Blog
CyberbezpieczeństwoPrzewodnik

AI Act w medycynie — co musi wiedzieć lekarz i właściciel placówki

AI Act zmienia zasady używania sztucznej inteligencji w gabinecie. Wyjaśniamy obowiązki placówki, kary do 15 mln EUR i dlaczego darmowy ChatGPT do notatek to bardzo droga oszczędność.

Autor: Zespół Cora AI6 czerwca 202611 min czytania

AI Act wszedł w życie i zmienia zasady gry dla każdej placówki medycznej w UE. Jeśli lekarz wkleja transkrypcję wizyty do darmowego ChatGPT — placówka już dziś łamie kilka warstw przepisów naraz. Wyjaśniamy, co dokładnie mówi AI Act o wykorzystaniu sztucznej inteligencji w medycynie, jakie ryzyka biorą na siebie szpitale i gabinety oraz dlaczego warto korzystać wyłącznie ze sprawdzonych, dedykowanych narzędzi.

15 mln €

maksymalna kara z AI Act za naruszenia dot. systemów wysokiego ryzyka

20 mln €

maksymalna kara z RODO za nielegalne przetwarzanie danych medycznych

3%

globalnego rocznego obrotu — alternatywny próg kary z AI Act

6 mies.

minimalny okres przechowywania logów systemu AI wysokiego ryzyka

Czym jest AI Act i dlaczego dotyczy każdej placówki medycznej

AI Act (rozporządzenie 2024/1689) to pierwsze na świecie kompleksowe prawo regulujące sztuczną inteligencję. Wprowadza podejście oparte na ryzyku — im większy wpływ systemu AI na zdrowie, prawa i bezpieczeństwo ludzi, tym ostrzejsze obowiązki. Ochrona zdrowia trafiła w sam środek kategorii systemów wysokiego ryzyka.

Co istotne — AI Act nie reguluje wyłącznie producentów modeli. Obejmuje też tzw. podmioty stosujące (deployers), czyli każdą placówkę, która wykorzystuje system AI w swojej działalności. Szpital, przychodnia czy prywatny gabinet, w którym lekarz używa AI do dokumentacji lub wsparcia decyzji klinicznych, staje się stroną odpowiedzialną wobec organów nadzoru.

Kiedy AI staje się „systemem wysokiego ryzyka”

AI Act w załączniku III oraz w powiązaniu z dyrektywą o wyrobach medycznych (MDR) jasno wskazuje, że systemy AI używane do:

  • wspierania diagnozy i triażu,
  • analizy danych o stanie zdrowia pacjenta,
  • generowania dokumentacji medycznej,
  • oceny ryzyka klinicznego lub priorytetyzacji świadczeń,
  • monitorowania parametrów życiowych,

— są traktowane jak systemy wysokiego ryzyka. Nie ma znaczenia, czy lekarz „tylko skopiował fragment rozmowy do ChatGPT”. Liczy się cel przetwarzania i kontekst medyczny.

Najczęstszy błąd interpretacyjny
„To tylko ogólny chatbot, nie wyrób medyczny”. Pod AI Act decyduje sposób użycia, nie marketing producenta. Generowanie opisów wizyt z danych pacjenta to use case medyczny — niezależnie od tego, jakim narzędziem został wykonany.

Obowiązki placówki, która używa AI w medycynie

Podmiot stosujący system AI wysokiego ryzyka musi spełnić zestaw twardych obowiązków wynikających z art. 26 AI Act. Najważniejsze to:

  1. Nadzór człowieka — wyznaczona, wykwalifikowana osoba kontrolująca działanie systemu.
  2. Przechowywanie logów przez co najmniej 6 miesięcy, w sposób umożliwiający audyt.
  3. Informowanie pacjentów, że w procesie diagnostyczno-terapeutycznym wykorzystano AI.
  4. Ocena wpływu na prawa podstawowe (FRIA) dla podmiotów publicznych i wybranych prywatnych.
  5. Korzystanie wyłącznie z systemów oznaczonych CE i wpisanych do bazy UE.
  6. Zgodność z instrukcją użycia dostarczoną przez dostawcę i monitorowanie incydentów.

Samodzielne zbudowanie tej warstwy wokół darmowego ChatGPT jest praktycznie niewykonalne — bo konsumencki LLM nie dostarcza ani logów, ani dokumentacji zgodności, ani umowy powierzenia, ani gwarancji, gdzie przetwarzane są dane.

