Đào tạo về bảo mật tài liệu AI: cách chuẩn bị cho các nhà quản lý đánh giá các công cụ tài liệu môi trường

Một nhà cung cấp đề xuất một công cụ ghi chép cuộc trò chuyện trong môi trường xung quanh. Công cụ này lắng nghe cuộc hội thoại trong phòng tư vấn và soạn thảo ghi chú lâm sàng. Buổi trình diễn rất ấn tượng và các bác sĩ lâm sàng rất hào hứng. Tuy nhiên, bản đề xuất lại không đề cập nhiều đến thời gian lưu giữ các bản ghi âm và bản chép lại, hoặc những ai khác có thể sử dụng chúng để cải thiện sản phẩm. Người quản lý đọc bản đề xuất phải quyết định xem có nên hỏi, hỏi ai và liệu câu trả lời có đủ tốt hay không.

Đây là một kịch bản minh họa, không phải là một trường hợp được ghi nhận. Nó mô tả khoảng cách mà việc đào tạo về bảo mật tài liệu AI hướng đến thu hẹp: khoảng cách giữa việc ấn tượng với một quy trình làm việc và khả năng đặt câu hỏi về nó.

Hướng dẫn này dành cho các giám đốc đào tạo và phát triển (L&D) của bệnh viện và các trưởng bộ phận tin học hoặc tuân thủ pháp luật làm việc cùng họ. Nó bao gồm cách mô tả vấn đề về hiệu suất, chẩn đoán các lỗ hổng về kiến ​​thức và bối cảnh, thiết kế quá trình chuẩn bị và thực hành, phân tích trường hợp và đánh giá khả năng chuyển giao kiến ​​thức. Đây là về thiết kế đào tạo, không phải tư vấn pháp lý. Luật về quyền riêng tư khác nhau tùy theo khu vực pháp lý, vì vậy cán bộ phụ trách quyền riêng tư và luật sư của bạn phải xác định các quy tắc mà người học áp dụng.

Đào tạo về bảo mật tài liệu AI là gì?

Khóa đào tạo về bảo mật tài liệu AI chuẩn bị cho các nhà quản lý cấp cao khả năng đánh giá quy trình làm việc của hệ thống tài liệu AI và nêu ra các vấn đề về bảo mật trước khi áp dụng công cụ này. Nhiệm vụ là đánh giá. Người học đọc một đề xuất, lập bản đồ vị trí lưu trữ thông tin bệnh nhân, so sánh với các nghĩa vụ của tổ chức và quyết định những gì cần hỏi, những gì cần báo cáo lên cấp trên và những gì cần từ chối phê duyệt.

sự kiện nhanh chóng

1. Mô tả vấn đề về hiệu năng

Hãy bắt đầu với nhiệm vụ: đánh giá quy trình làm việc tài liệu của AI và nêu ra các câu hỏi về quyền riêng tư. Hai phần quan trọng tạo nên trọng tâm. Đánh giá nghĩa là đọc một đề xuất thực tế, chứ không phải chỉ nhớ lại một chính sách. Đặt câu hỏi nghĩa là kết quả là một tập hợp các câu hỏi cụ thể, có thể trả lời được và một sự leo thang rõ ràng, chứ không phải là một phán quyết rằng công cụ đó an toàn.

Việc lưu trữ và chia sẻ dữ liệu là những điểm mấu chốt quan trọng, bởi vì một bản đề xuất có thể khá mơ hồ về chính xác những điều đó. Hãy hỏi xem âm thanh và bản ghi được lưu trữ ở đâu, trong bao lâu, ai có thể truy cập chúng và liệu chúng có được sử dụng để cải thiện sản phẩm của nhà cung cấp hay không. Những câu hỏi như vậy chỉ hữu ích nếu người học hiểu tại sao chúng lại quan trọng.

