Terveydenhuolto ja biotieteet — EU:n tekoälylain mukainen vaatimustenmukaisuus

EU:n tekoälylain velvoitteet lääkinnällisten laitteiden tekoälylle, diagnostiikkajärjestelmille ja kliinisille päätöksentukijärjestelmille. Käsitellään MDR/IVDR-vuorovaikutusta ja Annex I:n mukaista kaksoisvaatimustenmukaisuutta.

Miksi EU:n tekoäylilaki on erityisen merkittävä terveydenhuollossa

EU:n tekoälylaki (asetus (EU) 2024/1689) luo vaativimmat vaatimustenmukaisuusvelvoitteet juuri aloille, joilla tekoälyvirheet voivat olla hengenvaarallisia. Terveydenhuolto ja biotieteet sijaitsevat kahden tällaisen vaatimuksen leikkauspisteessä: lain rakenteellinen luokittelu lääkinnällisten laitteiden tekoälystä suuririskiseksi Art. 6(1):n nojalla ja sektorin olemassa oleva sääntelytiheys MDR (EU) 2017/745:n, IVDR (EU) 2017/746:n, GDPR Art. 9:n ja kliinisistä lääketutkimuksista annetun asetuksen (EU) 536/2014 mukaisesti.

Terveydenhuollon tekoälyn palveluntarjoajille ja käyttöönottajille tämä leikkauspiste ei ole pelkästään kumulatiivinen. Se luo kerrostuneita velvoitekokonaisuuksia, jotka on suunniteltava, dokumentoitava ja valvottava yhdessä. Diagnostiseen kuvantamislaitteeseen integroidun tekoälyjärjestelmän on läpäistävä ilmoitetun laitoksen vaatimustenmukaisuusarviointi MDR:n nojalla ja erillinen vaatimustenmukaisuusarviointi EU:n tekoälylain nojalla. Tekoälypohjaisen triage-työkalun käyttöön ottava sairaala on käyttöönottaja Art. 26:n nojalla, ja sillä on itsenäisiä velvoitteita, joita ei voida täyttää pelkästään luottamalla toimittajan CE-merkintään.

Vaatimustenvastaisuuden seuraukset ovat vastaavasti vakavat. Kansalliset valvontaviranomaiset voivat määrätä sakkoja enintään 30 miljoonaa euroa tai 6 % globaalista vuotuisesta liikevaihdosta vaatimustenvastaisesta suuririskisestä tekoälystä markkinoille saattamisesta. Taloudellisten seuraamusten lisäksi markkinavetäytymismääräykset, kliinisen käytön keskeyttäminen ja pakolliset korjaavat toimenpiteet voivat häiritä potilashoitoa laajassa mittakaavassa.

Kaksoisregulatoriset raiteet

Terveydenhuollon tekoälyn vaatimustenmukaisuuden määrittävä rakenteellinen piirre on tuoteturvallisuuslainsäädännön ja tekoälykohtaisen lainsäädännön samanaikainen soveltaminen. Kun tekoälyjärjestelmä on turvakomponentti EU:n tekoälylain Annex I:ssä määritellyllä tavalla (viittaus uuteen lainsäädäntökehykseen), se luokitellaan automaattisesti suuririskiseksi Art. 6(1):n nojalla ilman lisäarviointia haitan todennäköisyydestä tai vakavuudesta. Luokittelu on kategorinen.

Tämä tarkoittaa, että organisaatioiden on ylläpidettävä kahta rinnakkaista vaatimustenmukaisuusarvioinnin raidetta — toinen MDR:n tai IVDR:n nojalla, toinen EU:n tekoälylain nojalla — ja osoitettava molempien mukainen vaatimustenmukaisuus suuririskisten tekoälyjärjestelmien EU:n tietokannassa (EUAI DB) ennen markkinoille saattamista.

Suuririskiset tekoälykäyttötapaukset — lääkinnälliset laitteet ja hoitopalvelut

Diagnostinen kuvantamistekoäly

Radiologiassa, patologiassa ja oftalmologiassa käytettävät tekoälyjärjestelmät, jotka analysoivat kuvia havaitakseen, luokitellakseen tai karakterisoidakseen leesioita, poikkeavuuksia tai sairaustiloja, ovat käytännöllisesti katsoen kaikissa kliinisesti merkityksellisissä konfiguraatioissa lääkinnällisten laitteiden turvakomponentteja MDR:n luokan IIa tai korkeamman mukaan. Ne ovat siten suuririskisiä Art. 6(1):n nojalla ja niiden on noudatettava EU:n tekoälylain III luvun 2 jaksoa, joka kattaa tietohallinnan (Art. 10), teknisen dokumentaation (Art. 11, Annex IV), automaattisen lokikirjauksen (Art. 12), läpinäkyvyyden (Art. 13), ihmisvalvonnan (Art. 14) sekä tarkkuuden, luotettavuuden ja kyberturvallisuuden (Art. 15).

