Část 3: Průniky aktu EU o umělé inteligenci s dalšími předpisy a praktický soulad

Napsal Vaclav Vlcek, MD

Akt o umělé inteligenci se jen zřídka použije samostatně. Zdravotnický prostředek, který do jeho působnosti spadá, již podléhá MDR nebo IVDR, často zpracovává osobní údaje, jejichž zpracování upravuje GDPR, a je-li uváděn na trh ve Spojených státech jako zdravotnický prostředek, podléhá navíc příslušnému rámci FDA.

Část 2: Základní požadavky na systémy AI ve zdravotnických prostředcích se věnovala vlastním požadavkům aktu. Tato část se věnuje tomu, kde se tyto požadavky potkávají s ostatními režimy a jak výrobce řídí jeden společný proces zajišťování souladu napříč všemi režimy.

Ve zkratce

U zdravotnického prostředku s podporou AI se akt EU o umělé inteligenci uplatňuje souběžně s příslušným sektorovým nařízením, tedy s MDR nebo IVDR, s GDPR a u globálních produktů také s rámcem FDA. Obecně řečeno upravuje GDPR zákonnost zpracování osobních údajů a související záruky pro fyzické osoby, zatímco u vysoce rizikových systémů přidává článek 10 aktu požadavky na kvalitu a správu souborů dat. Toto rozdělení není zcela ostré: GDPR samo upravuje přesnost a korektnost a článek 4a aktu poskytuje úzké zmocnění podle práva Unie pro určité zpracování související se zkreslením, které ostatní požadavky GDPR nenahrazuje. Posouzení dopadu na základní práva podle článku 27 může být vyžadováno od některých zavádějících subjektů nad rámec posouzení vlivu na ochranu osobních údajů podle GDPR, jeho rozsah je však úzký. Na výrobce tato povinnost nedopadá jen proto, že je poskytovatelem. Může se jej však týkat tam, kde je zároveň zavádějícím subjektem spadajícím do některé z kategorií podle čl. 27 odst. 1. Akt a rámec FDA sdílejí přístup založený na riziku, liší se však v otázkách základních práv, registrace a řízení změn. U systémů klasifikovaných výhradně podle čl. 6 odst. 1 se oddíly 1 až 3 kapitoly III (s výjimkou čl. 6 odst. 5) použijí od 2. srpna 2028.

Jak se akt o umělé inteligenci a GDPR prolínají

Pokud zdravotnický prostředek s podporou AI zpracovává osobní údaje, použijí se obě nařízení současně. Obecně řečeno upravuje GDPR zákonnost zpracování a záruky, které náleží fyzickým osobám; u vysoce rizikových systémů přidává článek 10 aktu požadavky na kvalitu a správu souborů dat. Rozdělení není absolutní, GDPR upravuje i přesnost a korektnost a článek 4a aktu poskytuje úzké zmocnění podle práva Unie pro určité zpracování související se zkreslením, aniž by nahrazoval ostatní požadavky GDPR, takže výrobce pracuje s oběma režimy současně, nikoli postupně.

Správa dat

Výchozím bodem je kvalita dat. Článek 10 aktu vyžaduje, aby trénovací, validační a testovací soubory dat vysoce rizikového systému byly relevantní, dostatečně reprezentativní a v maximální možné míře bez chyb a úplné, přičemž potenciální zkreslení musí být přezkoumána a případná zjištěná zkreslení vhodně zmírněna. Je-li vysoce rizikový systém AI vyvíjen bez použití technik zahrnujících trénování modelů AI, použijí se čl. 10 odst. 2 až 4 a čl. 4a odst. 1 pouze na soubory testovacích dat. GDPR přistupuje k týmž datům z jiného úhlu: podle článků 5 a 6 musí být zpracovávány zákonně a korektně a na platném právním základě podle článku 6, například na souhlasu nebo na plnění úkolu ve veřejném zájmu, který je zakotven v právu Unie či členského státu. Soubor dat tedy musí splnit dvě samostatné podmínky, než jej lze použít.

