EU:n tekoälyasetus (asetus EU 2024/1689) on ensimmäinen kattava oikeudellinen kehys tekoälyn sääntelyyn Euroopan unionissa. Euroopan parlamentti hyväksyi sen maaliskuussa 2024, ja se julkaistiin Euroopan unionin virallisessa lehdessä heinäkuussa 2024. Terveydenhuolto-organisaatioille asetus tuo uuden oikeudellisesti sitovan velvoitekerroksen olemassa olevien säädösten päälle. Sairaaloiden, terveyskeskusten ja terveysteknologiatoimittajien, jotka toimivat EU:n markkinoilla tai toimittavat niihin, on ymmärrettävä, mitä laki edellyttää, milloin vaatimukset astuvat voimaan ja kuka on vastuussa niiden täyttämisestä.

Mikä on EU:n tekoälyasetus

EU:n tekoälyasetus luo yhtenäisen oikeudellisen kehyksen tekoälyjärjestelmille, joita käytetään kaikilla toimialoilla Euroopan unionissa. Sen tavoitteena on varmistaa, että EU:n markkinoille saatetut tai siellä käytettävät tekoälyjärjestelmät ovat turvallisia, läpinäkyviä, jäljitettäviä, syrjimättömiä ja ihmisen valvonnan alaisia. Lakia sovelletaan paitsi EU:ssa sijaitseviin organisaatioihin, myös EU:n ulkopuolisiin palveluntarjoajiin ja käyttöönottajiin, joiden tekoälyjärjestelmät vaikuttavat EU:n alueella oleviin ihmisiin, mikä antaa sille laajan alueellisen ulottuvuuden.

Asetus perustuu riskiperusteiseen luokitusjärjestelmään, jossa velvoitteet määräytyvät sen mukaan, millaista haittaa tekoälyjärjestelmä voi mahdollisesti aiheuttaa. Se tuo myös uusia hallintorakenteita, kuten Euroopan tekoälytoimiston, joka toimii Euroopan komission alaisuudessa ja valvoo yleiskäyttöisten tekoälymallien sääntöjen täytäntöönpanoa. Yleiskäyttöinen tekoälymalli on laaja tekoälymalli, joka on koulutettu suurilla tietoaineistoilla ja kykenee suorittamaan monenlaisia tehtäviä.

Milloin EU:n tekoälyasetus tulee voimaan

Asetus tuli voimaan 1. elokuuta 2024, mutta velvoitteet otetaan käyttöön vaiheittain. Terveydenhuollon päätöksentekijöiden tulisi olla tietoisia seuraavista keskeisistä virstanpylväistä:

• Helmikuu 2025: Kiellettyjen, ei-hyväksyttävän riskin tekoälyjärjestelmien kiellot astuvat voimaan. Myös tekoälylukutaitovelvoite kaikille tekoälyä käyttöönottaville organisaatioille tulee voimaan tästä päivästä alkaen. Tekoälyjärjestelmien parissa työskentelevällä henkilöstöllä on oltava riittävä osaaminen niiden asianmukaiseen käyttöön.

• Elokuu 2025: Yleiskäyttöisiä tekoälymalleja, mukaan lukien monien kliinisten tekoälytyökalujen perustana olevat perusmallit, koskevat säännöt tulevat sovellettaviksi.

• Elokuu 2026: Korkean riskin tekoälyjärjestelmiä koskevat keskeiset velvoitteet, kuten vaatimustenmukaisuusarvioinnit, tekninen dokumentaatio ja ihmisen valvontavaatimukset, astuvat täysimääräisesti voimaan. Tämä on kriittinen määräaika useimmille terveydenhuollon tekoälyjärjestelmille.

• Elokuu 2027: Pidennetty siirtymäaika koskee erityisesti tekoälyjärjestelmiä, joita säännellään jo lääkinnällisen laitteen asetuksen tai in vitro -diagnostiikka-asetuksen mukaisina lääkinnällisinä laitteina ja jotka vaativat ilmoitetun laitoksen arvioinnin. Näillä järjestelmillä on lisävuosi aikaa täyttää tekoälyasetuksen 6(1) artiklan vaatimukset.

Euroopan komissio on ehdottanut muutoksia korkean riskin sääntöjen aikatauluun Digital Omnibus -aloitteen kautta, joka käsittelee täytäntöönpanon haasteita, mukaan lukien viiveet yhdenmukaistettujen standardien kehittämisessä. Terveydenhuolto-organisaatioiden tulisi seurata tätä prosessia, sillä se voi vaikuttaa siihen, milloin tietyt vaatimustenmukaisuusdokumentaatiovaatimukset tulevat käytännössä täytäntöönpantaviksi.

Miksi terveydenhuolto on lain mukainen prioriteettisektori

Terveydenhuolto on nimenomaisesti määritelty korkean riskin alueeksi tekoälyasetuksessa, koska kliinisissä ympäristöissä käytetyt tekoälyjärjestelmät voivat suoraan vaikuttaa potilasturvallisuuteen, hoitoon pääsyyn ja perusoikeuksiin. Tekoälyjärjestelmä, joka vaikuttaa diagnostiseen päätökseen, suosittelee hoitopolkua tai priorisoi potilaita ennustetun kiireellisyyden perusteella, kantaa merkittävän haittapotentiaalin, jos se on epätarkka, puolueellinen tai sitä käytetään ilman riittävää ihmisen valvontaa.