Kliiniset päätöksentukijärjestelmät

Kliiniset päätöksentukijärjestelmät (CDS) kattavat laajan riskiskaalan riippuen niiden toiminnallisesta roolista. Ratkaiseva sääntelyllinen erottelu on se, korvataanko vai tuetaanko kliinistä harkintaa:

• Autonominen tai lähes autonominen tuloste: CDS-järjestelmä, joka tuottaa lääkemääräyssuosituksen, määrittää potilaan lääkeannoksen tai luokittelee potilaan kiireellistä toimenpidettä vaativaksi ilman, että klinikko tarkastelee tulostetta ennen sen toimeenpanoa, on todennäköisesti suuririskinen Annex III:n nojalla ja saattaa olla lääkinnällinen laite MDR:n nojalla.
• Suodatettu tuloste klinikolle tarkistettavaksi: CDS-järjestelmä, joka esittää järjestettyjä differentiaalidiagnooseja tai merkitsee laboratoriotulokset poikkeaviksi, ja jossa pätevä klinikko tarkistaa ja hyväksyy jokaisen suosituksen ennen kuin se vaikuttaa potilaan hoitoon, ei välttämättä täytä suuririskimääritelmää — edellyttäen, ettei se muista syistä täytä Annex III:n kriteerejä.

Tämä erottelu on dokumentoitava tekoälyjärjestelmän aiottua käyttötarkoitusta koskevaan lausumaan, joka on osa sekä tekoälylain teknistä dokumentaatiota että MDR:n teknistä tiedostoa.

Päivystyspotilaiden triagepriorisointi

Tekoälyjärjestelmät, jotka priorisoivat järjestyksen, jossa päivystyspotilaat saavat hoitoa — mukaan lukien sepsistä ennustavat mallit ja teho-osastojen valvontajärjestelmät, jotka käynnistävät eskalointiprotokollia — toimivat aikapaineen ja kliinisen monimutkaisuuden olosuhteissa, mikä tekee Art. 14:n mukaisesta ihmisvalvonnasta erityisen vaativaa. Käyttöönottavan organisaation on varmistettava, että valvontamekanismi on aidosti toimiva: valvontavastuun saaneella klinikolla on oltava tekninen ymmärrys, pääsy tekoälyn päättelyyn ja aikaa työnkulussa puuttua tilanteeseen ennen kuin järjestelmän tuloste vaikuttaa potilaiden hoidon tuloksiin.

Mielenterveyden seulontatekoäly

Tekoälytyökalut, joita käytetään väestön tai yksittäisten potilaiden mielenterveysongelmien seulontaan — masennusriskin pisteytykseen, itsemurhavaaran luokitteluun, loppuunpalamisen seulontaan — koskevat sekä tekoälylain suuririskisäännöksiä (silloin kun ne vaikuttavat hoitoon pääsyyn tai resurssien kohdentamiseen) että GDPR Art. 9:ää erityisen arkaluonteisessa ulottuvuudessa. Mielenterveystieto on GDPR:n tarkoittamaa terveystietoa; sen käsittely tekoälyn kouluttamiseksi tai inferenssiin edellyttää Art. 9(2):n mukaista laillista perustaa ja Art. 22:n mukaisia asianmukaisia suojatoimia (automatisoitu yksilöllinen päätöksenteko).

Kirurginen robotiikka ja tekoälyohjatut toimenpiteet

Kirurgisiin robottijärjestelmiin integroidut tekoälykomponentit, jotka mukauttavat toimenpideparametreja reaaliajassa — instrumentin asemointi, haptisen palautteen modulointi, kudosluokittelu — ovat aktiivisten implantoitavien laitteiden tai MDR:n mukaisten luokan III lääkinnällisten laitteiden turvakomponentteja. Vaatimustenmukaisuusarvioinnin vaatimustaso on vastaavasti korkein mahdollinen: ilmoitetun laitoksen arviointi MDR:n Annex IX:n tai X:n nojalla, yhdistettynä EU:n tekoälylain vaatimustenmukaisuusarviointiin Art. 43:n nojalla. Molempien kehysten mukaiset markkinoille saattamisen jälkeistä valvontaa koskevat velvoitteet on integroitava yhtenäiseen kliinisen seurannan ja suorituskyvyn seurantajärjestelmään.