AI Act nie zastępuje RODO — działa razem z nim

Wielu menedżerów placówek pyta: „skoro mamy RODO, to po co jeszcze AI Act?”. Odpowiedź jest prosta — oba reżimy obowiązują równolegle, a sankcje się sumują. Wprowadzenie transkrypcji wizyty do konsumenckiej wersji ChatGPT, Claude czy Gemini powoduje jednocześnie:

  • naruszenie tajemnicy lekarskiej (art. 40 ustawy o zawodach lekarza),
  • nieuprawniony transfer danych szczególnej kategorii poza EOG (art. 9 i 44 RODO),
  • brak umowy powierzenia z procesorem (art. 28 RODO),
  • naruszenie obowiązków z AI Act dot. systemu wysokiego ryzyka,
  • w niektórych konfiguracjach — wykorzystanie danych pacjenta do trenowania modeli.
Domyślne ustawienia konsumenckiego AI
W darmowych i większości standardowych wersji ChatGPT (Plus), Claude czy Gemini dane wejściowe są domyślnie używane do trenowania modeli i przechowywane przez dostawców nawet do 5 lat. To oznacza, że fragment transkrypcji rozmowy z pacjentem trafia do zbioru, do którego placówka nie ma już dostępu ani kontroli.

Realne kary finansowe

15 mln €

lub 3% obrotu — kara z AI Act za naruszenia dot. systemów wysokiego ryzyka

20 mln €

lub 4% obrotu — kara z RODO za nielegalne przetwarzanie danych medycznych

35 mln €

lub 7% obrotu — najwyższa kara z AI Act za stosowanie praktyk zakazanych

Do tego dochodzą kary cywilne (roszczenia pacjentów), odpowiedzialność zawodowa lekarzy oraz ryzyko utraty kontraktu z NFZ przy poważniejszych incydentach. Dla wielu placówek pojedyncza kara bliska maksimum oznaczałaby koniec działalności.

Dlaczego „darmowy ChatGPT do notatek” to bardzo droga oszczędność

Najczęstsza obiekcja menedżerów brzmi: „po co nam dedykowany asystent, skoro lekarze mogą wkleić transkrypcję do ChatGPT i wygenerować opis za darmo?”. Z perspektywy AI Act i RODO ta oszczędność jest pozorna z co najmniej trzech powodów.

1. Brak zgodności = ryzyko kary do 15 mln EUR

Użycie ogólnego LLM do celów medycznych natychmiast wprowadza placówkę w reżim systemu wysokiego ryzyka — bez spełnienia żadnego z wymogów AI Act. To otwarta ekspozycja na kary, kontrole i utratę uprawnień.

2. Wyciek danych medycznych i naruszenie tajemnicy lekarskiej

Wprowadzone do konsumenckiego ChatGPT dane pacjenta opuszczają EOG (najczęściej trafiają do USA), są przechowywane do 5 lat i mogą być wykorzystane do trenowania modeli. To podręcznikowy przykład naruszenia art. 9 RODO oraz tajemnicy lekarskiej.

3. Brak logów, nadzoru i dokumentacji = brak audytowalności

AI Act wymaga, by placówka potrafiła wykazać, kto, kiedy i w jaki sposób korzystał z systemu AI. ChatGPT na koncie prywatnym lekarza nie generuje takich logów. W razie kontroli — placówka nie ma czym się obronić.

Systemy AI używane w opiece zdrowotnej powinny być projektowane i wdrażane w sposób zapewniający odpowiedni poziom przejrzystości, nadzoru człowieka i odpowiedzialności wobec pacjentów."
Komentarz prawny do AI Act, motyw 58

Konsumencki LLM vs dedykowany asystent medyczny

Wymóg AI Act / RODODarmowy ChatGPT / ClaudeDedykowany asystent medyczny (np. Cora AI)
Lokalizacja przetwarzania danychNajczęściej USA, poza EOGWyłącznie EOG, certyfikowane centra danych
Umowa powierzenia (DPA)Brak lub ograniczona, nie obejmuje danych medycznychTwarda umowa powierzenia podpisywana z placówką
Trenowanie modelu na danych pacjentaDomyślnie tak (free/Plus)Nigdy — kontraktowa gwarancja
Logi i audytowalnośćBrak po stronie placówkiPełne logi zdarzeń, eksport dla audytora
Nadzór człowiekaNiezdefiniowanyLekarz autoryzuje każdy wpis
Dokumentacja zgodności AI ActBrakDostarczana razem z systemem
Status w razie kontroliNaruszenie wielu przepisówZgodność wykazywalna dokumentami

Dlaczego warto korzystać wyłącznie ze sprawdzonych źródeł

Sztuczna inteligencja w medycynie nie jest „kolejnym narzędziem biurowym”. To technologia, która dotyka najbardziej wrażliwych danych w całej gospodarce — danych o zdrowiu człowieka. Dlatego wybór narzędzia powinien być świadomą decyzją zarządczą, opartą o weryfikowalne kryteria, a nie o przyzwyczajenie lekarza do darmowej aplikacji konsumenckiej.