Euroopan komission kansanterveysohjeet tekoälystä terveydenhuollossa toteavat, että lääketieteellisiin tarkoituksiin tarkoitetut korkean riskin tekoälyjärjestelmät on suunniteltava siten, että ne täyttävät vaatimukset riskien vähentämisestä, tiedon laadusta, läpinäkyvyydestä ja ihmisen valvonnasta. Tämä heijastaa laajempaa ymmärrystä siitä, että terveydenhuollon panokset eroavat olennaisesti esimerkiksi markkinoinnista tai logistiikasta.

Vertaileva analyysi tekoälyn hallintakehyksistä viidessä lainkäyttöalueessa havaitsi, että terveydenhuollon tekoälyn riskien luokittelujärjestelmät lähentyvät kansainvälisesti. EU:n lähestymistapa toimii vaikutusvaltaisena mallina erityisesti siinä, miten se erottaa päätöksentekoa tukevan tekoälyn ja tekoälyn, joka voisi itsenäisesti vaikuttaa kliinisiin lopputuloksiin.

Miten EU:n tekoälyasetus luokittelee tekoälyjärjestelmät

Asetus jakaa tekoälyjärjestelmät neljään riskikategoriaan, joista jokaisella on eri tasoinen sääntelyvelvoite.

Ei-hyväksyttävä riski

Tekoälyjärjestelmät, jotka muodostavat selkeän uhan perusoikeuksille tai turvallisuudelle, on kielletty suoraan. Esimerkkejä ovat julkisten viranomaisten käyttämät sosiaalisen pisteytyksen järjestelmät ja tekoäly, joka hyödyntää psykologisia haavoittuvuuksia. Nämä kiellot astuvat voimaan helmikuussa 2025.

Korkea riski

Tekoälyjärjestelmät, jotka aiheuttavat merkittäviä riskejä terveydelle, turvallisuudelle tai perusoikeuksille, mutta joiden hyödyt voivat oikeuttaa niiden käytön tiukkojen ehtojen alaisina. Näiden järjestelmien on täytettävä laajat vaatimustenmukaisuusvaatimukset ennen käyttöönottoa. Terveydenhuollon tekoäly kuuluu pääosin tähän kategoriaan.

Rajallinen riski

Tekoälyjärjestelmät, joihin liittyy erityisiä läpinäkyvyysvelvoitteita, kuten chatbotit, joiden on ilmoitettava olevansa tekoälyä. Monet potilaille suunnatut digitaaliset työkalut kuuluvat tähän luokkaan.

Minimaalinen riski

Tekoälyjärjestelmät, joihin ei kohdistu erityisiä sääntelyvaatimuksia lain mukaan, kuten roskapostisuodattimet tai videopeleissä käytetty tekoäly.

Erillinen kategoria kattaa yleiskäyttöiset tekoälymallit. Nämä suuret perusmallit ovat monien kliinisten kielityökalujen perustana ja niillä on omat velvoitteensa riippumatta niiden päälle rakennetun loppusovelluksen riskitasosta.

Mitkä terveydenhuollon tekoälyjärjestelmät luokitellaan korkean riskin järjestelmiksi

Tekoälyasetuksen liite III määrittelee korkean riskin tekoälyjärjestelmien kategoriat. Terveydenhuollon kannalta merkittävin on liitteen III kohta 5(a): tekoälyjärjestelmät, jotka on tarkoitettu käytettäväksi lääkinnällisten laitteiden turvallisuuskomponentteina tai itsenäisinä tekoälyjärjestelminä, jotka ovat itsessään lääkinnällisiä laitteita. Laki kattaa tekoälyjärjestelmät, joita käytetään:

• Diagnoosiin ja kliinisen päätöksenteon tukeen: mukaan lukien tekoälytyökalut, jotka auttavat tunnistamaan sairauksia, tulkitsemaan lääketieteellistä kuvantamista tai suosittelemaan diagnostisia polkuja

• Hoitosuosituksiin: tekoälyjärjestelmät, jotka ehdottavat tai priorisoivat hoitovaihtoehtoja yksittäisille potilaille

• Potilaiden hoidontarpeen arviointiin: järjestelmät, jotka määrittävät kliinistä prioriteettia tai kiireellisyyttä

• Potilaiden seurantaan: tekoälytyökalut, jotka jatkuvasti arvioivat potilaan tilaa ja ilmoittavat heikkenemisestä

Vertaisarvioitu analyysi npj Digital Medicine -lehdessä havaitsi, että noin 75 prosenttia kaupallisista tekoälyllä varustetuista lääkinnällisistä laitteista on radiologiassa, ja kaikki paitsi yksi on luokiteltu lääkinnällisen laitteen asetuksen mukaiseen luokkaan IIa tai korkeampaan. Tämä tarkoittaa, että suurin osa käyttöön otetuista kliinisistä tekoälyjärjestelmistä käsitellään korkean riskin järjestelminä tekoälyasetuksen mukaan.

Tekoälyllä toimivat virtuaaliset terveysavustajat ja kliiniset chatbotit ovat monitulkintaisemmassa asemassa. Jos ne tarjoavat kliinistä tietoa, joka voi vaikuttaa potilaan päätöksiin, ne voivat saada korkean riskin luokituksen. Jos ne toimivat ensisijaisesti viestintärajapintoina, niitä voivat sen sijaan koskea rajallisen riskin läpinäkyvyysvelvoitteet.

