– Å bruke kunstig intelligens har en risiko, men å la være har også en risiko.
Slik innledet ordstyrer Fredrik Solvang problemstillingen da han samlet sentrale aktører fra norsk helse- og teknologisektor til frokostdebatt under Arendalsuka onsdag.
Rundt bordet satt Kristine Dahl Steidel, administrerende direktør i Microsoft Norge, Tobias Linge Hareide, viseadministrerende direktør i DIPS, og Rune Simensen, direktør for teknologi og digitalisering i Helse Sør-Øst RHF.
Diskusjonen dreide seg om et grunnleggende dilemma: Helsevesenet trenger ny teknologi for å håndtere økende oppgaver og knapphet på arbeidskraft. Samtidig er både pasientdata og tilgangen til kritiske IT-tjenester noe av det mest sårbare samfunnet har.
Artikkelen fortsetter etter annonsen:
Fra personvern til geopolitisk risiko
De siste årene har mye av diskusjonen om skyløsninger i helsesektoren handlet om personvern, datalagring og GDPR. Nå har også et annet spørsmål fått større oppmerksomhet: Hva skjer dersom tilgangen til selve tjenesten forsvinner?
Solvang utfordret panelet på om norske sykehus i verste fall kan bli rammet dersom amerikanske myndigheter legger press på en amerikansk teknologileverandør.
Steidel avviste at amerikanske myndigheter uten videre kan skru av Microsofts tjenester til et norsk sykehus.
– Microsoft er et kommersielt selskap. Vi representerer ikke amerikanske myndigheter. Det er heller ikke sånn at administrasjonen i Det hvite hus har en av-og-på-knapp til Microsofts infrastruktur, sa hun.
Hun understreket samtidig skillet mellom spørsmål om tilgang til data og spørsmålet om å stenge en tjeneste.
Debatten tok blant annet utgangspunkt i saken rundt Den internasjonale straffedomstolen, ICC, og sanksjoner mot enkeltpersoner tilknyttet domstolen. Steidel fastholdt at Microsoft ikke hadde stengt eller satt Microsoft-tjenestene til ICC på pause.
For Helse Sør-Øst er denne typen problemstillinger uansett blitt en tydeligere del av risikobildet.
– For noen år siden var GDPR hovedbekymringen rundt bruk av skytjenester. Vi er veldig bevisste på den risikoen som går på tilgang til tjenester og at man mister tilgangen. Det vektlegger vi mye sterkere i risikoarbeidet nå enn vi gjorde tidligere, sa Simensen.
Han karakteriserte ikke scenarioet som ren fantasi.
– Det er helt klart en del av risikobildet.
Artikkelen fortsetter etter annonsen:
Sykehusene må kunne klare seg uten skyen
Solvang ville vite hvor lenge sykehusene kan drive dersom en sentral skytjeneste plutselig blir utilgjengelig.
Simensen hadde ikke noe bestemt antall timer eller dager, men viste til beredskapen i sykehusene.
– Sykehusene våre er trimmet på å kunne kjøre helt manuelt hvis det er påkrevd. Det kan de gjøre ganske lenge.
Samtidig er ikke målet å bygge et helsevesen som aldri gjør seg avhengig av eksterne teknologileverandører. I stedet handler mye av arbeidet om å redusere konsekvensene dersom en leverandør eller teknologi faller bort.
Simensen beskrev en ambisjon om å utvikle løsninger som i størst mulig grad er leverandøruavhengige.
– Vi bygger dem agnostisk. Vi er fristilt fra en spesifikk leverandør eller en spesifikk teknologi, slik at vi kan trekke ut pluggen og plugge inn et annet sted.
Men et slikt bytte skjer ikke nødvendigvis på noen timer.
– Det er ikke så binært at vi kan bytte ut alt på en time. Det er et ganske nøysommelig arbeid som ligger bak.
Ingenting er helt risikofritt
DIPS leverer journalsystemer og andre løsninger tett på den kliniske hverdagen. Hareide understreket at målet ikke kan være å gjøre teknologien fullstendig risikofri.
