AI i vården utvecklas just nu i raketfart och de flesta större aktörer har sjösatt någon typ av AI-funktion för kunder eller anställda. Vi ser i allt större utsträckning hur prediktiva modeller, bilddiagnostik och beslutsstöd är på god väg att bli en vanlig syn i den kliniska vardagen. Men att gå från pilotprojekt till storskalig implementering är en resa fylld av både möjligheter och risker, särskilt när det gäller informationssäkerhet och dataskydd. I den här artikeln försöker vi därför bidra med en vägvisare för den som vill göra resan smart, effektivt, och säkert.
Säkerhet by default som nyckeln till framgång
För att AI ska skapa verklig nytta i vården måste vårdpersonal, patienter och beslutsfattare kunna lita på systemen – här har vi en grundbult som vi inte kommer runt vid implementationen. Bristande säkerhet riskerar inte bara patientdata utan kan underminera hela AI-satsningen och ge en rejäl törn i förtroendet till organisationen som helhet. Ett lyckat AI-projekt bygger på fyra pelare:
- Lagkrav – att hantera känsliga patientuppgifter i enlighet med GDPR, men även i samråd med andra lagkrav som faller på vårdsektorn.
- Cybersäkerhet – att bygga säkra modeller som förebygger intrång, dataläckor och manipulation är helt nödvändigt. Det finns förstås en mängd sätt att göra detta på och nyckeln stavas ofta security by design, dvs att bygga in säkerheten från start.
- Tillit och transparens – såväl vårdgivare som vårdtagare ska kunna förstå och verifiera beslutsstödet, samt förstås ingripa när något är på väg att gå illa. Någon som inte besitter den relevanta medicinska kompetensen kommer aldrig kunna utmana AI:ns beslut och därmed utöva verklig kontroll.
- Test och verifiering – ett system måste löpande kunna testas för att verifiera att resultatet lever upp till förväntningarna vad gäller kvalitet och lagkrav. Har man inte tid eller kompetens för att testa systemet med täta mellanrum bör man vänta med att införa det.
När man har tagit hänsyn till och hanterat dessa tre grundpelare kan man känna en större trygghet när verktygen väl ska sjösättas skarpt.
Vanliga fallgropar när vårdbolag inför AI-verktyg
- Pilotprojekt i isolerade miljöer: Många tester sker i isolerade miljöer där optimala förutsättningar föreligger. När verktygen sen sjösätts i hektiska miljöer och används av stressad personal eller ska förstås av ovana vårdtagare så blir resultatet något helt annat. Å andra sidan krävs isolerade miljöer i viss mån, inte minst ur ett privacyperspektiv. Lösningen blir därför att testa i liten skala, efter att systemet har säkerhetstestats i säker, isolerad miljö.
- Otillräckliga förberedelser: Ex. kan avsaknad av Data Protection Impact Assessments (DPIA), riskanalyser, inventeringar av lagrum eller utvecklandet av hotmodeller göra att man förbigår viktiga insikter som hade behövts i utveckling eller implementering av ett AI-verktyg. Som så ofta är det ett noggrant förarbete som utgör grunden för slutresultatet.
- Svag ”human oversight”: AI är som mest effektivt i samråd med människan, varför man i sammanhanget brukar prata om ”human oversight”, innebärandes att systemet måste vara transparent och möjligt att kontrollera, och att de som kontrollerar måste besitta relevant kompetens. Vi behöver undvika att AI får för stort förtroende utan tydliga rutiner och processer för mänsklig kontroll.
Steg för en säker implementering
Alla verksamheter har unika förutsättningar och behov. Kanske är man i hög grad digitaliserad redan och ska bara addera AI i sin redan tekniktunga cocktail – eller så är man ett mer traditionellt vårdbolag som redan kämpar med digitala miljöer. Dessa förutsättningar påverkar såklart en roadmap framåt, men det går ändå att peka ut viktiga milstolpar att gå igenom och hantera för att ta AI-verktyget från pilot till drift.
- Gör en tidig DPIA och riskanalys – Gör strukturerade riskbedömningar utifrån dataskydd, informationssäkerhet, diskriminering, patientsäkerhet och andra typer av risker.
- Säker och ansvarsfull AI-utveckling – Se till att träningsdatan som används är diversifierad för att motverka bias, samt att datan är av god kvalitet.
- Utbilda personalen – kliniker och IT-team måste förstå möjligheter och risker, hur verktyget ska användas och när incidenter ska rapporteras.
- Testa och validera i verkliga miljöer – verifiera att AI-modellen fungerar och är säker innan fullskalig utrullning, och börja alltid liten skala!
- Planera för incidenthantering – Se till att alla användare vet vad de ska göra vid misstänkt fel eller manipulation. Se till att ni kan omhänderta riskerna direkt.
- “Human oversight” ska appliceras beroende på hur pass komplex AI man planerar. Vid enklare modeller kan det handla om att utbildad personal förstår ”språket” som används i sammanhanget (ex. vårdjargong och sjukdomar i vårdsektorn). Vid mer komplexa modeller ska minsta tveksamhet bedömas av utbildad personal.
Människan är och ska fortsätta vara centrum för teknikutvecklingen
Slutligen – framtidens vård är datadriven, om det är många överens. Det finns dock många utmaningar på vägen mot en fungerade, friktionsfri digitaliserad vårdsektor med teknik som jobbar för människor. Vi anser förstås att informationssäkerhets- och dataskyddsfrågor är en enormt viktig del av detta, men lika viktigt är det att lyssna in människorna i organisationen som berörs. Det är bara när vi förstår deras vardag och deras perspektiv som vi på allvar kan implementera verktyg och funktioner som på allvar underlättar och effektiviserar vardagen – och förhoppningsvis blir miljöerna såväl hållbara som säkrare när tekniken används på rätt sätt.