Mitä EU:n tekoälyasetus tarkoittaa tekoälylääkinnällisille laitteille ja lääkinnällisen laitteen asetuksen päällekkäisyydelle

Yksi tekoälyasetuksen monimutkaisimmista näkökohdista terveydenhuolto-organisaatioille on sen suhde olemassa olevaan lääkinnällisten laitteiden sääntelyyn. Lisätietoa siitä, miksi tekoälydokumentaatiotyökalujen on kuuluttava lääkinnällisen laitteen asetuksen piiriin, löytyy tästä analyysistä. Tekoälyjärjestelmiin, joita säännellään jo lääkinnällisinä laitteina lääkinnällisen laitteen asetuksen tai in vitro -diagnostiikka-asetuksen mukaisesti, sovelletaan molempia kehyksiä samanaikaisesti.

Reed Smithin oikeudellinen analyysi kuvaa tätä kaksoisvaatimustenmukaisuuskehykseksi. Lääkinnällisten laitteiden tekoälyjärjestelmät, jotka on luokiteltu lääkinnällisen laitteen asetuksen luokkiin IIa, IIb tai III tai in vitro -diagnostiikka-asetuksen luokkiin A–D, täyttävät yleensä korkean riskin kriteerit tekoälyasetuksen mukaan. Tekoälyasetus lisää vaatimuksia tiedon laadusta, tiedon hallinnasta, kirjanpidosta, läpinäkyvyydestä, vastuullisuudesta ja ihmisen valvonnasta, jotka ylittävät lääkinnällisen laitteen asetuksen vaatimukset.

Organisaatiot voivat integroida tekoälyasetuksen vaatimukset olemassa olevaan laadunhallintajärjestelmän dokumentaatioon, ja yksittäinen vaatimustenmukaisuusarviointi on sallittu, jos ilmoitettu laitos on akkreditoitu molempien kehysten mukaisesti. Terveydenhuolto-organisaatioiden ei kuitenkaan pidä olettaa, että lääkinnällisen laitteen asetuksen vaatimustenmukaisuus riittää. Hunton Andrews Kurthin tiedote korostaa, että tekoälyasetus tuo lisävelvoitteita, kuten vakavien vaaratilanteiden ilmoittamisen markkinavalvontaviranomaisille 15 päivän kuluessa, joilla ei ole suoraa vastinetta lääkinnällisen laitteen asetuksessa.

White & Casen analyysi toteaa lisäksi, että tekoälyasetus, lääkinnällisen laitteen asetus ja tarkistettu tuotevastuudirektiivi muodostavat yhdessä sääntelykolmion, joka tiukentaa tekoälyllä toimivien lääkinnällisten laitteiden valmistajien vastuuta. Tämä on merkityksellinen paitsi hankintapäätöksissä myös sisäisessä vaatimustenmukaisuussuunnittelussa.

Keskeiset vaatimustenmukaisuusvelvoitteet korkean riskin tekoälylle terveydenhuollossa

Organisaatioiden, jotka ottavat käyttöön tai toimittavat korkean riskin tekoälyjärjestelmiä terveydenhuollossa, on täytettävä merkittävä joukko vaatimuksia. Lain mukaiset keskeiset velvoitteet sisältävät:

Vaatimustenmukaisuusarviointi

Korkean riskin tekoälyjärjestelmille on tehtävä vaatimustenmukaisuusarviointi ennen niiden markkinoille saattamista tai käyttöönottoa. Tekoälylääkinnällisille laitteille, joihin sovelletaan jo ilmoitetun laitoksen tarkastusta lääkinnällisen laitteen asetuksen mukaisesti, tämä prosessi voidaan integroida olemassa olevaan arviointipolkuun.

Tekninen dokumentaatio

Palveluntarjoajien on ylläpidettävä kattavaa teknistä dokumentaatiota, joka kattaa järjestelmän suunnittelun, kehitysmenetelmän, koulutustietojen ominaisuudet, suorituskykymittarit ja tunnetut rajoitukset. Tämä dokumentaatio on pidettävä ajan tasalla koko järjestelmän elinkaaren ajan.

Ihmisen valvontamekanismit

Korkean riskin tekoälyjärjestelmät on suunniteltava siten, että ne mahdollistavat ihmisen valvonnan. Käyttäjillä on oltava mahdollisuus seurata, ymmärtää ja tarvittaessa ohittaa tai pysäyttää järjestelmän tuotokset.

Läpinäkyvyysvelvoitteet

Käyttöönottajien on varmistettava, että käyttäjille ilmoitetaan, että he ovat vuorovaikutuksessa tekoälyjärjestelmän kanssa tai luottavat siihen. Kliinisten työkalujen osalta tämä sisältää selkeän ilmoituksen tekoälyn roolista tuotosten, kuten diagnostisten ehdotusten tai kliinisen dokumentaation, tuottamisessa.

Tiedon hallinta

Koulutus-, validointi- ja testitietojen on täytettävä laatustandardit. Tietojen on oltava relevantteja, edustavia ja vapaita virheistä, jotka voisivat tuottaa syrjiviä tai vaarallisia tuotoksia.

Markkinoille saattamisen jälkeinen seuranta

Palveluntarjoajien on otettava käyttöön järjestelmät suorituskykytietojen keräämiseksi ja analysoimiseksi käyttöönoton jälkeen sekä ilmoitettava vakavista vaaratilanteista asianomaiselle kansalliselle viranomaiselle.