Một điểm tham khảo hữu ích là hướng dẫn của Văn phòng Quyền dân sự thuộc Bộ Y tế và Dịch vụ Nhân sinh Hoa Kỳ (HHS) về điện toán đám mây. Hướng dẫn này nêu rõ rằng một tổ chức thuộc phạm vi điều chỉnh chỉ được phép sử dụng dịch vụ đám mây để lưu trữ hoặc xử lý thông tin sức khỏe được bảo vệ điện tử nếu tổ chức đó có thỏa thuận đối tác kinh doanh với nhà cung cấp, tức là hợp đồng quy định các mục đích sử dụng được cho phép và các biện pháp bảo vệ cần thiết. Hướng dẫn cũng nêu rõ rằng nhà cung cấp nắm giữ dữ liệu được mã hóa mà không có khóa giải mã vẫn được coi là đối tác kinh doanh. Khách hàng cũng phải tự chịu trách nhiệm: họ phải tự thực hiện phân tích rủi ro chứ không chỉ dựa vào hợp đồng.Hướng dẫn của HHS về HIPAA và điện toán đám mâyHướng dẫn đó có trước khi các công cụ AI môi trường xuất hiện và không dành riêng cho chúng, vì vậy hãy sử dụng nó như một khuôn khổ ban đầu và yêu cầu người phụ trách bảo mật của bạn cho biết nó được áp dụng như thế nào.

Hãy viết bản mô tả hiệu suất thành một câu duy nhất và nhờ người phụ trách tuân thủ kiểm tra: "Nhận được đề xuất của nhà cung cấp về công cụ ghi chép tài liệu bằng AI, người phụ trách sẽ lập bản đồ luồng thông tin bệnh nhân, liệt kê các câu hỏi về lưu trữ và chia sẻ mà đề xuất còn bỏ ngỏ, và chuyển những vấn đề họ không thể giải quyết cho người có thẩm quyền."

2. Chẩn đoán những thiếu sót về kiến ​​thức và bối cảnh.

Trước khi bắt tay vào xây dựng bất cứ điều gì, hãy so sánh nhiệm vụ đó với những gì chương trình đào tạo hiện tại của bạn đang thực hành và đánh giá. Thông thường, ba câu hỏi sau sẽ giúp phân biệt lỗ hổng đào tạo với những vấn đề khác:

1. Liệu phương pháp hiện tại có sử dụng đúng nhiệm vụ thực tế? Nếu khóa đào tạo về bảo mật thông tin là một mô-đun hàng năm về các quy tắc chung, người học sẽ thực hành việc nhận biết các quy tắc, chứ không phải áp dụng chúng vào đề xuất của nhà cung cấp. Một bài kiểm tra về định nghĩa sẽ đo lường khả năng ghi nhớ, chứ không phải khả năng đánh giá.
2. Yêu cầu về khả năng nhận thức là gì? Trong thang phân loại Bloom sửa đổi, việc áp dụng một quy tắc cho một đề xuất mới và phân tích luồng thông tin nằm ở cấp độ cao hơn khả năng ghi nhớ. Việc đối chiếu các hoạt động với các cấp độ đó được đề cập trong hướng dẫn của chúng tôi. Phù hợp các hoạt động học tập với Phân loại Bloom..
3. Liệu có điều gì khác ngoài kỹ năng đang cản trở bạn? Kiểm tra nhân sự, công cụ và quy trình. Một người quản lý chỉ có hai ngày để xem xét đề xuất, không có mẫu câu hỏi cho nhà cung cấp hoặc không có quyền tạm dừng việc mua hàng sẽ gặp khó khăn cho dù họ được đào tạo tốt đến đâu. Báo cáo những nguyên nhân đó cho những người có thể khắc phục chúng.

3. Chuẩn bị và thực hành thiết kế

Khi bạn đã xác định được những thiếu sót nào mà đào tạo có thể khắc phục, hãy giao nhiệm vụ riêng biệt cho từng giai đoạn.

Sự chuẩn bị. Kiểm tra các điều kiện tiên quyết bằng một bài kiểm tra chẩn đoán ngắn: các thuật ngữ bảo mật chính mà tổ chức của bạn sử dụng, những gì được coi là thông tin bệnh nhân, thỏa thuận đối tác kinh doanh là gì và ai chịu trách nhiệm về các quyết định bảo mật. Hình thức tự học phù hợp với giai đoạn này. Bài kiểm tra ôn tập chỉ xác nhận các điều kiện tiên quyết.

