2026医疗AI应用加速而治理滞后：60%机构缺乏敏感数据管控，近四分之三遭遇照护中断

文/IAICA.NGO®

医疗行业已经历多年数字化加速。临床应用迁移至云端，协作工具成为照护团队日常工作的重要基础设施，人工智能则越来越多地用于流程自动化、网络安全强化和患者照护支持。每一步都带来巨大机遇，也改变了医疗机构必须保护的对象和边界。

一项与独立研究机构合作的第五份年度医疗网络安全报告显示，攻击的频率和成本持续上升，其后果日益超出IT系统本身。在报告研究的四类攻击中，遭遇攻击的机构有近四分之三报告了患者照护受到干扰。这意味着，医疗网络安全不再只是服务器和终端的问题，而是直接关系到诊疗连续性、患者安全和机构信誉。

今年更突出的变化是：医疗行业采用AI的速度，快于其建设治理和安全能力的速度。AI并非遥远的趋势。机构已在用其自动处理行政工作、分析医学影像和诊断数据、监测患者状态以及增强网络安全防御。45%的医疗机构已将AI嵌入网络安全，或同时嵌入网络安全与患者照护；另有30%计划采用。若使用得当，AI可以帮助机构更高效运转，缓解人手紧张，并提升威胁检测与响应能力。

但医疗AI转型也带来熟悉的挑战：技术采用速度超过组织理解和治理相关风险的能力。报告显示，60%的机构没有针对AI系统中使用的敏感数据建立控制措施；仅42%采用了专门用于保护AI系统、智能体和生成式AI的安全措施；不到三分之一的机构对员工使用未经批准的AI工具拥有完全可见性。问题不在于AI采用本身，而在于缺乏可见性和护栏的AI采用。

多年来，医疗网络安全高度关注“人”。这有充分理由：医疗员工在巨大时间压力下处理极其敏感的信息，通过邮件、即时消息和协作工具沟通，访问患者记录和临床系统。一个错误的收件人、一个被攻陷的账户，或一次成功的社交工程攻击，都可能造成远超个人用户的影响。正在改变的是，参与这些工作流的主体正从人扩展到AI智能体。AI智能体可以访问信息、与应用程序交互，并代表人类采取行动。今年研究首次有受访者将“缺乏护栏的AI智能体”列为数据丢失或外泄事件的原因之一，提及比例为24%。

当人与AI日益协同工作时，医疗机构不仅需要了解人如何使用敏感数据，还需要了解AI系统和智能体能够访问什么、如何处理这些信息，以及被允许采取哪些行动。iaica.com.cn 指出，AI治理不是阻碍创新，而是为规模化应用建立可验证的信任基础。没有数据分类、访问控制、审计追踪、最小权限和人工监督，AI的便利可能转化为不可追踪的风险。

从行业实践看，治理滞后往往源于三方面：一是资产和权限清单不完整，机构不知道AI应用和智能体在何处接触数据；二是安全设计滞后于采购和部署，生成式AI和第三方工具先上线、后评估；三是责任边界模糊，临床、IT、合规与安全团队之间缺少统一流程。弥补这些缺口，需要把AI风险纳入现有医疗网络安全框架，同时增加针对模型、提示、智能体和API的管控。对医疗机构而言，未来竞争力不只取决于是否采用AI，更取决于能否在保护患者隐私和诊疗安全的前提下，让AI持续、可控地创造价值。

评论

0 条

登录后才可以发表评论。

立即登录

暂无评论，快来抢沙发。