Akses AI ke 2.672 Dokumen Uji Klinis Terbatas Picu Sorotan terhadap Regulator Obat Korea Selatan

Dokumen Terbatas Dapat Diakses Tanpa Login

Kementerian Keamanan Pangan dan Obat Korea Selatan menghadapi sorotan setelah anggota parlemen Lee Sohee mengatakan kantornya mengunduh 2.672 dokumen uji klinis dari sistem informasi obat milik regulator dengan menggunakan layanan kecerdasan buatan generatif yang tersedia untuk umum, tanpa login, memasukkan kata sandi, atau membobol server.

Angka yang disampaikan dalam pemeriksaan Komite Kesehatan dan Kesejahteraan Majelis Nasional pada 13 Oktober 2026 menunjukkan dua risiko berbeda. Dari dokumen yang diperoleh, 839 memuat informasi perusahaan yang ditetapkan sebagai rahasia, sedangkan 2.208 memuat nomor ponsel staf yang bertanggung jawab atas pengajuan. Informasi lainnya mencakup nama, alamat email, hasil evaluasi, dan kelompok peserta yang disertakan dalam analisis uji klinis.

Lee, anggota Partai Kekuatan Rakyat yang duduk di komite tersebut, mengatakan dokumen-dokumen itu berasal dari pengajuan perusahaan farmasi, rumah sakit, universitas, dan lembaga penelitian. Informasi tampak disembunyikan di situs publik, tetapi tetap dapat diakses dalam berkas yang mendasarinya.

Regulator mengatakan sedang menyelidiki penyebabnya dan apakah informasi yang terekspos merupakan data hasil uji klinis sebenarnya. Komisarisnya, Oh Yoo-kyung, mengatakan dalam pemeriksaan parlemen bahwa akses telah diblokir pagi-pagi sekali dan lembaga itu sedang memeriksa sistem yang lebih luas.

Pokok persoalannya adalah kesenjangan antara keputusan untuk merahasiakan informasi dan penerapannya secara teknis. Kantor Lee mengatakan lembaga itu berulang kali menolak permintaan parlemen untuk memperoleh catatan uji klinis dan persetujuan, termasuk lima permintaan dari kantornya pada tahun tersebut. Dokumen yang tidak dapat diperoleh melalui jalur pengawasan resmi ternyata tetap bisa diakses dari luar.

Metode akses yang dilaporkan tidak dipublikasikan. Pengungkapan dilakukan setelah regulator diberi tahu dan menyatakan unduhan serupa telah dihentikan. Karena itu, penyelidikan berfokus pada cakupan paparan dan respons lembaga, bukan petunjuk untuk mengulanginya.

Makna Angka Dokumen

Sebanyak 2.672 dokumen merupakan kumpulan yang diperoleh kantor Lee, bukan jumlah pasti seluruh berkas yang mungkin dapat diakses. Dalam laporan pemeriksaan tersebut, belum ada inventaris lengkap sistem yang terdampak atau jumlah total unduhan oleh pengguna lain yang diumumkan secara terbuka.

Sebanyak 2.208 dokumen yang memuat nomor ponsel merupakan sekitar 82,6% dari kumpulan tersebut. Sementara itu, 839 dokumen yang memuat informasi rahasia perusahaan setara dengan sekitar 31,4%. Kategori-kategori itu mungkin bertumpang tindih, sehingga menjumlahkannya tidak akan menghasilkan jumlah dokumen terdampak yang terpisah secara sahih.

Angka-angka ini adalah jumlah dokumen, bukan jumlah orang atau perusahaan. Rincian kontak seseorang dapat muncul dalam beberapa berkas, dan satu dokumen dapat memuat informasi lebih dari satu orang. Karena itu, jumlah individu yang datanya terekspos belum diketahui.

Isi yang dijelaskan kantor Lee lebih dari sekadar informasi kontak. Dokumen dilaporkan mencakup temuan tentang efektivitas obat dan reaksi merugikan serius. Hasil evaluasi dan informasi tentang populasi analisis juga ditemukan dalam berkas yang diperiksa. Populasi analisis adalah kelompok peserta uji klinis yang datanya disertakan dalam perhitungan tertentu, seperti penilaian efektivitas atau keamanan.