Příklad: predikce rizika diabetu pomocí AI. Zdravotnicko-technologická společnost vytváří nástroj, který predikuje riziko diabetu 2. typu z elektronických zdravotních záznamů, dotazníků o životním stylu a genetických dat. Podle GDPR vyžaduje zpracování genetických údajů a údajů o zdravotním stavu právní základ podle článku 6 a zároveň některou z výjimek podle čl. 9 odst. 2; teprve poté je s nimi možné vůbec pracovat. Je-li nástroj vysoce rizikový, ptá se článek 10 aktu dále, zda jsou tato data relevantní a dostatečně reprezentativní pro daný predikční úkol a zda byla potenciální zkreslení při označování a sběru přezkoumána a případná zjištěná zkreslení vhodně zmírněna.

Údaje mohou být uchovávány v souladu s GDPR a přesto nesplňovat požadavky článku 10.

Minimalizace údajů a reprezentativnost

Zde je nutné splnit oba režimy současně a vyžaduje to pozornost. Článek 10 vyžaduje relevanci, dostatečnou reprezentativnost a kontrolní opatření proti zkreslení. Nevyžaduje maximalizaci dat a přidávání dalších proměnných samo o sobě nezmenšuje rozdíly ve výkonnosti mezi skupinami pacientů. GDPR omezuje sběr na to, co je nezbytné pro stanovený účel, a to zásadou minimalizace údajů (čl. 5 odst. 1 písm. c)). Požadavků článku 10 je proto nutné dosáhnout v souladu s minimalizací údajů, nikoli proti ní.

Příklad: predikce rizika opětovného přijetí do nemocnice. Zdravotnická společnost vytváří model predikující opětovné přijetí do 30 dnů od propuštění, trénovaný na anamnéze, ukazatelích životního stylu, socioekonomickém postavení, jazykových schopnostech a bytových podmínkách. Článek 10 se ptá, zda je tento soubor dat relevantní a dostatečně reprezentativní pro zamýšlenou populaci a zda byla potenciální zkreslení přezkoumána a případná zjištěná zkreslení zmírněna, nikoli zda je rozsáhlý. GDPR se odděleně ptá, zda je výše příjmu a bytová situace nezbytná pro stanovený účel. U každé proměnné je třeba její nezbytnost odůvodnit z hlediska obou režimů.

Praktickým řešením je zdokumentovat u každé proměnné, proč je nezbytná, nikoli pouze užitečná.

Transparentnost a práva subjektů údajů

Transparentnost prochází oběma režimy, každým z opačného konce. GDPR (články 12 až 16) dává osobě právo být informována o tom, jak jsou její údaje shromažďovány a používány, a na základě toho jednat, přičemž právo na opravu je v článku 16. Akt o umělé inteligenci (článek 13) vyžaduje, aby byl vysoce rizikový systém dostatečně transparentní, aby zavádějící subjekty mohly interpretovat jeho výstup a náležitě jej používat, a to s podporou návodu k použití, který pokrývá zamýšlený účel, výkonnost, omezení a opatření lidského dohledu.

Příklad: systém AI pro určování priority pacientů v nemocnici. Systém stanoví pořadí pacientů na urgentním příjmu podle vitálních funkcí, příznaků a anamnézy. Podle GDPR musí nemocnice poskytnout příslušné informace podle článku 13 nebo 14, s výhradou zákonných výjimek, o účelu, právním základu a době uložení a o právu na přístup a opravu. Akt o umělé inteligenci rozděluje povinnosti jinak: článek 13 ukládá poskytovateli učinit systém transparentním vůči nemocnici jako zavádějícímu subjektu, s návodem pokrývajícím výkonnost a omezení, zatímco článek 26 ukládá povinnosti při používání nemocnici, včetně pověření lidským dohledem fyzických osob, které k tomu mají nezbytnou způsobilost, odbornou přípravu a pravomoc, a používání systému podle tohoto návodu. Je třeba mít na paměti, že tento případ použití je v příloze III uveden jako třídění pacientů v krizových situacích, takže může být klasifikován podle čl. 6 odst. 2 nezávisle na kterékoli cestě podle přílohy I.

