ابزارهای هوش مصنوعی که سازمان‌های سلامت حتی نمی‌دانند وجود دارند

🔒 در سازمان‌های سلامت، هوش مصنوعی دیگر یک ایدهٔ آینده نیست؛ ابزاری است که کارکنان همین امروز با آن اسکریپت می‌نویسند، اتوماسیون می‌سازند و سامانه‌ها را به هم وصل می‌کنند. اما نظرسنجی تازه‌ای که شرکت Paubox منتشر کرده، تصویری دوگانه نشان می‌دهد: از یک سو سازوکارهای بازبینی امنیتی و انطباق تقریباً همه‌جا حاضرند، و از سوی دیگر همان سازمان‌ها ابزارهایی را پیدا می‌کنند که هیچ‌کس در واحد فناوری اطلاعات از وجودشان خبر نداشته است. به زبان ساده، حاکمیت بر چیزی که هنوز کشف نشده، ممکن نیست. 🩺

🛡️ بازبینی کد، فقط چیزی را می‌بیند که کسی ارائه می‌دهد

بر اساس این نظرسنجی، نزدیک به نُه نفر از هر ده رهبر حوزهٔ سلامت می‌گویند کارکنان امنیت یا انطباق، کد نوشته‌شده با هوش مصنوعی را که به دادهٔ بیمار دست می‌زند، همیشه یا معمولاً پیش از بهره‌برداری بررسی می‌کنند. با این حال، هفت نفر از هر ده نفر گفته‌اند ابزاری ساخته‌شده با هوش مصنوعی را یافته‌اند که دادهٔ بیمار را پردازش می‌کند، بدون آنکه آی‌تی یا امنیت از آن باخبر باشند.

نکتهٔ ظریف همین‌جاست: بازبینی کد تنها چیزی را پوشش می‌دهد که کسی برای بررسی ارائه می‌کند، و بررسی قرارداد همکاری تجاری — همان توافق‌نامه‌ای که قانون HIPAA پیش از سپردن دادهٔ بیمار به یک فروشنده الزامی می‌کند — فقط زمانی رخ می‌دهد که کسی آن اتصال را گزارش کند. تا وقتی کسی به آی‌تی نگوید ابزاری وجود دارد، آن ابزار نه بازبینی می‌شود و نه قراردادی می‌گیرد.

این نظرسنجی نپرسیده است که آیا کدهای بازبینی‌شده مشکلی ایجاد کرده‌اند یا نه؛ پس نمی‌توان گفت بازبینی شکست خورده است. آنچه داده‌ها نشان می‌دهند، هم‌زمانیِ این دو واقعیت در یک سازمان است: بازبینی هست، و ابزارِ ناشناخته هم هست.

🧪 دادهٔ واقعی بیمار، وسط مرحلهٔ تست و اشکال‌زدایی

۹۳ درصد پاسخ‌دهندگان می‌گویند اطلاعات واقعی بیماران دست‌کم در برخی موارد به دستیارهای کدنویسی هوش مصنوعی می‌رسد؛ هنگام ساخت، آزمایش یا اشکال‌زدایی. هفت نفر از هر ده نفر می‌گویند این اتفاق مکرر یا معمول است. هر بار هم داده پیش از آنکه ابزار شکل نهایی خود را پیدا کند، به فروشندهٔ همان دستیار می‌رود.

📜 سیاست مکتوب؛ تنها نیمی از سازمان‌ها

در همین حال، فقط نیمی از پاسخ‌دهندگان سیاست مکتوب و اجراشده‌ای دربارهٔ دستیارهای کدنویسی هوش مصنوعی دارند. بیشتر آن‌ها با این حال احساس می‌کنند برای حاکمیت بر این ابزارها آماده‌اند و ۹۳ درصد می‌گویند دست‌کم بخشی از کارکنان را برای استفادهٔ ایمن آموزش داده‌اند.

توصیهٔ Paubox ساده و در عین حال سخت‌گیرانه است: یک قاعده تعیین کنید که کارهای آزمایشی فقط با دادهٔ ساختگی (مصنوعی) انجام شود، و این قاعده را در خودِ ابزارها اعمال کنید؛ چون آموزش به‌تنهایی نتوانسته دادهٔ واقعی بیمار را از دستیارها دور نگه دارد.

🗝️ اعتبارنامه‌های سخت‌کدشده و ذخیره‌سازی ناامن

بیش از نیمی از رهبران می‌گویند کد تولیدشده با هوش مصنوعی به «اعتبارنامه‌های سخت‌کدشده» انجامیده است؛ یعنی رمز عبور یا کلید API که مستقیماً داخل خود کد نوشته شده است. حدود نیمی نیز می‌گویند این کدها به افشای دادهٔ بیمار یا ذخیره‌سازی ناامن داده‌ها کمک کرده‌اند.

🕵️ شادو آی‌تی؛ نرم‌افزاری که بدون مجوز وارد می‌شود

شادو آی‌تی به نرم‌افزاری گفته می‌شود که کارکنان خودشان و بدون تأیید واحد فناوری اطلاعات به کار می‌گیرند. یک نفر از هر چهار پاسخ‌دهنده این پدیده را به‌عنوان یک نگرانی نام برده است.

• 👁️ هفت نفر از هر ده نفر ابزاری ساخته‌شده با هوش مصنوعی یافته‌اند که دادهٔ بیمار را خارج از دید آی‌تی پردازش می‌کند.
• 😟 افشای دادهٔ بیمار و کد ناامن، هر یک برای بیش از نیمی از رهبران نگران‌کننده است.
• 📝 تنها نیمی از سازمان‌ها سیاست مکتوب دربارهٔ دستیارهای کدنویسی هوش مصنوعی دارند.

«یک تحلیل دقیق و کامل از ریسک HIPAA نه‌تنها الزام قانونی است، بلکه برای حفاظت از اطلاعات سلامت و پیشگیری یا کاهش اثر حملات باج‌گیرانه ضروری است. اگر یک نهاد مشمول HIPAA نداند چه تهدیدها و آسیب‌پذیری‌هایی اطلاعات سلامت الکترونیکی محافظت‌شدهٔ او را تهدید می‌کند، معمولاً این را به‌سختی و زمانی می‌آموزد که سامانه‌هایش هک شده‌اند.»

— پائولا ام. استانارد، مدیر دفتر حقوق مدنی وزارت بهداشت آمریکا (HHS)

✅ جمع‌بندی

این گزارش یک درس روشن دارد: در محیطی که دادهٔ بیمار ارزشمندترین دارایی است، بازبینی کد و آموزش کارکنان لازم‌اند اما کافی نیستند. شکاف اصلی جای دیگری است — در ابزارهایی که وجود دارند و کسی از آن‌ها خبر ندارد. تا زمانی که سازمان فهرست کاملی از ابزارهای هوش مصنوعیِ در گردش نداشته باشد و قاعده‌های امنیتی را در خودِ ابزارها اعمال نکند، حاکمیت بر دادهٔ بیمار بیشتر شبیه یک آرزو خواهد بود تا یک واقعیت. 🔍

منبع: Help Net Security — Healthcare can’t govern the AI tools it hasn’t found yet