Закон ЄС про ШІ та ШІ в охороні здоров'я: пояснення

Коротка відповідь: AI Act (Регламент (ЄС) 2024/1689) регулює системи штучного інтелекту за рівнем ризику. Для сфери охорони здоров'я важливі три ситуації. Система ШІ, яка є медичним виробом або його компонентом безпеки, що потребує оцінки відповідності третьою стороною згідно з MDR або IVDR, вважається високоризиковою (Додаток I): вона повинна відповідати вимогам Акту щодо управління ризиками, даних, документації, журналювання, прозорості, людського нагляду, точності та кібербезпеки, оцінюючись разом з оцінкою відповідності виробу. ШІ, що використовується для екстреної тріажу або для прийняття рішень щодо доступу до медичних послуг, є високоризиковим згідно з Додатком III, навіть поза межами законодавства про медичні вироби. Асистенти та чат-боти, які не є високоризиковими, все одно несуть обов'язки щодо прозорості (люди повинні знати, що спілкуються зі ШІ; згенерований контент позначається). Акт набув чинності 1 серпня 2024 року, а зобов'язання впроваджуватимуться поетапно до 2027 року; Комісія запропонувала наприкінці 2025 року скоригувати деякі терміни, тому перевіряйте актуальний стан.

Піраміда ризиків

Закон ЄС про ШІ класифікує системи ШІ за рівнями: заборонені практики, заборонені з лютого 2025 року; системи високого ризику згідно з Додатком I (ШІ в медичних виробах, що потребують уповноваженого органу) та Додатком III (екстрена сортування, доступ до медичних послуг); системи обмеженого ризику з обов'язками щодо прозорості, такі як медичні чат-боти; інструменти мінімального ризику без конкретних зобов'язань; та загальні моделі ШІ з обов'язками для постачальників.

Рівень	Приклади в охороні здоров'я	Наслідок
Заборонено (ст. 5)	Маніпулятивні техніки, що використовують вразливості, нецільовий скрейпінг для розпізнавання облич, розпізнавання емоцій на роботі чи в школі (з винятками для медичних цілей та безпеки)	Заборонено з 2 лютого 2025 року
Високий ризик, Додаток I	ШІ в медичному виробі або IVD, що потребує нотифікованого органу (більшість програмного забезпечення класу IIa і вище): ШІ для обробки зображень, підтримка прийняття рішень, калькулятори дозування	Повні вимоги до високоризикових систем, оцінюються в рамках оцінки відповідності MDR/IVDR
Високий ризик, Додаток III	Системи екстрених викликів та тріажу пацієнтів; ШІ, що оцінює право на отримання державних пільг та послуг у сфері охорони здоров'я; біометрична категоризація; рішення щодо працевлаштування медичних працівників	Повні вимоги до високоризикових систем, самооцінка або нотифікований орган згідно з правилами Додатку III, реєстрація в базі даних ЄС
Обмежений ризик (прозорість, ст. 50)	Медичні чат-боти та асистенти, текст або зображення, згенеровані ШІ, щодо здоров'я, контент типу "діпфейк"	Розкриття взаємодії зі ШІ; позначення згенерованого контенту; людський нагляд, де це доречно
Мінімальний ризик	Спам-фільтри, оптимізація розкладу, адміністративні інструменти	Жодних специфічних зобов'язань; добровільні кодекси
Загальні моделі ШІ (Розділ V)	Фундаментальні моделі, що використовуються в продуктах для охорони здоров'я	Зобов'язання постачальника: технічна документація, політика щодо авторських прав, резюме навчання; додаткові обов'язки для моделей із системним ризиком

Медичний додаток, який не є виробом і не підпадає під Додаток III (наприклад, записник з функцією ШІ-резюме, щоденник симптомів з інтерфейсом розмови), належить до обмеженого рівня: прозорість та загальний обов'язок щодо обізнаності персоналу з ШІ (ст. 4), а також усе, що вже вимагає GDPR. Якщо той самий додаток додає функцію, що інформує про діагностику чи лікування, він стає медичним виробом згідно з MDR і, якщо залучено нотифікований орган, високоризиковим згідно з AI Act; див. Програмне забезпечення як медичний виріб.

