AI Act wszedł w życie i zmienia zasady gry dla każdej placówki medycznej w UE. Jeśli lekarz wkleja transkrypcję wizyty do darmowego ChatGPT — placówka już dziś łamie kilka warstw przepisów naraz. Wyjaśniamy, co dokładnie mówi AI Act o wykorzystaniu sztucznej inteligencji w medycynie, jakie ryzyka biorą na siebie szpitale i gabinety oraz dlaczego warto korzystać wyłącznie ze sprawdzonych, dedykowanych narzędzi.
maksymalna kara z AI Act za naruszenia dot. systemów wysokiego ryzyka
maksymalna kara z RODO za nielegalne przetwarzanie danych medycznych
globalnego rocznego obrotu — alternatywny próg kary z AI Act
minimalny okres przechowywania logów systemu AI wysokiego ryzyka
Czym jest AI Act i dlaczego dotyczy każdej placówki medycznej
AI Act (rozporządzenie 2024/1689) to pierwsze na świecie kompleksowe prawo regulujące sztuczną inteligencję. Wprowadza podejście oparte na ryzyku — im większy wpływ systemu AI na zdrowie, prawa i bezpieczeństwo ludzi, tym ostrzejsze obowiązki. Ochrona zdrowia trafiła w sam środek kategorii systemów wysokiego ryzyka.
Co istotne — AI Act nie reguluje wyłącznie producentów modeli. Obejmuje też tzw. podmioty stosujące (deployers), czyli każdą placówkę, która wykorzystuje system AI w swojej działalności. Szpital, przychodnia czy prywatny gabinet, w którym lekarz używa AI do dokumentacji lub wsparcia decyzji klinicznych, staje się stroną odpowiedzialną wobec organów nadzoru.
Kiedy AI staje się „systemem wysokiego ryzyka”
AI Act w załączniku III oraz w powiązaniu z dyrektywą o wyrobach medycznych (MDR) jasno wskazuje, że systemy AI używane do:
- wspierania diagnozy i triażu,
- analizy danych o stanie zdrowia pacjenta,
- generowania dokumentacji medycznej,
- oceny ryzyka klinicznego lub priorytetyzacji świadczeń,
- monitorowania parametrów życiowych,
— są traktowane jak systemy wysokiego ryzyka. Nie ma znaczenia, czy lekarz „tylko skopiował fragment rozmowy do ChatGPT”. Liczy się cel przetwarzania i kontekst medyczny.
Obowiązki placówki, która używa AI w medycynie
Podmiot stosujący system AI wysokiego ryzyka musi spełnić zestaw twardych obowiązków wynikających z art. 26 AI Act. Najważniejsze to:
- Nadzór człowieka — wyznaczona, wykwalifikowana osoba kontrolująca działanie systemu.
- Przechowywanie logów przez co najmniej 6 miesięcy, w sposób umożliwiający audyt.
- Informowanie pacjentów, że w procesie diagnostyczno-terapeutycznym wykorzystano AI.
- Ocena wpływu na prawa podstawowe (FRIA) dla podmiotów publicznych i wybranych prywatnych.
- Korzystanie wyłącznie z systemów oznaczonych CE i wpisanych do bazy UE.
- Zgodność z instrukcją użycia dostarczoną przez dostawcę i monitorowanie incydentów.
Samodzielne zbudowanie tej warstwy wokół darmowego ChatGPT jest praktycznie niewykonalne — bo konsumencki LLM nie dostarcza ani logów, ani dokumentacji zgodności, ani umowy powierzenia, ani gwarancji, gdzie przetwarzane są dane.
AI Act nie zastępuje RODO — działa razem z nim
Wielu menedżerów placówek pyta: „skoro mamy RODO, to po co jeszcze AI Act?”. Odpowiedź jest prosta — oba reżimy obowiązują równolegle, a sankcje się sumują. Wprowadzenie transkrypcji wizyty do konsumenckiej wersji ChatGPT, Claude czy Gemini powoduje jednocześnie:
- naruszenie tajemnicy lekarskiej (art. 40 ustawy o zawodach lekarza),
- nieuprawniony transfer danych szczególnej kategorii poza EOG (art. 9 i 44 RODO),
- brak umowy powierzenia z procesorem (art. 28 RODO),
- naruszenie obowiązków z AI Act dot. systemu wysokiego ryzyka,
- w niektórych konfiguracjach — wykorzystanie danych pacjenta do trenowania modeli.
Realne kary finansowe
lub 3% obrotu — kara z AI Act za naruszenia dot. systemów wysokiego ryzyka
lub 4% obrotu — kara z RODO za nielegalne przetwarzanie danych medycznych
lub 7% obrotu — najwyższa kara z AI Act za stosowanie praktyk zakazanych
Do tego dochodzą kary cywilne (roszczenia pacjentów), odpowiedzialność zawodowa lekarzy oraz ryzyko utraty kontraktu z NFZ przy poważniejszych incydentach. Dla wielu placówek pojedyncza kara bliska maksimum oznaczałaby koniec działalności.
Dlaczego „darmowy ChatGPT do notatek” to bardzo droga oszczędność
Najczęstsza obiekcja menedżerów brzmi: „po co nam dedykowany asystent, skoro lekarze mogą wkleić transkrypcję do ChatGPT i wygenerować opis za darmo?”. Z perspektywy AI Act i RODO ta oszczędność jest pozorna z co najmniej trzech powodów.
1. Brak zgodności = ryzyko kary do 15 mln EUR
Użycie ogólnego LLM do celów medycznych natychmiast wprowadza placówkę w reżim systemu wysokiego ryzyka — bez spełnienia żadnego z wymogów AI Act. To otwarta ekspozycja na kary, kontrole i utratę uprawnień.
