Artificial Intelligence Implementation and Governance in Healthcare: A Qualitative Study of Cybersecurity Professionals

Ziekenhuizen en klinieken wenden zich steeds vaker tot kunstmatige intelligentie om artsen te helpen bij het nemen van beslissingen, het beheren van patiëntendossiers en het voorspellen van gezondheidsuitkomsten. Deze hulpmiddelen zijn krachtig, maar ze werken binnen complexe digitale systemen die gevoelige persoonlijke informatie bevatten. Net zoals een nieuw gebouw een solide fundering nodig heeft voordat mensen erin kunnen trekken, hebben deze digitale systemen sterke regels en beschermingen nodig voordat ze volledig vertrouwd kunnen worden met patiëntenzorg. De uitdaging gaat niet alleen over de technologie zelf, maar over de organisaties die het gebruiken. Het vermogen van een ziekenhuis om deze hulpmiddelen veilig te gebruiken, hangt af van het leiderschap, het personeel en de middelen. Als een ziekenhuis een nieuw systeem adopteert zonder een plan voor hoe het te bewaken of wie er verantwoordelijk voor is, kan de technologie een risico worden in plaats van een hulp. Hier komen de mensen in beeld die de digitale beveiliging bewaken. Zij zijn de experts die begrijpen hoe gegevens beschermd moeten worden tegen diefstal of corruptie, en hun perspectief is cruciaal voor het begrijpen van hoe kunstmatige intelligentie geïntroduceerd kan worden zonder het vertrouwen dat patiënten in hun zorgverleners stellen, te schaden.

Een team van onderzoekers zette zich af om precies te begrijpen hoe deze beveiligingsexperts het proces van het introduceren van kunstmatige intelligentie in de gezondheidszorg zien. Zij interviewden twintig professionals die werkzaam zijn in cybersecurity, datainfrastructuur of digitale beveiliging binnen of rondom gezondheidssystemen. De interviews vonden plaats tussen mei en augustus 2025, waarbij elk gesprek tussen de 45 en 60 minuten duurde. De onderzoekers vroegen deze experts naar hun rollen, hun ervaringen met gezondheidstechnologie en hoe zij zien dat organisaties omgaan met de risico's van kunstmatige intelligentie. Het doel was niet om de technologie zelf te testen, maar om te luisteren naar de mensen die verantwoordelijk zijn voor het veilig houden ervan en om de realistische omstandigheden te begrijpen die die taak makkelijker of moeilijker maken.

De interviews toonden aan dat het succes van kunstmatige intelligentie in de gezondheidszorg afhangt van vijf verbonden gebieden: de mate waarin een organisatie klaar is, hoe goed zij hun personeel trainen, hoe zij de systemen in de gaten houden, welke middelen zij hebben en de specifieke veiligheidsstrategieën die zij gebruiken. Een terugkerend thema in de verhalen van de experts was de spanning tussen de snelheid waarmee nieuwe technologie arriveert en de traagheid waarmee organisaties de capaciteit opbouwen om het veilig te beheren. Vaak brengen ziekenhuizen de technologie eerst binnen en denken ze pas aan beveiliging en regels nadat het systeem al in gebruik is. Eén expert merkte op dat deze aanpak achterstevoren is, en vergeleek het met het proberen te bouwen van een fundering nadat het huis al is gebouwd. Wanneer beveiliging een achterafje is, creëert dit vermijdbare zwakheden die de patiëntgegevens in gevaar kunnen brengen.

Gereedheid werd beschreven als meer dan alleen het hebben van de juiste computers. Het houdt in dat er een duidelijk plan is van de leiding, een manier om gegevens te beheren die niet verspreid zijn over veel verschillende afdelingen, en een cultuur waarin het personeel begrijpt waarom deze regels belangrijk zijn. Als het leiderschap cybersecurity niet ziet als een essentieel onderdeel van de bedrijfsvoering, wordt kunstmatige intelligentie slechts een kortetermijnproject in plaats van iets dat langdurige zorg nodig heeft. Op dezelfde manier, als het personeel niet begrijpt waarom de nieuwe hulpmiddelen belangrijk zijn, zullen zij de veiligheidsprocessen mogelijk niet volgen, ongeacht hoe goed die processen zijn.

