy belső felülvizsgálat során egy munkatárs feltöltött egy betegadatokat tartalmazó táblázatot egy külső AI-platformra, amelyet a kórház nem hagyott jóvá erre a célra. A problémát még aznap észlelték.

Milyen adatok érintettek?

• A táblázat a 2026 májusa és szeptembere között felvett és kezelt betegeket tartalmazta.
• Érintett lehet a név, a felvétel és a kezelés dátuma, a kórlapszám, a számlaszám, a kezelő osztály, a beadott gyógyszerek, illetve a kezelőorvos neve.
• A kórház szerint társadalombiztosítási szám és pénzügyi számlaadat nem került ki.

Mit tett a kórház?

A munkatárs törölte a promptot, a beszélgetést és a dokumentumot az eszköz előzményeiből. A kórház megkérte az AI-eszköz üzemeltetőjét, hogy törölje az adatokat. Emellett szigorítja a szabályzatait és a képzéseit. Ennek része a nem jóváhagyott alkalmazások és AI-eszközök használatának korlátozása, valamint a jóváhagyott eszközökről szóló újraképzés. Az értesítő leveleket október 22-én kezdték kiküldeni, az érintettek 12 hónapig ingyenes hitelfigyelést kapnak.

Miért fontos?

Ez tipikus shadow AI eset: nem támadás történt, hanem egy dolgozó a munkáját akarta gyorsítani egy nyilvános chatbottal. Az eset megmutatja, hogy a tiltás önmagában kevés, ha nincs kéznél jóváhagyott, biztonságos alternatíva. Egészségügyi, oktatási és közigazgatási intézményeknek érdemes egyértelmű listát adni az engedélyezett AI-eszközökről, technikai korlátot (DLP) tenni a személyes adatok feltöltése elé, illetve rendszeresen oktatni a dolgozókat. Az EU-ban egy hasonló eset GDPR szerinti adatvédelmi incidensnek minősülhet.