Annex III, kohta 5(a) — Pääsy välttämättömiin terveydenhuoltopalveluihin

Lääkinnällisten laitteiden reitin lisäksi EU:n tekoälylain Annex III, kohta 5(a) luokittelee erikseen suuririskisiksi tekoälyjärjestelmät, joita käytetään pääsyn määrittämiseen välttämättömiin julkisiin palveluihin, terveydenhuolto mukaan lukien. Tekoälyjärjestelmä, joka määrittää, oikeutetaanko potilas korvattavaan hoitoon, sisällytetäänkö hänet elinsiirron jonotuslistalle vai onko hän oikeutettu kliiniseen lääketutkimukseen, on suuririskinen tämän säännöksen nojalla, vaikka se ei olisi integroitu lääkinnälliseen laitteeseen.

Palveluntarjoajan vs. käyttöönottajan velvoitteet terveydenhuollossa

Palveluntarjoajan velvoitteet

Organisaatioiden, jotka kehittävät, saattavat markkinoille tai ottavat käyttöön suuririskisen terveydenhuollon tekoälyjärjestelmän palveluntarjoajina Art. 16:n nojalla, on:

• Perustettava ja pantava täytäntöön laadunhallintajärjestelmä (QMS) Art. 17:n nojalla, joka kattaa suunnittelun ohjauksen, ISO 14971:n mukaisen riskienhallinnan (harmonisoitu MDR:ää varten) ja markkinoille saattamisen jälkeiset seurantamenettelyt.
• Laadittava tekninen dokumentaatio Annex IV:n nojalla, mukaan lukien aiottu käyttötarkoitus, riskienhallinta-asiakirja, koulutusdata-kuvaukset, validointi- ja testaustulokset sekä markkinoille saattamisen jälkeinen seurantasuunnitelma.
• Rekisteröitävä järjestelmä EU:n tietokantaan ennen markkinoille saattamista (Art. 49).
• Varmistettava, että järjestelmällä on CE-merkintä, ja annettava EU:n vaatimustenmukaisuusvakuutus.
• Nimettävä EU:n valtuutettu edustaja, jos toimija on sijoittautunut EU:n ulkopuolelle.
• Säilytettävä tekninen dokumentaatio ja lokit 10 vuotta markkinoille saattamisen jälkeen (Art. 18).

Käyttöönottajan velvoitteet

Sairaalat, klinikat, apteekkiverkostot ja muut terveydenhuollon laitokset, jotka toimivat kolmansien osapuolten suuririskisten tekoälyjärjestelmien käyttöönottajina, kantavat Art. 26:n mukaisia velvoitteita, jotka ovat riippumattomia palveluntarjoajan vaatimustenmukaisuudesta:

• Otettava järjestelmä käyttöön palveluntarjoajan käyttöohjeiden soveltamisalan puitteissa — käyttö tämän soveltamisalan ulkopuolella saattaa luokitella laitoksen palveluntarjoajaksi.
• Osoitettava ihmisvalvontavastuut henkilöstölle, jolla on pätevyys, toimivalta ja välineet järjestelmän toiminnan seurantaan ja siihen puuttumiseen.
• Ylläpidettävä toimintalokeja vähintään kuuden kuukauden ajan tai pidempään, jos sovellettava alakohtainen lainsäädäntö (MDR:n valvonta, sairaalan asiakirjasäilytystä koskevat lait) edellyttää sitä.
• Raportoitava vakavista poikkeamista tai toimintahäiriöistä palveluntarjoajalle viipymättä ja, jos potilasturvallisuus on vaarantunut, asianomaisille terveysviranomaisille MDR Art. 87:n mukaisten valvontamenettelyjen nojalla.
• Toteutettava perusoikeusvaikutusarvioinnit (FRIA) Art. 27:n nojalla, jos tekoälyjärjestelmää käytetään tekemään tai tukemaan yksittäisiä potilaita laajassa mittakaavassa koskevia päätöksiä.

Vuorovaikutus MDR:n, IVDR:n ja GDPR:n kanssa

MDR ja IVDR: kaksoisvaatimustenmukaisuusarviointimenettely

EU:n tekoälylain Art. 6(1), luettuna yhdessä Annex I:n kanssa, luo turvakomponenttireitin. Kun tekoälyjärjestelmä on MDR:n tai IVDR:n nojalla säännellyn tuotteen turvakomponentti, EU:n tekoälylain mukainen vaatimustenmukaisuusarviointi on integroitava olemassa olevaan MDR/IVDR-menettelyyn. EU:n tekoälylain Art. 8(1) antaa etusijan MDR/IVDR:n alakohtaisille säännöille silloin kun ne asettavat vastaavia tai tiukempia velvoitteita, mutta ei poista tekoälylain velvoitteita — se mukauttaa menettelyä, ei vaatimusta.