Splnění požadavků GDPR nevyčerpává požadavky aktu. Aktu jde o to, aby zavádějící subjekty dokázaly výstup interpretovat a náležitě jej použít, nikoli aby se na něj slepě spoléhaly.

Zvláštní kategorie osobních údajů

Údaje o zdravotním stavu mají v obou režimech zvláštní postavení. Podle článku 9 GDPR lze údaje o zdravotním stavu zpracovávat pouze za úzce vymezených podmínek, jako je výslovný souhlas nebo jiná použitelná podmínka podle čl. 9 odst. 2, například důvod veřejného zájmu v oblasti veřejného zdraví stanovený právem Unie či členského státu. Zda určitý signál spadá pod článek 9, závisí na tom, co vypovídá. Údaje o náladě, spánku nebo údaje z nositelných zařízení spadají do zvláštních kategorií osobních údajů tehdy, pokud vypovídají o zdravotním stavu nebo o jiné charakteristice uvedené v článku 9. Biometrické údaje do této kategorie z titulu biometrických údajů spadají pouze tehdy, jsou-li zpracovávány za účelem jedinečné identifikace osoby. Akt o umělé inteligenci přidává vlastní podmínky prostřednictvím článku 10 a vyžaduje, aby tytéž údaje byly dostatečně reprezentativní a kvalitativně zajištěné. Samostatně pak článek 4a (vložený digitálním omnibusem, který zrušil dřívější čl. 10 odst. 5) poskytuje úzké zmocnění podle práva Unie, zamýšlené jako naplnění čl. 9 odst. 2 písm. g) GDPR, pro vymezené zpracování zvláštních kategorií osobních údajů za účelem odhalování a nápravy zkreslení. Článek 4a odst. 1 se vztahuje na poskytovatele vysoce rizikových systémů. Článek 4a odst. 2 toto zmocnění za týchž podmínek a záruk rozšiřuje na poskytovatele a zavádějící subjekty jiných systémů a modelů AI a na zavádějící subjekty vysoce rizikových systémů. Tyto záruky jsou kumulativní, nikoli alternativní. Samotný čl. 4a odst. 2 nezakládá pro tyto aktéry povinnost odhalovat nebo napravovat zkreslení; poskytovatelé vysoce rizikových systémů zůstávají vázáni samostatnými povinnostmi podle čl. 10 odst. 2 písm. f) a g). Je rovněž třeba mít na paměti, že článek 4a nenahrazuje potřebu právního základu podle článku 6 GDPR ani nenahrazuje ostatní požadavky GDPR.

Příklad: posouzení rizika duševního onemocnění. Platforma digitálního zdravotnictví posuzuje riziko deprese z pacientských dotazníků, behaviorálních dat a vstupů z nositelných zařízení. Vypovídají-li tyto údaje o náladě, spánku a údaje z nositelných zařízení o zdravotním stavu, jde o údaje o zdravotním stavu podle článku 9 GDPR, takže jejich zpracování vyžaduje výslovný souhlas nebo jiný právní základ podle čl. 9 odst. 2. Je-li platforma vysoce riziková, vyžaduje článek 10 dále, aby tytéž údaje byly relevantní a dostatečně reprezentativní pro danou predikci, aby byla potenciální zkreslení přezkoumána a případná zjištěná zkreslení zmírněna a aby se na ně vztahovaly zdokumentované postupy správy dat.

Ani kvalitní soubor dat nelze použít, není-li pro jeho zpracování právní základ. Technická a organizační bezpečnostní opatření mohou zčásti spadat do systému řízení bezpečnosti informací, jemuž se věnujeme v rámci poradenství k ISO 27001; právní základ, účelové omezení, práva subjektů údajů a správa dat podle článku 10 jdou nad jeho rámec.