Thực hành. Sử dụng phương pháp đánh giá kiểm toán giả định. Người học sẽ nhận được một đề xuất của nhà cung cấp giả định và danh sách kiểm tra bảo mật của tổ chức, sau đó chuẩn bị cho một buổi đánh giá giả định giống như cách họ chuẩn bị cho một cuộc kiểm tra thực tế: họ cần những bằng chứng gì, họ sẽ hỏi gì đầu tiên và họ sẽ lưu ý điều gì. Bao gồm các ví dụ từ các cuộc kiểm toán trước đây của chính bạn, trong đó thông tin đã được ẩn danh và người phụ trách tuân thủ của bạn đã phê duyệt chúng.

Phản hồi. Hãy liên hệ nó với các quyết định thay vì tổng điểm. Câu hỏi "Bạn hỏi thời gian lưu giữ hồ sơ là bao lâu, đó là câu hỏi đúng, nhưng bạn không hỏi liệu nhà cung cấp có thể sử dụng chúng để huấn luyện mô hình của họ hay không" sẽ dạy nhiều hơn là chỉ đạt "6/10".

Nhập liệu trực tiếp hay xem xét không đồng bộ? Huấn luyện trực tiếp mang lại giá trị cao nhất khi đề xuất không rõ ràng và người học cần nghe cách một chuyên gia giàu kinh nghiệm về bảo mật quyết định vấn đề nào đáng được báo cáo lên cấp cao hơn. Đánh giá không đồng bộ là đủ để so sánh danh sách câu hỏi bằng văn bản của người học với câu trả lời mẫu có chú thích. Một số nhóm sử dụng cả hai: chuẩn bị theo tốc độ cá nhân trước, sau đó là một buổi huấn luyện có người hướng dẫn về những đề xuất khó nhất.

4. Hãy cùng nhau tìm hiểu một ví dụ thực tế.

Chỉ mang tính minh họa. Người phụ trách về quyền riêng tư hoặc công nghệ thông tin cần xác nhận trường hợp và các tiêu chí trả lời trước khi sử dụng.

Trường hợp. Bản đề xuất của nhà cung cấp về một công cụ ghi chép tài liệu môi trường nêu rõ rằng dữ liệu được "lưu trữ an toàn" và "được sử dụng để cải thiện dịch vụ của chúng tôi". Bản đề xuất không nêu rõ thời hạn lưu giữ và không cho biết liệu nhà cung cấp có ký kết thỏa thuận đối tác kinh doanh với tổ chức hay không.

Nhiệm vụ. Người phụ trách xem xét đề xuất, liệt kê những gì đề xuất nói và không nói về việc lưu trữ và chia sẻ dữ liệu, quyết định những gì cần hỏi nhà cung cấp và nêu rõ những gì họ cần từ các đồng nghiệp về quyền riêng tư hoặc pháp lý trước khi công cụ này được triển khai tiếp.

Lần thử đầu tiên. "Nhà cung cấp nói dữ liệu được lưu trữ an toàn, nên tôi nghĩ là ổn. Tôi sẽ báo cho nhóm lâm sàng biết là kết quả chấp nhận được." Câu này chấp nhận một tuyên bố chung chung mà không kiểm chứng. Nó cũng đưa ra một quyết định mà người học không có quyền đưa ra.

Phản hồi và thử lại. Huấn luyện viên chỉ ra hai cụm từ trong bản đề xuất: "được lưu trữ an toàn" không nói rõ về thời gian lưu trữ, và "được sử dụng để cải thiện dịch vụ của chúng tôi" không nói rõ liệu có bao gồm bản ghi âm hay bản chép lời hay không. Bài tập lại yêu cầu người học chuyển mỗi cụm từ thành một câu hỏi.

Một nỗ lực mạnh mẽ hơn. "Đề xuất không nêu rõ thời hạn lưu trữ cho bản ghi âm hoặc bản chép lời. Tôi sẽ yêu cầu cả hai. 'Cải thiện dịch vụ của chúng tôi' có thể bao gồm việc đào tạo các mô hình của nhà cung cấp dựa trên các cuộc hội thoại của bệnh nhân, vì vậy tôi sẽ hỏi thẳng xem liệu họ có làm điều đó hay không và liệu chúng tôi có thể từ chối hay không. Tôi cũng sẽ hỏi liệu nhà cung cấp có ký thỏa thuận đối tác kinh doanh của chúng tôi hay không. Tôi không thể quyết định liệu các câu trả lời có thể chấp nhận được hay không, vì vậy tôi sẽ gửi các câu hỏi và câu trả lời cho người phụ trách bảo mật của chúng tôi và tạm dừng việc triển khai cho đến khi họ xem xét xong." Câu trả lời này liệt kê các thiếu sót cụ thể, biến chúng thành câu hỏi và chuyển quyết định đến người có thẩm quyền.