Sprawdzone źródło to dostawca, który:

  • jest podmiotem europejskim, podlegającym AI Act i RODO,
  • przetwarza dane wyłącznie w EOG,
  • podpisuje umowę powierzenia obejmującą dane o stanie zdrowia,
  • nie trenuje modeli na danych pacjentów,
  • dostarcza pełne logi systemowe i dokumentację zgodności,
  • projektuje interfejs tak, by lekarz pozostawał decydentem (human-in-the-loop),
  • publikuje politykę bezpieczeństwa i przechodzi niezależne audyty.
Praktyczna zasada dla menedżera placówki
Jeśli dostawca nie potrafi jednym dokumentem odpowiedzieć na pytania: gdzie są dane, kto je widzi, jak długo, kto loguje zdarzenia i czy są używane do treningu — to nie jest źródło, któremu można powierzyć dokumentację medyczną.

Jak Cora AI odpowiada na wymogi AI Act

Cora AI została zaprojektowana od podstaw jako dedykowany asystent medyczny dla rynku europejskiego. Oznacza to konkretne decyzje techniczne i prawne, które przekładają się na zgodność placówki:

  • Przetwarzanie wyłącznie w EOG — żadnych transferów poza UE.
  • Brak treningu modeli na danych pacjentów — gwarantowane kontraktowo.
  • Twarda umowa powierzenia (DPA) obejmująca dane szczególnej kategorii.
  • Pełne logi systemowe spełniające wymóg 6-miesięcznej retencji z AI Act.
  • Human-in-the-loop — każdy wpis wymaga autoryzacji lekarza.
  • Gotowa dokumentacja zgodności do przekazania IOD i organom nadzoru.

W praktyce oznacza to, że placówka korzystająca z Cora AI nie buduje zgodności samodzielnie — dostaje ją w pakiecie z narzędziem.

Checklista dla menedżera placówki

Zanim Twoi lekarze zaczną używać jakiegokolwiek narzędzia AI do pracy z danymi pacjentów, sprawdź:

  1. Czy dostawca podpisuje umowę powierzenia obejmującą dane medyczne?
  2. Gdzie fizycznie przetwarzane są dane — czy wyłącznie w EOG?
  3. Czy dane wejściowe są wykorzystywane do trenowania modeli?
  4. Jak długo przechowywane są transkrypcje i nagrania?
  5. Czy system loguje zdarzenia i czy logi są dostępne dla audytora?
  6. Czy istnieje dokumentacja zgodności z AI Act gotowa do przekazania?
  7. Czy interfejs wymusza autoryzację wpisu przez lekarza?
  8. Czy placówka ma wewnętrzną „Politykę AI” i wyznaczonego nadzorcę?

Jeśli na którekolwiek z tych pytań odpowiedź brzmi „nie wiem” lub „nie” — narzędzie nie powinno być używane do pracy z pacjentami.

Podsumowanie

AI Act nie jest abstrakcyjną regulacją z Brukseli. Zmienia praktykę każdego gabinetu, w którym lekarz sięga po AI do dokumentacji wizyt. Korzystanie z darmowych, konsumenckich modeli oznacza ekspozycję na kary do 15 mln EUR z AI Act, do 20 mln EUR z RODO i odpowiedzialność zawodową.

Bezpieczne korzystanie z AI w medycynie jest możliwe — pod warunkiem, że narzędzie zostało zaprojektowane z myślą o tych wymogach. Sprawdzony, dedykowany asystent medyczny zdejmuje z placówki ciężar zgodności i pozwala zespołowi skupić się na pacjencie zamiast na ryzyku prawnym.

