Governance AI w ochronie zdrowia: przepisy UE i praktyka nadzoru

Governance AI w ochronie zdrowia określa, kto odpowiada za wybór, ocenę, używanie i przegląd systemów AI. Ocena prawna zależy od przeznaczenia konkretnego systemu. Przepisy o wyrobach medycznych, AI Act i RODO mają odrębne warunki zastosowania. AI kliniczne nie jest automatycznie systemem wysokiego ryzyka z załącznika III, a zastosowania administracyjne również wymagają oceny. AI Act, art. 6 i załącznik III; MDR, art. 2; RODO, art. 6 i 9

Przewodnik uwzględnia unijne źródła prawne sprawdzone 14 września 2026 r. Proponowane dokumenty i kroki przeglądu pomagają uporządkować pracę w szpitalu lub innej placówce. Skład zespołu nadzorującego i przykłady organizacji pracy są zaleceniami praktycznymi, a nie strukturą narzuconą przez przepisy.

Zacznij od przeznaczenia systemu

Zapisz cel medyczny lub administracyjny, użytkowników, populację pacjentów, dane wejściowe, wyniki i decyzje, na które system wpływa. Osobno oceń kwalifikację wyrobu oraz klasyfikację według AI Act.

To pytania kwalifikacyjne, a nie opisy wdrożeń klientów. Źródła: MDR, art. 2 pkt 1; IVDR, art. 2 pkt 2; AI Act, art. 6 i załącznik III.

Ścieżka produktowa AI Act wymaga spełnienia dwóch warunków: AI jest produktem objętym wskazanymi przepisami lub jego elementem bezpieczeństwa oraz przepisy produktowe wymagają oceny zgodności przez stronę trzecią. MDR i IVDR znajdują się w załączniku I sekcja A. Art. 6 ust. 1a–1c doprecyzowuje element bezpieczeństwa i warunek dotyczący oceny. Wyjątek z art. 6 ust. 3 dotyczy systemów z załącznika III, a nie wszystkich wyrobów medycznych. AI Act, art. 6 i załącznik I

Jeżeli dostawca powołuje się na wyjątek dla systemu z załącznika III, powinien ocenić znaczenie ryzyka i warunki wskazane w przepisie. Zadanie przygotowawcze może uzasadniać wyjątek. Profilowanie osób fizycznych wyklucza skorzystanie z niego. Dostawca musi udokumentować ocenę. AI Act, art. 6 ust. 3–4

Sprawdź kwalifikację wyrobu i ocenę zgodności

MDR wiąże kwalifikację z przeznaczeniem medycznym określonym przez producenta. Dla oprogramowania będącego wyrobem reguła 11 załącznika VIII przewiduje klasę IIa, gdy informacje służą decyzjom diagnostycznym lub terapeutycznym. Klasa IIb albo III ma zastosowanie, gdy możliwe skutki spełniają wskazane progi. Oprogramowanie monitorujące procesy fizjologiczne ma odrębne warunki. Reguła 11 nie opiera się na kryterium, czy lekarz może samodzielnie zweryfikować wynik. MDR, art. 2 pkt 1 i załącznik VIII, reguła 11

Procedura oceny zgodności zależy od klasy i okoliczności. Art. 52 przewiduje udział jednostki notyfikowanej dla klas IIa, IIb i III oraz deklarację producenta dla zwykłych wyrobów klasy I, z określonymi wyjątkami. Nie każdy system AI w ochronie zdrowia wymaga więc certyfikatu jednostki notyfikowanej. Warunkowe wyłączenie dla instytucji zdrowia publicznego z art. 5 ust. 5 także wymaga osobnej oceny. Samo opracowanie narzędzia wewnątrz placówki nie wystarcza. MDR, art. 5 i 52

W przypadku objętych przepisami wyrobów wysokiego ryzyka art. 43 ust. 3 AI Act włącza wymagania AI do oceny zgodności według prawa produktowego. Art. 2 ust. 13 przewiduje możliwość określonych ograniczeń nakładających się wymagań przez akty delegowane. Trzeba sprawdzić środki dotyczące konkretnego wyrobu; nie można zakładać, że jedna regulacja automatycznie zastępuje drugą. AI Act, art. 2 ust. 13 i art. 43 ust. 3

Uwzględnij aktualne terminy AI Act

AI Act, art. 113. Terminy te nie odraczają istniejących wymagań MDR, IVDR ani RODO. Dla starszych systemów sprawdź przepisy przejściowe z art. 111 i późniejsze zmiany projektu. Odrębne odroczenie do 2 grudnia 2026 r. w art. 111 ust. 4 dotyczy oznaczania treści syntetycznych przez określonych dostawców zgodnie z art. 50 ust. 2, a nie wszystkich obowiązków informacyjnych.

