Egészségügy és élettudományok — EU AI Act megfelelés

Az EU AI Act szerinti kötelezettségek orvostechnikai AI-rendszerek, diagnosztikai rendszerek és klinikai döntéstámogató eszközök esetében. Kiterjed az MDR/IVDR kölcsönhatására és az Annex I kettős megfelelési kötelezettségére.

Miért különösen fontos az EU AI Act az egészségügyi szektorban?

Az EU AI Act (az Európai Parlament és a Tanács (EU) 2024/1689 rendelete) a legszigorúbb megfelelési kötelezettségeket éppen azokban a területeken teremti meg, ahol az AI-hibák életveszélyes következményekkel járhatnak. Az egészségügy és az élettudományok két ilyen igény metszéspontján helyezkednek el: a rendelet strukturális besorolása az orvostechnikai AI-t magas kockázatúnak minősíti az Art. 6(1) alapján, miközben az ágazat már meglévő szabályozási sűrűsége az MDR (EU) 2017/745, az IVDR (EU) 2017/746, a GDPR Art. 9. és a Klinikai vizsgálatokról szóló rendelet (EU) 536/2014 révén rendkívüli terhet jelent.

Az egészségügyi AI-rendszerek szolgáltatói és üzemeltetői számára ez a metszéspontok nem csupán összeadódó kötelezettségeket jelent. Egymásra épülő kötelezettségsort hoz létre, amelyeket együttesen kell megtervezni, dokumentálni és nyomon követni. Egy diagnosztikai képalkotó eszközbe integrált AI-rendszernek ki kell elégítenie az MDR szerinti bejelentett szervezeti megfelelőségértékelést és egy külön, az EU AI Act szerinti megfelelőségértékelést is. Az AI-alapú triázs eszközt üzemeltető kórház az Art. 26. alapján üzemeltetővé válik, önálló kötelezettségekkel, amelyektől nem mentesíti az, hogy a szállítónak már van CE-jelölése.

A nem megfelelés tétjei ennek megfelelően magasak. A nemzeti felügyeleti hatóságok akár 30 millió euró vagy az éves globális forgalom 6%-a összegű bírságot szabhatnak ki a nem megfelelő magas kockázatú AI piacra helyezéséért. A pénzügyi szankciókon túl a piacról való kivonásra vonatkozó határozatok, a klinikai alkalmazás felfüggesztése és a kötelező korrekciós intézkedések nagymértékben megzavarhatják a betegellátást.

A kettős szabályozási pálya

Az egészségügyi AI-megfelelés meghatározó strukturális jellemzője a termékbiztonsági jog és az AI-specifikus jog egyidejű alkalmazása. Ha egy AI-rendszer az EU AI Act Annex I-ben meghatározottak szerinti orvostechnikai eszköz biztonsági összetevőjét alkotja (az Új Jogalkotási Keretre hivatkozva), az automatikusan magas kockázatúnak minősül az Art. 6(1) alapján, anélkül, hogy a kár valószínűségét vagy súlyosságát külön mérlegelni kellene. A besorolás kategorikus jellegű.

Ez azt jelenti, hogy a szervezeteknek két párhuzamos megfelelőségértékelési eljárást kell fenntartaniuk — egyet az MDR vagy az IVDR szerint, egyet az EU AI Act szerint — és a piacra helyezés előtt mindkettőre vonatkozóan igazolniuk kell a megfelelést a magas kockázatú AI-rendszerek uniós adatbázisában (EUAI DB).

Magas kockázatú AI-felhasználási esetek — orvostechnikai eszközök és egészségügyi ellátás

Diagnosztikai képalkotó AI

A radiológiában, patológiában és szemészetben alkalmazott, képelemzéssel léziókat, rendellenességeket vagy betegségállapotokat azonosító, osztályozó vagy jellemző AI-rendszerek klinikailag releváns konfigurációk szinte mindegyikében az MDR szerinti IIa. vagy magasabb osztályú orvostechnikai eszközök biztonsági összetevőjének minősülnek. Ezért magas kockázatúak az Art. 6(1) alapján, és meg kell felelniük az EU AI Act III. fejezet 2. szakaszának, amely kiterjed az adatirányításra (Art. 10), a műszaki dokumentációra (Art. 11, Annex IV), az automatikus naplózásra (Art. 12), az átláthatóságra (Art. 13), az emberi felügyeletre (Art. 14), valamint a pontosságra, robusztusságra és kiberbiztonságra (Art. 15).

