Jak se akt EU o umělé inteligenci vztahuje na zdravotnické prostředky
Napsal Vaclav Vlcek, MD
Výrobce, který ke zdravotnickému prostředku přidává novou funkci, se může vedle MDR nebo IVDR dostat do působnosti druhého nařízení, avšak pouze tam, kde tato funkce naplňuje definici systému AI podle čl. 3 bodu 1. Pokud ji naplňuje, může akt EU o umělé inteligenci přidat další povinnosti, a to podle toho, jak je systém klasifikován a jakou roli daná společnost zastává. U systémů, které jsou vysoce rizikové podle čl. 6 odst. 1, splnění těchto požadavků posuzuje oznámený subjekt v rámci odvětvového posuzování, kterým prostředek prochází již dnes, a to ode dne použitelnosti příslušných ustanovení.
Pro většinu společností je praktická otázka úzce vymezená: co akt přidává k MDR nebo IVDR a odkdy se použije. Tento úvod odpovídá na obojí a představuje tři navazující části.
Ve zkratce
Akt EU o umělé inteligenci (nařízení (EU) 2024/1689) je horizontálním rámcem EU pro umělou inteligenci a mnoho zdravotnických prostředků s podporou AI je podle něj vysoce rizikových. Článek 6 odst. 1 stanoví test se dvěma podmínkami: systém AI musí být bezpečnostní komponentou produktu, na který se vztahuje jeden z právních předpisů uvedených v příloze I, mezi nimi MDR a IVDR v oddíle A, nebo musí být tímto produktem sám, a u tohoto produktu musí být vyžadováno posouzení shody třetí stranou. U systémů klasifikovaných výhradně podle čl. 6 odst. 1 a přílohy I oddílu A se oddíly 1 až 3 kapitoly III, s výjimkou čl. 6 odst. 5, použijí od 2. srpna 2028, a to v návaznosti na digitální omnibus k AI (nařízení (EU) 2026/1744), s výhradou článku 111. Podle článku 43 tvoří použitelné požadavky aktu o umělé inteligenci součást příslušného posuzování shody podle MDR nebo IVDR, které provádí oznámený subjekt oprávněný toto posouzení provádět podle čl. 43 odst. 3.
Co je akt EU o umělé inteligenci
Dosah aktu o umělé inteligenci vyplývá z jeho právní formy. Jde o nařízení, což znamená, že se použije přímo v každém členském státě, aniž by bylo nutné nejprve přijmout vnitrostátní právní úpravu. Má rovněž stejné postavení jako MDR, IVDR a GDPR, čímž se řadí do téže roviny povinností, kterou výrobce již řeší.
Na předpis takového rozsahu prošel akt legislativním procesem rychle. Formálně jde o nařízení (EU) 2024/1689, které Evropský parlament schválil 13. března 2024, Rada přijala 21. května 2024, bylo zveřejněno v Úředním věstníku dne 12. července 2024 a v platnost vstoupilo 1. srpna 2024.
Od té doby byl akt již jednou novelizován: první novela byla přijata 27. července 2026 prostřednictvím digitálního omnibusu k AI (nařízení (EU) 2026/1744), který několik lhůt pro vysoce rizikové systémy posunul zpět. Tato novela je důvodem, proč se termíny uváděné v této sérii liší od termínů v aktu ve znění původního zveřejnění.
Jak akt působí vedle MDR a IVDR
Pro většinu výrobců je nejdůležitější tato otázka: vztahuje se akt vůbec na jejich prostředek? Článek 6 odst. 1 ve znění digitálního omnibusu na ni odpovídá testem se dvěma podmínkami, přičemž splněny musí být obě.
Za prvé, systém AI musí být určen k použití jako bezpečnostní komponenta produktu, nebo musí být tímto produktem sám, přičemž na produkt se musí vztahovat jeden z právních předpisů EU uvedených v příloze I oddíle A, mezi nimi MDR a IVDR. Za druhé, u tohoto produktu musí být podle týchž předpisů vyžadováno posouzení shody třetí stranou, s výhradou čl. 6 odst. 1c.