Що вимагає високий ризик (Розділ III, Розділ 2)

Система ШІ високого ризику згідно із Законом ЄС про ШІ вимагає системи управління ризиками, управління даними для навчальних та тестових даних, технічної документації та журналювання, прозорості для розгортачів, людського нагляду за дизайном, точності, надійності та кібербезпеки, системи управління якістю, оцінки відповідності з маркуванням CE, моніторингу після виходу на ринок та звітності про інциденти, а також реєстрації в базі даних ЄС для систем з Додатку III.

Система управління ризиками протягом життєвого циклу (ст. 9), інтегрована з ISO 14971 для медичних виробів.
Управління даними (ст. 10): дані для навчання, валідації та тестування мають бути релевантними, репрезентативними, перевіреними на упередженість, з документованим походженням; обробка спеціальних категорій даних для виправлення упередженості дозволена за певних умов.
Технічна документація (ст. 11, Додаток IV) та ведення записів / журналювання (ст. 12) для відстежуваності.
Прозорість та інструкції для розгортачів (ст. 13).
Людський нагляд за дизайном (ст. 14): можливість розуміти, скасовувати та зупиняти.
Точність, надійність та кібербезпека (ст. 15) із заявленими метриками.
Система управління якістю (ст. 17), яка для медичних виробів є розширеною системою ISO 13485.
Оцінка відповідності, маркування CE та декларація відповідності ЄС, що охоплюють обидва регламенти; реєстрація в базі даних ЄС для систем з Додатку III.
Постринковий моніторинг та звітування про серйозні інциденти (ст. 72–73), скоординовані з наглядом MDR.
Розгортачі (лікарні, клініки) мають власні обов'язки: використання згідно з інструкціями, людський нагляд, журнали, інформування людей, а для державних органів – оцінка впливу на фундаментальні права (ст. 27).

Перетин з MDR та IVDR

Закон ЄС про ШІ перетинається з MDR та IVDR за дизайном: для ШІ в медичних виробах, перелічених у Додатку I, вимоги Закону оцінюються як частина оцінки відповідності виробу тим самим уповноваженим органом, з єдиним набором документації та однією системою якості. Гармонізовані стандарти від CEN-CENELEC JTC 21 надаватимуть презумпцію відповідності після публікації.

Акт був розроблений для уникнення другого паралельного процесу: для виробів з Додатку I вимоги до ШІ оцінюються як частина оцінки відповідності MDR/IVDR тим самим нотифікованим органом, який також повинен бути акредитований для AI Act; документація може бути єдиним комплектом; система якості – одна. Гармонізовані стандарти (щодо ризиків ШІ, якості даних, надійності) розробляються CEN-CENELEC JTC 21 і надаватимуть презумпцію відповідності; до їх появи виробники використовують ISO/IEC 42001, ISO/IEC 23894 та стандарти для медичних виробів. Очікується, що Координаційна група з медичних виробів та Рада з питань ШІ опублікують спільні рекомендації; взаємодія постринкового моніторингу та звітування про інциденти – це сфера, на яку варто звернути увагу.

Хронологія

Закон ЄС про ШІ набув чинності 1 серпня 2024 року. Заборони та обов'язки щодо грамотності в галузі ШІ застосовуються з 2 лютого 2025 року, зобов'язання щодо загальних моделей – з 2 серпня 2025 року, більшість Закону, включаючи системи високого ризику з Додатку III – з 2 серпня 2026 року, а системи високого ризику з Додатку I, такі як ШІ в медичних виробах – з 2 серпня 2027 року, з урахуванням запропонованих коригувань.

1 серпня 2024 року: набуття чинності.
2 лютого 2025 року: застосовуються заборони та зобов'язання щодо обізнаності з ШІ.
2 серпня 2025 року: зобов'язання щодо загальних моделей ШІ; управління (Офіс ШІ, повідомлення органів); штрафи.
2 серпня 2026 року: застосовується більша частина Акту, включаючи високоризикові системи з Додатку III та зобов'язання щодо прозорості.
2 серпня 2027 року: високоризикові системи з Додатку I (ШІ в регульованих продуктах, таких як медичні вироби) та загальні моделі, розміщені на ринку до серпня 2025 року.

У листопаді 2025 року Комісія запропонувала в рамках "цифрового омнібусу" прив'язати застосування правил щодо високого ризику до наявності стандартів та інструментів підтримки, що може змінити дати 2026 та 2027 років; пропозиція перебувала на стадії переговорів на момент написання. Розглядайте наведені дати як чинне законодавство та слідкуйте за Офіційним вісником щодо змін.