Klinikai döntéstámogató rendszerek

A klinikai döntéstámogató (CDS) eszközök funkcionális szerepüktől függően széles kockázati spektrumon helyezkednek el. A kritikus szabályozási különbség az, hogy a rendszer helyettesíti-e vagy csupán segíti a klinikai ítélőképességet:

• Autonóm vagy közel autonóm kimenet: Az a CDS-rendszer, amely gyógyszerfelírási javaslatot generál, meghatározza a beteg gyógyszerdózisát, vagy sürgős beavatkozást igénylőnek minősít egy beteget anélkül, hogy az orvos a kimenet alkalmazása előtt felülvizsgálná, valószínűleg magas kockázatúnak minősül az Annex III alapján, és orvostechnikai eszköznek tekinthető az MDR szerint.
• Orvosi felülvizsgálatra szánt szűrt kimenet: Az a CDS-rendszer, amely rangsorolt differenciáldiagnózisokat mutat be, vagy laboratóriumi eredményeket jelöl rendellenesnek, ahol képzett orvos minden javaslatot felülvizsgál és jóváhagy, mielőtt az befolyásolná a betegkezelést, esetleg nem minősül magas kockázatúnak — feltéve, hogy más Annex III-kritériumokat sem teljesít.

Ezt a különbséget az AI-rendszer rendeltetésnyilatkozatában kell dokumentálni, amely mind az AI Act műszaki dokumentációjának, mind az MDR műszaki dossziénak részét képezi.

Betegek triázs-prioritizálása sürgősségi ellátásban

Azok az AI-rendszerek, amelyek meghatározzák a sürgősségi betegek ellátásának sorrendjét — beleértve a szepszis-előrejelző modelleket és az eszkaláción alapuló ICU-monitorozó rendszereket —, időnyomás és klinikai összetettség mellett működnek, ami az Art. 14. szerinti emberi felügyeletet különösen igényessé teszi. Az üzemeltető szervezeteknek biztosítaniuk kell, hogy a felügyeleti mechanizmus valóban hatékony legyen: a felügyeleti felelősséggel megbízott orvosnak rendelkeznie kell a szükséges szakmai ismeretekkel, hozzáféréssel az AI következtetéséhez, és elegendő idővel a munkafolyamatban ahhoz, hogy beavatkozhasson, mielőtt a rendszer kimenete befolyásolja a beteg állapotát.

Mentális egészséggel kapcsolatos szűrő AI

A populáció- vagy egyénszintű mentálisegészség-szűrésre használt AI-eszközök — depressziórizikó-pontszámok, öngyilkossági kockázat rétegzése, kiégés-szűrés — egyaránt érintik az AI Act magas kockázatú rendelkezéseit (ahol befolyásolják az ellátáshoz való hozzáférést vagy az erőforrás-elosztást) és a GDPR Art. 9. cikkét különösen érzékeny dimenzióban. A mentálisegészségügyi adatok egészségügyi adatnak minősülnek a GDPR szempontjából; feldolgozásuk AI-tanítás vagy következtetés céljára az Art. 9(2) szerinti jogalapot és az Art. 22. (automatizált egyéni döntéshozatal) szerinti megfelelő garanciákat igényel.

Sebészeti robotika és AI-irányított beavatkozások

Sebészeti robotrendszerekbe integrált, a beavatkozás paramétereit valós időben módosító AI-komponensek — eszközpozicionálás, haptikus visszajelzés-moduláció, szövetklasszifikáció — aktív implantálható eszközök vagy az MDR szerinti III. osztályú orvostechnikai eszközök biztonsági összetevőinek minősülnek. A megfelelőségértékelési teher ennek megfelelően a legmagasabb szintű: bejelentett szervezeti értékelés az MDR Annex IX vagy X alapján, kombinálva az EU AI Act Art. 43. szerinti megfelelőségértékeléssel. Mindkét keretrendszer szerinti forgalomba hozatal utáni felügyeleti kötelezettségeket egyetlen integrált klinikai utókövetési és teljesítményfigyelési rendszerbe kell integrálni.