Już teraz trzeba uwzględnić kompetencje personelu. Zmieniony art. 4 wymaga działań wspierających rozwój umiejętności korzystania z AI, ale wyraźnie nie nakazuje zagwarantowania określonego poziomu każdej osoby. Szkolenie może obejmować dozwolone zastosowania, ograniczenia narzędzia, postępowanie z danymi pacjentów i zgłaszanie problemów. AI Act, art. 4

Przypisz odpowiedzialność za każdy system

Placówka używająca zakupionego AI pod swoim zwierzchnictwem będzie zwykle podmiotem stosującym. Może też być dostawcą, jeśli tworzy system lub zleca jego opracowanie i oddaje go do użytku pod własną nazwą. Określone modyfikacje lub zmiana oznaczenia mogą uruchomić obowiązki dostawcy na podstawie art. 25. AI Act, art. 3 pkt 3–4 i art. 25

W odpowiednim zakresie i terminie art. 26 wymaga, by nadzór nad systemem wysokiego ryzyka sprawowały osoby mające potrzebne kompetencje, przeszkolenie, uprawnienia i wsparcie. Obejmuje też użycie zgodnie z instrukcją, dane wejściowe pod kontrolą podmiotu stosującego, monitorowanie i zgłaszanie problemów. AI Act, art. 26

Praktycznie warto wskazać osobę odpowiedzialną za zastosowanie kliniczne oraz osobę odpowiedzialną za działanie techniczne. Do oceny włącz specjalistów od regulacji, bezpieczeństwa informacji i ochrony danych, gdy wymaga tego zastosowanie. Zapisz, kto może zatwierdzić użycie, ograniczyć je i wstrzymać. Zespół międzydziałowy może rozstrzygać sprawy wspólne, ale personel na dyżurze powinien wiedzieć, do kogo zgłosić konkretny problem.

Przygotuj dokumenty do przeglądu przed użyciem

Poniższa lista jest propozycją organizacji dokumentacji. Dostosuj ją do wyrobu, sposobu pracy i właściwych obowiązków.

Wynik uzyskany w innym środowisku może nie odpowiadać na lokalne pytania. Zapisz te pytania i dowody potrzebne do ich rozstrzygnięcia. Nie przyjmuj jednego progu dokładności ani jednego rodzaju badania dla każdego oprogramowania klinicznego. Wymagania oceny klinicznej MDR i zarządzania ryzykiem AI Act zależą od właściwego przeznaczenia i systemu. MDR, art. 5 ust. 3 i art. 61; AI Act, art. 9

Oceń dane zdrowotne i informowanie pacjentów

Ustal zarówno podstawę z art. 6 RODO, jak i właściwą przesłankę z art. 9 dla danych dotyczących zdrowia. Wyraźna zgoda jest jedną z możliwości. Opieka zdrowotna, zdrowie publiczne i badania naukowe mają inne przesłanki wraz z własnymi warunkami. Uprawnienie do przetwarzania na potrzeby leczenia nie przesądza, że wolno wykorzystać dane do niezwiązanego z nim trenowania modelu dostawcy. Oceń każdy cel i proponowane ponowne wykorzystanie. RODO, art. 5, 6 i 9

DPIA, czyli ocena skutków dla ochrony danych, jest wymagana, gdy przetwarzanie może powodować wysokie ryzyko naruszenia praw lub wolności osób. Art. 35 wprost obejmuje przetwarzanie szczególnych kategorii danych na dużą skalę. Nie ustanawia automatycznej zasady, że każde narzędzie mające kontakt z dowolną dokumentacją pacjenta wymaga DPIA. Trzeba też sprawdzić wykazy właściwego organu nadzorczego. RODO, art. 35

Nowy art. 4a AI Act pozwala w określonych sytuacjach przetwarzać szczególne kategorie danych do wykrywania i korygowania stronniczości, wyłącznie w zakresie ściśle niezbędnym i przy szczegółowych zabezpieczeniach. Nie jest to ogólne upoważnienie do zbierania wrażliwych cech lub przekazywania ich dostawcom. Przed dodaniem danych o podgrupach do oceny zapewnij przegląd pod kątem ochrony danych. AI Act, art. 4a

Obowiązki informacyjne także wymagają prawidłowej kwalifikacji. Art. 50 obejmuje określone bezpośrednie interakcje z AI i inne zastosowania wymagające przejrzystości. Art. 26 ust. 11 dotyczy osób objętych decyzjami systemów wysokiego ryzyka z załącznika III. Art. 22 RODO dotyczy decyzji wyłącznie zautomatyzowanych o skutkach prawnych lub podobnie istotnym wpływie, z wyjątkami i zabezpieczeniami. Nie ustanawia ogólnego prawa do wyłączenia AI z każdej wspomaganej decyzji klinicznej. AI Act, art. 26 i 50; RODO, art. 22