Společně mohou obě podmínky dopadat na systémy AI ve třídách IIa až III podle MDR a ve třídách B až D podle IVDR. Zapojení oznámeného subjektu se týká i některých prostředků nižších tříd: podle článku 52 MDR jde o prostředky třídy I uváděné na trh ve sterilním stavu, prostředky s měřicí funkcí a chirurgické nástroje pro opakované použití (Is, Im a Ir) a podle článku 48 IVDR o prostředky třídy A uváděné na trh ve sterilních podmínkách. Je třeba si všimnout, co samotná třída určuje a co ne: může splnit podmínku týkající se posouzení třetí stranou, systém AI však musí být stále buď sám regulovaným produktem, nebo jeho bezpečnostní komponentou.
Příklad: AI uvnitř diagnostického zobrazovacího nástroje třídy IIb, funkce interpretace EKG založená na AI a algoritmus pro diagnostiku in vitro ve třídě C podle IVDR mohou spadat do vysoce rizikové kategorie, pokud dotčený produkt prochází posouzením shody třetí stranou a systém AI je sám regulovaným produktem nebo jeho bezpečnostní komponentou. Samotná skutečnost, že tvoří součást produktu, nestačí. Prostředek třídy I, u něhož výrobce vydává pouze vlastní prohlášení o shodě, druhou podmínku nesplňuje a do této kategorie touto cestou nevstupuje. U prostředku třídy Is, Im nebo Ir se oznámený subjekt zapojuje, v otázkách sterility, metrologie nebo opakovaného použití, a je proto třeba rozsah tohoto zapojení ověřit, nikoli předpokládat.
Akt působí jako doplňková vrstva a režim MDR nebo IVDR pod ním zůstává plně v platnosti. Dosavadní povinnosti podle MDR nebo IVDR trvají a doplňují je použitelné povinnosti podle aktu o umělé inteligenci, které se vztahují na systém AI a příslušné provozovatele. Výrobce proto musí plnit dvě vzájemně se překrývající skupiny povinností. Tento přesah s výrobci procházíme v rámci našich služeb poradenství k souladu s EU MDR a poradenství k IVDR.
U systému podle čl. 6 odst. 1, na který se vztahují právní předpisy uvedené v příloze I oddíle A, se poskytovatel řídí příslušným postupem posuzování shody podle MDR nebo IVDR a požadavky oddílu 2 aktu o umělé inteligenci tvoří součást tohoto posuzování. Samostatný souběžný postup podle aktu o umělé inteligenci se neprovádí.
Příklad: Výrobce, který na trh uvádí nový diagnostický nástroj s AI ve třídě IIb po dni použitelnosti, nechá oznámený subjekt posoudit požadavky aktu o umělé inteligenci v rámci postupu podle MDR, takže zůstane u jediného posouzení pokrývajícího prostředek i jeho AI. Totéž platí pro dosavadní systém, u něhož po tomto dni dojde k významné změně v návrhu systému.
Odkdy se pravidla použijí
Časová působnost aktu vyvolává nejvíce nejasností, a to ze dvou důvodů: jednotlivá ustanovení se začínají používat postupně během několika let a digitální omnibus pozdější termíny následně odložil. Pro výrobce zdravotnických prostředků jsou klíčové tři body této časové osy.
Článek 113 stanoví pro cestu podle čl. 6 odst. 2 a přílohy III datum 2. prosince 2027 a pro cestu podle čl. 6 odst. 1 a přílohy I datum 2. srpna 2028. Tam, kde se použije pouze jedna cesta, je datum jasné. Nařízení výslovně neřeší datum tam, kde se obě cesty použijí samostatně. AI ve zdravotnických prostředcích bude běžně následovat cestu podle přílohy I, posouzení podle přílohy III však zůstává nezbytné.
Třetí bod oba předchozí termíny doplňuje. Některé povinnosti se nadále řídí původním harmonogramem bez ohledu na odklad. Povinnosti týkající se transparentnosti podle článku 50 se používají od 2. srpna 2026 a od tohoto dne začaly úřad pro AI a vnitrostátní orgány vymáhat použitelná pravidla. Výrobce, jehož systémy spadají do článku 50, má tedy vedle roku 2028 dřívější datum, které musí sledovat. Článek 50 odst. 2, který se týká strojově čitelného označování syntetického obsahu, se rovněž obecně používá od tohoto dne, přičemž pro systémy uvedené na trh před ním platí přechodná lhůta pro splnění do 2. prosince 2026.