– Det er lite som er helt trygt. Det vil en kliniker også kunne fortelle. Når du behandler pasienter, handler det om sannsynligheter – både for at man diagnostiserer riktig sykdom, og for at behandlingen man setter i gang faktisk virker.
For teknologileverandørene handler det derfor om å redusere risikoen gjennom flere lag av sikkerhet.
– Vi flytter ikke mer data enn nødvendig. Vi krypterer dataene og lagrer dem kryptert. Vi forsøker å sertifisere og standardisere på en god måte, sa Hareide.
Også KI-modellenes egne feil må håndteres. Generativ KI kan produsere overbevisende tekst som likevel inneholder feil eller oppdiktet informasjon.
Det er særlig aktuelt når KI brukes til å lage utkast til journalnotater etter samtaler mellom helsepersonell og pasient.
Hareide understreket at teknologien ikke skal overta det medisinske ansvaret.
– Klinikerne er ansvarlige. Vi flytter ikke ansvarskjedene på noe vis ved å legge på mer innovativ funksjonalitet som bruker KI. Det er funksjonalitet og hjelp i hverdagen vi vil gi.
Artikkelen fortsetter etter annonsen:
Frykter at ansatte tar i bruk private KI-verktøy
Et annet dilemma er hva som skjer dersom helsepersonell ikke får tilgang til godkjente KI-verktøy gjennom arbeidsgiveren.
Da kan fristelsen bli stor til å bruke tjenester som allerede finnes tilgjengelig privat.
I debatten ble det påpekt at både pasienter og helsepersonell allerede møter generativ KI i hverdagen. Dersom en lege bruker et privat KI-verktøy, har arbeidsgiveren langt mindre kontroll over hvor data havner og hvordan tjenesten behandler informasjonen.
Dermed kan også det å holde teknologien ute skape nye sikkerhetsproblemer.
For Microsoft er lagring av norske kundedata på norsk jord et sentralt tiltak. Steidel viste til at data for norske kunder kan lagres i datasentre i Norge, samtidig som kundene får tilgang til teknologi og sikkerhetsmekanismer i en global skyplattform.
Mangel på folk gjør at det haster
Den kanskje største risikoen er ifølge panelet likevel ikke teknologisk. Det er mangel på mennesker.
– Vi har altfor få mennesker i helsesektoren i dag. De er overarbeidet. Det er gjort gode prognoser på hvor mange helsearbeidere vi kommer til å trenge, sa Steidel.
Hun pekte på at en aldrende befolkning vil øke etterspørselen etter helsetjenester samtidig som tilgangen på arbeidskraft blir knappere. Derfor mener hun at spørsmålet ikke bare kan være hvilken risiko det innebærer å ta i bruk KI.
– Å ikke gjøre noen ting er også en risiko. En krise som er høyst reell i Helse-Norge i dag, er mangel på arbeidskraft. Den krisen har allerede truffet oss.
Som eksempel viste hun til bruk av KI i analyse av røntgenbilder ved legevakten i Bærum, der teknologien ifølge Steidel har bidratt til å redusere køene betydelig.
Artikkelen fortsetter etter annonsen:
Fra journalføring til pasientlogistikk
De første KI-løsningene i klinisk bruk vil ofte løse relativt avgrensede oppgaver.
Hareide trakk frem automatiske utkast til journalnotater som et nærliggende eksempel.
– Det som kommer først, er automatisering av utkastet til journal. Gevinsten er kanskje åpenbar. Legen kan spare tid.
Neste steg kan være løsninger som gjør det mulig å søke og føre samtaler med innholdet i pasientjournalen.
– Som lege kan du i forberedelsene få opp høydepunktene i hva pasienten sliter med. Du slipper å lete gjennom hele historikken.
Også medisinsk koding og administrative oppgaver kan automatiseres. Enda større muligheter kan ligge i planlegging av pasientforløp og logistikk inne på sykehusene.
Samtidig blir løsningene mer komplekse jo nærmere teknologien kommer beslutninger som påvirker pasientbehandlingen.
