Artificial Intelligence Implementation and Governance in Healthcare: A Qualitative Study of Cybersecurity Professionals

Les hôpitaux et les cliniques se tournent de plus en plus vers l'intelligence artificielle pour aider les médecins à prendre des décisions, à gérer les dossiers des patients et à prédire les résultats de santé. Ces outils sont puissants, mais ils opèrent au sein de systèmes numériques complexes qui détiennent des informations personnelles sensibles. Tout comme un nouveau bâtiment nécessite des fondations solides avant que les gens n'y emménagent, ces systèmes numériques ont besoin de règles et de protections robustes avant de pouvoir être pleinement dignes de confiance pour les soins aux patients. Le défi ne concerne pas seulement la technologie elle-même, mais les organisations qui l'utilisent. La capacité d'un hôpital à utiliser ces outils en toute sécurité dépend de sa direction, de son personnel et de ses ressources. Si un hôpital adopte un nouveau système sans plan pour surveiller comment il fonctionne ou sans définir qui en est responsable, la technologie peut devenir un risque plutôt qu'une aide. C'est ici qu'interviennent les gardiens de la sécurité numérique. Ils sont les experts qui comprennent comment protéger les données contre le vol ou la corruption, et leur perspective est cruciale pour comprendre comment introduire l'intelligence artificielle sans briser la confiance que les patients placent en leurs soignants.

Une équipe de chercheurs s'est donné pour mission de comprendre précisément comment ces experts de la sécurité perçoivent le processus d'introduction de l'intelligence artificielle dans le secteur de la santé. Ils ont interrogé vingt professionnels travaillant dans la cybersécurité, l'infrastructure de données ou la sécurité numérique au sein ou autour des systèmes de santé. Les entretiens se sont déroulés entre mai et août 2025, chaque conversation durant entre 45 et 60 minutes. Les chercheurs ont interrogé ces experts sur leurs rôles, leurs expériences avec la technologie de santé et la manière dont ils voient les organisations gérer les risques liés à l'intelligence artificielle. L'objectif n'était pas de tester la technologie elle-même, mais d'écouter les personnes responsables de sa sécurité et de comprendre les conditions réelles qui facilitent ou compliquent leur travail.

Les entretiens ont révélé que le succès de l'intelligence artificielle dans le secteur de la santé dépend de cinq domaines connectés : la préparation d'une organisation, la qualité de la formation de son personnel, la surveillance des systèmes, les ressources disponibles et les stratégies de sécurité spécifiques utilisées. Un thème récurrent dans les récits des experts était la tension entre la rapidité avec laquelle la nouvelle technologie arrive et la lenteur avec laquelle les organisations développent la capacité de la gérer en toute sécurité. Souvent, les hôpitaux installent la technologie d'abord et ne réfléchissent à la sécurité et aux règles qu'une fois le système déjà opérationnel. Un expert a noté que cette approche est à l'envers, comparant cela à essayer de construire des fondations après que la maison est déjà bâtie. Lorsque la sécurité est une réflexion après coup, cela crée des faiblesses évitables qui pourraient mettre en péril les données des patients.

La préparation a été décrite comme étant bien plus que le simple fait de posséder les bons ordinateurs. Cela implique d'avoir un plan clair de la part des dirigeants, un moyen de gérer les données afin qu'elles ne soient pas dispersées dans de nombreux départements différents, et une culture où le personnel comprend pourquoi ces règles sont importantes. Si la direction ne considère pas la cybersécurité comme une partie centrale des opérations, l'intelligence artificielle devient un simple projet à court terme plutôt qu'une nécessité nécessitant un entretien à long terme. De même, si le personnel ne comprend pas pourquoi ces nouveaux outils sont importants, il pourrait ne pas suivre les processus de sécurité, aussi bons soient ces processus.

La formation est apparue comme un pont critique entre les règles techniques et le travail quotidien. Les experts ont souligné que la sécurité ne peut pas être enseignée en une seule session. Parce que la technologie et les menaces évoluent constamment, le personnel doit être formé régulièrement. La formation la plus efficace a été décrite comme étant continue et adaptable, se déroulant souvent par le biais de conversations informelles ou de courts ateliers plutôt que par de longues conférences. Les experts en sécurité doivent souvent traduire des idées techniques complexes en termes simples que les médecins et les infirmiers peuvent utiliser dans leurs emplois du temps chargés. Si les directives sont trop compliquées, le personnel ne les suivra pas, et le système deviendra dangereux.

Une fois les systèmes en fonctionnement, une surveillance continue est essentielle. La sécurité n'est pas quelque chose que l'on installe et que l'on oublie. Les experts ont décrit une routine de contrôles réguliers, de tests et de révisions de ce qui se passe lorsque les choses tournent mal. Ce processus permet aux organisations d'apprendre de leurs erreurs et de corriger les problèmes avant qu'ils n'affectent les soins aux patients. Cela nécessite également des règles claires sur qui doit être informé lorsqu'un problème survient et avec quelle rapidité ils doivent réagir. Ce type de supervision fonctionne mieux lorsque les équipes de sécurité, le personnel informatique et les leaders cliniques travaillent ensemble, partageant la responsabilité de maintenir le système en sécurité.

Cependant, la capacité de tout cela dépend lourdement des ressources. Les entretiens ont mis en évidence une différence flagrante entre les grands hôpitaux et les petites cliniques. Les grands hôpitaux peuvent s'offrir des équipes de sécurité dédiées et des outils avancés, tandis que les petites cliniques dépendent souvent d'une seule personne de l'informatique qui est déjà surchargée. Cet écart signifie que le niveau de protection qu'un patient reçoit peut varier selon l'endroit où il se fait soigner. Certaines organisations doivent compter sur des prestataires externes pour gérer leur sécurité, ce qui peut limiter leur contrôle sur leurs propres systèmes. Les experts ont noté que ces différences financières et de personnel créent des niveaux de sécurité inégaux à travers le système de santé.

Pour gérer ces risques, les experts ont décrit des stratégies pratiques qui fonctionnent dans le monde réel. Ils ont suggéré de commencer par une protection robuste des données, telle que le chiffrement et des contrôles d'accès stricts, avant d'ajouter toute intelligence artificielle. Ils ont également insisté sur l'importance d'impliquer les équipes de sécurité dès le début d'un projet, et non d'attendre que le système soit en service. Une autre stratégie clé est de concevoir des systèmes avec l'attente qu'ils finiront par échouer, en prévoyant à l'avance les périodes d'indisponibilité ou les failles de sécurité afin que les soins aux patients ne soient pas interrompus. Ces approches reposent sur la collaboration entre différents départements, garantissant que tout le monde, de l'administration au personnel clinique, joue un rôle dans le maintien de la sécurité.

L'étude suggère que l'intelligence artificielle sécurisée n'est pas seulement un problème technique, mais un problème organisationnel. Elle nécessite un effort coordonné où la direction, la formation, la surveillance et les ressources travaillent tous ensemble. Sans cette coordination, les mêmes règles de sécurité peuvent mener à des résultats très différents selon la capacité de l'hôpital. Les chercheurs ont conclu que pour que l'intelligence artificielle soit sûre et équitable, les organisations de santé doivent impliquer les experts en sécurité tôt, construire des processus capables de détecter et de répondre aux risques, et reconnaître que tous les hôpitaux n'ont pas les mêmes ressources. En se concentrant sur ces conditions organisationnelles, les systèmes de santé peuvent mieux protéger les informations des patients et garantir que les nouvelles technologies améliorent les soins sans introduire de nouveaux dangers.