Artificial Intelligence Implementation and Governance in Healthcare: A Qualitative Study of Cybersecurity Professionals

Los hospitales y las clínicas recurren cada vez más a la inteligencia artificial para ayudar a los médicos a tomar decisiones, gestionar los registros de los pacientes y predecir los resultados de salud. Estas herramientas son poderosas, pero operan dentro de sistemas digitales complejos que albergan información personal sensible. Así como un edificio nuevo necesita una base sólida antes de que la gente se mude, estos sistemas digitales necesitan reglas y protecciones fuertes antes de que puedan ser plenamente confiables para la atención al paciente. El desafío no es solo la tecnología en sí misma, sino las organizaciones que la utilizan. La capacidad de un hospital para utilizar estas herramientas de forma segura depende de su liderazgo, su personal y sus recursos. Si un hospital adopta un nuevo sistema sin un plan sobre cómo vigilarlo o quién es el responsable de él, la tecnología puede convertirse en un riesgo en lugar de una ayuda. Aquí es donde entran los que custodian la seguridad digital. Ellos son los expertos que entienden cómo proteger los datos contra el robo o la corrupción, y su perspectiva es crucial para entender cómo introducir la inteligencia artificial sin romper la confianza que los pacientes depositan en sus cuidadores.

Un equipo de investigadores se propuso comprender exactamente cómo ven estos expertos en seguridad el proceso de incorporar la inteligencia artificial en la atención médica. Entrevistaron a veinte profesionales que trabajan en ciberseguridad, infraestructura de datos o seguridad digital dentro o alrededor de los sistemas de salud. Las entrevistas se llevaron a cabo entre mayo y agosto de 2025, y cada conversación duró entre 45 y 60 minutos. Los investigadores preguntaron a estos expertos sobre sus funciones, sus experiencias con la tecnología sanitaria y cómo ven que las organizaciones gestionan los riesgos de la inteligencia artificial. El objetivo no era probar la tecnología en sí, sino escuchar a las personas que son responsables de mantenerla segura y comprender las condiciones del mundo real que facilitan o dificían esa tarea.

Las entrevistas revelaron que el éxito de la inteligencia artificial en la atención médica depende de cinco áreas conectadas: qué tan preparada está una organización, qué tan bien capacitan a su personal, cómo supervisan los sistemas, qué recursos tienen y las estrategias de seguridad específicas que utilizan. Un tema recurrente en las historias de los expertos fue la tensión entre la rapidez con la que llega la nueva tecnología y la lentitud con la que las organizaciones construyen la capacidad para gestionarla de forma segura. A menudo, los hospitales traen la tecnología primero y solo piensan en la seguridad y las reglas después de que el sistema ya está en funcionamiento. Un experto señaló que este enfoque es al revés, comparándolo con intentar construir una base después de que la casa ya está construida. Cuando la seguridad es algo secundario, se crean debilidades evitables que podrían poner en riesgo los datos de los pacientes.

La preparación fue descrita como algo más que tener las computadoras adecuadas. Implica tener un plan claro por parte de los líderes, una forma de gestionar los datos para que no estén dispersos en muchos departamentos diferentes, y una cultura donde el personal comprenda por qué estas reglas son importantes. Si el liderazgo no ve la ciberseguridad como una parte central de las operaciones, la inteligencia artificial se convierte en simplemente otro proyecto a corto plazo en lugar de algo que requiere cuidado a largo plazo. Del mismo modo, si el personal no comprende por qué las nuevas herramientas son importantes, es posible que no siga los procesos de seguridad, por muy buenos que sean dichos procesos.

La capacitación surgió como un puente crítico entre las reglas técnicas y el trabajo diario. Los expertos enfatizaron que la seguridad no se puede enseñar en una sola sesión. Debido a que la tecnología y las amenazas están siempre cambiando, el personal necesita ser reentrenado regularmente. La capacitación más efectiva fue descrita como continua y adaptable, ocurriendo a menudo a través de conversaciones informales o talleres cortos en lugar de solo largas conferencias. Los expertos en seguridad a menudo tienen que traducir ideas técnicas complejas a términos sencillos que los médicos y enfermeros puedan usar en sus agendas ocupadas. Si la orientación es demasiado complicada, el personal dejará de prestar atención y el sistema se volverá inseguro.

Una vez que los sistemas están en funcionamiento, la supervisión continua es esencial. La seguridad no es algo que se configura y se olvida. Los expertos describieron una rutina de controles regulares, pruebas y revisión de lo que sucede cuando las cosas salen mal. Este proceso permite a las organizaciones aprender de los errores y solucionar problemas antes de que afecten la atención al paciente. También requiere reglas claras sobre quién debe ser notificado cuando algo falla y con qué rapidez deben responder. Este tipo de supervisión funciona mejor cuando los equipos de seguridad, el personal de TI y los líderes clínicos trabajan juntos, compartiendo la responsabilidad de mantener el sistema seguro.

Sin embargo, la capacidad de hacer todo esto depende en gran medida de los recursos. Las entrevistas destacaron una diferencia marcada entre los grandes hospitales y las clínicas más pequeñas. Los grandes hospitales pueden permitirse equipos de seguridad dedicados y herramientas avanzadas, mientras que las clínicas más pequeñas a menudo dependen de una sola persona de TI que ya está sobrepasada. Esta brecha significa que el nivel de protección que un paciente recibe puede variar dependiendo de dónde reciba atención. Algunas organizaciones tienen que depender de proveedores externos para gestionar su seguridad, lo que puede limitar su control sobre sus propios sistemas. Los expertos señalaron que estas diferencias financieras y de personal crean niveles desiguales de seguridad en todo el sistema de salud.

Para gestionar estos riesgos, los expertos describieron estrategias prácticas que funcionan en el mundo real. Sugirieron comenzar con una fuerte protección de datos, como el cifrado y controles de acceso estrictos, antes de añadir cualquier inteligencia artificial. También subrayaron la importancia de involucrar a los equipos de seguridad desde el principio de un proyecto, no esperar hasta que el sistema esté en marcha. Otra estrategia clave es diseñar sistemas con la expectativa de que eventualmente fallarán, planificando con antelación los tiempos de inactividad o las brechas de seguridad para que la atención al paciente no se vea interrumpida. Estos enfoques dependen de la colaboración entre diferentes departamentos, asegurando que todos, desde la administración hasta el personal clínico, tengan un papel en el mantenimiento de la seguridad.

El estudio sugiere que la inteligencia artificial segura no es solo un problema técnico, sino un problema organizacional. Requiere un esfuerzo coordinado donde el liderazgo, la capacitación, la supervisión y los recursos trabajen juntos. Sin esta coordinación, las mismas reglas de seguridad pueden conducir a resultados muy diferentes dependiendo de la capacidad del hospital. Los investigadores concluyeron que, para que la inteligencia artificial sea segura y justa, las organizaciones de salud deben involucrar a los expertos en seguridad desde el principio, construir procesos que puedan detectar y responder a los riesgos, y reconocer que no todos los hospitales tienen los mismos recursos. Al centrarse en estas condiciones organizativas, los sistemas de salud pueden proteger mejor la información de los pacientes y asegurar que las nuevas tecnologías mejoren la atención sin introducir nuevos peligros.