Artificial Intelligence Implementation and Governance in Healthcare: A Qualitative Study of Cybersecurity Professionals

Gli ospedali e le cliniche si stanno rivolgendo sempre più all'intelligenza artificiale per aiutare i medici a prendere decisioni, gestire le cartelle cliniche dei pazienti e prevedere gli esiti sanitari. Questi strumenti sono potenti, ma operano all'interno di complessi sistemi digitali che contengono informazioni personali sensibili. Proprio come un nuovo edificio ha bisogno di una solida base prima che le persone vi si trasferiscano, questi sistemi digitali hanno bisogno di regole e protezioni forti prima di essere pienamente affidati alla cura del paziente. La sfida non riguarda solo la tecnologia in sé, ma le organizzazioni che la utilizzano. La capacità di un ospedale di utilizzare questi strumenti in modo sicuro dipende dalla sua leadership, dal suo personale e dalle sue risorse. Se un ospedale adotta un nuovo sistema senza un piano su come monitorarlo o su chi sia il responsabile, la tecnologia può diventare un rischio piuttosto che un aiuto. È qui che entrano in gioco le persone che sorvegliano la sicurezza digitale. Loro sono gli esperti che comprendono come proteggere i dati dal furto o dalla corruzione, e la loro prospettiva è fondamentale per capire come introdurre l'intelligenza artificiale senza rompere la fiducia che i pazienti ripongono nei loro assistenti.

Un team di ricercatori si è posto l'obiettivo di capire esattamente come questi esperti di sicurezza vedono il processo di introduzione dell'intelligenza artificiale nell'assistenza sanitaria. Hanno intervistato venti professionisti che lavorano nella cybersicurezza, nelle infrastrutture dati o nella sicurezza digitale all'interno o intorno ai sistemi sanitari. Gli interviste si sono svolte tra maggio e agosto 2025, con ogni conversazione della durata compresa tra 45 e 60 minuti. I ricercatori hanno chiesto a questi esperti i loro ruoli, le loro esperienze con la tecnologia sanitaria e come vedono le organizzazioni gestire i rischi dell'intelligenza artificiale. L'obiettivo non era testare la tecnologia in sé, ma ascoltare le persone che sono responsabili di mantenerla sicura e comprendere le condizioni reali che rendono quel lavoro più facile o più difficile.

Gli interviste hanno rivelato che il successo dell'intelligenza artificiale nell'assistenza sanitaria dipende da cinque aree connesse: quanto un'organizzazione sia pronta, quanto sia efficace l'addestramento del proprio personale, come monitorano i sistemi, quali risorse dispongono e quali strategie di sicurezza specifiche utilizzano. Un tema ricorrente nelle storie degli esperti è stato la tensione tra la velocità con cui arriva la nuova tecnologia e la lentezza con cui le organizzazioni costruiscono la capacità di gestirla in modo sicuro. Spesso, gli ospedali portano prima la tecnologia e pensano alla sicurezza e alle regole solo dopo che il sistema è già operativo. Un esperto ha osservato che questo approccio è al contrario, paragonandolo al tentativo di costruire una fondazione dopo che la casa è già stata costruita. Quando la sicurezza è un pensiero successivo, si creano debolezze evitabili che potrebbero mettere a rischio i dati dei pazienti.

La prontezza è stata descritta come qualcosa di più del semplice possedere i computer giusti. Implica avere un piano chiaro da parte dei leader, un modo per gestire i dati in modo che non siano dispersi in molti dipartimenti diversi e una cultura in cui il personale comprenda perché queste regole sono importanti. Se la leadership non vede la cybersicurezza come una parte fondamentale delle operazioni, l'intelligenza artificiale diventa solo un altro progetto a breve termine piuttosto che qualcosa che necessita di cure a lungo termine. Allo stesso modo, se il personale non comprende perché i nuovi strumenti sono importanti, potrebbe non seguire i processi di sicurezza, indipendentemente da quanto siano buoni tali processi.