Tekoälylukutaito

Helmikuusta 2025 alkaen kaikkien tekoälyjärjestelmiä käyttöönottavien organisaatioiden on varmistettava, että näiden järjestelmien parissa työskentelevällä henkilöstöllä on riittävä osaaminen niiden kykyjen ja rajoitusten ymmärtämiseksi. HIMSS on todennut, että tämä velvoite koskee kaikkia riskitasoja, ei vain korkean riskin järjestelmiä.

npj Digital Medicine -lehdessä julkaistu laajuuskatsaus, joka kokosi näyttöä tekoälyn hallintakehyksistä terveydenhuolto-organisaatioissa, tunnisti ihmisen valvonnan, läpinäkyvyyden ja käyttöönoton jälkeisen seurannan johdonmukaisimmin mainituiksi tehokkaan hallinnon osa-alueiksi. Tämä vastaa tarkasti sitä, mitä laki nyt edellyttää.

Kuka on vastuussa: tekoälyn tarjoajat vs. käyttöönottajat

Tekoälyasetus tekee selkeän oikeudellisen eron kahden velvoitetun osapuolen välillä.

Tarjoajat

Tarjoajat ovat organisaatioita, jotka kehittävät tekoälyjärjestelmän, saattavat sen markkinoille tai ottavat sen käyttöön omalla nimellään tai tavaramerkillään. Tähän kuuluvat tekoälytoimittajat, ohjelmistokehittäjät ja terveysteknologiayritykset.

Käyttöönottajat

Käyttöönottajat ovat organisaatioita, jotka käyttävät korkean riskin tekoälyjärjestelmää omalla vastuullaan ammatillisessa kontekstissa. Terveydenhuollossa tämä tarkoittaa sairaaloita, terveyskeskuksia, integroituja hoitojärjestelmiä ja muita organisaatioita, jotka hyödyntävät kolmannen osapuolen tekoälytyökaluja kliinisissä tai hallinnollisissa työnkuluissa.

Tämä ero on tärkeä, sillä molemmilla osapuolilla on erilliset ja siirtämättömät velvoitteet. Tarjoajat vastaavat siitä, että heidän järjestelmänsä täyttävät tekniset ja dokumentaatiovaatimukset ennen käyttöönottoa. Käyttöönottajat vastaavat siitä, että järjestelmiä käytetään asianmukaisesti, että ihmisen valvonta on järjestetty ja että henkilöstö on riittävästi koulutettu.

Diagnostic and Interventional Radiology -lehden analyysi korostaa, että käyttöönottajina toimivat terveydenhuolto-organisaatiot eivät voi yksinkertaisesti luottaa toimittajan vaatimustenmukaisuuteen. Niiden on aktiivisesti varmistettava, että niiden käyttämät tekoälyjärjestelmät täyttävät lain vaatimukset ja että sisäiset prosessit tukevat vaatimustenmukaista käyttöä.

Yksi tärkeä vivahde: terveydenhuolto-organisaatiot, jotka kehittävät tekoälytyökaluja omaan käyttöönsä, voivat saada rajoitetun poikkeuksen, mutta vain tietyin ehdoin. Laki edellyttää silti tiedon laadun ja läpinäkyvyysstandardien noudattamista.

Mitä ihmisen valvonta todella tarkoittaa kliinisessä kontekstissa

Lain ihmisen valvontavaatimus ei ole pelkkä oikeudellinen muodollisuus. Se heijastaa olennaista periaatetta: potilaisiin vaikuttavia merkittäviä päätöksiä ei pidä delegoida kokonaan automatisoiduille järjestelmille.

Käytännössä merkityksellinen ihmisen valvonta kliinisissä työnkuluissa tarkoittaa esimerkiksi:

• Kliinikko tarkistaa tekoälyn tuottaman kliinisen dokumentaation ennen kuin se tallennetaan potilastietueeseen sen sijaan, että hyväksyisi sen tarkistamatta

• Radiologi tutkii tekoälyn merkitsemän löydöksen ja tekee itsenäisen kliinisen arvion ennen sen perusteella toimimista

• Hoidontarpeen arvioinnin tekevä sairaanhoitaja arvioi tekoälyn tuottaman prioriteettipisteen suoran potilashavainnon perusteella sen sijaan, että käsittelisi sitä lopullisena ohjeena

• Kliinisellä henkilöstöllä on tekninen mahdollisuus ja organisatorinen lupa ohittaa tai jättää huomiotta tekoälyn tuotos, kun kliininen arvio sitä edellyttää

BMJ Health Care Informatics -kommentaari, jossa ehdotetaan riskiperusteista lähestymistapaa suurten kielimallien hallintaan kliinisessä käytännössä, toteaa, että merkityksellinen valvonta vaatii paitsi teknisiä mekanismeja myös organisaatiokulttuuria. Kliinikkojen on tunnettava olevansa valtuutettuja kyseenalaistamaan tekoälyn tuotoksia, ja hallintorakenteiden on tuettava tätä toimintaa.

Laki edellyttää, että korkean riskin tekoälyjärjestelmät on suunniteltu valvontamekanismit sisäänrakennettuina oletusarvoisesti, ei jälkikäteen lisättyinä. Tekoälytyökaluja arvioivien terveydenhuolto-organisaatioiden tulisi arvioida, tukeeko tuotteen suunnittelu aidosti kliinikon tarkistusta vai tekeekö työnkulun paine tekoälyn tuotoksista vain muodollisen hyväksynnän.