Meski insiden ini terjadi setelah laporan terpisah tentang paparan informasi pasien dan pegawai di sejumlah rumah sakit universitas nasional, belum ada hubungan teknis yang terbukti antara kasus-kasus tersebut dan insiden ini. Insiden ini juga belum terbukti melibatkan catatan peserta uji klinis yang dapat diidentifikasi. Informasi pribadi yang secara khusus dijelaskan di sini berkaitan dengan staf dan kontak pengajuan.

Peran AI dan Hal yang Belum Diketahui

Dalam pemeriksaan, Lee menyebut ChatGPT sebagai layanan yang digunakan untuk memperoleh berkas dari platform informasi obat yang dikenal sebagai Uiyakpum Safety Korea. Keterangan lain menyebutnya secara lebih luas sebagai AI generatif. Menurut penjelasannya, pengunduhan itu tidak memerlukan autentikasi maupun peretasan.

AI generatif dapat membantu pengguna berinteraksi dengan layanan informasi, tetapi keterlibatannya tidak membuktikan bahwa sistem berhasil menembus kendali keamanan. Sebaliknya, keterangan tersebut menunjukkan bahwa berkas dapat diambil meski statusnya dibatasi di situs web. Menyembunyikan informasi dari tampilan halaman yang terlihat berbeda dengan mencegah akses ke dokumen yang memuatnya.

Kegagalan teknis yang tepat belum diketahui. Regulator belum mengungkapkan apakah masalahnya terkait izin dokumen, cara berkas disediakan, atau bagian lain dari layanan. Karena itu, terlalu dini untuk menyebut kelemahan perangkat lunak tertentu sebagai penyebab yang telah dipastikan.

Peringatan Lee bahwa pesaing asing atau kelompok peretas mungkin telah memperoleh materi itu mengacu pada potensi jangkauan paparan. Pernyataan tersebut bukan bukti bahwa salah satu pihak benar-benar mengunduhnya. Penentuan siapa yang mengakses berkas memerlukan pemeriksaan catatan sistem.

Perbedaan Kronologi Pemberitahuan dan Pemblokiran

Dalam pembahasan di parlemen, muncul kesenjangan antara waktu kantor Lee mengatakan telah memberi tahu lembaga tersebut dan waktu komisaris mengatakan dirinya mengetahui insiden itu. Urutan yang dipaparkan dalam pemeriksaan pada 13 Oktober adalah sebagai berikut:

• 11 Oktober 2026: Lee mengatakan kantornya memberi tahu regulator melalui permintaan informasi, tetapi tidak menerima tanggapan substantif.
• 12 Oktober: Oh mengatakan lembaga tersebut mengetahui paparan data. Ia menyebut adanya rapat malam itu dan instruksi untuk segera menghubungi kantor anggota parlemen tersebut.
• 13 Oktober dini hari: Oh mengatakan izin akses telah diblokir.
• 13 Oktober: Lee memaparkan jumlah dokumen dalam pemeriksaan Majelis Nasional dan menuntut laporan tertulis mengenai respons lembaga.

Laporan yang diterbitkan pada 13 Oktober menyebut pengungkapan dilakukan setelah regulator mengatakan telah menghentikan unduhan serupa. Urutan itu mendukung pernyataan lembaga bahwa langkah pemblokiran dilakukan sebelum publikasi, tetapi tidak dengan sendirinya membuktikan seberapa menyeluruh langkah tersebut.

Waktu persis pemberitahuan, diketahui adanya masalah, dan pemblokiran termasuk rincian yang diminta Lee agar disampaikan lembaga secara tertulis sebelum pemeriksaan berakhir. Waktu-waktu tersebut penting untuk mengetahui berapa lama akses berlanjut setelah peringatan diterima regulator dan apakah peringatan itu segera diteruskan kepada pihak yang bertanggung jawab atas sistem.

Akses Parlemen dan Pengecualian untuk Kepentingan Publik

Insiden keamanan ini juga mempertajam perselisihan mengenai penerapan aturan kerahasiaan oleh regulator. Lee mengatakan dokumen uji klinis, perizinan, dan peninjauan telah ditahan dari Majelis Nasional selama satu dekade sebelumnya. Keberatan perusahaan termasuk alasan yang digunakan untuk menolak lima permintaan kantornya pada 2026.