Annex III, 5(a) pont — Hozzáférés az alapvető egészségügyi szolgáltatásokhoz

Az orvostechnikai eszközök útján kívül az EU AI Act Annex III, 5(a) pontja önállóan magas kockázatúnak minősíti azokat az AI-rendszereket, amelyek meghatározzák az alapvető közszolgáltatásokhoz — köztük az egészségügyi ellátáshoz — való hozzáférést. Az a rendszer, amely eldönti, hogy egy beteg jogosult-e térített kezelésre, felvehető-e transzplantációs várólistára, vagy részt vehet-e klinikai vizsgálatban, e rendelkezés alapján magas kockázatúnak minősül, akkor is, ha nincs orvostechnikai eszközbe integrálva.

Szolgáltatói és üzemeltetői kötelezettségek az egészségügyi szektorban

Szolgáltatói kötelezettségek

Azok a szervezetek, amelyek magas kockázatú egészségügyi AI-rendszert fejlesztenek, forgalomba hoznak vagy üzembe helyeznek az Art. 16. szerinti szolgáltatóként, kötelesek:

• Minőségirányítási rendszert (QMS) kialakítani és működtetni az Art. 17. alapján, amely kiterjed a tervezési kontrollelőírásokra, az ISO 14971-gyel (az MDR-hez harmonizált szabvánnyal) összhangban lévő kockázatkezelésre, valamint a forgalomba hozatal utáni felügyeleti eljárásokra.
• Az Annex IV szerinti műszaki dokumentációt elkészíteni, beleértve a rendeltetésnyilatkozatot, a kockázatkezelési dokumentációt, a tanítási adatok leírását, a validálási és tesztelési eredményeket, valamint a forgalomba hozatal utáni felügyeleti tervet.
• A rendszert a piacra helyezés előtt regisztrálni az EU adatbázisban (Art. 49).
• Gondoskodni a rendszer CE-jelöléséről és az EU-megfelelőségi nyilatkozat kiadásáról.
• EU-meghatalmazott képviselőt kijelölni, ha a szervezet az Unión kívül telepedett le.
• A műszaki dokumentációt és a naplókat a piacra helyezéstől számított 10 évig megőrizni (Art. 18).

Üzemeltetői kötelezettségek

A harmadik féltől származó magas kockázatú AI-rendszereket üzemeltetőként igénybe vevő kórházak, klinikák, gyógyszertári hálózatok és egyéb egészségügyi intézmények az Art. 26. alapján a szolgáltató megfelelőségétől független kötelezettségeket viselnek:

• A rendszert a szolgáltató használati utasításának hatályán belül kell alkalmazni — az azon kívüli alkalmazás esetleg az intézményt szolgáltatóvá minősíti át.
• Emberi felügyeleti felelősséget kell hozzárendelni olyan személyzethez, akik rendelkeznek a rendszer működésének nyomon követéséhez és szükség esetén való beavatkozáshoz szükséges kompetenciával, felhatalmazással és eszközökkel.
• Üzemeltetési naplókat kell legalább hat hónapig megőrizni, vagy hosszabb ideig, ha az alkalmazandó ágazati jogszabályok (MDR-éberségi szabályok, kórházi nyilvántartási kötelezettségek) ezt megkövetelik.
• Súlyos incidenseket vagy meghibásodásokat haladéktalanul be kell jelenteni a szolgáltatónak, és ha a betegbiztonságot is érinti, az illetékes egészségügyi hatóságoknak az MDR Art. 87. szerinti éberségi eljárások alapján.
• Az Art. 27. alapján alapvető jogokra gyakorolt hatás felmérését (FRIA) kell elvégezni, ha az AI-rendszert nagyszámú egyéni beteg sorsát érintő döntések meghozatalában vagy segítésében alkalmazzák.

Kölcsönhatás az MDR-rel, az IVDR-rel és a GDPR-ral

MDR és IVDR: a kettős megfelelőségértékelési rendszer

Az EU AI Act Art. 6(1) cikke az Annex I-gyel együtt meghatározza a biztonsági-összetevői utat. Ha egy AI-rendszer az MDR vagy az IVDR hatálya alá tartozó termék biztonsági összetevője, az EU AI Act szerinti megfelelőségértékelést be kell illeszteni a meglévő MDR/IVDR eljárásba. Az EU AI Act Art. 8(1) cikke elsőbbséget biztosít az MDR/IVDR ágazatspecifikus szabályoknak, ahol azok egyenértékű vagy szigorúbb kötelezettségeket írnak elő, de nem szünteti meg az AI Act szerinti kötelezettségeket — csupán az eljárást módosítja, nem a követelményt.