Training kwam naar voren als een cruciale brug tussen technische regels en het dagelijks werk. De experts benadrukten dat veiligheid niet in één sessie geleerd kan worden. Omdat technologie en dreigingen constant veranderen, moet het personeel regelmatig worden bijgeschoold. De meest effectieve training werd beschreven als doorlopend en aanpasbaar, vaak gebeurend via informele gesprekken of korte workshops in plaats van alleen lange lezingen. Beveiligingsexperts moeten complexe technische ideeën vaak vertalen naar eenvoudige termen die artsen en verpleegkundigen kunnen gebruiken in hun drukke schema's. Als de instructies te ingewikkeld zijn, zal het personeel ze negeren en wordt het systeem onveilig.

Zodra de systemen in gebruik zijn, is continue monitoring essentieel. Beveiliging is niet iets wat je instelt en vervolgens vergeet. De experts beschreven een routine van regelmatige controles, testen en het beoordelen van wat er gebeurt wanneer er iets misgaat. Dit proces stelt organisaties in staat om van fouten te leren en problemen op te lossen voordat ze de patiëntenzorg beïnvloeden. Het vereist ook duidelijke regels over wie op de hoogte wordt gesteld wanneer er iets kapot gaat en hoe snel zij moeten reageren. Dit soort toezicht werkt het beste wanneer beveiligingsteams, IT-personeel en klinische leiders samenwerken en de verantwoordelijkheid delen voor het veilig houden van het systeem.

Echter, het vermogen om dit allemaal te doen, hangt sterk af van de middelen. De interviews onderstreepten een scherp verschil tussen grote ziekenhuizen en kleinere klinieken. Grote ziekenhuizen kunnen speciale beveiligingsteams en geavanceerde hulpmiddelen betalen, terwijl kleinere klinieken vaak moeten vertrouwen op één enkele IT-medewerker die al overbelast is. Deze kloof betekent dat het niveau van bescherming die een patiënt ontvangt, kan variëren afhankelijk van waar zij voor zorg komen. Sommige organisaties moeten vertrouwen op externe leveranciers om hun beveiliging te beheren, wat hun controle over hun eigen systemen kan beperken. De experts merkten op dat deze financiële en personele verschillen zorgen voor ongelijke niveaus van veiligheid binnen het gezondheidszorgsysteem.

Om deze risico's te beheersen, beschreven de experts praktische strategieën die in de echte wereld werken. Zij suggereerden te beginnen met sterke gegevensbescherming, zoals encryptie en strikte toegangscontroles, voordat er kunstmatige intelligentie wordt toegevoegd. Zij benadrukten ook het belang van het vroegtijdig betrekken van beveiligingsteams bij een project, in plaats van te wachten tot het systeem live gaat. Een andere belangrijke strategie is om systemen te ontwerpen met de verwachting dat ze uiteindelijk zullen falen, door vooraf te plannen voor downtime of datalekken, zodat de patiëntenzorg niet wordt onderbroken. Deze benaderingen rusten op samenwerking tussen verschillende afdelingen, waarbij ervoor wordt gezorgnd dat iedereen, van de administratie tot het klinische personeel, een rol heeft in het handhaven van de veiligheid.

De studie suggereert dat veilige kunstmatige intelligentie niet alleen een technisch probleem is, maar een organisatorisch probleem. Het vereist een gecoördineerde inspanning waarbij leiderschap, training, monitoring en middelen allemaal samenwerken. Zonder deze coördinatie kunnen dezelfde veiligheidsregels tot zeer verschillende resultaten leiden, afhankelijk van de capaciteit van het ziekenhuis. De onderzoekers concludeerden dat voor kunstmatige intelligentie om veilig en eerlijk te zijn, gezondheidsorganisaties beveiligingsexperts vroegtijdig moeten betrekken, processen moeten opbouwen die risico's kunnen detecteren en beantwoorden, en moeten erkennen dat niet alle ziekenhuizen over dezelfde middelen beschikken. Door zich te richten op deze organisatorische omstandigheden, kunnen gezondheidssystemen de patiëntinformatie beter beschermen en ervoor zorgen dat nieuwe technologieën de zorg verbeteren zonder nieuwe gevaren te introduceren.