В Johns Hopkins обнаружили, что их сотрудники отправили медицинские записи пациентов (включая имена, даты рождения и диагнозы) в облачный AI-инструмент для анализа текста без надлежащей санкции и без уведомления пациентов. Это не hack и не утечка в классическом смысле — сотрудники сами загрузили данные, думая, что это безопасно, или не понимая политику обращения с чувствительной информацией.
Такие инциденты уже не редкость. За последний год мы видели десятки примеров: сотрудники Samsung загружали исходные коды в ChatGPT, Apple инженеры отправляли аудиозаписи в облако, компании со спешкой внедряют AI для эффективности, но не думают о защите данных. Проблема в том, что между технологией, которая действительно полезна, и готовностью организации её использовать безопасно — огромный разрыв.
Для Johns Hopkins это означает не только PR-ущерб, но и возможные штрафы по HIPAA (закон о конфиденциальности медданных в США). Для рядовых сотрудников это урок: даже если инструмент кажется «облачным» и официальным, не значит, что он одобрен для работы с данными пациентов. Но и здесь вина падает скорее на сам процесс — если политика не понятна или не внедрена, люди будут игнорировать её.
В России медучреждения только начинают активнее внедрять AI-инструменты: от диагностики по снимкам до обработки медкарт. Рост спешки уже виден. При этом требования 152-ФЗ (закон о защите персональных данных) и новые акты Роскомнадзора становятся строже. Если вы внедряете в медклинике любой AI-сервис для анализа пациентских данных — убедитесь, что это не облачный сервис общего назначения, а специализированный (пусть даже на собственных серверах или приватном облаке). Сотрудников нужно обучать не просто правилам, а делать процесс таким, чтобы ошибка была невозможна технически: разделение доступа, аудит загрузок, запрет на копирование в буфер обмена перед отправкой в общие инструменты.
Johns Hopkins уведомила пациентов в соответствии с требованиями закона. Это не критическая утечка масштаба Equifax, но она напоминает: каждое использование AI сейчас требует не просто технического решения, а аудита всей цепочки обработки данных. Иначе эффективность покупается за счёт доверия пациентов и уверенности в безопасности.