A beágyazott AI-t tartalmazó IIb. és III. osztályú orvostechnikai eszközök esetében kötelező a bejelentett szervezeti értékelés az MDR Annex IX (minőségirányítás) vagy Annex X (típusvizsgálat) alapján. Ugyanaz a bejelentett szervezet, ha az AI Act alapján is kijelölik, integrált eljárás keretében végezheti el az AI Act szerinti megfelelőségértékelést is. Az I. osztályú SaMD (szoftver orvostechnikai eszközként) esetében a gyártóknak önállóan kell megítélniük, hogy az AI-rendszer az Art. 6(1)-en kívül más jogalapból is magas kockázatúnak minősül-e az AI Act alapján.

GDPR Art. 9. és a tanítási adatok

Az AI-modellek tanításához, validálásához vagy teszteléséhez felhasznált egészségügyi adatok különleges kategóriájú adatok a GDPR Art. 9(1) értelmében. Feldolgozásuk tilos, kivéve ha az Art. 9(2) valamely eltérése alkalmazható, különösen:

• Art. 9(2)(a): az érintett kifejezett hozzájárulása
• Art. 9(2)(h): az egészségügyi diagnózishoz vagy az egészségügyi ellátás nyújtásához szükséges feldolgozás, szakmai titoktartási kötelezettség mellett
• Art. 9(2)(j): tudományos kutatás, az Art. 89. szerinti garanciák mellett

Az EU AI Act Art. 10. szerinti adatirányítási kötelezettségeket — amelyek megkövetelik az adatkészletek eredetének, gyűjtési módszereinek, reprezentativitásának és ismert korlátainak dokumentálását — az alkalmazandó GDPR-jogalappmal összhangban kell teljesíteni. A klinikai adatkészletek kifejezett hozzájárulás nélküli visszamenőleges felhasználásához kutatási eltérés szükséges, és jellemzően etikai bizottság jóváhagyása is megkövetelt a Klinikai vizsgálatokról szóló rendelet vagy az alkalmazandó nemzeti kutatási jog alapján.

Forgalomba hozatal utáni felügyelet integrálása

Mind az MDR (Art. 83, forgalomba hozatal utáni klinikai nyomon követés), mind az EU AI Act (Art. 72, forgalomba hozatal utáni felügyelet) megköveteli a valós körülmények között mért teljesítményadatok folyamatos gyűjtését és elemzését. Ahol mindkettő alkalmazandó, egyetlen integrált forgalomba hozatal utáni felügyeleti rendszer kielégítheti mindkét keretrendszert, feltéve, hogy rögzíti az egyes keretrendszerek által megkövetelt adatpontokat — beleértve az MDR klinikai bizonyítéki követelményeit és az AI Act AI-rendszer-működésre vonatkozó automatikus naplózási követelményeit.

Végrehajtó hatóságok

Európai Gyógyszerügynökség és nemzeti gyógyszerhatóságok

Az Európai Gyógyszerügynökség (EMA) az EU AI Act alapján nem rendelkezik közvetlen végrehajtási hatáskörrel a nem gyógyszeripari AI esetében, de az AI gyógyszerfejlesztésben és gyógyszerfelügyeleti alkalmazásban való felhasználásával kapcsolatos útmutatói mérvadók az élettudományi vállalatok számára. A nemzeti gyógyszerhatóságok — köztük az ANSM (Franciaország), a BfArM (Németország) és megfelelőik — MDR és IVDR szerinti piacfelügyeleti hatáskörrel rendelkeznek, és a forgalomba hozatal utáni felügyeleti megbízatásuk keretében vizsgálhatják az orvostechnikai eszközökbe integrált AI-rendszereket.

Bejelentett szervezetek

Az orvostechnikai eszközök biztonsági összetevőinek minősülő magas kockázatú AI-rendszerek esetében az MDR/IVDR és — külön vagy együttesen — az EU AI Act alapján kijelölt bejelentett szervezetek végzik a megfelelőségértékelést. Tanúsítványaik előfeltételét képezik a CE-jelölésnek. A bejelentett szervezetek felfüggeszthetik vagy visszavonhatják a tanúsítványokat, ha a forgalomba hozatal utáni felügyelet meg nem felelést tár fel.