Що повинна зробити команда медичного додатка зараз

Практичні кроки для команди медичних додатків згідно із Законом ЄС про ШІ: класифікувати кожну функцію ШІ як пристрій, Додаток III або рівень прозорості; розкривати взаємодію з ШІ та позначати згенерований контент; документувати навчальні дані та оцінку за підгрупами; зберігати контроль людини, надаючи результати як чернетки; отримувати документацію від постачальника загальної моделі; та паралельно проводити роботу з GDPR.

Класифікуйте кожну функцію ШІ: медичний виріб чи ні (Чи є медичний додаток медичним виробом?); Додаток III чи ні; інакше – рівень прозорості.
Розкривайте взаємодію зі ШІ та позначайте згенерований контент зараз; це нічого не коштує і буде вимагатися.
Документуйте дані та оцінку: звідки взялися дані для навчання та тестування, як вимірювалася продуктивність за підгрупами; це основа статей 10 та 15, а також гарної інженерії (ШІ на медичних даних: карта).
Тримайте людей під контролем: виходи як чернетки та пропозиції, ніколи не автоматично підтверджені клінічні факти; журнали того, що виробив ШІ, і хто це прийняв.
Перевірте постачальника моделі: постачальники загальних моделей повинні надавати документацію, яка вам знадобиться для вашого файлу.
Виконайте роботу з GDPR (стаття 22 щодо автоматизованих рішень, DPIA) паралельно; AI Act не замінює його (Стаття 9 GDPR).

В Anpheros

Функції ШІ Anpheros повторюють та локалізують інформацію, що міститься в записі особи, і розкриваються як ШІ; вони не діагностують і не рекомендують лікування, тому продукт не є медичним виробом і належить до рівня прозорості Акту. Використання моделі документується, виходи мають походження, і ніщо, що виробляє асистент, не стає клінічним фактом у записі без підтвердження людиною.

Ця сторінка пояснює регулювання для команд продуктів та інженерів. Це не юридична консультація; тексти, посилання на які наведено в розділі "Джерела", є авторитетними. Останній перегляд: жовтень 2026 року.

Пов'язані сторінки

Джерела

Поширені запитання

Чи кожен медичний виріб зі ШІ є високоризиковим згідно з AI Act?

Тільки ті, що проходять оцінку відповідності третьою стороною згідно з MDR або IVDR, що стосується більшості програмного забезпечення класу IIa і вище. Виріб класу I зі ШІ, який сертифікується самостійно, не є високоризиковим згідно з Додатком I, але все одно підпадає під загальні зобов'язання та зобов'язання щодо прозорості Акту.

Чи застосовується AI Act до американської компанії?

Так, коли її система ШІ розміщується на ринку ЄС або її вихідні дані використовуються в ЄС, так само як застосовуються MDR та GDPR. Постачальники за межами ЄС призначають уповноваженого представника для високоризикових систем.

Чи потрібен мені другий знак CE для ШІ?

Ні. Для виробів з Додатку I одна оцінка відповідності охоплює обидва регламенти, і один знак CE та декларація відповідності посилаються на обидва. Документація повинна охоплювати вимоги AI Act.

Що змінюється для медичного чат-бота?

Прозорість: користувачі повинні бути повідомлені, що вони взаємодіють зі ШІ, згенерований контент повинен бути позначений, а персонал потребує обізнаності з ШІ. Якщо чат-бот надає індивідуальні діагностичні або лікувальні поради, він стає медичним виробом, і картина повністю змінюється.

Anpheros Platform

Спробуйте безкоштовно в пісочниці

Перший запит FHIR за 5 хвилин. API стандарту HL7 FHIR R4 з вбудованою згодою пацієнта: спробуйте в пісочниці, а потім підключіть власну програму чи клінічну систему.

Створити безкоштовну пісочницю Читати посібники для розробників →

Безкоштовно · 30 синтетичних пацієнтів · без картки

Цей посібник призначений для інформаційних цілей і не замінює медичну консультацію. Для прийняття рішень щодо вашого здоров'я зверніться до лікаря. У надзвичайній ситуації телефонуйте на місцевий номер екстреної допомоги (112 у Європі).

Написано

Команда Anpheros

Anpheros створює медичну карту, яку пацієнт контролює та може ділитися з будь-якою клінікою, на платформі HL7 FHIR R4, розташованій в ЄС. Ці посібники допоможуть вам зрозуміти та організувати своє здоров'я; вони не замінюють вашого лікаря.

Про Anpheros →