Posouzení dopadů

Na tentýž systém se mohou vztahovat dvě posouzení dopadů a nejsou zaměnitelná. Posouzení vlivu na ochranu osobních údajů podle GDPR (článek 35) posuzuje vliv zpracování na ochranu osobních údajů a rizika, která představuje pro práva a svobody fyzických osob. Posouzení dopadu na základní práva podle aktu o umělé inteligenci je upraveno v článku 27, dopadá na zavádějící subjekty, nikoli na poskytovatele, a jeho rozsah je úzký. Použije se pouze na systémy klasifikované podle čl. 6 odst. 2, s výjimkou bodu 2 přílohy III, a pouze tehdy, je-li zavádějícím subjektem veřejnoprávní subjekt, soukromý subjekt poskytující veřejné služby nebo subjekt zavádějící systémy pro hodnocení úvěruschopnosti nebo pro životní a zdravotní pojištění podle bodu 5 písm. b) a c) přílohy III. Na výrobce nedopadá už jen proto, že je poskytovatelem, ačkoli jej může zasáhnout tam, kde je zároveň zavádějícím subjektem spadajícím do některé z kategorií podle čl. 27 odst. 1. Nevztahuje se ani na každý vysoce rizikový systém ve veřejném sektoru. Tam, kde se použijí obě posouzení, do sebe zapadají: čl. 27 odst. 4 umožňuje, aby posouzení dopadu na základní práva odkazovalo na posouzení vlivu na ochranu osobních údajů provedené podle článku 35 GDPR nebo aby jeho příslušné části převzalo. Odpovídají však na různé otázky, protože zákonné a dobře zdokumentované zpracování ještě nezaručuje spravedlivý výsledek.

Odpovědnost

Oba režimy ukládají organizaci rozsáhlé povinnosti v oblasti odpovědnosti, dokumentace a uchovávání. Zásada odpovědnosti podle GDPR (čl. 5 odst. 2 a článek 24) činí správce odpovědným za soulad a za schopnost tento soulad doložit. Akt přenáší tutéž myšlenku do oblasti AI: poskytovatel vysoce rizikového systému provozuje zdokumentovaný systém řízení kvality (článek 17), vypracovává technickou dokumentaci (článek 11) a uchovává ji spolu s dalšími stanovenými záznamy k dispozici orgánům po dobu deseti let od uvedení systému na trh nebo do provozu (článek 18).

Jak se akt srovnává s rámcem FDA

Výrobce prodávající na oba trhy se setkává se dvěma regulatorními rámci se společným základním přístupem, ale odlišným rozsahem. Oba vycházejí z rizika a oba se zabývají transparentností, monitorováním a kvalitou.

FDA působí v paradigmatu zdravotnických prostředků; akt působí napříč odvětvími a přidává meziodvětvový rámec základních práv, který nemá u FDA přímou obdobu. Také na americké straně se situace posunula: FDA novelizovala 21 CFR část 820, přejmenovala ji na Quality Management System Regulation (QMSR; předpis FDA o systému managementu kvality) a novelizované znění nabylo účinnosti 2. února 2026. Odkazem přejímá ISO 13485:2016 a ISO 9000:2015 článek 3. Sbližování je skutečné, avšak jen částečné. V EU zůstává používání harmonizovaných norem dobrovolné a čl. 17 odst. 3 umožňuje začlenit prvky systému řízení kvality podle aktu do stávajícího systému řízení kvality podle MDR nebo IVDR, který bývá obvykle vystavěn podle EN ISO 13485, aniž by předepisoval jakoukoli konkrétní normu. Tento přechod podporujeme prostřednictvím poradenství k FDA 21 CFR 820.

Příklad: jeden soubor dokladů, dva trhy. Výrobce připravující Premarket Notification 510(k) – podání 510(k) před uvedením na trh a posouzení shody v EU může velkou část dokladů ke správě dat a k validaci výkonnosti vytvořit jednou a tam, kde je to relevantní, je použít opakovaně, s doplněními specifickými pro jednotlivé jurisdikce. U prostředku klasifikovaného podle čl. 6 odst. 1 posuzuje použitelné požadavky, včetně článků 10 a 15, oznámený subjekt oprávněný toto posouzení provádět podle čl. 43 odst. 3. Na straně FDA se uplatní příslušné zákonné a podzákonné požadavky; Good Machine Learning Practice for Medical Device Development: Guiding Principles (GMLP; zásady správné praxe strojového učení při vývoji zdravotnických prostředků) jsou nezávaznými vodítky. Predetermined Change Control Plan (PCCP; předem stanovený plán řízení změn) je mechanismus pro plánované změny, který výrobce navrhuje ve svém regulatorním podání FDA, přičemž konečné pokyny FDA ze srpna 2025 k němu stanoví doporučení, nejde tedy o součást každého podání.

