AI Act dla AI w ochronie zdrowia.

Zdrowotne AI to jedyny sektor, w którym AI Act ląduje na istniejącym, dojrzałym reżimie regulacyjnym, a nie na pustym polu. Jeśli Twój produkt jest wyrobem medycznym, jesteś już wewnątrz MDR albo IVDR - a AI Act podpina się przez załącznik I, a nie przez listę z załącznika III, którą czytają wszyscy inni. To jedno rozróżnienie zmienia Twój termin, Twoją ścieżkę oceny i to, kto się pod nią podpisuje.

Systemy z załącznika I zostały przesunięte na sierpień 2028 przez omnibus z czerwca 2026 - rok później niż data z załącznika III, czyli grudzień 2027. Zespoły z ochrony zdrowia, które czytają ogólne poradniki o AI Act, zwykle czytają nie swój termin.

Która ścieżka Cię dotyczy

Granica, na której potykają się zespoły medyczne

Dokumentowanie kontra decydowanie. Ambientowy scribe, który transkrybuje wizytę i redaguje notatkę, dokumentuje zakończoną czynność człowieka - to mocna pozycja z artykułu 6(3). Ten sam produkt rozszerzony o sugerowanie diagnozy albo oznaczanie pacjenta do eskalacji ocenia osobę. To jest profilowanie, a profilowanie zamyka wyjście przez 6(3) bezwzględnie.

"Wellness, nie medycyna." Pozycjonowanie produktu jako wspierającego samopoczucie, a nie klinicznego, to argument z klasyfikacji wyrobów i nie przenosi się na AI Act bez zmian. Symptom checker z zastrzeżeniem o wellness wciąż może oceniać dostęp osoby fizycznej do opieki zdrowotnej.

Szpitale są podmiotami stosującymi, nie dostawcami. Szpital kupujący narzędzie AI do triage'u przyjmuje obowiązki podmiotu stosującego z artykułu 26: nadzór ludzki, monitorowanie, adekwatność danych wejściowych, rejestrowanie zdarzeń. Nie dziedziczy obowiązków dostawcy z rozdziału III - te zostają po stronie dostawcy. Pomylenie tego w którąkolwiek stronę to najczęstszy błąd w zakupach w ochronie zdrowia. Dostawca kontra podmiot stosujący.

Ile naprawdę kosztuje podwójny reżim

Mniej, niż zespoły się obawiają, w tym konkretnym przypadku, w którym jesteś już zgodny z MDR. Artykuł 8(2) jest skonstruowany tak, aby wymogi AI Act były spełniane przez istniejącą sektorową ocenę zgodności, a nie przez równoległą - Twój system zarządzania jakością, dokumentacja techniczna, zarządzanie ryzykiem i nadzór po wprowadzeniu na rynek w dużej mierze wchłaniają odpowiedniki z AI Act. Naprawdę nową pracą jest zwykle zarządzanie danymi z artykułu 10, rejestrowanie zdarzeń z artykułu 12 i projekt nadzoru ludzkiego z artykułu 14.

Co jesteś winien dzisiaj, niezależnie od daty 2028: informacja z artykułu 50 na wszystkim, co rozmawia z pacjentem, artykuł 4 - kompetencje w zakresie AI u personelu klinicznego i operacyjnego dotykającego tych systemów, oraz artykuł 5, który zakazuje wnioskowania o emocjach w miejscu pracy, co jest czynnym problemem przy narzędziach do monitorowania personelu sprzedawanych do operacji szpitalnych.

RODO wykonuje tu już większość ciężkiej pracy. Dane o zdrowiu to szczególna kategoria danych z artykułu 9, więc jeśli masz podstawę prawną, DPIA i zarządzanie danymi, które wytrzymują kontrolę, dużą część artykułu 10 AI Act udowadnia praca, którą już wykonałeś. Raporty Reglynn wprost oznaczają te nakładki, żebyś nie płacił dwa razy za tę samą kontrolę.

Najczęściej zadawane pytania

Kiedy AI Act zaczyna dotyczyć AI w wyrobach medycznych?

W sierpniu 2028 dla AI będącej elementem bezpieczeństwa produktu regulowanego przez MDR lub IVDR albo samej będącej takim wyrobem wymagającym oceny zgodności przez stronę trzecią. To systemy z załącznika I, odroczone o rok później niż data 2 grudnia 2027 z załącznika III.

Czy zgodność z MDR pokrywa AI Act?

W dużej mierze, ale nie w całości. Artykuł 8(2) zaprojektowano tak, aby wymogi AI Act spełniać w ramach istniejącej sektorowej oceny zgodności, a nie równolegle do niej. Twój system zarządzania jakością, dokumentacja techniczna, zarządzanie ryzykiem i nadzór po wprowadzeniu do obrotu w większości absorbują odpowiedniki. Realnie nową pracą są zwykle zarządzanie danymi z artykułu 10, rejestrowanie zdarzeń z artykułu 12 i projekt nadzoru ludzkiego z artykułu 14.

Czy medyczny skryba AI jest systemem wysokiego ryzyka?

Zwykle nie. Skryba, który transkrybuje konsultację i redaguje notatkę, dokumentuje zakończoną czynność człowieka, co jest mocną pozycją na gruncie artykułu 6(3). Rozszerzenie go o sugerowanie diagnozy albo oznaczanie pacjentów do eskalacji sprawia, że ocenia osobę - a to profilowanie, które zamyka wyłączenie.

Czy szpital używający AI jest dostawcą czy podmiotem stosującym?

Podmiotem stosującym. Szpital kupujący narzędzie AI do triażu przyjmuje obowiązki z artykułu 26 - nadzór ludzki, monitorowanie, adekwatność danych wejściowych i rejestrowanie zdarzeń - ale nie dziedziczy obowiązków dostawcy z rozdziału III.

Co zespoły health AI mają zrobić już dziś?

Informowanie z artykułu 50 wszędzie tam, gdzie system rozmawia z pacjentem, kompetencje w zakresie AI z artykułu 4 dla personelu obsługującego systemy, oraz artykuł 5, który zakazuje wnioskowania o emocjach w miejscu pracy - to żywy problem przy narzędziach do monitorowania personelu sprzedawanych do zarządzania szpitalem.