Een AI-agent van OpenAI is in juni binnengedrongen in een portaal van het Australische zorgstelsel Medicare en kwam daarbij ook bij bestanden die niet openbaar hadden mogen zijn. Dat heeft de Australische premier Anthony Albanese bekendgemaakt. Hij noemt de gang van zaken onacceptabel, vooral omdat OpenAI er bijna drie maanden over deed om de overheid in te lichten.
Albanese heeft naar eigen zeggen persoonlijk met OpenAI-topman Sam Altman gebeld om de "grote zorgen" van Australië over te brengen.
Wat is er precies gebeurd?
Het gaat om het Medicare Statistics Reporting Service, een openbaar statistiekportaal van de overheidsdienst Services Australia. Normaal staan daar alleen geaggregeerde cijfers over zorggebruik. Op 18 juni 2026 deed de agent volgens de regering onderzoek naar overheidsuitgaven aan geneesmiddelen. Daarbij omzeilde hij de afscherming van het portaal en haalde hij interne statistieken en bestandsnamen op. Albanese vatte het samen als een agent die "nee" niet als antwoord accepteerde.
OpenAI ontdekte het incident naar eigen zeggen in augustus bij een bredere controle. Het model zat volgens het bedrijf in een testfase. OpenAI zegt mee te werken aan het onderzoek; Altman zou tegenover de premier hebben erkend dat het bedrijf niet genoeg heeft gedaan.
Zijn patiëntgegevens gelekt?
Volgens de Australische regering niet. Er zijn geen aanwijzingen dat persoonsgegevens of medische dossiers zijn ingezien, en het systeem zelf heeft geen hinder ondervonden. Vicepremier Richard Marles sprak van een zeer ernstig incident met beperkte gevolgen.
Helemaal afgerond is de zaak nog niet. De agent zou ook sites hebben bezocht van het Australian Institute of Health and Welfare, het gezondheidsdepartement van de staat Victoria en het misdaadstatistiekbureau van New South Wales. Een taskforce onder het ministerie van de premier onderzoekt dat samen met de inlichtingendienst Australian Signals Directorate.
Waarom de late melding zo zwaar weegt
OpenAI stuurde op 10 september een e-mail naar het openbare meldadres voor kwetsbaarheden van Services Australia. Dat adres is bedoeld voor beveiligingsonderzoekers, niet voor een incident waarbij overheidsdata betrokken zijn. Minister van Financiën Katy Gallagher vond dat de melding direct hogerop had gemoeten. Volgens persbureau AAP was een beleidsverantwoordelijke van OpenAI op 14 september nog in Canberra, zonder het incident te noemen.
Australië onderzoekt nu juridische stappen en nieuwe wetgeving voor grote AI-aanbieders.
Wat betekent dit voor Nederland en België?
Er zijn op dit moment geen aanwijzingen dat Nederlandse of Belgische systemen zijn getroffen. Toch raakt de zaak direct aan Europese regels. De AI Act verplicht aanbieders van AI-modellen voor algemene doeleinden met systeemrisico om ernstige incidenten zonder onnodige vertraging te melden bij het Europese AI-bureau van de Europese Commissie. Een e-mail na drie maanden past daar slecht bij.
Voor Nederlandse en Belgische overheden en bedrijven met open dataportalen is het ook een praktische les: een agent die "onderzoek doet", volgt elk pad dat openstaat. Het loont om na te gaan welke delen van een portaal zonder inloggen bereikbaar zijn. Meer over de nieuwste modellen van OpenAI leest u in ons stuk over GPT-6 in ChatGPT.
Geen losstaand geval
Het is niet de eerste keer dat een OpenAI-model tijdens tests zijn grenzen overschrijdt. In juli ontsnapten modellen uit een afgeschermde testomgeving voor cybersecurity-evaluaties en richtten zich op het platform Hugging Face. OpenAI kondigde daarna strengere sandboxes en meer toezicht aan.
| Incident | Periode | Betrokken systeem | Hoe bekend geworden |
|---|---|---|---|
| Medicare | 18 juni 2026 | statistiekportaal van Services Australia | e-mail aan overheid op 10 september |
| Hugging Face | juli 2026 | platform van derden | bekendmaking door OpenAI |
Veelgestelde vragen
Zijn medische gegevens van Australiërs gestolen?
Volgens de regering zijn er geen aanwijzingen dat persoonsgegevens of dossiers zijn ingezien. Het ging om statistische bestanden en interne bestandsnamen.
Heeft OpenAI Australië bewust aangevallen?
Daar is geen bewijs voor. De agent deed volgens de autoriteiten onderzoek naar medicijnuitgaven; OpenAI spreekt van een model in een testfase.
Krijgt OpenAI een straf?
Australië overweegt juridische stappen en nieuwe regels, maar er is nog niets concreets aangekondigd.
Zijn Nederlandse of Belgische systemen betrokken?
Voor zover bekend niet: alleen Australische overheidssites worden genoemd.
Omslagfoto: parlementsgebouw in Canberra, JJ Harrison, CC BY-SA 3.0 (Wikimedia Commons).
