AI Act od 2 sierpnia. Co naprawdę obowiązuje producentów wyrobów medycznych?

AI Act dla wyrobów medycznych – analiza zgodności systemu AI w laboratorium medtech

Nowy harmonogram AI Act przesuwa wymagania dla systemów wysokiego ryzyka zintegrowanych z regulowanymi produktami do 2 sierpnia 2028 r. Fot. Grafika wygenerowana przez AI.

OOd 2 sierpnia 2026 r. dostawcy i podmioty stosujące określone systemy AI muszą przestrzegać obowiązków przejrzystości wynikających z art. 50 AI Act. Nie oznacza to jednak uruchomienia pełnego zestawu wymagań dla wszystkich systemów AI wykorzystywanych w wyrobach medycznych. Rozporządzenie (UE) 2026/1744 przesunęło stosowanie wymagań dla systemów wysokiego ryzyka objętych art. 6 ust. 1 i załącznikiem I do 2 sierpnia 2028 r. Zakres ten może obejmować system będący wyrobem medycznym lub jego elementem bezpieczeństwa, jeśli produkt wymaga oceny zgodności z udziałem strony trzeciej.

Od 2 sierpnia stosuje się obowiązki przejrzystości

Komisja Europejska poinformowała, że od 2 sierpnia 2026 r. AI Office oraz właściwe organy krajowe rozpoczynają kolejny etap wdrażania, nadzoru i egzekwowania AI Act. Od tego dnia stosuje się również obowiązki przejrzystości określone w art. 50 rozporządzenia. Przepisy te dotyczą wybranych systemów interaktywnych i generatywnych. Dostawca systemu, który prowadzi bezpośrednią interakcję z osobą, powinien zapewnić poinformowanie jej o kontakcie z AI. Obowiązek nie występuje, gdy z okoliczności i kontekstu jednoznacznie wynika, że rozmówcą jest system sztucznej inteligencji.

Art. 50 obejmuje również systemy generujące lub modyfikujące syntetyczne treści audio, obrazy, materiały wideo i tekst. Dostawcy takich rozwiązań muszą w określonych przypadkach stosować oznaczenia możliwe do odczytania maszynowego. Mają one pozwalać na wykrycie, że treść została wygenerowana lub zmodyfikowana przez AI.

Dodatkowe obowiązki dotyczą podmiotów stosujących systemy rozpoznawania emocji i kategoryzacji biometrycznej. Przepisy regulują także oznaczanie deepfake’ów oraz określonych tekstów wygenerowanych przez AI i publikowanych w celu informowania opinii publicznej. Nie oznacza to, że art. 50 automatycznie obejmuje każdy algorytm zastosowany w urządzeniu albo oprogramowaniu medycznym. Producent powinien przeanalizować konkretną funkcję, sposób komunikacji z użytkownikiem oraz rodzaj treści generowanych przez system.

Nie każde AI w wyrobie jest systemem wysokiego ryzyka

AI Act dla wyrobów medycznych nie wprowadza zasady, zgodnie z którą każdy produkt wykorzystujący sztuczną inteligencję automatycznie staje się systemem wysokiego ryzyka.

Zgodnie z art. 6 ust. 1 muszą zostać spełnione dwa warunki. Po pierwsze, system AI musi być produktem albo elementem bezpieczeństwa produktu objętego przepisami wskazanymi w załączniku I do AI Act. Załącznik ten obejmuje między innymi MDR oraz IVDR. Po drugie, dany produkt musi wymagać oceny zgodności z udziałem strony trzeciej przed wprowadzeniem do obrotu lub oddaniem do użytku. W sektorze wyrobów medycznych oznacza to najczęściej udział jednostki notyfikowanej. Dopiero łączne spełnienie obu warunków pozwala zakwalifikować system jako system wysokiego ryzyka na podstawie art. 6 ust. 1. Sam fakt wykorzystania uczenia maszynowego, analizy obrazu albo modelu predykcyjnego nie wystarcza do takiej klasyfikacji.

Oceny należy dokonać dla konkretnego produktu. Znaczenie ma jego przewidziane zastosowanie, rola algorytmu, wpływ AI na bezpieczeństwo oraz obowiązująca procedura oceny zgodności.

Wymagania dla części systemów przesunięto do 2028 roku

Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2026/1744, określane jako Digital Omnibus on AI, zostało przyjęte 8 lipca i opublikowane 24 lipca 2026 r. Akt wszedł w życie 27 lipca. Rozporządzenie zmieniło harmonogram stosowania sekcji 1, 2 i 3 rozdziału III AI Act. Są to przepisy dotyczące klasyfikacji, wymagań oraz obowiązków związanych z systemami wysokiego ryzyka.

W przypadku systemów wysokiego ryzyka wymienionych w załączniku III wymagania mają być stosowane od 2 grudnia 2027 r. Natomiast dla systemów objętych art. 6 ust. 1 i załącznikiem I termin ustalono na 2 sierpnia 2028 r. Ta druga data może dotyczyć określonych systemów będących wyrobami medycznymi, wyrobami IVD albo elementami bezpieczeństwa takich produktów. Warunkiem pozostaje jednak podleganie ocenie zgodności z udziałem strony trzeciej. Przesunięcie terminu nie obejmuje wszystkich przepisów AI Act. W szczególności nie odracza obowiązków przejrzystości z art. 50, jeśli konkretny system znajduje się w ich zakresie.