Nemzeti AI-felügyeleti hatóságok

Az EU minden tagállama kijelölt vagy jelenleg jelöl ki nemzeti AI-felügyeleti hatóságot (az EU AI Act Art. 70. szerinti illetékes hatóságot). Az egészségügyi szektorban koordináció szükséges az AI-felügyeleti hatóság és a nemzeti gyógyszerhatóság között, ahol hatáskörük átfedést mutat. Az AI-felügyeleti hatóság jogosult dokumentumokat bekérni, auditokat lefolytatni, korrekciós intézkedéseket elrendelni, és pénzügyi szankcióra irányuló ügyeket átutalni.

Megfelelési menetrend — Prioritások az egészségügyi AI számára

1. lépés: Besorolás és hatály meghatározása

Térképezzük fel az összes fejlesztés alatt álló vagy üzemelő AI-rendszert az Art. 6(1) (orvostechnikai eszköz biztonsági összetevője) és az Annex III, 5(a) pont (alapvető szolgáltatásokhoz való hozzáférés) alapján. Dokumentáljuk minden rendszer rendeltetési célját kellő pontossággal ahhoz, hogy az AI Act és az MDR/IVDR besorolási döntéseket egyaránt alátámaszthassa. Vonjunk be szabályozási tanácsadókat a határterületi CDS-eszközök értékeléséhez.

2. lépés: Kettős megfelelőségértékelés tervezése

Minden magas kockázatú, egyben orvostechnikai eszköznek is minősülő AI-rendszer esetében azonosítsuk az alkalmazandó MDR/IVDR megfelelőségértékelési útvonalat, és állapítsuk meg, hogy a kijelölt bejelentett szervezet az EU AI Act alapján is akkreditált-e. Ahol lehetséges, tervezzük az értékelést integrált eljárásként, hogy elkerüljük az átfedéseket.

3. lépés: Adatirányítás és GDPR-összehangolás

Vizsgáljuk meg az egészségügyi AI-rendszerek tanítási és validálási adatkészleteit. Dokumentáljuk a modell fejlesztéséhez felhasznált valamennyi egészségügyi adat GDPR Art. 9(2) szerinti jogalapját. Alakítsuk ki az EU AI Act Art. 10. szerinti adatirányítási eljárásokat, és gondoskodjunk arról, hogy ezek az Annex IV által megkövetelt műszaki dokumentációban is megjelenjenek.

4. lépés: Emberi felügyeleti protokollok

Tervezzük meg és vezessük be az Art. 14. szerinti emberi felügyeleti mechanizmusokat minden magas kockázatú AI-alkalmazáshoz. A felügyeletnek operatívan reálisnak kell lennie: képzett személyzetet, elérhető beavatkozási mechanizmusokat és munkafolyamat-integrációt igényel — nem csupán formai jelölőnégyzet-kitöltést. Időnyomásos sürgősségi helyzetekben a felügyeleti mechanizmus megtervezése különös gondosságot igényel.

5. lépés: Forgalomba hozatal utáni felügyelet integrálása

Tervezzünk olyan forgalomba hozatal utáni felügyeleti rendszert, amely kielégíti mind az MDR Annex III (PMCF), mind az EU AI Act Art. 72. követelményeit. Alakítsunk ki incidens-bejelentési eljárásokat, amelyek illeszkednek az MDR éberségi határidőkhöz (Art. 87: súlyos incidensek 15 napon belüli bejelentése) és az AI Act Art. 73. szerinti súlyos incidensek bejelentési követelményeihez.

6. lépés: Üzemeltetői átvilágítás

Az AI-alapú diagnosztikai vagy CDS-eszközöket beszerző egészségügyi intézmények kérjék a szolgáltatóktól az EU-megfelelőségi nyilatkozatot, a használati utasítást és a műszaki dokumentáció összefoglalóját. A beszerzési szerződésekben rögzítsük a naplómegőrzési kötelezettségeket, az incidens-bejelentési felelősségeket, valamint az engedélyezett felhasználási kör határait, hogy elkerüljük az akaratlan szolgáltatóvá minősítést.