Baltimore'daki Johns Hopkins Bayview Medical Center, bir çalışanın hastanenin bu amaçla onaylamadığı kamuya açık bir yapay zekâ aracına tablo yüklemesinin ardından sağlık bilgileri açığa çıkmış olabilecek yaklaşık 3.182 hastaya bildirim yapmaya başladı.
Hastaneye göre sorun 21 Eylül 2026'da bir iç inceleme sırasında ortaya çıktı — ve aynı gün yaşandı. Bir personel, hasta bilgilerini içeren bir tabloyu bu amaç için izin verilmemiş harici bir yapay zekâ platformuna yükledi ve veriler üçüncü taraf araçla paylaşıldı. Tablo, Mayıs ile Eylül 2026 arasında kabul edilip tedavi gören hastaları kapsıyordu. Açığa çıkmış olabilecek bilgiler arasında adlar, kabul ve tedavi tarihleri, tıbbi kayıt numaraları, hesap numaraları, tedavi eden bölüm, verilen ilaçlar ve hekim adları yer alıyor. Hastane, sosyal güvenlik numaraları ile mali hesap bilgilerinin kapsamda olmadığını söylüyor.
Olayı dikkate değer kılan, ne olmadığı. Dışarıdan bir sızma, bir güvenlik açığı, fidye yazılımı ya da hedefli bir saldırı işareti yok. Görünüşe göre bir işi daha hızlı bitirmeye çalışan bir kişi, verileri tüketiciye açık bir araca yapıştırdı. Olayı istisna değil bir örüntü yapan da bu: gölge yapay zekâ bir düşman gerektirmez, yalnızca bir teslim tarihi yeter.
Tepki alışıldık sırayı izledi. Hastane soruşturma başlattı, çalışan istemi, sohbet dizisini ve belgeyi aracın geçmişinden sildi, hastane de aracı işleten şirketten verileri silmesini istedi. Benzer bir hatayı önlemek için, onaylanmamış uygulamalara ve yapay zekâ araçlarına sınırlama ile personelin hangi araçların onaylı olduğu konusunda yeniden eğitilmesi dahil önlemler eklendiğini söylüyor. 22 Ekim'den itibaren gönderilen mektuplarda Experian IdentityWorks üzerinden 12 ay ücretsiz kredi izleme teklifi ve ücretsiz bir çağrı merkezi numarası yer alıyor.
Gizlilik görevlileri için ilginç kısım özür değil, kanıt sorunu. Bir çalışanın sohbet dizisini silmesi ve bir satıcıdan veri silmesinin istenmesi, işlemeyi geriye dönük olarak ortadan kaldırmıyor. Kopyaların eğitim hatlarında, günlüklerde ya da yedeklerde kalıp kalmadığını dışarıdan doğrulamak mümkün değil — ve etkilenen hastaların bunu bağımsız olarak kontrol etme yolu yok. ABD'de HIPAA geçerli; AB'de benzer bir vaka, aracı sağlayıcıyla veri işleme sözleşmesi olup olmadığı dahil, DSGVO'ya göre değerlendirilirdi. Olayın keşfinden yaklaşık bir ay sonra kamuoyuna ulaşması da tablonun parçası.
Ders teknolojide değil yönetişimde. Yasaklar kullanımı yeraltına iter; hastanelerin işe gerçekten uygun onaylı araçlara ve diğer her şeye teknik bir engellemeye ihtiyacı var. Tıbbi kayıt numaralarını tanıyan bir istem filtresi bu olayı büyük olasılıkla önlerdi. "Onaylanmamış yapay zekâ araçlarını kullanmayın" yazan bir genelge önlemezdi.
Ölçek, ayrıntıların en önemsizi. Büyük ihlallerin yanında 3.182 kişi küçük. Şu anda bir dil modelinin notları özetlemekte ne kadar işe yaradığını keşfeden hastane çalışanlarının sayısının yanında ise dünyanın herhangi bir hastanesinde tekrarlayabilecek büyüklükte bir sorun — hem de çoğu zaman hiç kimse farkına varmadan.