2. Wyciek danych medycznych i naruszenie tajemnicy lekarskiej
Wprowadzone do konsumenckiego ChatGPT dane pacjenta opuszczają EOG (najczęściej trafiają do USA), są przechowywane do 5 lat i mogą być wykorzystane do trenowania modeli. To podręcznikowy przykład naruszenia art. 9 RODO oraz tajemnicy lekarskiej.
3. Brak logów, nadzoru i dokumentacji = brak audytowalności
AI Act wymaga, by placówka potrafiła wykazać, kto, kiedy i w jaki sposób korzystał z systemu AI. ChatGPT na koncie prywatnym lekarza nie generuje takich logów. W razie kontroli — placówka nie ma czym się obronić.
„Systemy AI używane w opiece zdrowotnej powinny być projektowane i wdrażane w sposób zapewniający odpowiedni poziom przejrzystości, nadzoru człowieka i odpowiedzialności wobec pacjentów."
Konsumencki LLM vs dedykowany asystent medyczny
| Wymóg AI Act / RODO | Darmowy ChatGPT / Claude | Dedykowany asystent medyczny (np. Cora AI) |
|---|---|---|
| Lokalizacja przetwarzania danych | Najczęściej USA, poza EOG | Wyłącznie EOG, certyfikowane centra danych |
| Umowa powierzenia (DPA) | Brak lub ograniczona, nie obejmuje danych medycznych | Twarda umowa powierzenia podpisywana z placówką |
| Trenowanie modelu na danych pacjenta | Domyślnie tak (free/Plus) | Nigdy — kontraktowa gwarancja |
| Logi i audytowalność | Brak po stronie placówki | Pełne logi zdarzeń, eksport dla audytora |
| Nadzór człowieka | Niezdefiniowany | Lekarz autoryzuje każdy wpis |
| Dokumentacja zgodności AI Act | Brak | Dostarczana razem z systemem |
| Status w razie kontroli | Naruszenie wielu przepisów | Zgodność wykazywalna dokumentami |
Dlaczego warto korzystać wyłącznie ze sprawdzonych źródeł
Sztuczna inteligencja w medycynie nie jest „kolejnym narzędziem biurowym”. To technologia, która dotyka najbardziej wrażliwych danych w całej gospodarce — danych o zdrowiu człowieka. Dlatego wybór narzędzia powinien być świadomą decyzją zarządczą, opartą o weryfikowalne kryteria, a nie o przyzwyczajenie lekarza do darmowej aplikacji konsumenckiej.
Sprawdzone źródło to dostawca, który:
- jest podmiotem europejskim, podlegającym AI Act i RODO,
- przetwarza dane wyłącznie w EOG,
- podpisuje umowę powierzenia obejmującą dane o stanie zdrowia,
- nie trenuje modeli na danych pacjentów,
- dostarcza pełne logi systemowe i dokumentację zgodności,
- projektuje interfejs tak, by lekarz pozostawał decydentem (human-in-the-loop),
- publikuje politykę bezpieczeństwa i przechodzi niezależne audyty.
Jak Cora AI odpowiada na wymogi AI Act
Cora AI została zaprojektowana od podstaw jako dedykowany asystent medyczny dla rynku europejskiego. Oznacza to konkretne decyzje techniczne i prawne, które przekładają się na zgodność placówki:
- Przetwarzanie wyłącznie w EOG — żadnych transferów poza UE.
- Brak treningu modeli na danych pacjentów — gwarantowane kontraktowo.
- Twarda umowa powierzenia (DPA) obejmująca dane szczególnej kategorii.
- Pełne logi systemowe spełniające wymóg 6-miesięcznej retencji z AI Act.
- Human-in-the-loop — każdy wpis wymaga autoryzacji lekarza.
- Gotowa dokumentacja zgodności do przekazania IOD i organom nadzoru.
W praktyce oznacza to, że placówka korzystająca z Cora AI nie buduje zgodności samodzielnie — dostaje ją w pakiecie z narzędziem.
Checklista dla menedżera placówki
Zanim Twoi lekarze zaczną używać jakiegokolwiek narzędzia AI do pracy z danymi pacjentów, sprawdź:
- Czy dostawca podpisuje umowę powierzenia obejmującą dane medyczne?
- Gdzie fizycznie przetwarzane są dane — czy wyłącznie w EOG?
- Czy dane wejściowe są wykorzystywane do trenowania modeli?
- Jak długo przechowywane są transkrypcje i nagrania?
- Czy system loguje zdarzenia i czy logi są dostępne dla audytora?
- Czy istnieje dokumentacja zgodności z AI Act gotowa do przekazania?
- Czy interfejs wymusza autoryzację wpisu przez lekarza?
- Czy placówka ma wewnętrzną „Politykę AI” i wyznaczonego nadzorcę?
Jeśli na którekolwiek z tych pytań odpowiedź brzmi „nie wiem” lub „nie” — narzędzie nie powinno być używane do pracy z pacjentami.
Podsumowanie
AI Act nie jest abstrakcyjną regulacją z Brukseli. Zmienia praktykę każdego gabinetu, w którym lekarz sięga po AI do dokumentacji wizyt. Korzystanie z darmowych, konsumenckich modeli oznacza ekspozycję na kary do 15 mln EUR z AI Act, do 20 mln EUR z RODO i odpowiedzialność zawodową.
Bezpieczne korzystanie z AI w medycynie jest możliwe — pod warunkiem, że narzędzie zostało zaprojektowane z myślą o tych wymogach. Sprawdzony, dedykowany asystent medyczny zdejmuje z placówki ciężar zgodności i pozwala zespołowi skupić się na pacjencie zamiast na ryzyku prawnym.