Tiedon hallinta ja GDPR: miten kaksi kehystä ovat vuorovaikutuksessa

Tekoälyasetus tuo tiedon hallinnan velvoitteita, jotka ovat olemassa olevien yleisen tietosuoja-asetuksen vaatimusten rinnalla, mutta eivät korvaa niitä. Molempien kehysten alaisuudessa toimivien terveydenhuolto-organisaatioiden on ymmärrettävä, että yleisen tietosuoja-asetuksen vaatimustenmukaisuus ei automaattisesti täytä tekoälyasetuksen tietovaatimuksia.

Siinä missä yleinen tietosuoja-asetus keskittyy henkilötietojen lailliseen käsittelyyn, tekoälyasetuksen tiedon hallinnan määräykset koskevat erityisesti tekoälyjärjestelmien kouluttamiseen, validointiin ja testaamiseen käytetyn tiedon laatua ja tarkoituksenmukaisuutta. Laki edellyttää, että koulutustietoaineistot ovat:

• Relevantteja ja riittävän edustavia aiottuun käyttötarkoitukseen nähden

• Vapaita virheistä ja puutteista, jotka voisivat aiheuttaa vaarallisia tuotoksia

• Tarkastettuja mahdollisten ennakkoluulojen varalta, jotka voisivat johtaa syrjiviin tuloksiin kliinisissä konteksteissa

npj Digital Medicine -lehden vertaisarvioitu kommentaari korostaa, että tekoälyjärjestelmät, jotka on koulutettu aineistoilla, jotka aliedustavat tiettyjä potilasryhmiä iän, etnisyyden, sukupuolen tai liitännäissairauksien suhteen, voivat tuottaa systemaattisesti huonompia tuloksia näille ryhmille. Tämä vaikuttaa suoraan potilasturvallisuuteen. Lain tiedon hallinnan vaatimukset on suunniteltu ehkäisemään tätä riskiä.

Datan sijainti on lisänäkökohta. EU:n ulkopuolisten toimittajien tekoälytyökaluja hankkivien terveydenhuolto-organisaatioiden tulisi varmistaa, missä potilastietoja käsitellään ja säilytetään, sekä yleisen tietosuoja-asetuksen vaatimusten että tekoälyasetuksen läpinäkyvyys- ja vastuullisuusmääräysten noudattamisen varmistamiseksi. Euroopan terveystietoalue, joka tuli voimaan vuonna 2025, lisää vielä oman tiedon hallinnan kerroksensa, jota sovelletaan erityisesti terveystietoihin.

Mitä terveydenhuolto-organisaatioiden tulisi tehdä nyt

Vaiheittaisen täytäntöönpanoaikataulun ansiosta terveydenhuolto-organisaatioilla on aikaa valmistautua. Seuraavat vaiheet muodostavat käytännöllisen vaatimustenmukaisuusohjelman ytimen:

• Kartoita nykyiset tekoälytyökalut: Tunnista kaikki organisaatiossa käytössä olevat tekoälyjärjestelmät, mukaan lukien potilastietojärjestelmiin sisältyvät työkalut, diagnostiset ohjelmistot, hallinnollinen automaatio ja potilaille suunnatut sovellukset

• Arvioi riskien luokitukset: Määritä jokaiselle tunnistetulle järjestelmälle, kuuluuko se asetuksen liitteen III mukaiseen korkean riskin kategoriaan vai onko sillä rajallisen riskin läpinäkyvyysvelvoitteita

• Tarkista toimittajasopimukset: Käy läpi tekoälytoimittajien kanssa tehdyt sopimukset ymmärtääksesi, miten vaatimustenmukaisuusvelvoitteet on jaettu. Sopimuksissa tulisi määritellä, kumpi osapuoli vastaa vaatimustenmukaisuusarvioinneista, teknisestä dokumentaatiosta ja markkinoille saattamisen jälkeisestä seurannasta

• Nimeä tekoälyn hallinnan vastuuhenkilö: Määritä sisäinen vastuutaho tekoälyasetuksen vaatimustenmukaisuudesta. Suuremmissa organisaatioissa tämä voi kuulua kliinisen informatiikan, oikeudellisen tai tietohallinnon vastuulle. Pienemmissä vastaanotoissa se voi vaatia ulkoista tukea

• Valmistele dokumentaatio: Aloita korkean riskin järjestelmille vaaditun teknisen dokumentaation kokoaminen tai pyytäminen, mukaan lukien todisteet vaatimustenmukaisuusarvioinneista, tiedon laadun varmistuksista ja ihmisen valvontamekanismeista

• Ota käyttöön tekoälylukutaitokoulutus: Tekoälylukutaitovelvoite on ollut voimassa helmikuusta 2025. Organisaatioiden, jotka eivät ole vielä käsitelleet tätä, tulisi priorisoida koulutus kliiniselle ja hallinnolliselle henkilöstölle, joka on vuorovaikutuksessa tekoälytyökalujen kanssa

• Luo vaaratilanteiden raportointiprosessit: Ota käyttöön sisäiset menettelyt tekoälyyn liittyvien vaaratilanteiden tunnistamiseksi ja eskaloimiseksi, linjassa lain vaatimuksen kanssa ilmoittaa vakavista vaaratilanteista kansallisille viranomaisille 15 päivän kuluessa

Vertaileva hallinnon tutkimus viidessä lainkäyttöalueessa havaitsi, että organisaatiot, jotka proaktiivisesti kehittivät sisäisiä tekoälyn hallintorakenteita ennen sääntelymääräaikoja, olivat paremmin varautuneita täyttämään vaatimustenmukaisuusvaatimukset kuin ne, jotka odottivat täytäntöönpanon alkamista.