Enorme datamengder kan gi ny innsikt
Simensen mener helsesektoren har et særlig stort potensial for KI fordi den allerede sitter på enorme mengder informasjon.
– Råvaren, eller drivstoffet for KI, er data. Vi har enorme mengder data i helse, og vi kan skape mye ny og verdifull innsikt hvis vi bruker teknologien på riktig måte.
Han viste samtidig til at formålet ikke er å erstatte klinikerens skjønn.
Teknologien skal bidra til at helsepersonellet får bedre oversikt, bruker mindre tid på administrative oppgaver og får mer tid til pasientene.
Risikoen må aksepteres lokalt
Selv om utfordringene er nasjonale, ligger mye av ansvaret for konkrete teknologivalg hos de enkelte helseforetakene.
I Helse Sør-Øst gjøres vurderinger på regionalt nivå, men hvert helseforetak er selv dataansvarlig.
– Til slutt er det administrerende direktør i et helseforetak som må akseptere risikoen, sa Simensen.
Solvang utfordret panelet på om en så grunnleggende teknologisk omstilling burde styres sterkere nasjonalt.
Simensen viste til at målene i stor grad kan settes nasjonalt, mens løsningene må tilpasses den enkelte virksomheten.
– Det er forskjeller mellom sykehus. Det er ikke én løsning som passer alle, selv om det er veldig mange likheter.
Dermed endte debatten omtrent der den startet: Det finnes ingen risikofri vei inn i en mer KI-drevet helsetjeneste.
Spørsmålet er ikke om helsevesenet kan eliminere all usikkerhet, men hvilken risiko som kan aksepteres – og hvordan den skal veies opp mot risikoen ved å la være å ta teknologien i bruk.
10 råd for trygg bruk av KI i helsesektoren:
- Vurder risikoen ved å la være
Ikke vurder bare hva som kan gå galt ved å ta i bruk KI. Mangel på helsepersonell og økende behov for helsetjenester gjør også passivitet til en risiko. - Bygg beredskap for bortfall av skytjenester
Helseforetak må ha planer for hvordan kritiske tjenester kan opprettholdes dersom en ekstern skyleverandør blir utilgjengelig. - Unngå unødvendig leverandøravhengighet
Løsninger bør så langt som mulig bygges slik at modeller, tjenester eller leverandører kan byttes ut uten at hele systemet må bygges på nytt. - Ha en realistisk exit-strategi
Det holder ikke å si at man kan bytte leverandør. Virksomheten må vite hvilke komponenter som kan erstattes, hvor lang tid det vil ta, og hvordan driften skal opprettholdes i mellomtiden. - Flytt og lagre minst mulig pasientdata
Dataminimering, kryptering og tydelig kontroll med tilganger bør være grunnleggende krav når KI-løsninger utvikles og tas i bruk. - La helsepersonell beholde det faglige ansvaret
KI kan lage utkast, oppsummeringer og beslutningsstøtte, men klinikeren må fortsatt kontrollere resultatet og stå ansvarlig for medisinske vurderinger. - Start med oppgaver der nytten er tydelig
Journalutkast, journalsøk, medisinsk koding, bildeanalyse og administrative oppgaver kan være naturlige områder å begynne med før KI får mer komplekse roller i pasientbehandlingen. - Gi ansatte trygge KI-verktøy
Dersom arbeidsgiveren ikke tilbyr godkjente løsninger, kan ansatte ende med å bruke private KI-tjenester som virksomheten ikke har kontroll over. Det kan skape større sikkerhetsrisiko. - Oppdater risikovurderingene når verden endrer seg
Personvern er ikke den eneste utfordringen. Geopolitikk, avhengighet av utenlandske leverandører og risikoen for å miste tilgang til tjenester må også inngå i dagens risiko- og sårbarhetsanalyser. - Bruk KI til å frigjøre tid til pasientene
Målet bør ikke være teknologi for teknologiens skyld. KI bør tas i bruk der den kan redusere administrasjon, gi bedre oversikt og gjøre det mulig for helsepersonell å bruke mer tid på pasientbehandling.