Příklad: Jedna společnost může čelit všem třem datům. Pokud AI v jejím srdečním monitoru třídy IIa splňuje obě podmínky čl. 6 odst. 1 a zároveň samostatně nespadá pod čl. 6 odst. 2, příslušné povinnosti se začnou používat 2. srpna 2028. Nástroj pro screening uchazečů, který používá její personální oddělení, je systémem podle přílohy III, a pokud po použití čl. 6 odst. 3 zůstává vysoce rizikový, příslušné povinnosti se začnou používat 2. prosince 2027. A pokud společnost poskytuje chatbota na svém podpůrném webu, vztahuje se na ni povinnost navrhnout jej tak, aby informoval, podle čl. 50 odst. 1 od 2. srpna 2026, ledaže je interakce s AI zjevná z pohledu fyzické osoby, která je přiměřeně informovaná, pozorná a obezřetná. Tam, kde je chatbot produktem třetí strany, který společnost pouze zavádí, nese tuto povinnost týkající se návrhu jeho poskytovatel.
Další pravidlo se týká vysoce rizikových systémů již uvedených na trh nebo do provozu před dnem jejich použitelnosti. Podle čl. 111 odst. 2 se vysoce rizikový režim vztahuje na provozovatele takových systémů pouze tam, kde od uvedeného dne dojde k významným změnám v jejich návrhu. U systému klasifikovaného výhradně podle čl. 6 odst. 1 je tímto dnem 2. srpna 2028. Bod odůvodnění 39 objasňuje, že přechodný režim funguje na úrovni typu a modelu: pokud byla alespoň jedna jednotka v souladu s právem uvedena na trh nebo do provozu před rozhodným dnem, spadají do tohoto režimu i další jednotky téhož typu a modelu, dokud zůstává návrh nezměněn.
Dvě upozornění k tomuto pravidlu. Zákonným testem je zde formulace „významné změny v jejich návrhu“ a jde o jiný test než „podstatná změna“, která podle čl. 43 odst. 4 vyvolává nové posouzení shody, obě formulace nelze považovat za zaměnitelné. A poskytovatelé a zavádějící subjekty vysoce rizikových systémů určených k použití orgány veřejné moci mají samostatné nejzazší datum 2. srpna 2030.
Jak se výrobce může připravit
Společnosti nemusejí čekat na rok 2028. Přípravné práce mohou začít nyní a jsou stejné bez ohledu na to, o kterou lhůtu jde. Většina z nich navazuje na procesy, které výrobce podle ISO 13485 již provozuje. Tuto oblast pokrývá sedm kroků:
Ověřit, zda se akt použije a v jaké roli
Určit, zda produkt naplňuje definici systému AI, zda je vysoce rizikový a zda společnost působí jako poskytovatel, zavádějící subjekt, dovozce nebo distributor. Role určuje povinnosti.
Provést analýzu rozdílů vůči požadavkům MDR nebo IVDR
Některé povinnosti podle těchto nařízení již existují, například systém řízení kvality, řízení rizik a technická dokumentace. Jiné jsou pro odvětví nové, například správa dat a lidský dohled. Kde jsou rozdíly, ukáže srovnání na úrovni jednotlivých ustanovení.
Aktualizovat systém řízení kvality a dokumentaci
Revidovat systém řízení kvality a technickou dokumentaci tak, aby pokrývaly požadavky specifické pro AI, a začlenit opatření aktu k monitorování po uvedení na trh do systému sledování po uvedení na trh podle MDR nebo IVDR.
Ověřit, že jsou k dispozici potřební odborníci
Může být nutné odborníky na AI, data a regulatorní problematiku najmout nebo zaměstnance proškolit.