Následující dvě tabulky toto srovnání shrnují.

Tabulka 1: V čem se přístupy FDA a aktu EU o umělé inteligenci shodují. Odkazy na akt o umělé inteligenci se vztahují k nařízení (EU) 2024/1689 ve znění digitálního omnibusu, nařízení (EU) 2026/1744. Několik zde citovaných ustanovení bylo novelizováno; viz poznámku k citacím níže.

Tabulka 2: V čem se přístupy FDA a aktu EU o umělé inteligenci rozcházejí. Odkazy na akt o umělé inteligenci se vztahují k nařízení (EU) 2024/1689 ve znění nařízení (EU) 2026/1744.

Praktický závěr pro globálního výrobce: oba rámce se zabývají plánovanými změnami po uvedení na trh, avšak s odlišnými rozhodnými skutečnostmi, postupy a právními důsledky. PCCP není ekvivalentem podstatné změny podle aktu.

Dva často zmiňované evropské požadavky navíc jsou užší, než se zdají. Posouzení dopadu na základní práva se vztahuje pouze na vymezené zavádějící subjekty systémů podle čl. 6 odst. 2, na výrobce nedopadá už jen proto, že je poskytovatelem, a registrace podle článku 49 se obecně nevztahuje na prostředek klasifikovaný výhradně podle čl. 6 odst. 1.

Praktická cesta k souladu

Práci lze lépe řídit, pokud se postupuje krok za krokem, a mnoho dokladů, které výrobce již vytváří pro MDR, IVDR nebo FDA, lze tam, kde je to relevantní, použít opakovaně.

1. Klasifikovat produkt a určit roli

   • Ověřit, zda jde o systém AI, a to použitím všech prvků čl. 3 bodu 1. Klíčovým rozlišujícím rysem je schopnost odvozovat nad rámec základního zpracování dat a systém musí mít rovněž určitou míru autonomie. U vysoce rizikového postavení ověřit obě podmínky čl. 6 odst. 1: že systém AI je bezpečnostní komponentou produktu, na který se vztahují právní předpisy podle přílohy I oddílu A, jako je MDR nebo IVDR, nebo je tímto produktem sám, a že u tohoto produktu je vyžadováno posouzení shody třetí stranou. Při rozhodování o tom, zda systém AI je bezpečnostní komponentou, použít čl. 6 odst. 1a a 1b (odstavec 1a vylučuje systémy používané výhradně pro vymezené funkce nesouvisející s bezpečností, odstavec 1b postavení bezpečnostní komponenty obnovuje tam, kde by selhání nebo chybné fungování ohrozilo zdraví a bezpečnost) a při rozhodování o splnění podmínky posouzení třetí stranou podle čl. 6 odst. 1 písm. b) použít čl. 6 odst. 1c. Přílohu III posoudit samostatně, protože systém může být klasifikován podle čl. 6 odst. 2 nezávisle. Poté určit, zda je společnost poskytovatelem, zavádějícím subjektem, dovozcem nebo distributorem. Pro americký trh ověřit, zda je produkt nebo softwarová funkce prostředkem, zda jde podle okolností o SaMD nebo o software v prostředku, jakou má klasifikaci u FDA a jaký postup před uvedením na trh se použije. Role určuje všechny navazující povinnosti.

2. Provést analýzu rozdílů napříč režimy

   • Porovnat stávající plnění požadavků MDR/IVDR a ISO 13485 s povinnostmi podle aktu, zejména se správou dat (článek 10), lidským dohledem (článek 14) a transparentností (článek 13). Výsledek následně porovnat s použitelnými požadavky a pokyny FDA, včetně GMLP a (je-li navrhován PCCP) pokynů FDA k PCCP, spolu s monitorováním v reálném provozu, aby jeden seznam rozdílů posloužil oběma trhům.