Rincian yang lebih spesifik dalam pemeriksaan berkaitan dengan daftar 96 kasus pengungkapan selama sepuluh tahun. Menurut Lee, 95 di antaranya tetap dirahasiakan. Satu-satunya kasus yang diungkapkan dirilis atas permintaan perusahaan, bukan karena regulator secara independen memutuskan bahwa pengungkapan diperlukan demi kepentingan publik.

Perbedaan ini membantu menjelaskan kesenjangan antara klaim luas bahwa tidak ada catatan yang diungkapkan dan angka yang menunjukkan satu dokumen dirilis. Angka pemeriksaan itu mencatat satu pengungkapan dalam daftar kasus tersebut, tetapi tidak ada pengungkapan yang didasarkan pada keputusan demi kepentingan publik. Angka itu tidak menunjukkan status setiap catatan yang dimiliki lembaga.

Lee berpendapat bahwa Undang-Undang Urusan Farmasi mengizinkan pengungkapan apabila diperlukan demi kepentingan publik, tetapi pengecualian ini pada praktiknya tidak pernah digunakan. Perselisihan tersebut menyangkut catatan tentang reaksi merugikan obat dan insiden medis, serta materi perizinan dan peninjauan vaksin dan pengobatan yang diminta anggota parlemen.

Ketika ditanya apakah ada dokumen internal yang mencatat pertimbangan lembaga dalam menimbang kerahasiaan komersial dan kepentingan publik terkait keputusan pengungkapan yang diperselisihkan, Oh mengatakan tidak ada dokumen seperti itu. Jawaban tersebut membuat dasar keputusan sulit diperiksa, meski dengan sendirinya tidak membuktikan bahwa pertimbangan sama sekali tidak dilakukan.

Mengapa Kasus Genencell Masuk dalam Perdebatan

Permintaan terkait Genencell menjadi salah satu fokus utama Lee dalam menggugat regulator. Pendiri perusahaan itu dilaporkan menerima hukuman penjara empat tahun dalam putusan banding setelah dinyatakan bersalah terkait pengajuan informasi palsu, atau informasi yang tidak memuat rincian penting, untuk memperoleh persetujuan uji klinis pengobatan COVID.

Lee secara tegas membedakan putusan bersalah tersebut dari temuan bahwa persetujuan regulator itu sendiri tidak semestinya diberikan. Ia mengatakan tujuannya adalah memeriksa bagaimana lembaga meninjau pengajuan tersebut, informasi tambahan apa yang diminta, dan bukti apa yang mendasari keputusannya.

Menurut Lee, regulator menolak permintaan materi peninjauan Genencell dengan alasan kerahasiaan komersial. Perbandingan dengan dokumen yang dapat diakses dari luar membuat penolakan itu semakin dipersoalkan: lembaga mempertahankan pembatasan pengungkapan resmi, sementara muncul bukti bahwa perlindungan teknisnya tidak secara andal menjaga kerahasiaan.

Namun, putusan banding dan penyelidikan paparan tersebut menyangkut persoalan yang berbeda. Putusan bersalah berkaitan dengan tindakan dalam pengajuan uji klinis. Penyelidikan keamanan berkaitan dengan akses ke dokumen dalam sistem regulator. Keduanya tidak menentukan jawaban atas persoalan yang lain, dan hubungan tepat antara kumpulan dokumen yang diunduh dan catatan Genencell yang diminta tidak dirinci.

Respons Lembaga Menjadi Sorotan

Lee juga mempersoalkan komunikasi regulator setelah masalah dilaporkan. Ia mengatakan pejabat lembaga berulang kali menghubungi seorang jurnalis untuk menanyakan metode akses dan meminta penundaan publikasi dengan alasan kemungkinan dampak terhadap kepentingan nasional, sementara fakta-fakta tidak segera dipastikan bersama kantornya.

Lembaga itu memberikan penjelasan berbeda mengenai tujuannya. Oh mengatakan permintaan tersebut dimaksudkan untuk mencegah paparan lebih lanjut dengan memastikan langkah pemblokiran diterapkan sebelum masalah akses diketahui publik. Ia mengakui kantor anggota parlemen seharusnya segera dihubungi dan meminta maaf atas penjelasan yang tidak memadai.