Miten arvioida tekoälytoimittajia EU:n tekoälyasetuksen vaatimustenmukaisuuden suhteen

Hankinta- ja kliinisen informatiikan tiimien, jotka arvioivat tekoälytuotteita, tulisi käsitellä EU:n tekoälyasetuksen vaatimustenmukaisuutta vakiona due diligence -vaatimuksena kliinisen näytön ja tietoturvan rinnalla. Keskeisiä kysymyksiä toimittajille:

• Riskien luokittelu: Miten toimittaja luokittelee tämän järjestelmän tekoälyasetuksen mukaan? Mikä näyttö tukee kyseistä luokittelua?

• Vaatimustenmukaisuusarviointi: Onko järjestelmälle tehty vaatimustenmukaisuusarviointi? Jos ilmoitettu laitos vaaditaan, mikä laitos sen suoritti?

• Tekninen dokumentaatio: Voiko toimittaja toimittaa täydellisen teknisen dokumentaation, mukaan lukien koulutustietojen ominaisuudet, suorituskykytestit ja tunnetut rajoitukset?

• CE-merkintä: Onko tekoälylääkinnällisille laitteille CE-merkintä lääkinnällisen laitteen asetuksen tai in vitro -diagnostiikka-asetuksen mukaisesti, ja onko sitä päivitetty vastaamaan tekoälyasetuksen vaatimuksia?

• Ihmisen valvonta suunnittelun mukaan: Miten tuotteen suunnittelu tukee kliinikon tarkistusta ja ohitusta? Voiko toimittaja osoittaa tämän reaaliaikaisessa työnkulussa?

• Datan sijainti: Missä potilastietoja käsitellään ja säilytetään? Täyttääkö tämä yleisen tietosuoja-asetuksen ja Euroopan terveystietoalueen vaatimukset?

• Markkinoille saattamisen jälkeinen seuranta: Mitä prosesseja toimittajalla on käytössä jatkuvaan suorituskyvyn seurantaan ja vaaratilanteiden raportointiin?

• GPAI-malliriippuvuudet: Jos tuote on rakennettu perusmallin päälle, mitä velvoitteita kyseiseen malliin sovelletaan yleiskäyttöisten tekoälymallien määräysten mukaisesti ja miten toimittaja hallitsee niitä?

Euroopan komission ylläpitämä tekoälyasetuksen yhden tiedon alustan vaatimustenmukaisuustarkistin tarjoaa strukturoidun työkalun sen arvioimiseksi, mihin sääntelykehykseen tietty tekoälyjärjestelmä sijoittuu. Se on hyödyllinen lähtökohta hankintatiimeille.

Rangaistukset vaatimustenmukaisuuden laiminlyönnistä

Tekoälyasetuksen rangaistusrakenne on porrastettu rikkomuksen vakavuuden mukaan:

• Jopa 35 miljoonaa euroa tai 7 prosenttia maailmanlaajuisesta vuotuisesta liikevaihdosta (kumpi tahansa on suurempi) kiellettyihin tekoälyjärjestelmiin liittyvistä rikkomuksista

• Jopa 15 miljoonaa euroa tai 3 prosenttia maailmanlaajuisesta vuotuisesta liikevaihdosta (kumpi tahansa on suurempi) muiden velvoitteiden rikkomuksista, mukaan lukien korkean riskin järjestelmien vaatimukset

• Jopa 7,5 miljoonaa euroa tai 1,5 prosenttia maailmanlaajuisesta vuotuisesta liikevaihdosta (kumpi tahansa on suurempi) virheellisten tai harhaanjohtavien tietojen antamisesta viranomaisille

Täytäntöönpanosta vastaavat jäsenvaltioiden nimeämät kansalliset valvontaviranomaiset. Euroopan tekoälytoimistolla on valvontavastuu yleiskäyttöisten tekoälymallien vaatimustenmukaisuudesta. Rangaistuksia voidaan kohdistaa käyttöönottajiin, ei vain tekoälyn kehittäjiin ja toimittajiin, jos käyttöönottaja on laiminlyönyt omat velvoitteensa lain mukaisesti.

White & Casen vastuuanalyysi toteaa, että erillisen tekoälyvastuudirektiivin peruuttaminen helmikuussa 2025 tarkoittaa, että siviilioikeudelliset vastuuvaatimukset ohjataan tarkistetun tuotevastuudirektiivin kautta erillisen tekoälyvastuuvälineen sijaan. Tämä ei vähennä tekoälyasetuksen rikkomisesta havaittujen organisaatioiden taloudellista vastuuta.

Sanasto: keskeiset EU:n tekoälyasetuksen termit terveydenhuollon ammattilaisille

Tarjoaja

Organisaatio tai henkilö, joka kehittää tekoälyjärjestelmän, saattaa sen EU:n markkinoille tai ottaa sen käyttöön omalla nimellään. Sisältää tekoälytoimittajat ja terveysteknologiayritykset.

Käyttöönottaja

Organisaatio tai henkilö, joka käyttää korkean riskin tekoälyjärjestelmää ammatillisessa kontekstissa omalla vastuullaan. Sairaalat, terveyskeskukset ja muut terveydenhuolto-organisaatiot, jotka käyttävät kolmannen osapuolen tekoälytyökaluja, ovat käyttöönottajia.