3. Rozšířit systém řízení kvality a technickou dokumentaci

   • Začlenit prvky týkající se AI podle článku 17 do stávajícího systému řízení kvality podle čl. 17 odst. 3 a vytvořit technickou dokumentaci podle článku 11 (architektura, zdroje dat a jejich správa, kontrolní opatření k rizikům a kybernetická bezpečnost podle článku 15) tak, aby v co největší míře společně podpořila posouzení shody v EU i podání u FDA, s doplněními specifickými pro jednotlivé jurisdikce. Podle čl. 43 odst. 3 vstupují do sektorového postupu požadavky oddílu 2 a posouzení systému řízení kvality podle článku 17.

4. Zajistit potřebnou odbornost

   • Získat lidi, kteří rozumějí vysoce rizikové AI ve zdravotnictví, a to napříč validací modelů, zmírňováním zkreslení a vypracováním posouzení vlivu na ochranu osobních údajů i posouzení dopadu na základní práva, ať už interně, nebo formou externího přezkumu.

5. Spravovat soubory dat

   • Udržovat trénovací, validační a testovací data sledovatelná a zdokumentovaná a zaznamenávat postupy předzpracování a označování i použitá kontrolní opatření kvality. Pro posouzení v EU být připraven poskytnout oznámenému subjektu plný přístup k těmto souborům dat podle bodu 4.3 přílohy VII, a to tam, kde je to relevantní, a v rozsahu omezeném na to, co je nezbytné pro jeho úkoly, s výhradou bezpečnostních záruk. Pro přezkum ze strany FDA poskytnout dokumentaci a podklady vyžadované použitelnou cestou podání a jakoukoli řádně vznesenou žádostí, nejde o všeobecnou povinnost předávat surová data. Označit veškeré osobní údaje spadající do zvláštních kategorií, uplatnit požadavky GDPR a tam, kde se pro odhalování nebo nápravu zkreslení uplatňuje článek 4a, splnit jeho kumulativní podmínky.

6. Sledovat pokyny a nadcházející termíny

   • Sledovat Evropskou komisi, úřad pro AI a vnitrostátní orgány v otázce sladění MDR a aktu a FDA v otázce GMLP, PCCP a zavádění QMSR, která nyní odkazem přejímá ISO 13485. Dva termíny je vhodné si poznamenat: Komise musí do 2. srpna 2027 přijmout akty v přenesené pravomoci podle čl. 2 odst. 13 a oznámené subjekty podle přílohy I oddílu A, na které odkazuje čl. 43 odst. 3, musejí do 28. ledna 2028 požádat o jmenování podle aktu, což je lhůta pro podání žádosti, nikoli lhůta, do níž musí být jmenování získáno.

Co z toho plyne pro výrobce

Z předchozích tří částí vyplývá jasný rámec. Zdravotnický prostředek s podporou AI je vysoce rizikový podle čl. 6 odst. 1 tam, kde jsou splněny obě podmínky, s použitím upřesnění podle čl. 6 odst. 1a až 1c. Příslušné požadavky z velké části rozšiřují již zavedené sektorové systémy a systémy řízení kvality. Akt se přitom v konkrétních bodech prolíná s MDR, GDPR a rámcem FDA a tyto požadavky lze v praxi řešit společně. K načasování: oddíly 1 až 3 kapitoly III (s výjimkou čl. 6 odst. 5) se použijí od 2. srpna 2028 na systémy klasifikované výhradně podle čl. 6 odst. 1, s výhradou článku 111. Článek 113 stanoví pro cestu podle čl. 6 odst. 2 a přílohy III datum 2. prosince 2027 a pro cestu podle čl. 6 odst. 1 a přílohy I datum 2. srpna 2028. Tam, kde se použije pouze jedna cesta, je datum jasné. Nařízení výslovně neřeší datum tam, kde se obě cesty použijí samostatně.