Spravovat trénovací, validační a testovací data
Tam, kde je to relevantní, a v rozsahu omezeném na to, co je nezbytné pro jeho úkoly, musí být oznámenému subjektu poskytnut plný přístup k těmto souborům dat jako součást posouzení technické dokumentace, případně s bezpečnostními zárukami. Správa dat by proto měla být zavedena od začátku vývoje.
Sledovat úřední pokyny
Sledovat Evropskou komisi a úřad pro AI, pokud jde o pokyny ke sladění postupů posuzování shody podle MDR/IVDR a aktu o umělé inteligenci. Společné pokyny MDCG a Evropské rady pro umělou inteligenci (MDCG 2025-6) jsou stále nejnovějšími sektorovými pokyny k tomuto vzájemnému působení, jsou však nezávazné, jsou ze dne 19. června 2025 a předcházejí digitálnímu omnibusu, a proto je nutné je číst s ohledem na konsolidované znění aktu a nařízení (EU) 2026/1744.
Ověřit kapacitu pro posuzování včas
Podle čl. 43 odst. 3 musejí oznámené subjekty podle přílohy I oddílu A, na které toto ustanovení odkazuje, požádat o jmenování do 28. ledna 2028. Subjekt již oznámený podle MDR nebo IVDR může toto posouzení provádět pouze tam, kde byl jeho soulad s čl. 31 odst. 4, 5, 10 a 11 posouzen a doložen v rámci existujícího sektorového postupu pro oznamování. Podat žádost není totéž jako být jmenován, a proto by výrobce plánující posouzení v roce 2028 měl postavení a kapacitu svého oznámeného subjektu potvrdit s dostatečným předstihem.
Příklad: Výrobce, který provádí analýzu rozdílů, obvykle zjistí, že řízení rizik a technická dokumentace již mají pevný základ v jeho dokumentaci podle MDR, zatímco povinnosti aktu ke správě dat podle článku 10 a k automatickému vedení záznamů podle článku 12 vyžadují výslovnější a konkrétněji předepsaná kontrolní opatření specifická pro AI, než jaké požaduje MDR.
QMLogic tuto oblast podporuje přímo prostřednictvím poradenství k aktu EU o umělé inteligenci pro zdravotnický software.
Ještě jeden vývoj je vhodné sledovat, nikoli však na něj spoléhat. Článek 2 odst. 13, vložený digitálním omnibusem, zmocňuje Komisi omezit konkrétní požadavky v článcích 9 až 15 a 17 až 25 u systémů podle čl. 6 odst. 1 tam, kde právní předpisy podle přílohy I oddílu A, jako je MDR, poskytují rovnocennou nebo vyšší úroveň ochrany a kde omezení nesnižuje celkovou úroveň ochrany. Komise musí akty v přenesené pravomoci, které to upřesní, přijmout do 2. srpna 2027. Článek 2 odst. 13 sám žádné omezení nezakládá: s výhradou termínů použitelnosti podle článku 113 zůstávají požadavky použitelné, dokud akt v přenesené pravomoci neomezí konkrétní požadavky pro konkrétní systémy. Ke dni 10. srpna 2026 nebyl žádný takový akt v platnosti.
Co tato série obsahuje
Zbytek série sleduje pořadí, v jakém by výrobce postupoval, a každá část staví na té předchozí.
Část 1: Regulatorní základy a rozsah pokrývá definice, role poskytovatele a zavádějícího subjektu, rizikové kategorie a časovou osu zavádění.
Část 2: Základní požadavky na systémy AI ve zdravotnických prostředcích pokrývá povinnosti článek po článku a to, jak navazují na MDR, ISO 13485 a IEC 62304.
Část 3: Průniky mezi předpisy a praktický soulad pokrývá, jak se akt prolíná s MDR, GDPR a rámcem FDA, a praktickou cestu k souladu.
Často kladené otázky
Odkdy se pravidla aktu EU o umělé inteligenci vztahují na zdravotnické prostředky?