Ograniczony okres przejściowy dla wcześniejszych systemów

AI Omnibus wprowadził również ograniczony okres przejściowy dla części systemów dostępnych na rynku przed 2 sierpnia 2026 r. Dotyczy on wyłącznie obowiązku oznaczania i umożliwienia wykrywania treści generowanych lub modyfikowanych przez AI, określonego w art. 50 ust. 2. Dostawcy systemów wprowadzonych na rynek przed 2 sierpnia 2026 r. mają czas na dostosowanie ich do 2 grudnia 2026 r.

Okres ten nie obejmuje pozostałych obowiązków przejrzystości. Nie dotyczy również każdego systemu używanego przed sierpniem, lecz tylko rozwiązań objętych art. 50 ust. 2.

MDR i IVDR nadal obowiązują

Zmiana harmonogramu AI Act nie przesuwa obowiązków wynikających z MDR ani IVDR. Producent nadal odpowiada za bezpieczeństwo i działanie wyrobu oraz za zgodność produktu z właściwymi wymaganiami sektorowymi. Dotyczy to między innymi dokumentacji technicznej, zarządzania ryzykiem, oceny klinicznej lub oceny działania oraz nadzoru po wprowadzeniu produktu do obrotu. Producent powinien także kontrolować zmiany oprogramowania i ich wpływ na bezpieczeństwo wyrobu.

Jeżeli algorytm wpływa na funkcję medyczną produktu, jego działanie i ograniczenia powinny zostać odpowiednio uwzględnione w dokumentacji wyrobu. Znaczenie mają również jakość danych, możliwość odtworzenia działania systemu, cyberbezpieczeństwo oraz nadzór nad aktualizacjami.

Dodatkowy czas do 2028 r. nie oznacza więc, że można wstrzymać wszystkie działania związane z AI. Pozwala jednak lepiej zaplanować połączenie przyszłych wymagań AI Act z procesami działającymi już w ramach MDR, IVDR i systemu zarządzania jakością.

Co producenci powinni sprawdzić teraz?

Pierwszym krokiem powinno być uporządkowanie informacji o funkcjach AI stosowanych w produktach. Producent powinien wiedzieć, które elementy rozwija samodzielnie, a które pochodzą od zewnętrznych dostawców.

Następnie należy ustalić, czy system podlega obowiązkom przejrzystości z art. 50. W przypadku interfejsów konwersacyjnych znaczenie ma bezpośredni kontakt z osobą. Przy systemach generatywnych trzeba sprawdzić rodzaj tworzonych treści i zasady ich oznaczania.

Oddzielnej analizy wymaga klasyfikacja wysokiego ryzyka. Producent powinien ustalić, czy AI jest samym produktem, jego elementem bezpieczeństwa albo jedynie funkcją pomocniczą. Trzeba również sprawdzić, czy wyrób wymaga oceny zgodności z udziałem jednostki notyfikowanej.

W przypadku korzystania z zewnętrznego modelu zasadne jest uporządkowanie odpowiedzialności w łańcuchu dostaw. Umowy powinny pozwalać na uzyskanie informacji potrzebnych do oceny zmian modelu, jego wersji oraz wpływu aktualizacji na gotowy wyrób.

Nowy harmonogram aktualizuje wcześniejsze założenia

W styczniu opisywaliśmy pierwotny harmonogram wdrażania AI Act i przygotowania producentów wyrobów medycznych do terminu 2 sierpnia 2026 r. Od tego czasu unijny ustawodawca zmienił daty stosowania wymagań dla systemów wysokiego ryzyka.

Obecny materiał aktualizuje wcześniejsze informacje na podstawie przyjętego rozporządzenia (UE) 2026/1744. Rozdziela również obowiązki przejrzystości, które stosuje się od 2 sierpnia 2026 r., od wymagań dla systemów wysokiego ryzyka przesuniętych na lata 2027 i 2028.

Więcej o wcześniejszym etapie przygotowań można przeczytać w materiale:

AI Act wchodzi w decydującą fazę: Nowe obowiązki dla producentów wyrobów medycznych od sierpnia 2026 roku.

Więcej czasu nie oznacza braku obowiązków

Najważniejszą zmianą dla producentów jest rozdzielenie kilku terminów. Od 2 sierpnia 2026 r. stosuje się art. 50 AI Act. Natomiast wymagania dla systemów wysokiego ryzyka objętych art. 6 ust. 1 i załącznikiem I mają być stosowane od 2 sierpnia 2028 r.

Oznacza to, że ocena każdego produktu musi uwzględniać jego konkretną funkcję i status. Nie można przyjąć ani że każdy wyrób wykorzystujący AI jest systemem wysokiego ryzyka, ani że wszystkie obowiązki zostały przesunięte o dwa lata.

Dla producentów najbezpieczniejszym rozwiązaniem jest przygotowanie jednej mapy zgodności. Powinna ona łączyć wymagania MDR lub IVDR z właściwymi obowiązkami AI Act oraz wskazywać, które terminy dotyczą konkretnego produktu.