Tại sao mỗi câu trả lời lại có thể chấp nhận được hoặc chưa đầy đủ. Hãy đánh giá từng người dựa trên các tiêu chí đã được phê duyệt, chứ không phải sở thích cá nhân của người hướng dẫn. Lần thử đầu tiên là một thói quen phổ biến nhưng chỉ dừng lại ở việc trấn an. Lần thử mạnh mẽ hơn sẽ bao gồm việc ghi nhớ, chia sẻ và đạt được sự đồng thuận, và vẫn nằm trong phạm vi quyền hạn của người học.

5. Đánh giá năng lực và lập kế hoạch chuyển giao

Bằng chứng về năng lực là phản hồi đối với một đề xuất mà người học chưa từng thấy. Hãy chấm điểm mức độ hoàn chỉnh của việc xem xét rủi ro và liệu việc leo thang vấn đề có hợp lý hay không. Một bảng tiêu chí đơn giản sử dụng thang điểm từ 0 đến 2 cho mỗi tiêu chí:

Thang điểm: 0 là không có hoặc không được hỗ trợ, 1 là một phần với những thiếu sót liên quan, và 2 là đầy đủ và được chứng minh dựa trên các tiêu chí đã thống nhất. Xác định riêng các lỗi nghiêm trọng, chẳng hạn như phê duyệt một công cụ để sử dụng với thông tin bệnh nhân trước khi bộ phận bảo mật xem xét, để điểm tổng thể không che giấu lỗi đó. Bảng đánh giá này chỉ là một đề xuất, không phải là tiêu chuẩn sẵn sàng đã được xác nhận: hãy điều chỉnh nó với người phụ trách tin học hoặc tuân thủ và tiến hành thử nghiệm. Hướng dẫn của chúng tôi về... Thiết kế bài tập tương tác với phản hồi hữu ích Hướng dẫn cách viết phản hồi liên quan đến các quyết định.

Lên kế hoạch chuyển giao một cách cẩn trọng. Thêm một bước theo dõi sau khi người học đã xem xét đề xuất thực tế, chẳng hạn như một buổi tóm tắt ngắn gọn, trong đó mỗi người nêu ra các câu hỏi họ đã đặt ra và câu trả lời của nhà cung cấp.

Trong trường hợp phương thức giao hàng tương tác giúp ích

Các định dạng tương tác rất hữu ích khi mọi người cần đưa ra cam kết trước khi nghe câu trả lời. Trong một phiên trực tiếp, người điều phối có thể trình bày một đoạn trích đề xuất giả định, yêu cầu mỗi người gõ câu hỏi đầu tiên mà họ muốn gửi cho nhà cung cấp, sau đó hiển thị toàn bộ nội dung trước khi thảo luận. Trường hợp tương tự cũng có thể được thực hiện theo hình thức tự học để chuẩn bị. AhaSlides hỗ trợ học tập tương tác và chuyển đổi giữa hình thức trực tiếp và tự học. Hãy loại bỏ dữ liệu bệnh nhân thực và hợp đồng nhà cung cấp thực, kiểm tra bất kỳ chức năng soạn thảo, phản hồi hoặc báo cáo cụ thể nào bạn dự định sử dụng so với quy trình làm việc của riêng bạn, và coi AI, trình mô phỏng và tích hợp hệ thống là các yếu tố bên ngoài hoặc chưa được xác nhận cho đến khi bạn thấy chúng hoạt động. Để được hướng dẫn về việc lựa chọn định dạng, hãy xem bài viết của chúng tôi về... Khi nào nên sử dụng phương pháp học tập thích ứng, tương tác và trực tiếp?.

