Johns Hopkins раскрыл данные 3000+ пациентов облачному AI-сервису без их согласия — и это уже вторая волна обсуждения одного и того же инцидента в сообществе. На этот раз речь идёт не просто об утечке, а о том, что проблема остаётся системной и никак не решается на уровне организаций.
В сообществе AI и медтеха обсуждают закономерный вопрос: если даже крупные, хорошо организованные медучреждения такого уровня не могут внедрить базовый контроль перед отправкой данных в облачные сервисы, то что говорить о среднем госпитале или клинике? Похоже, стандартный сценарий: сотрудник скопировал данные пациентов в облачный сервис для аналитики или автоматизации процесса, никто не проверил содержимое, и никто не спросил согласие.
Корень проблемы не в том, что AI-инструменты кто-то специально хакируют — в том, что организации сами загружают туда данные, не подумав о последствиях. Это не требует сложной атаки: халатность, спешка, неясная политика отправки данных в облако, отсутствие контроля. Johns Hopkins отреагировал оповещением пациентам, но изменит ли это практику в других медучреждениях — вопрос открытый.
В России похожие инциденты в здравоохранении обычно остаются за рамками публичного обсуждения, но проблема есть. Когда медучреждения внедряют AI-инструменты для автоматизации — часто через облачные платформы, которые де-факто обрабатывают персональные данные пациентов, — контроль остаётся на уровне подписей в бумажных соглашениях. AI Studio и подобные платформы автоматизации позволяют интегрировать обработку данных прямо в собственную инфраструктуру или с явным контролем над потоком информации, но это требует предварительного аудита и политик — работы, которую многие медорганизации откладывают.
Регуляторно этот вопрос уже решён: ФСТЭК и Роскомнадзор требуют согласия пациента перед обработкой персональных данных, в том числе в облачных сервисах. Но на практике контроль часто остаётся поверхностным — инцидент Johns Hopkins показывает, что и на Западе, где регулирование строже (HIPAA), организации не всегда следят за собой.
Важный момент: история повторяется потому, что нет обратной связи между инцидентом и изменением практики. Одна клиника получила штраф или оповестила пациентов — остальные смотрят со стороны и считают, что у них такого не будет. Пока не произойдёт инцидент и у них.
В сообществе медтеха уже звучит вывод: не нужна ни лучшая AI, ни более приватные сервисы — нужна базовая организационная дисциплина. Чек-лист перед отправкой данных, ревью от информационной безопасности, явное согласие. Всё, что можно было бы внедрить год назад.
Алексей Мартыненко
Главный редактор SPV News
Johns Hopkins — не первое медучреждение с такой историей, и оно точно не будет последним, пока инциденты обсуждаются как индивидуальная ошибка конкретной организации. На самом деле это системная проблема: когда AI-инструменты становятся рабочим инструментом, люди копируют туда данные, потому что это быстро и удобно, без промежуточного аудита. Регуляция есть (HIPAA, ФСТЭК), но она работает только если её активно исполнять. Одного закона недостаточно.