Artificial Intelligence Implementation and Governance in Healthcare: A Qualitative Study of Cybersecurity Professionals

Hospitais e clínicas estão recorrendo cada vez mais à inteligência artificial para ajudar médicos a tomar decisões, gerenciar registros de pacientes e prever resultados de saúde. Essas ferramentas são poderosas, mas operam dentro de sistemas digitais complexos que detêm informações pessoais sensíveis. Assim como um novo edifício precisa de uma base sólida antes que as pessoas se mudem, esses sistemas digitais precisam de regras e proteções fortes antes de serem totalmente confiados ao cuidado do paciente. O desafio não é apenas sobre a tecnologia em si, mas sobre as organizações que a utilizam. A capacidade de um hospital de usar essas ferramentas com segurança depende de sua liderança, de seu pessoal e de seus recursos. Se um hospital adota um novo sistema sem um plano de como monitorá-lo ou de quem é o responsável por ele, a tecnologia pode se tornar um risco em vez de uma ajuda. É aqui que entram os profissionais que guardam a segurança digital. Eles são os especialistas que entendem como proteger os dados contra roubo ou corrupção, e sua perspectiva é crucial para entender como introduzir a inteligência artificial sem quebrar a confiança que os pacientes depositam em seus cuidadores.

Uma equipe de pesquisadores partiu com o objetivo de entender exatamente como esses especialistas em segurança veem o processo de trazer a inteligência artificial para a saúde. Eles entrevistaram vinte profissionais que trabalham em cibersegurança, infraestrutura de dados ou segurança digital dentro ou em torno de sistemas de saúde. As entrevistas ocorreram entre maio e agosto de 2025, com cada conversa durando entre 45 e 60 minutos. Os pesquisadores perguntaram a esses especialistas sobre seus papéis, suas experiências com tecnologia de saúde e como eles veem as organizações lidando com os riscos da inteligência artificial. O objetivo não era testar a tecnologia em si, mas ouvir as pessoas que são responsáveis por mantê-la segura e entender as condições do mundo real que tornam esse trabalho mais fácil ou mais difícil.

As entrevistas revelaram que o sucesso da inteligência artificial na saúde depende de cinco áreas conectadas: o quão preparada uma organização está, o quão bem eles treinam seu pessoal, como mantêm o monitoramento dos sistemas, quais recursos possuem e as estratégias de segurança específicas que utilizam. Um tema recorrente nas histórias dos especialistas foi a tensão entre a rapidez com que a nova tecnologia chega e a lentidão com que as organizações constroem a capacidade de gerenciá-la com segurança. Frequentemente, os hospitais trazem a tecnologia primeiro e só pensam em segurança e regras depois que o sistema já está em funcionamento. Um especialista observou que essa abordagem é invertida, comparando-a a tentar construir uma fundação depois que a casa já está construída. Quando a segurança é algo deixado para depois, cria-se vulnerabilidades evitáveis que poderiam colocar em risco os dados dos pacientes.

A prontidão foi descrita como mais do que apenas ter os computadores certos. Envolve ter um plano claro dos líderes, uma forma de gerenciar dados que não estejam espalhados por muitos departamentos diferentes e uma cultura onde o pessoal entenda por que essas regras importam. Se a liderança não vê a cibersegurança como uma parte central das operações, a inteligência artificial torna-se apenas mais um projeto de curto prazo, em vez de algo que necessita de cuidados de longo prazo. Da mesma forma, se o pessoal não entende por que as novas ferramentas são importantes, eles podem não seguir os processos de segurança, não importa o quão bons sejam esses processos.

O treinamento surgiu como uma ponte crítica entre as regras técnicas e o trabalho diário. Os especialistas enfatizaram que a segurança não pode ser ensinada em uma única sessão. Como a tecnologia e as ameaças estão sempre mudando, o pessoal precisa ser retreinado regularmente. O treinamento mais eficaz foi descrito como contínuo e adaptável, ocorrendo frequentemente através de conversas informais ou workshops curtos, em vez de apenas palestras longas. Especialistas em segurança frequentemente precisam traduzir ideias técnicas complexas em termos simples que médicos e enfermeiros possam usar em suas rotinas ocupadas. Se a orientação for muito complicada, o pessoal irá ignorá-la, e o sistema se tornará inseguro.

Uma vez que os sistemas estão em funcionamento, o monitoramento contínuo é essencial. Segurança não é algo que você configura e esquece. Os especialistas descreveram uma rotina de verificações regulares, testes e revisão do que acontece quando algo dá errado. Esse processo permite que as organizações aprendam com os erros e corrijam problemas antes que eles afetem o atendimento ao paciente. Também requer regras claras sobre quem deve ser notificado quando algo falha e com que rapidez devem responder. Esse tipo de supervisão funciona melhor quando equipes de segurança, pessoal de TI e líderes clínicos trabalham juntos, compartilhando a responsabilidade de manter o sistema seguro.

No entanto, a capacidade de fazer tudo isso depende fortemente de recursos. As entrevistas destacaram uma diferença marcante entre grandes hospitais e clínicas menores. Grandes hospitais podem pagar por equipes de segurança dedicadas e ferramentas avançadas, enquanto clínicas menores muitas vezes dependem de uma única pessoa de TI que já está sobrecarregada. Essa lacuna significa que o nível de proteção que um paciente recebe pode variar dependendo de onde ele busca cuidados. Algumas organizações têm que depender de fornecedores externos para gerenciar sua segurança, o que pode limitar seu controle sobre seus próprios sistemas. Os especialistas observaram que essas diferenças financeiras e de pessoal criam níveis desiguais de segurança em todo o sistema de saúde.

Para gerenciar esses riscos, os especialistas descreveram estratégias práticas que funcionam no mundo real. Eles sugeriram começar com uma proteção de dados forte, como criptografia e controles de acesso rigorosos, antes de adicionar qualquer inteligência artificial. Eles também enfatizaram a importância de envolver as equipes de segurança desde o início de um projeto, não esperando até que o sistema esteja ativo. Outra estratégia fundamental é projetar sistemas com a expectativa de que eles eventualmente falharão, planejando com antecedência para períodos de inatividade ou violações, para que o atendimento ao paciente não seja interrompido. Essas abordagens dependem da colaboração entre diferentes departamentos, garantindo que todos, desde a administração até o pessoal clínico, tenham um papel na manutenção da segurança.

O estudo sugere que a inteligência artificial segura não é apenas um problema técnico, mas um problema organizacional. Requer um esforço coordenado onde liderança, treinamento, monitoramento e recursos trabalhem juntos. Sem essa coordenação, as mesmas regras de segurança podem levar a resultados muito diferentes dependendo da capacidade do hospital. Os pesquisadores concluíram que, para a inteligência artificial ser segura e justa, as organizações de saúde devem envolver especialistas em segurança precocemente, construir processos que possam detectar e responder a riscos e reconhecer que nem todos os hospitais possuem os mesmos recursos. Ao focar nessas condições organizacionais, os sistemas de saúde podem proteger melhor as informações dos pacientes e garantir que as novas tecnologias melhorem o atendimento sem introduzir novos perigos.