Oh mengatakan dalam rapat malam sebelumnya telah diberikan instruksi untuk segera mendatangi kantor tersebut, bahkan larut malam, dan ia memahami bahwa petugas penghubung parlemen telah berkunjung beberapa kali. Urutan pasti komunikasi itu masih menjadi bagian dari laporan tertulis yang diminta Lee.

Pembahasan lain menyangkut apa yang harus dilakukan terhadap materi yang diunduh. Ketika Lee bertanya apakah berkas itu dapat dipublikasikan, Oh menjawab bahwa berkas tersebut tampaknya perlu dimusnahkan. Lee menjelaskan bahwa ia tidak mengusulkan publikasi, melainkan menanyakan mengapa informasi yang dianggap begitu sensitif tidak mendorong lembaga menghubungi kantornya lebih cepat.

Pertukaran itu menyoroti dua tanggung jawab: membatasi penyebaran lebih lanjut informasi rahasia dan pribadi, serta menjaga bukti yang diperlukan untuk memastikan apa yang terjadi. Lee secara terpisah menuntut agar catatan sistem segera dipertahankan karena catatan tersebut dapat mendokumentasikan akses tanpa mengharuskan berkas itu sendiri disebarluaskan.

Hal yang Harus Dipastikan dalam Penyelidikan

Lee meminta peninjauan menyeluruh terhadap catatan akses server untuk menentukan siapa yang mengunduh dokumen, kapan paparan dimulai, dan mengapa lembaga tidak mendeteksinya. Ia juga meminta penyelidikan untuk memastikan apakah kelemahan serupa terdapat dalam sistem lain.

Catatan akses dapat membantu memastikan kapan berkas diminta dan seberapa luas pengambilannya. Namun, catatan tersebut belum tentu mengidentifikasi setiap orang di balik permintaan, terutama jika login tidak diperlukan. Laporan yang dapat dipertanggungjawabkan perlu membedakan permintaan yang tercatat, unduhan yang berhasil, dan identitas yang benar-benar dapat diverifikasi penyelidik.

Regulator masih perlu memastikan sifat catatan yang terekspos, mengidentifikasi penyebabnya, dan menentukan keseluruhan cakupan informasi yang terdampak. Dalam pemeriksaan tersebut, tidak ada tanggal pasti awal paparan, jumlah penerima dari luar, atau temuan penyalahgunaan setelah kejadian yang dilaporkan.

Batas waktu langsung yang diberikan Lee adalah akhir pemeriksaan parlemen untuk menyampaikan laporan tertulis tentang pemblokiran akses, saat pertama kali masalah diketahui, waktu pemblokiran yang sebenarnya, dan komunikasi dengan pers. Keterangan yang ada tidak menyebutkan tanggal lebih lanjut untuk publikasi penyelidikan teknis yang telah rampung.

Kasus ini menghadirkan dua ujian akuntabilitas yang berbeda. Catatan rahasia harus dilindungi dengan kontrol akses yang efektif, sementara keputusan menahan dokumen dari pengawasan yang sah harus memiliki dasar yang dapat dijelaskan. Menghentikan metode unduhan yang dilaporkan mengatasi jalur paparan langsung, tetapi tidak memastikan berapa lama akses itu tersedia atau menyelesaikan perselisihan mengenai keputusan pengungkapan.

Poin Utama

• Lee Sohee mengatakan kantornya memperoleh 2.672 dokumen uji klinis menggunakan ChatGPT tanpa login atau kata sandi.
• Sebanyak 839 dokumen memuat informasi rahasia perusahaan dan 2.208 memuat nomor ponsel staf. Kategori tersebut mungkin bertumpang tindih.
• Regulator mengatakan akses diblokir pada dini hari 13 Oktober 2026 dan penyelidikan atas penyebab serta sifat informasi yang terekspos sedang berlangsung.
• Lee mengatakan kantornya memberi tahu lembaga pada 11 Oktober; Komisaris Oh Yoo-kyung mengatakan lembaga mengetahui masalah itu pada 12 Oktober.
• Daftar pengungkapan selama sepuluh tahun yang dikutip dalam pemeriksaan mencakup 96 kasus; 95 dirahasiakan dan satu dirilis atas permintaan perusahaan.
• Periode paparan, jumlah penerima dari luar, dan kemungkinan penyalahgunaan belum dikonfirmasi. Lee menuntut agar catatan dipertahankan dan akses ditinjau secara menyeluruh.