Zaplanuj monitorowanie, incydenty i zmiany

Art. 83 MDR nakłada na producenta obowiązki nadzoru po wprowadzeniu do obrotu, odpowiednio do rodzaju i klasy ryzyka wyrobu. Art. 87 reguluje zgłaszanie przez producenta poważnych incydentów i zewnętrznych działań korygujących dotyczących bezpieczeństwa. AI Act osobno określa monitorowanie po stronie dostawcy oraz monitorowanie i zgłaszanie problemów przez podmiot stosujący. Przypisz obowiązki właściwej stronie. MDR, art. 83 i 87; AI Act, art. 26 i 72

W praktyce zapisuj używaną wersję, odpowiednie miary działania, zgłoszone problemy i osoby odpowiedzialne za ich przegląd. Dobierz częstotliwość oceny do ryzyka klinicznego, skali użycia i dostępności danych o wynikach. Ustal przesłanki natychmiastowego przeglądu, takie jak poważny incydent, zmiana przeznaczenia lub istotna aktualizacja. Sprawdź, jak personel zapewni opiekę po awarii albo wycofaniu systemu.

Szerszy opis przepisów znajduje się w przewodniku po zgodności z AI Act, w języku angielskim.

Frequently Asked Questions

Czy każde AI kliniczne jest systemem wysokiego ryzyka według AI Act?

Nie ma takiej ogólnej klasyfikacji. AI będące wyrobem medycznym wymaga testu z art. 6 ust. 1 i załącznika I, w tym sprawdzenia obowiązku oceny zgodności przez stronę trzecią. Załącznik III osobno wymienia między innymi segregację medyczną w nagłych przypadkach. Konkretny system może wymagać oceny obiema ścieżkami. AI Act, art. 6 i załączniki I oraz III

Czy każde AI w szpitalu wymaga certyfikatu jednostki notyfikowanej?

Nie. Najpierw trzeba ustalić, czy oprogramowanie jest wyrobem medycznym, a następnie jego klasę i procedurę oceny zgodności. Art. 52 MDR przewiduje deklarację producenta dla zwykłych wyrobów klasy I oraz inne procedury dla wyższych klas. Osobnej analizy wymagają pozostałe warunki, w tym ewentualne wyłączenie dla wyrobów wytwarzanych i używanych w placówce. MDR, art. 5 i 52

Czy ocena lekarza usuwa klasyfikację wysokiego ryzyka?

Sam udział lekarza nie znosi kwalifikacji wyrobu ani klasyfikacji wysokiego ryzyka. Wyjątek z art. 6 ust. 3 dla zastosowania z załącznika III wymaga spełnienia warunków tego przepisu. Dla AI w wyrobie medycznym nadal istotny jest odrębny test z art. 6 ust. 1. AI Act, art. 6

Czy szpital musi wykonać FRIA dla każdego medycznego systemu AI?

Art. 27 dotyczy określonych podmiotów stosujących systemy wysokiego ryzyka z załącznika III, a nie wszystkich wyrobów medycznych. Podmioty prawa publicznego i prywatne podmioty świadczące usługi publiczne powinny sprawdzić jego zakres dla każdego takiego zastosowania. DPIA na podstawie RODO może być wymagana osobno; właściwe jej fragmenty można wykorzystać w FRIA. AI Act, art. 27; RODO, art. 35

Czy użycie AI w ochronie zdrowia zawsze wymaga zgody pacjenta?

Wyraźna zgoda jest jedną z przesłanek RODO dotyczących danych zdrowotnych. Mogą mieć zastosowanie inne przesłanki z art. 9, w tym udzielanie opieki zdrowotnej przy spełnieniu wymaganych zabezpieczeń. Ustal cel przetwarzania, podstawę z art. 6 i przesłankę z art. 9. Ta ocena nie rozstrzyga odrębnych wymogów zgody na leczenie lub udział w badaniu. RODO, art. 6 i 9

Jak często przeglądać działanie AI klinicznego?

Ustal harmonogram odpowiedni do zastosowania i ryzyka, uzupełniony o przeglądy po zmianie okoliczności. Art. 83 MDR wymaga proporcjonalnego systemu nadzoru. Nie narzuca jednego panelu monitorowania w czasie rzeczywistym ani kwartalnych posiedzeń komitetu dla wszystkich wyrobów. MDR, art. 83

Czy 35 mln euro to standardowa kara za błąd zgodności AI w szpitalu?

Nie. Próg 35 mln euro lub 7% obrotu w AI Act dotyczy zakazanych praktyk z art. 5. Art. 99 ust. 4 określa inny limit dla wymienionych obowiązków, w tym art. 16 i 26. Znaczenie mają też zasady dla mniejszych przedsiębiorstw, okoliczności naruszenia oraz przepisy dotyczące podmiotów publicznych. AI Act, art. 99

Kontakt z The Thinking Company.