Artificial Intelligence Implementation and Governance in Healthcare: A Qualitative Study of Cybersecurity Professionals

Krankenhäuser und Kliniken wenden sich zunehmend der künstlichen Intelligenz zu, um Ärzte bei Entscheidungen zu unterstützen, Patientenakten zu verwalten und gesundheitliche Ergebnisse vorherzusagen. Diese Werkzeuge sind leistungsstark, aber sie operieren innerhalb komplexer digitaler Systeme, die sensible persönliche Informationen enthalten. Genau wie ein neues Gebäude ein solides Fundament benötigt, bevor Menschen einziehen können, benötigen diese digitalen Systeme starke Regeln und Schutzmaßnahmen, bevor man ihnen die volle Verantwortung für die Patientenversorgung anvertrauen kann. Die Herausforderung liegt nicht nur in der Technologie selbst, sondern in den Organisationen, die sie nutzen. Die Fähigkeit eines Krankenhauses, diese Werkzeuge sicher einzusetzen, hängt von seiner Führung, seinem Personal und seinen Ressourcen ab. Wenn ein Krankenhaus ein neues System einführt, ohne einen Plan dafür zu haben, wie es überwacht werden soll oder wer dafür verantwortlich ist, kann die Technologie eher zu einem Risiko als zu einer Hilfe werden. Hier kommen die Menschen ins Spiel, die die digitale Sicherheit bewachen. Sie sind die Experten, die verstehen, wie man Daten vor Diebstahl oder Verfälschung schützt, und ihre Perspektive ist entscheidend für das Verständnis darüber, wie man künstliche Intelligenz einführt, ohne das Vertrauen zu brechen, das Patienten in ihre Pflegekräfte setzen.

Ein Team von Forschern setzte sich zum Ziel, genau zu verstehen, wie diese Sicherheitsexperten den Prozess der Einführung künstlicher Intelligenz im Gesundheitswesen betrachten. Sie interviewten zwanzig Fachleute, die in der Cybersicherheit, der Dateninfrastruktur oder der digitalen Sicherheit innerhalb oder im Umfeld von Gesundheitssystemen arbeiten. Die Interviews fanden zwischen Mai und August 2025 statt, wobei jedes Gespräch zwischen 45 und 60 Minuten dauerte. Die Forscher fragten diese Experten nach ihren Rollen, ihren Erfahrungen mit Gesundheitstechnologien und danach, wie sie Organisationen im Umgang mit den Risiken der künstlichen Intelligenz sehen. Das Ziel war nicht, die Technologie selbst zu testen, sondern den Menschen zuzuhören, die dafür verantwortlich sind, sie sicher zu halten, und die realen Bedingungen zu verstehen, die diese Arbeit erleichtern oder erschweren.

Die Interviews zeigten, dass der Erfolg künstlicher Intelligenz im Gesundheitswesen von fünf miteinander verbundenen Bereichen abhängt: wie bereit eine Organisation ist, wie gut sie ihr Personal schult, wie sie die Systeme überwacht, welche Ressourcen sie hat und welche spezifischen Sicherheitsstrategien sie anwendet. Ein wiederkehrendes Thema in den Erzählungen der Experten war das Spannungsverhältnis zwischen der Geschwindigkeit, mit der neue Technologien eintreffen, und der Langsamkeit, mit der Organisationen die Kapazität aufbauen, um sie sicher zu verwalten. Oft führen Krankenhäuser die Technologie zuerst ein und denken erst über Sicherheit und Regeln nach, wenn das System bereits in Betrieb ist. Ein Experte merkte an, dass dieser Ansatz rückwärts gerichtet sei und er mit dem Versuch vergleichbar sei, ein Fundament zu bauen, nachdem das Haus bereits fertiggestellt wurde. Wenn Sicherheit erst im Nachhinein berücksichtigt wird, schafft dies vermeidbare Schwachstellen, die Patientendaten gefährden könnten.

Bereitschaft wurde als mehr beschrieben als nur das Vorhandensein der richtigen Computer. Es beinhaltet einen klaren Plan der Führungsebene, eine Methode zur Datenverwaltung, die nicht über viele verschiedene Abteilungen verstreut ist, und eine Kultur, in der das Personal versteht, warum diese Regeln wichtig sind. Wenn die Führungsebene Cybersicherheit nicht als Kernbestandteil des Betriebs sieht, wird künstliche Intelligenz lediglich zu einem kurzfristigen Projekt statt zu etwas, das langfristige Pflege benötigt. Ähnlich verhält es sich, wenn das Personal nicht versteht, warum die neuen Werkzeuge wichtig sind; dann werden sie die Sicherheitsprozesse nicht befolgen, egal wie gut diese Prozesse auch sein mögen.

