کارکنان مراقبت های بهداشتی به دنبال راه های سریع تری برای انجام کارهای معمول هستند. یک ابزار هوش مصنوعی می تواند یک سند را خلاصه کند، یک پیام بیمار را پیش نویس کند، یادداشت های جلسه را سازماندهی کند، یا در چند ثانیه به تهیه محتوای اداری کمک کند.
مشکل زمانی شروع می شود که کارمندان از ابزارهای هوش مصنوعی استفاده می کنند که سازمان آن ها را بررسی یا تایید نکرده است. این عمل اغلب نامیده می شود سایه هوش مصنوعیو می تواند سوالات جدی در مورد اینکه اطلاعات بیمار کجا می رود، چه کسی به آن دسترسی دارد و چگونه محافظت می شود، ایجاد کند.
Shadow AI چیست؟
Shadow AI استفاده از ابزارهای هوش مصنوعی بدون اطلاع یا تایید مدیریت سازمان، تیم انطباق یا فروشنده IT است.
یک کارمند می تواند یک حساب شخصی برای یک دستیار هوش مصنوعی عمومی ایجاد کند و از آن برای موارد زیر استفاده کند:
- نکات بالینی را خلاصه کنید
- بازنویسی ارتباط با بیماران
- رونویسی مکالمات
- بررسی اطلاعات پرداخت
- پیش نویس توصیه نامه ها
- برنامه ها یا گزارش ها را سازماندهی کنید
کارمند ممکن است سعی کند در زمان صرفه جویی کند، نه اینکه امنیت را دور بزند. اما وارد کردن اطلاعات بهداشتی محافظت شده در یک ابزار تایید نشده می تواند اطلاعات را در معرض سیستمی قرار دهد که سازمان هرگز ارزیابی نکرده است.
چرا ابزارهای AI تایید نشده یک خطر HIPAA ایجاد می کنند؟
قانون امنیت HIPAA سازمان‌های تحت نظارت را ملزم می‌کند که از محرمانه بودن، یکپارچگی و در دسترس بودن اطلاعات الکترونیکی محافظت شده سلامت یا ePHI محافظت کنند. همچنین مستلزم ارزیابی دقیق و کامل از خطرات و آسیب پذیری های مؤثر بر آن اطلاعات است.
یک سازمان وقتی نمی داند که کارکنان از کدام ابزار هوش مصنوعی استفاده می کنند، نمی تواند این خطرات را به درستی ارزیابی کند.
سوالات ممکن است بی پاسخ بمانند:
- آیا ارائه دهنده درخواست ها یا فایل های آپلود شده را ذخیره می کند؟
- آیا می توان از اطلاعات ارائه شده برای مقاصد دیگر استفاده کرد؟
- چه کسی به داده ها دسترسی دارد؟
- اطلاعات چه مدت نگهداری می شود؟
- آیا سازمان می تواند آن را حذف یا بازیابی کند؟
- آیا ارائه دهنده با محافظت از ePHI موافقت کرده است؟
هنگامی که یک ارائه‌دهنده فناوری از طرف یک نهاد تحت پوشش ePHI را ایجاد، دریافت، نگهداری یا ارسال می‌کند، ممکن است به یک توافقنامه همکاری تجاری مطابق با HIPAA نیاز باشد. یک سازمان مراقبت های بهداشتی نیز باید خدمات را درک کند و آن را در تجزیه و تحلیل ریسک خود لحاظ کند.
خوراکی های کلیدی: فقط به این دلیل که ابزار هوش مصنوعی راحت، ایمن یا پرکاربرد است، به طور خودکار آن را برای اطلاعات بیمار مناسب نمی کند.
با درک نحوه استفاده از هوش مصنوعی شروع کنید
رهبران مراقبت های بهداشتی نباید تصور کنند که کارمندان منتظر یک استراتژی رسمی هوش مصنوعی هستند.
یک بررسی داخلی ساده می تواند به شناسایی موارد زیر کمک کند:
- کارمندان از کدام ابزارهای هوش مصنوعی استفاده می کنند؟
- چه وظایفی را انجام می دهند؟
- آیا اطلاعات بیمار وارد شده است یا خیر
- خواه حساب ها شخصی باشند یا توسط یک سازمان مدیریت شوند
- کدام ابزار توسط فناوری اطلاعات، امنیت یا انطباق بررسی شده است
هدف نباید تنبیه کارکنان برای آزمایش باشد. رفتار فعلی باید قبل از اینکه به یک مسئله انطباق یا امنیتی بزرگتر تبدیل شود، درک شود.
به کارمندان جایگزین های واضح بدهید
گفتن به کارمندان برای استفاده از هوش مصنوعی ممکن است کافی نباشد. آنها به دستورالعمل های عملی نیاز دارند که بتوانند از آنها پیروی کنند.
خط مشی استفاده از هوش مصنوعی باید توضیح دهد:
- کدام ابزار تایید شده است
- چه اطلاعاتی ممنوع است
- کدام وظایف نیاز به بررسی انسانی دارند
- چگونه کارمندان می توانند یک ابزار جدید درخواست کنند
- با چه کسی در مورد سوالات تماس بگیرید
- نحوه قرار گرفتن در معرض مشکوک چگونه باید گزارش شود
سازمان ها همچنین باید استفاده و افشای اطلاعات بهداشتی محافظت شده را زمانی که برای هدف مورد نظر ضروری نیست، محدود کنند. این اصل باید در هنگام ارزیابی گردش کار هوش مصنوعی بخشی از گفتگو باقی بماند.
هوش مصنوعی را در ارزیابی خطر HIPAA لحاظ کنید
هوش مصنوعی باید همراه با ایمیل، سوابق سلامت الکترونیک، پلتفرم های ابری، دستگاه های تلفن همراه، آرشیو و سایر سیستم هایی که می توانند با ePHI تعامل داشته باشند، گنجانده شود.
BIS به سازمان‌های مراقبت‌های بهداشتی کمک می‌کند تا مکان‌هایی را که فناوری ممکن است خطر HIPAA ایجاد کند، از جمله ابزارها و جریان‌های کاری که ممکن است مدیریت از آنها استفاده کارمندان نداند، شناسایی کنند. ارزیابی ریسک واقعی می‌تواند این شکاف‌ها را آشکار کند و به سازمان کمک کند تصمیم بگیرد که چه چیزی باید ابتدا مورد توجه قرار گیرد.
