Artificial Intelligence Implementation and Governance in Healthcare: A Qualitative Study of Cybersecurity Professionals

病院やクリニックは、医師の意思決定を支援し、患者の記録を管理し、健康状態を予測するために、人工知能（AI）の導入をますます進めています。これらのツールは強力ですが、機密性の高い個人情報が保持されている複雑なデジタルシステムの中で動作しています。新しい建物に人が入居する前に強固な基礎が必要であるのと同様に、これらのデジタルシステムも、患者のケアを完全に信頼して任せられるようになる前に、強力な規則と保護策を必要としています。課題は技術そのものだけでなく、それを使用する組織にあります。病院がこれらのツールを安全に使用できるかどうかは、そのリーダーシップ、スタッフ、そしてリソースにかかっています。もし病院が、どのように監視するか、あるいは誰が責任を持つかという計画なしに新しいシステムを採用すれば、そのテクノロジーは助けではなくリスクとなってしまいます。ここで、デジタルセキュリティを守る人々が登場します。彼らは、データの盗難や改ざんからデータを守る方法を理解している専門家であり、患者がケア提供者に寄せている信頼を損なうことなく、どのように人工知能を導入すべきかを理解する上で、彼らの視点は極めて重要です。

ある研究チームは、セキュリティの専門家がヘルスケアへの人工知能の導入プロセスをどのように捉えているかを正確に理解しようと試みました。彼らは、ヘルスケアシステム内またはその周辺でサイバーセキュリティ、データインフラストラクチャ、またはデジタルセキュリティに従事している20人の専門家にインタビューを行いました。インタビューは2025年5月から8月の間に行われ、各対話は45分から60分間でした。研究者たちは、専門家に対して、彼らの役割、ヘルスケア技術に関する経験、そして組織が人工知能のリスクをどのように扱っていると見ているかを尋ねました。目的はテクノロジー自体をテストすることではなく、それを安全に保つ責任を負う人々の声を聞き、その仕事を容易にする、あるいは困難にする現実世界の条件を理解することでした。

インタビューの結果、ヘルスケアにおける人工知能の成功は、組織の準備態勢、スタッフのトレーニング、システムの継続的な監視、保有するリソース、そして具体的な安全戦略という、5つの関連する領域に依存していることが明らかになりました。専門家たちの物語に共通していたテーマは、新しいテクノロジーが到来するスピードと、組織がそれを安全に管理するための能力を構築するスピードとの間の緊張関係でした。多くの場合、病院はテクノロジーを先に導入し、システムがすでに稼働した後に初めてセキュリティや規則について考えるのです。ある専門家は、このアプローチは逆転しており、家がすでに建てられた後に基礎を作ろうとするようなものだと指摘しました。セキュリティが後回しにされると、回避可能な弱点が生まれ、患者のデータが危険にさらされる可能性があります。

「準備態勢」とは、単に適切なコンピュータを持っていること以上のものを指すと説明されました。それは、リーダーによる明確な計画、あちこちの部署に分散していないデータ管理の方法、そしてスタッフがなぜこれらの規則が重要なのかを理解している文化を含むものです。もしリーダーシップがサイバーセキュリティを業務の中核として捉えていなければ、人工知能は長期的なケアを必要とするものではなく、単なる短期的なプロジェクトになってしまいます。同様に、もしスタッフがなぜ新しいツールが重要なのかを理解していなければ、たとえプロセスがいかに優れていても、彼らは安全なプロセスに従わない可能性があります。

トレーニングは、技術的な規則と日常業務の間の重要な架け橋として浮上しました。専門家たちは、安全は一度のセッションで教えられるものではないと強調しました。テクノロジーと脅威は常に変化しているため、スタッフは定期的に再教育を受ける必要があります。最も効果的なトレーニングは、長時間の講義ではなく、非公式な会話や短いワークショップなどを通じて、継続的かつ適応可能なものであると説明されました。セキュリティの専門家は、複雑な技術的概念を、多忙なスケジュールの中で医師や看護師が使える単純な言葉に翻訳しなければならないことがよくあります。もし指導が複雑すぎれば、スタッフは聞き流してしまい、システムは安全ではなくなります。

システムが稼働し始めた後は、継続的な監視が不可必須です。セキュリティは、一度設定したら終わりというものではありません。専門家たちは、定期的なチェック、テスト、そして問題が発生した際に何が起きたかをレビューするというルーチンについて説明しました。このプロセスにより、組織は間違いから学び、患者のケアに影響が出る前に問題を修正することができます。また、何かが故障したときに誰に通知されるのか、そしてどれほど迅速に対応しなければならないのかについての明確なルールも必要です。このような監視は、セキュリティチーム、ITスタッフ、そして臨床リーダーが協力し、システムの安全維持の責任を共有するときに最も効果的に機能します。

しかし、これらすべてを行う能力は、リソースに大きく依存します。インタビューでは、大規模な病院と小規模なクリニックの間の著しい差が浮き彫りになりました。大規模な病院は専用のセキュリティチームや高度なツールを導入できますが、小規模なクリニックは、すでに手一杯の状態にある一人のIT担当者に頼らざざを得ないことがよくあります。この格差は、患者がどこでケアを受けるかによって、受けられる保護のレベルが異なることを意味します。一部の組織は、セキュリティを管理するために外部ベンダーに頼らざるを得ず、それが自らのシステムに対するコントロールを制限することもあります。専門家たちは、これらの財務的および人員配置の差異が、ヘルスケアシステム全体において不平等な安全レベルを生み出していると指摘しました。

これらのリスクを管理するために、専門家たちは実社会で機能する実践的な戦略を述べました。彼らは、人工知能を追加する前に、暗号化や厳格なアクセス制御といった強力なデータ保護から始めることを提案しました。また、システムが稼働するまで待つのではなく、プロジェクトの最初からセキュリティチームを関与させることの重要性も強調しました。もう一つの主要な戦略は、システムが最終的に故障することを前提に設計し、ダウンタイムや侵害に備えて、患者のケアが中断されないよう事前に計画を立てることです。これらのアプローチは、行政から臨床スタッフに至るまで、誰もが安全の維持において役割を果たすという、異なる部門間のコラボレーションに基づいています。

この研究は、安全な人工知能は単なる技術的な問題ではなく、組織的な問題であることを示唆しています。それは、リーダーシップ、トレーニング、監視、そしてリソースがすべて連携する、調整された取り組みを必要とします。この連携がなければ、同じ安全規則であっても、病院の能力に応じて全く異なる結果をもたらすことになります。研究者たちは、人工知能が安全かつ公平であるためには、ヘルスケア組織がセキュリティの専門家を早期に関与させ、リスクを検知し対応できるプロセスを構築し、すべての病院が同じリソースを持っているわけではないことを認識しなければならないと結論付けました。これらの組織的な条件に焦点を当てることで、ヘルスケアシステムは患者情報をより良く保護し、新しいテクノロジーが新たな危険をもたらすことなくケアを向上させられるようにすることができるのです。