Schulung erwies sich als eine kritische Brücke zwischen technischen Regeln und der täglichen Arbeit. Die Experten betonten, dass Sicherheit nicht in einer einzigen Sitzung gelehrt werden kann. Da sich Technologie und Bedrohungen ständig ändern, muss das Personal regelmäßig nachgeschult werden. Die effektivste Schulung wurde als fortlaufend und anpassungsfähig beschrieben, oft geschieht dies durch informelle Gespräche oder kurze Workshops statt durch lange Vorträge. Sicherheitsexperten müssen oft komplexe technische Ideen in einfache Begriffe übersetzen, die Ärzte und Pflegekräfte in ihrem geschäftigen Alltag verwenden können. Wenn die Anleitungen zu kompliziert sind, wird das Personal sie ignorieren, und das System wird unsicher.

Sobald die Systeme in Betrieb sind, ist eine kontinuierliche Überwachung unerlässlich. Sicherheit ist nichts, was man einrichtet und dann vergisst. Die Experten beschrieben eine Routine aus regelmäßigen Prüfungen, Tests und der Analyse dessen, was passiert, wenn etwas schiefgeht. Dieser Prozess ermöglicht es Organisationen, aus Fehlern zu lernen und Probleme zu beheben, bevor sie die Patientenversorgung beeinflussen. Er erfordert zudem klare Regeln darüber, wer benachrichtigt wird, wenn etwas ausfällt, und wie schnell darauf reagiert werden muss. Diese Art der Aufsicht funktioniert am besten, wenn Sicherheitsteams, IT-Personal und klinische Führungskräfte zusammenarbeiten und die Verantwortung für die Sicherheit des Systems teilen.

Die Fähigkeit, all dies zu leisten, hängt jedoch stark von den Ressourcen ab. Die Interviews hoben einen drastischen Unterschied zwischen großen Krankenhäusern und kleineren Kliniken hervor. Große Krankenhäuser können sich dedizierte Sicherheitsteams und fortschrittliche Werkzeuge leisten, während kleinere Kliniken oft auf eine einzige IT-Person angewiesen sind, die bereits überlastet ist. Diese Kluft bedeutet, dass das Schutzniveau, das ein Patient erhält, davon abhängen kann, wo er behandelt wird. Einige Organisationen müssen sich auf externe Anbieter verlassen, um ihre Sicherheit zu verwalten, was ihre Kontrolle über ihre eigenen Systeme einschränken kann. Die Experten merkten an, dass diese finanziellen und personellen Unterschiede zu ungleichen Sicherheitsniveaus im gesamten Gesundheitssystem führen.

Um diese Risiken zu bewältigen, beschrieben die Experten praktische Strategien, die in der realen Welt funktionieren. Sie schlugen vor, mit einem starken Datenschutz, wie Verschlüsselung und strengen Zugriffskontrollen, zu beginnen, bevor man künstliche Intelligenz hinzufügt. Sie betonten auch die Wichtigkeit, Sicherheitsteams von Beginn eines Projekts an einzubeziehen und nicht zu warten, bis das System live geht. Eine weitere Schlüsselstrategie besteht darin, Systeme mit der Erwartung zu konzipieren, dass sie irgendwann ausfallen werden, indem man im Voraus für Ausfallzeiten oder Sicherheitsverletzungen plant, damit die Patientenversorgung nicht unterbrochen wird. Diese Ansätze beruhen auf der Zusammenarbeit zwischen verschiedenen Abteilungen und stellen sicher, dass jeder, von der Verwaltung bis zum klinischen Personal, eine Rolle bei der Aufrechterhaltung der Sicherheit spielt.

Die Studie legt nahe, dass sichere künstliche Intelligenz nicht nur ein technisches Problem, sondern ein organisatorisches Problem ist. Sie erfordert eine koordinierte Anstrengung, bei der Führung, Schulung, Überwachung und Ressourcen zusammenwirken. Ohっても dieser Koordination können dieselben Sicherheitsregeln je nach Kapazität des Krankenhauses zu sehr unterschiedlichen Ergebnissen führen. Die Forscher kamen zu dem Schluss, dass für eine sichere und faire künstliche Intelligenz die Organisationen im Gesundheitswesen Sicherheitsexperten frühzeitig einbinden, Prozesse entwickeln müssen, die Risiken erkennen und darauf reagieren können, und anerkennen müssen, dass nicht alle Krankenhäuser über die gleichen Ressourcen verfügen. Indem sie sich auf diese organisatorischen Bedingungen konzentrieren, können Gesundheitssysteme die Patienteninformationen besser schützen und sicherstellen, dass neue Technologien die Versorgung verbessern, ohne neue Gefahren einzuführen.