Korkean riskin tekoälyjärjestelmä

Tekoälyjärjestelmä, joka on lueteltu asetuksen liitteessä III tai jota käytetään turvallisuuskomponenttina tuotteessa, jota säännellään alakohtaisen lainsäädännön, kuten lääkinnällisen laitteen asetuksen, mukaisesti. Siihen sovelletaan asetuksen laajimpia vaatimustenmukaisuusvelvoitteita.

Vaatimustenmukaisuusarviointi

Muodollinen prosessi, jolla tarjoaja osoittaa, että korkean riskin tekoälyjärjestelmä täyttää asetuksen vaatimukset. Järjestelmätyypistä riippuen tarjoaja voi suorittaa tämän itse tai akkreditoitu ilmoitettu laitos voi suorittaa sen.

Markkinoille saattamisen jälkeinen seuranta

Jatkuva prosessi, jossa tarjoajat keräävät ja analysoivat tietoja käyttöönotetun tekoälyjärjestelmän tosielämän suorituskyvystä. Tavoitteena on tunnistaa riskejä tai suorituskyvyn heikkenemistä, joka ei ollut ilmeistä ennen markkinoille saattamista tehdyn arvioinnin aikana.

Perusoikeusvaikutusten arviointi

Strukturoitu arviointi, joka tiettyjen korkean riskin tekoälyjärjestelmien käyttöönottajien on suoritettava ennen käyttöönottoa. Siinä arvioidaan mahdollista vaikutusta perusoikeuksiin, mukaan lukien syrjimättömyys, yksityisyys ja pääsy terveydenhuoltoon.

Yleiskäyttöinen tekoälymalli

Suuri tekoälymalli, joka on koulutettu laajoilla tietoaineistoilla ja joka voi suorittaa monenlaisia tehtäviä. Monien kliinisten kielityökalujen perustana olevat perusmallit kuuluvat tähän kategoriaan ja niillä on erityisiä velvoitteita asetuksen mukaisesti riippumatta loppusovelluksesta.

Tekoälylukutaito

Tieto ja taidot, joita tarvitaan tekoälyjärjestelmien asianmukaiseen käyttöön, niiden tuotosten kriittiseen arviointiin ja niiden rajoitusten ymmärtämiseen. Organisaatioiden on varmistettava, että asianomaisella henkilöstöllä on riittävä tekoälylukutaito helmikuusta 2025 alkaen.

Tekninen dokumentaatio

Muodollinen asiakirja, jota tarjoajan on ylläpidettävä ja joka kattaa tekoälyjärjestelmän suunnittelun, kehityksen, tietojen ominaisuudet, testausmenetelmän ja suorituskyvyn. Vaaditaan kaikille korkean riskin tekoälyjärjestelmille ja se on pidettävä ajan tasalla koko järjestelmän toiminnallisen elinkaaren ajan.

Usein kysytyt kysymykset

▶ Mikä on EU:n tekoälyasetus ja koskeeko se terveydenhuolto-organisaatioita

EU:n tekoälyasetus (asetus EU 2024/1689) on ensimmäinen kattava oikeudellinen kehys tekoälyn sääntelyyn Euroopan unionissa. Sitä sovelletaan kaikkiin organisaatioihin, jotka saattavat tekoälyjärjestelmiä EU:n markkinoille tai käyttävät niitä vaikuttaakseen EU:n alueella oleviin ihmisiin, mukaan lukien sairaalat, terveyskeskukset ja terveysteknologiatoimittajat. Sitä ei sovelleta vain EU:ssa sijaitseviin organisaatioihin. Sen alueellinen ulottuvuus tarkoittaa, että myös EU:n ulkopuoliset toimittajat kuuluvat sen piiriin, jos heidän järjestelmänsä vaikuttavat EU:n potilaisiin.

▶ Milloin terveydenhuolto-organisaatioiden on noudatettava EU:n tekoälyasetusta

Velvoitteet otetaan käyttöön vaiheittain. Kiellettyjen, ei-hyväksyttävän riskin tekoälyjärjestelmien kiellot ja tekoälylukutaitovaatimus astuvat voimaan helmikuussa 2025. Yleiskäyttöisiä tekoälymalleja koskevat säännöt astuvat voimaan elokuussa 2025. Korkean riskin tekoälyjärjestelmiä koskevat keskeiset velvoitteet, kuten vaatimustenmukaisuusarvioinnit ja ihmisen valvontavaatimukset, astuvat täysimääräisesti voimaan elokuussa 2026. Tekoälyjärjestelmillä, joita säännellään jo lääkinnällisinä laitteina lääkinnällisen laitteen asetuksen mukaisesti, on pidennetty siirtymäaika elokuuhun 2027 asti.

▶ Mitkä terveydenhuollon tekoälyjärjestelmät luokitellaan korkean riskin järjestelmiksi lain mukaan

Asetus luokittelee diagnoosiin, kliinisen päätöksenteon tukeen, hoitosuosituksiin, potilaiden hoidontarpeen arviointiin ja potilaiden seurantaan käytetyt tekoälyjärjestelmät korkean riskin järjestelmiksi. npj Digital Medicine -lehdessä julkaistu vertaisarvioitu analyysi havaitsi, että noin 75 prosenttia kaupallisista tekoälyllä varustetuista lääkinnällisistä laitteista on radiologiassa ja luokiteltu lääkinnällisen laitteen asetuksen mukaiseen luokkaan IIa tai korkeampaan. Tämä tarkoittaa, että suurin osa käyttöön otetuista kliinisistä tekoälyjärjestelmistä käsitellään korkean riskin järjestelminä lain mukaan.