L'addestramento è emerso come un ponte critico tra le regole tecniche e il lavoro quotidiano. Gli esperti hanno sottolineato che la sicurezza non può essere insegnata in una singola sessione. Poiché la tecnologia e le minacce sono in continua evoluzione, il personale deve essere riaddestrato regolarmente. L'addestramento più efficace è stato descritto come continuo e adattabile, avvenendo spesso attraverso conversazioni informali o brevi workshop piuttosto che solo tramite lunghe lezioni. Gli esperti di sicurezza devono spesso tradurre idee tecniche complesse in termini semplici che medici e infermieri possano usare nei loro ritmi frenetici. Se la guida è troppo complicata, il personale smetterà di prestare attenzione e il sistema diventerà insicuro.

Una volta che i sistemi sono operativi, il monitoraggio continuo è essenziale. La sicurezza non è qualcosa che si installa e si dimentica. Gli esperti hanno descritto una routine di controlli regolari, test e revisioni di ciò che accade quando qualcosa va storto. Questo processo permette alle organizzazioni di imparare dagli errori e risolvere i problemi prima che influenzino l'assistenza al paziente. Richiede anche regole chiare su chi debba essere avvisato quando qualcosa si rompe e con quale rapidità debba rispondere. Questo tipo di supervisione funziona meglio quando i team di sicurezza, il personale IT e i leader clinici lavorano insieme, condividendo la responsabilità di mantenere il sistema sicuro.

Tuttavia, la capacità di fare tutto questo dipende fortemente dalle risorse. Le interviste hanno evidenziato una netta differenza tra i grandi ospedali e le cliniche più piccole. I grandi ospedali possono permettersi team di sicurezza dedicati e strumenti avanzati, mentre le cliniche più piccole spesso si affidano a una singola persona IT che è già troppo impegnata. Questo divario significa che il livello di protezione che un paziente riceve può variare a seconda di dove riceve le cure. Alcune organizzazioni devono affidarsi a fornitori esterni per gestire la propria sicurezza, il che può limitare il controllo sui propri sistemi. Gli esperti hanno notato che queste differenze finanziarie e di personale creano livelli di sicurezza diseguali in tutto il sistema sanitario.

Per gestire questi rischi, gli esperti hanno descritto strategie pratiche che funzionano nel mondo reale. Suggeriscono di iniziare con una forte protezione dei dati, come la crittografia e rigorosi controlli di accesso, prima di aggiungere qualsiasi intelligenza artificiale. Hanno inoltre sottolineato l'importanza di coinvolgere i team di sicurezza fin dall'inizio di un progetto, non aspettando che il sistema sia attivo. Un'altra strategia chiave è progettare sistemi con l'aspettativa che prima o poi falliranno, pianificando in anticipo i tempi di inattività o le violazioni, in modo che l'assistenza al paziente non venga interrotta. Questi approcci si basano sulla collaborazione tra diversi dipartimenti, garantendo che tutti, dall'amministrazione al personale clinico, abbiano un ruolo nel mantenere la sicurezza.

Lo studio suggerisce che un'intelligenza artificiale sicura non è solo un problema tecnico, ma un problema organizzativo. Richiede uno sforzo coordinato in cui leadership, formazione, monitoraggio e risorse lavorino tutti insieme. Senza questa coordinazione, le stesse regole di sicurezza possono portare a risultati molto diversi a seconda della capacità dell'ospedale. I ricercatori hanno concluso che, affinché l'intelligenza artificiale sia sicura ed equa, le organizzazioni sanitarie devono coinvolgere precocemente gli esperti di sicurezza, costruire processi in grado di rilevare e rispondere ai rischi e riconoscere che non tutti gli ospedali hanno le stesse risorse. Concentrandosi su queste condizioni organizzative, i sistemi sanitari possono proteggere meglio le informazioni dei pazienti e garantire che le nuove tecnologie migliorino l'assistenza senza introdurre nuovi pericoli.