Luokan IIb ja luokan III lääkinnällisten laitteiden, joihin on integroitu tekoäly, osalta ilmoitetun laitoksen arviointi MDR:n Annex IX:n (laadunhallinta) tai Annex X:n (tyyppiarviointi) nojalla on pakollista. Sama ilmoitettu laitos, jos se on nimetty tekoälylain nojalla, voi suorittaa tekoälylain mukaisen vaatimustenmukaisuusarvioinnin osana integroitua menettelyä. Luokan I SaMD:n (software as medical device) osalta valmistajien on itsenäisesti arvioitava, täyttääkö tekoälyjärjestelmä suuririskimääritelmän tekoälylain nojalla muilla kuin Art. 6(1):n perusteilla.

GDPR Art. 9 ja koulutusdata

Terveystieto, jota käytetään tekoälymallien kouluttamiseen, validointiin tai testaamiseen, on GDPR Art. 9(1):n mukaista erityiseen kategoriaan kuuluvaa dataa. Käsittely on kiellettyä ilman jotakin Art. 9(2):n poikkeuksista, joista relevanteimmat ovat:

• Art. 9(2)(a): rekisteröidyn nimenomainen suostumus
• Art. 9(2)(h): käsittely, joka on tarpeen lääketieteellistä diagnoosia tai terveydenhuoltopalvelujen antamista varten, salassapitovelvollisuuden alaista
• Art. 9(2)(j): tieteellinen tutkimus, Art. 89:n suojatoimien alaista

EU:n tekoälylain Art. 10:n tietohallintavelvoitteet — jotka edellyttävät datajoukkojen alkuperän, keruumenetelmien, edustavuuden ja tunnettujen rajoitusten dokumentointia — on täytettävä sovellettavan GDPR:n oikeusperustan mukaisesti. Kliinisten datajoukkojen taannehtiva käyttö ilman nimenomaista suostumusta edellyttää tutkimuspoikkeusta ja tyypillisesti eettisen toimikunnan hyväksyntää kliinistä lääketutkimusta koskevan asetuksen tai sovellettavan kansallisen tutkimuslainsäädännön nojalla.

Markkinoille saattamisen jälkeisen valvonnan integrointi

Sekä MDR (Art. 83, markkinoille saattamisen jälkeinen kliininen seuranta) että EU:n tekoälylaki (Art. 72, markkinoille saattamisen jälkeinen seuranta) edellyttävät reaalimaailman suorituskykyä koskevan datan jatkuvaa keräämistä ja analysointia. Molempien soveltuessa yhtenäinen integroitu markkinoille saattamisen jälkeisen valvonnan järjestelmä voi täyttää molempien kehysten vaatimukset — edellyttäen, että se kerää kummankin vaatimat datapisteet, mukaan lukien MDR:n kliinistä näyttöä koskevat vaatimukset ja tekoälylain vaatimukset tekoälyjärjestelmän toiminnan automaattisesta lokikirjauksesta.

Täytäntöönpanoviranomaiset

Euroopan lääkevirasto ja kansalliset lääkevirastot

Euroopan lääkevirastolla (EMA) ei ole suoraa täytäntöönpanoroolia EU:n tekoälylain nojalla muiden kuin lääkevalmisteiksi katsottavien tekoälyjärjestelmien osalta, mutta sen ohjeistus tekoälystä lääkevalmisteiden kehittämisessä ja farmakologisessa valvonnassa on auktoritatiivinen biotieteissä toimiville yrityksille. Kansalliset lääkeviranomaiset — mukaan lukien ANSM (Ranska), BfArM (Saksa) ja niiden vastineet — käyttävät MDR:n ja IVDR:n mukaista markkinavalvontatoimivaltaa ja voivat tutkia lääkinnällisiin laitteisiin integroituja tekoälyjärjestelmiä osana markkinoille saattamisen jälkeistä valvontamandaattiaan.

Ilmoitetut laitokset

Suuririskisten tekoälyjärjestelmien, jotka ovat lääkinnällisten laitteiden turvakomponentteja, osalta ilmoitetut laitokset, jotka on nimetty MDR/IVDR:n nojalla ja erikseen tai yhdessä EU:n tekoälylain nojalla, suorittavat vaatimustenmukaisuusarviointeja. Niiden sertifikaatit ovat CE-merkinnän edellytys. Ilmoitetut laitokset voivat keskeyttää tai peruuttaa sertifikaatteja, kun markkinoille saattamisen jälkeinen valvonta paljastaa vaatimustenvastaisuuksia.