▶ Mikä on ero tarjoajan ja käyttöönottajan välillä EU:n tekoälyasetuksen mukaan

Tarjoajat ovat organisaatioita, jotka kehittävät tekoälyjärjestelmän ja saattavat sen markkinoille omalla nimellään. Tähän kuuluvat tekoälytoimittajat ja terveysteknologiayritykset. Käyttöönottajat ovat organisaatioita, jotka käyttävät korkean riskin tekoälyjärjestelmää ammatillisessa kontekstissa, kuten sairaalat ja terveyskeskukset, jotka käyttävät kolmannen osapuolen tekoälytyökaluja. Molemmilla osapuolilla on erilliset velvoitteet, joita ei voida siirtää toiselle. Käyttöönottajina toimivat terveydenhuolto-organisaatiot eivät voi yksinkertaisesti luottaa toimittajan vaatimustenmukaisuuteen. Niiden on aktiivisesti varmistettava, että järjestelmät täyttävät lain vaatimukset ja että sisäiset prosessit tukevat vaatimustenmukaista käyttöä.

▶ Täyttääkö lääkinnällisen laitteen asetuksen vaatimustenmukaisuus EU:n tekoälyasetuksen vaatimukset tekoälylääkinnällisille laitteille

Ei. Tekoälyjärjestelmiin, joita säännellään lääkinnällisinä laitteina lääkinnällisen laitteen asetuksen mukaisesti, sovelletaan molempia kehyksiä samanaikaisesti. Tekoälyasetus lisää vaatimuksia tiedon laadusta, tiedon hallinnasta, kirjanpidosta, läpinäkyvyydestä, vastuullisuudesta ja ihmisen valvonnasta, jotka ylittävät lääkinnällisen laitteen asetuksen vaatimukset. Organisaatiot voivat integroida tekoälyasetuksen vaatimukset olemassa olevaan laadunhallintajärjestelmän dokumentaatioon, mutta pelkkä lääkinnällisen laitteen asetuksen vaatimustenmukaisuus ei riitä.

▶ Mitä ihmisen valvontavaatimus tarkoittaa käytännössä kliiniselle henkilöstölle

Ihmisen valvonta tarkoittaa, että potilaisiin vaikuttavia merkittäviä päätöksiä ei pidä delegoida kokonaan automatisoiduille järjestelmille. Käytännössä se tarkoittaa, että kliinikko tarkistaa tekoälyn tuottaman kliinisen dokumentaation ennen kuin se tallennetaan potilastietueeseen, radiologi tekee itsenäisen arvion tekoälyn merkitsemästä löydöksestä ja hoidontarpeen arvioinnin tekevä sairaanhoitaja arvioi tekoälyn tuottaman prioriteettipisteen suoraa potilashavaintoa vasten. Kliinisellä henkilöstöllä on myös oltava sekä tekninen mahdollisuus että organisatorinen lupa ohittaa tekoälyn tuotos, kun heidän kliininen arvionsa sitä edellyttää.

▶ Miten EU:n tekoälyasetus on vuorovaikutuksessa yleisen tietosuoja-asetuksen kanssa terveydenhuolto-organisaatioille

Tekoälyasetus tuo tiedon hallinnan velvoitteita, jotka ovat yleisen tietosuoja-asetuksen rinnalla, mutta eivät korvaa sitä. Yleisen tietosuoja-asetuksen vaatimustenmukaisuus ei automaattisesti täytä tekoälyasetuksen tietovaatimuksia. Siinä missä yleinen tietosuoja-asetus keskittyy henkilötietojen lailliseen käsittelyyn, tekoälyasetus keskittyy erityisesti tekoälyjärjestelmien kouluttamiseen, validointiin ja testaamiseen käytetyn tiedon laatuun ja tarkoituksenmukaisuuteen. Koulutustietoaineistojen on oltava relevantteja, edustavia ja tarkastettuja ennakkoluulojen varalta, jotka voisivat tuottaa syrjiviä tai vaarallisia tuotoksia tietyille potilasryhmille.

▶ Mitkä ovat rangaistukset EU:n tekoälyasetuksen vaatimustenmukaisuuden laiminlyönnistä

Rangaistusrakenne on porrastettu. Kiellettyihin tekoälyjärjestelmiin liittyvät rikkomukset voivat johtaa jopa 35 miljoonan euron tai 7 prosentin maailmanlaajuisesta vuotuisesta liikevaihdosta (kumpi tahansa on suurempi) sakkoihin. Korkean riskin järjestelmien velvoitteiden rikkomukset voivat johtaa jopa 15 miljoonan euron tai 3 prosentin maailmanlaajuisesta vuotuisesta liikevaihdosta sakkoihin. Virheellisten tietojen antaminen viranomaisille voi johtaa jopa 7,5 miljoonan euron tai 1,5 prosentin maailmanlaajuisesta vuotuisesta liikevaihdosta sakkoihin. Rangaistuksia voidaan kohdistaa käyttöönottajiin sekä tarjoajiin, jos käyttöönottaja on laiminlyönyt omat velvoitteensa.