FAQ — AI Act w medycynie

Czy lekarz może używać darmowego ChatGPT do tworzenia notatek z wizyty?+
Praktycznie nie. Wprowadzenie transkrypcji rozmowy z pacjentem, objawów czy rozpoznania do konsumenckiej wersji ChatGPT, Claude czy Gemini oznacza przekazanie wrażliwych danych medycznych poza EOG, najczęściej z domyślnym wykorzystaniem do trenowania modeli. To jednoczesne naruszenie RODO, tajemnicy lekarskiej i wymogów AI Act dla systemów wysokiego ryzyka.
Czy AI Act dotyczy małych przychodni i prywatnych gabinetów?+
Tak. AI Act nie zwalnia mniejszych podmiotów. Każda placówka, która wdraża system AI do wspierania diagnozy, dokumentacji medycznej lub decyzji klinicznych, staje się tzw. podmiotem stosującym (deployer) i ponosi odpowiedzialność za zgodność, nadzór człowieka, logowanie i informowanie pacjentów.
Jakie są kary za niezgodne z AI Act użycie AI w medycynie?+
AI Act przewiduje kary do 15 mln EUR lub 3% globalnego rocznego obrotu za naruszenia obowiązków dotyczących systemów wysokiego ryzyka. Równolegle obowiązują kary z RODO — do 20 mln EUR lub 4% obrotu — za nieuprawnione przetwarzanie danych o stanie zdrowia.
Czy notatka wygenerowana przez ChatGPT jest dokumentacją medyczną?+
Jeśli zostanie wklejona do dokumentacji pacjenta, to tak — staje się jej częścią i podlega tym samym wymogom: integralności, autoryzacji, przechowywania przez 20 lat oraz audytowalności. Wygenerowanie jej w narzędziu, które nie loguje zdarzeń i nie daje umowy powierzenia, oznacza dokumentację formalnie wadliwą.
Co odróżnia certyfikowanego asystenta medycznego AI od ogólnego LLM?+
Dedykowane narzędzie zawiera umowę powierzenia (DPA), przetwarza dane w EOG, nie trenuje modeli na danych pacjentów, prowadzi pełne logi, ma zaprojektowane mechanizmy nadzoru lekarza i dostarcza dokumentację zgodności wymaganą przez AI Act. Konsumencki ChatGPT żadnego z tych elementów standardowo nie zapewnia.
Czy zgoda pacjenta na nagrywanie wystarcza, by używać ChatGPT?+
Nie. Zgoda pacjenta nie sanuje braku podstawy prawnej do transferu danych poza EOG, braku DPA, braku logów i braku mechanizmów wymaganych przez AI Act dla systemów wysokiego ryzyka. Pacjent nie może też skutecznie zgodzić się na trenowanie cudzego modelu na swoich danych medycznych.
Czy lekarz może używać darmowego ChatGPT do tworzenia notatek z wizyty?+
Praktycznie nie. Wprowadzenie transkrypcji rozmowy z pacjentem, objawów czy rozpoznania do konsumenckiej wersji ChatGPT, Claude czy Gemini oznacza przekazanie wrażliwych danych medycznych poza EOG, najczęściej z domyślnym wykorzystaniem do trenowania modeli. To jednoczesne naruszenie RODO, tajemnicy lekarskiej i wymogów AI Act dla systemów wysokiego ryzyka.
Czy AI Act dotyczy małych przychodni i prywatnych gabinetów?+
Tak. AI Act nie zwalnia mniejszych podmiotów. Każda placówka, która wdraża system AI do wspierania diagnozy, dokumentacji medycznej lub decyzji klinicznych, staje się tzw. podmiotem stosującym (deployer) i ponosi odpowiedzialność za zgodność, nadzór człowieka, logowanie i informowanie pacjentów.
Jakie są kary za niezgodne z AI Act użycie AI w medycynie?+
AI Act przewiduje kary do 15 mln EUR lub 3% globalnego rocznego obrotu za naruszenia obowiązków dotyczących systemów wysokiego ryzyka. Równolegle obowiązują kary z RODO — do 20 mln EUR lub 4% obrotu — za nieuprawnione przetwarzanie danych o stanie zdrowia.
Czy notatka wygenerowana przez ChatGPT jest dokumentacją medyczną?+
Jeśli zostanie wklejona do dokumentacji pacjenta, to tak — staje się jej częścią i podlega tym samym wymogom: integralności, autoryzacji, przechowywania przez 20 lat oraz audytowalności. Wygenerowanie jej w narzędziu, które nie loguje zdarzeń i nie daje umowy powierzenia, oznacza dokumentację formalnie wadliwą.
Co odróżnia certyfikowanego asystenta medycznego AI od ogólnego LLM?+
Dedykowane narzędzie zawiera umowę powierzenia (DPA), przetwarza dane w EOG, nie trenuje modeli na danych pacjentów, prowadzi pełne logi, ma zaprojektowane mechanizmy nadzoru lekarza i dostarcza dokumentację zgodności wymaganą przez AI Act. Konsumencki ChatGPT żadnego z tych elementów standardowo nie zapewnia.
Czy zgoda pacjenta na nagrywanie wystarcza, by używać ChatGPT?+
Nie. Zgoda pacjenta nie sanuje braku podstawy prawnej do transferu danych poza EOG, braku DPA, braku logów i braku mechanizmów wymaganych przez AI Act dla systemów wysokiego ryzyka. Pacjent nie może też skutecznie zgodzić się na trenowanie cudzego modelu na swoich danych medycznych.

Powiązane artykuły