Đo lường những gì đã thay đổi

Xác định trước những tiêu chí nào sẽ chứng minh người học có thể hoàn thành nhiệm vụ. So sánh mức độ hoàn chỉnh của các đánh giá rủi ro trên một đề xuất chưa từng thấy với một đề xuất chuẩn, và ghi nhận xem các trường hợp leo thang có hợp lý hay không khi được cán bộ phụ trách bảo mật xem xét. Xác định đối tượng tham gia, mẫu số và thời điểm. Nếu kết quả được cải thiện, hãy kiểm tra những thay đổi khác trong cùng kỳ, chẳng hạn như danh sách kiểm tra nhà cung cấp mới, cập nhật chính sách hoặc thay đổi người xem xét đề xuất, trước khi ghi nhận hiệu quả của khóa đào tạo.

Những ràng buộc có thể vẫn còn

• Điều khoản của nhà cung cấp. Nhà cung cấp có thể từ chối thay đổi các điều khoản tiêu chuẩn của họ. Việc đánh giá tốt sẽ phát hiện ra điều này sớm, nhưng việc đào tạo không làm thay đổi hợp đồng.
• Thẩm quyền. Một khách hàng tiềm năng chỉ có thể đặt câu hỏi nhưng không thể tạm dừng giao dịch mua hàng thì khả năng tiếp cận khách hàng của họ bị hạn chế.
• Thời gian. Việc xem xét kỹ lưỡng cần thời gian mà có thể không nằm trong kế hoạch.
• Phạm vi bao phủ vụ việc. Một đề xuất chỉ thể hiện một mô hình. Điểm số không phản ánh khả năng đánh giá tổng quát của một người.
• Chuyển khoản. Hiệu quả thể hiện trong một tình huống huấn luyện không giống với hiệu quả thể hiện dưới áp lực mua hàng.

Hãy nêu rõ những vấn đề này với nhà tài trợ từ sớm và lên kế hoạch khắc phục riêng biệt. Việc đào tạo giúp cải thiện khả năng đánh giá của người lãnh đạo. Nó không thay đổi các điều kiện xung quanh quyết định.

Các câu hỏi thường gặp

Đào tạo về bảo mật tài liệu AI là gì?

Nó giúp các nhà lãnh đạo hành chính chuẩn bị để đánh giá các công cụ ghi chép bằng AI, chẳng hạn như ghi chú tự động, và nêu ra các câu hỏi cụ thể về quyền riêng tư liên quan đến việc lưu trữ, truy cập và chia sẻ dữ liệu trước khi áp dụng.

Liệu thỏa thuận đối tác kinh doanh có giải quyết được vấn đề bảo mật thông tin cá nhân?

Không. Đó là một biện pháp bảo vệ bắt buộc. Trong hướng dẫn về điện toán đám mây của HHS, khách hàng vẫn tự thực hiện phân tích rủi ro của riêng mình, và người phụ trách bảo mật của bạn sẽ quyết định điều gì là chấp nhận được.

Làm thế nào để đánh giá xem khách hàng tiềm năng có thể đánh giá được một công cụ hay không?

Đưa ra một đề xuất mà người học chưa từng thấy và chấm điểm mức độ hoàn chỉnh của việc xem xét rủi ro và lý do leo thang vấn đề dựa trên các tiêu chí đã thống nhất. Bài kiểm tra định nghĩa chỉ nhằm xác nhận các điều kiện tiên quyết.

Có thể sử dụng hợp đồng thực tế của nhà cung cấp trong quá trình đào tạo không?

Hãy sử dụng các đề xuất được bịa đặt hoặc ẩn danh, và yêu cầu người phụ trách tuân thủ phê duyệt bất kỳ tài liệu nào được lấy từ các đánh giá thực tế. Tuyệt đối không đưa thông tin bệnh nhân vào bất kỳ công cụ đào tạo nào.

Bắt đầu từ đâu

Hãy chọn một loại đề xuất mà tổ chức của bạn thường xuyên nhận được. Viết bản mô tả hiệu suất, nhờ người phụ trách tin học hoặc tuân thủ pháp luật xác nhận một trường hợp giả định và những câu hỏi mà một câu trả lời thuyết phục sẽ đặt ra, đồng thời soạn thảo một bảng đánh giá ba tiêu chí với thang điểm từ 0 đến 2 và một danh sách các lỗi nghiêm trọng. Thử nghiệm với một nhóm nhỏ trước khi triển khai rộng rãi.

Để xem cách thức thực hiện đánh giá đề xuất trực tiếp với nhóm của bạn và có thể tái sử dụng theo tốc độ riêng sau đó, hãy khám phá AhaSlides.