Kansalliset tekoälyn valvontaviranomaiset

Jokaisessa EU:n jäsenvaltiossa on nimetty tai nimetään kansallinen tekoälyn valvontaviranomainen (toimivaltainen viranomainen EU:n tekoälylain Art. 70:n nojalla). Terveydenhuoltosektorilla tekoälyn valvontaviranomaisen ja kansallisen lääkeviraston välinen koordinointi on pakollista toimivaltojen päällekkäisyystilanteissa. Tekoälyn valvontaviranomaisella on valtuudet pyytää asiakirjoja, suorittaa auditointeja, määrätä korjaavia toimenpiteitä ja siirtää tapauksia taloudellisten seuraamusten määräämistä varten.

Vaatimustenmukaisuuden etenemissuunnitelma — prioriteetit terveydenhuollon tekoälylle

Vaihe 1: Luokittelu ja soveltamisalan arviointi

Kartoita kaikki kehitettävät tai käytössä olevat tekoälyjärjestelmät suhteessa Art. 6(1):een (lääkinnällisen laitteen turvakomponentti) ja Annex III:n kohtaan 5(a) (pääsy välttämättömiin palveluihin). Dokumentoi kunkin järjestelmän aiottu käyttötarkoitus riittävällä tarkkuudella tukemaan sekä tekoälylain että MDR/IVDR:n luokittelupäätöksiä. Ota sääntelyneuvonantajat mukaan rajanvetotapauksena arvioitavien CDS-työkalujen arviointiin.

Vaihe 2: Kaksoisvaatimustenmukaisuusarviointisuunnittelu

Tunnista kunkin suuririskisen tekoälyjärjestelmän, joka on myös lääkinnällinen laite, sovellettava MDR/IVDR-vaatimustenmukaisuusarvioinnin reitti ja selvitä, onko nimetty ilmoitettu laitos myös akkreditoitu EU:n tekoälylain nojalla. Suunnittele vaatimustenmukaisuusarviointi integroiduksi menettelyksi aina kun mahdollista päällekkäisyyden vähentämiseksi.

Vaihe 3: Tietohallinta ja GDPR-yhteensovittaminen

Auditoi terveydenhuollon tekoälyjärjestelmien koulutus- ja validointidatajoukot. Dokumentoi GDPR Art. 9(2):n mukaiset oikeusperusteet kaiken mallinkehityksessä käytetyn terveystiedon osalta. Perusta tietohallintamenettelyt EU:n tekoälylain Art. 10:n nojalla ja varmista, että ne heijastuvat Annex IV:n edellyttämään tekniseen dokumentaatioon.

Vaihe 4: Ihmisvalvontaprotokollat

Suunnittele ja toteuta ihmisvalvontamekanismit Art. 14:n nojalla jokaiselle suuririskiselle tekoälyn käyttöönoton kohteelle. Valvonnan on oltava operatiivisesti realistista: se edellyttää koulutettua henkilöstöä, käytettävissä olevia puuttumismekanismeja ja integrointia työnkulkuun — ei muodollista rastia. Aikapainetta sisältävissä päivystystilanteissa valvontasuunnitteluun on kiinnitettävä erityistä huomiota.

Vaihe 5: Markkinoille saattamisen jälkeisen valvonnan integrointi

Suunnittele markkinoille saattamisen jälkeisen valvonnan järjestelmä, joka täyttää sekä MDR:n Annex III:n (PMCF) että EU:n tekoälylain Art. 72:n vaatimukset. Perusta poikkeamaraportoinnin menettelyt, jotka vastaavat MDR:n valvonnan aikatauluja (Art. 87: vakavat poikkeamat raportoitava 15 päivän kuluessa) ja tekoälylain mukaista vakavien poikkeamien raportointia Art. 73:n nojalla.

Vaihe 6: Käyttöönottajan huolellisuusvelvoite

Terveydenhuollon laitosten, jotka hankkivat kolmansilta osapuolilta tekoälydiagnostiikka- tai CDS-työkaluja, tulisi edellyttää palveluntarjoajilta EU:n vaatimustenmukaisuusvakuutuksen, käyttöohjeiden ja teknisen dokumentaation yhteenvedon toimittamista. Hankintasopimuksissa tulisi täsmentää lokien säilytysvelvoitteet, poikkeamaraportoinnin vastuut ja sallitun käyttöalueen rajat tahattoman palveluntarjoajaksi uudelleenluokittelun välttämiseksi.