Článek 113 stanoví pro cestu podle čl. 6 odst. 2 a přílohy III datum 2. prosince 2027 a pro cestu podle čl. 6 odst. 1 a přílohy I datum 2. srpna 2028. Tam, kde se použije pouze jedna cesta, je datum jasné. Nařízení výslovně neřeší datum tam, kde se obě cesty použijí samostatně. Obě data vyplývají z odkladu zavedeného digitálním omnibusem k AI (nařízení (EU) 2026/1744).
Nahrazuje akt EU o umělé inteligenci MDR nebo IVDR?
Nikoli, a klasifikace podle MDR nebo IVDR ani nerozhoduje o klasifikaci podle aktu o umělé inteligenci. Oba předpisy slouží různým účelům. Podle čl. 6 odst. 1 je systém AI vysoce rizikový pouze tam, kde je sám produktem podle přílohy I nebo bezpečnostní komponentou takového produktu, a kde tento produkt prochází posouzením shody třetí stranou. Klasifikace podle MDR nebo IVDR může naplnit druhou podmínku, sama však systém AI vysoce rizikovým nečiní. Tam, kde obě podmínky splněny jsou, se na prostředek vztahují požadavky aktu vedle jeho dosavadních povinností podle MDR nebo IVDR.
Je každý zdravotnický prostředek s podporou AI podle aktu vysoce rizikový?
Nikoli automaticky. Článek 6 odst. 1 vyžaduje splnění dvou podmínek společně: systém AI musí být bezpečnostní komponentou produktu, na který se vztahuje právní předpis uvedený v příloze I, jako je MDR nebo IVDR, nebo musí být tímto produktem sám, a u tohoto produktu musí být vyžadováno posouzení shody třetí stranou.
Použít se mohou dvě omezení, každé s vlastním dosahem. První se týká cesty přes bezpečnostní komponentu, kterou rámují dvě vzájemně se doplňující pravidla: podle čl. 6 odst. 1a se systém AI používaný výhradně pro aspekty nesouvisející s bezpečností, jako je uživatelská podpora, optimalizace výkonnosti, efektivita služeb, automatizace, pohodlí nebo kontrola kvality, za bezpečnostní komponentu nepovažuje; podle čl. 6 odst. 1b se však tato výluka neuplatní tam, kde by selhání nebo chybné fungování systému AI ohrozilo zdraví a bezpečnost. Je třeba pozorně vnímat, že toto pouze zpřesňuje cestu přes bezpečnostní komponentu. Systém AI, který je sám regulovaným produktem podle MDR nebo IVDR, například samostatný software jako zdravotnický prostředek (SaMD), naplňuje čl. 6 odst. 1 písm. a) druhou z obou možností, aniž by musel být bezpečnostní komponentou, vysoce rizikovým podle čl. 6 odst. 1 je však pouze tehdy, je-li splněna také podmínka podle čl. 6 odst. 1 písm. b), s výhradou čl. 6 odst. 1c. Samostatný SaMD tedy vysoce rizikový automaticky není.
Druhé omezení se týká vlastní výroby: prostředek vyrobený a používaný pouze v rámci zdravotnických zařízení usazených v Unii, který není převeden na jiný právní subjekt a splňuje všechny ostatní podmínky čl. 5 odst. 5 MDR nebo IVDR, není posuzován třetí stranou, a proto není vysoce rizikový podle čl. 6 odst. 1. Tím však analýza nekončí: čl. 6 odst. 2 klasifikuje systémy podle přílohy III jako vysoce rizikové samostatně a třídění pacientů v krizových situacích je uvedeným případem použití podle přílohy III, takže systém vyrobený vlastními silami je stále nutné posoudit podle přílohy III a z hlediska obecně použitelných ustanovení aktu.
Kdo má podle aktu povinnosti, výrobce, nebo zdravotnické zařízení?
Oba, v odlišných rolích. Výrobce je obvykle poskytovatelem a nese povinnosti před uvedením na trh. Zdravotnické zařízení, které systém používá, je obvykle zavádějícím subjektem a nese povinnosti při používání, jako je lidský dohled a monitorování. Obě role se přitom nevylučují: zdravotnické zařízení, které systém vyvine nebo nechá vyvinout a uvede jej do provozu pod svým vlastním názvem, může být poskytovatelem i zavádějícím subjektem zároveň.
