Un hôpital américain prévient 3 182 patients que leurs données ont été copiées dans une IA publique
À Baltimore, un membre du personnel du Johns Hopkins Bayview Medical Center a déposé un tableau de patients dans un outil d’IA grand public, que l’hôpital n’avait pas autorisé. Les données sont sorties de l’établissement en un simple copier-coller.
L’incident date du 21 septembre et a été repéré lors d’un contrôle interne. Le fichier recensait des patients hospitalisés entre mai et septembre 2026 : noms, dates d’admission et de soins, numéros de dossier médical et de compte, service, médicaments administrés, noms des soignants. Il ne contenait ni numéro de sécurité sociale ni coordonnées bancaires. L’hôpital n’a pas précisé quel outil d’IA avait été utilisé.
La personne a effacé la conversation et le fichier de son historique, et l’hôpital a demandé à l’éditeur de l’outil de supprimer les données. Rien ne garantit pourtant qu’elles n’aient pas déjà été conservées sur ses serveurs. Depuis le 22 octobre, les 3 182 patients reçoivent un courrier, avec 12 mois de surveillance gratuite de leur identité. L’hôpital restreint désormais les outils d’IA non approuvés et reforme son personnel.
C’est le scénario de « l’IA de l’ombre » (les outils qu’un salarié utilise de son côté, sans accord de l’employeur). Aucune attaque, aucun pirate : juste quelqu’un qui voulait gagner du temps sur un tableau. Dans une petite structure, un fichier clients collé dans un assistant gratuit pose exactement le même problème. La parade tient en 2 décisions écrites : quels outils sont autorisés, et quelles données ne doivent jamais y entrer.