Formální splnění požadavků je snazší částí. Náročnější je vybudovat prostředky s podporou AI a systémy řízení kvality, které tým dokáže provozovat, průběžně aktualizovat při změnách modelu a obhájit před oznámeným subjektem.

Výrobce, který k aktu přistupuje jako k rozšíření systémů, jež již provozuje, a nikoli jako k samostatnému režimu, má k tomu lepší výchozí pozici.

QMLogic s výrobci pracuje v celé této oblasti prostřednictvím poradenství k aktu EU o umělé inteligenci pro zdravotnický software. Série začíná článkem jak se akt EU o umělé inteligenci vztahuje na zdravotnické prostředky.

Často kladené otázky

1. Znamená splnění GDPR, že soubory dat splňují i požadavky aktu o umělé inteligenci?

   • Nikoli. Obecně řečeno upravuje GDPR zákonnost zpracování a záruky náležející fyzickým osobám, zatímco článek 10 aktu přidává u vysoce rizikových systémů požadavky na kvalitu a správu souborů dat: relevantní, dostatečně reprezentativní a v maximální možné míře bez chyb a úplné, s přezkoumanými potenciálními zkresleními a vhodně zmírněnými zjištěnými zkresleními. Zpracování údajů může být v souladu s GDPR, a soubor dat přesto nemusí splňovat požadavky článku 10.

2. Je posouzení dopadu na základní práva totéž co posouzení vlivu na ochranu osobních údajů?

   • Nikoli. Posouzení vlivu na ochranu osobních údajů podle článku 35 GDPR posuzuje vliv zamýšleného zpracování na ochranu osobních údajů a rizika pro práva a svobody fyzických osob. Posouzení dopadu na základní práva podle článku 27 aktu posuzuje riziko pro základní práva. Dopadá na zavádějící subjekty uvedené v čl. 27 odst. 1, nikoli na poskytovatele z titulu jejich role poskytovatele, a pouze na vymezené kategorie těchto zavádějících subjektů: veřejnoprávní subjekty, soukromé subjekty poskytující veřejné služby a subjekty zavádějící systémy pro hodnocení úvěruschopnosti a pojištění podle bodu 5 písm. b) a c) přílohy III, u systémů klasifikovaných podle čl. 6 odst. 2 s výjimkou bodu 2 přílohy III. Tam, kde se použijí obě, umožňuje čl. 27 odst. 4 odkázat na posouzení vlivu na ochranu osobních údajů nebo převzít jeho příslušné části.

3. Je akt EU o umělé inteligenci v souladu s přístupem americké FDA?

   • Zčásti. Oba vycházejí z rizika a oba se zabývají transparentností, monitorováním a řízením kvality a od 2. února 2026 přejímá QMSR odkazem ISO 13485:2016. Sbližování je částečné: používání harmonizovaných norem zůstává v EU dobrovolné a čl. 17 odst. 3 umožňuje začlenění do stávajícího systému řízení kvality podle MDR nebo IVDR, aniž by předepisoval normu. Rozcházejí se v otázkách základních práv, registrace a způsobu řešení změn, takže globální výrobce počítá s oběma.

4. Jaký je první praktický krok k souladu s aktem o umělé inteligenci?

   • Klasifikace a role. Ověřit, zda je produkt systémem AI, a poté ověřit obě podmínky čl. 6 odst. 1: že systém AI je bezpečnostní komponentou produktu podle přílohy I oddílu A, například produktu, na který se vztahuje MDR nebo IVDR, nebo je tímto produktem sám, a že u tohoto produktu je vyžadováno posouzení shody třetí stranou. Článek 6 odst. 1a a 1b zpřesňují podmínku týkající se bezpečnostní komponenty a čl. 6 odst. 1c zpřesňuje podmínku týkající se posouzení třetí stranou. Přílohu III posoudit samostatně, protože čl. 6 odst. 2 může systém klasifikovat nezávisle. Poté určit, zda je společnost poskytovatelem, nebo zavádějícím subjektem.