AI Act w szpitalach: 5 błędów przy wdrażaniu sztucznej inteligencji

Niemal 41 procent szpitali w Polsce planuje wdrożenie systemów sztucznej inteligencji w ciągu najbliższych dwunastu miesięcy. To znaczący odsetek, który pokazuje, jak szybko technologia zmienia sektor opieki zdrowotnej. Jednocześnie europejskie przepisy AI Act wprowadzają coraz bardziej restrykcyjne wymogi, których szpitale muszą się nauczyć przestrzegać. Wiele placówek medycznych popełnia jednak fundamentalne błędy na etapie planowania i wdrażania, które mogą prowadzić do problemów prawnych, bezpieczeństwa danych i nieskuteczności technologicznej.

Błąd 1: Ignorowanie Shadow AI i braku procedur

Pierwszym i najczęstszym problemem jest brak kontroli nad tym, jakie narzędzia AI faktycznie używają pracownicy szpitala. Personel medyczny i administracyjny coraz chętniej sięga po ogólnodostępne rozwiązania – takie jak generatory tekstów czy chatboty – aby przyspieszyć pracę. Dzieje się to jednak poza oficjalnymi procedurami organizacji, bez dokumentacji i bez weryfikacji bezpieczeństwa.

Taka praktyka, zwana Shadow AI, stwarza kilka zagrożeń. Po pierwsze, dane pacjentów mogą trafiać do systemów, które nie spełniają wymogów RODO ani bezpieczeństwa medycznego. Po drugie, szpital traci kontrolę nad jakością wyników – nikt nie weryfikuje, czy wygenerowana treść jest dokładna i bezpieczna dla pacjenta. Po trzecie, organizacja nie ma dokumentacji użycia, co czyni ją narażoną na kontrole regulacyjne.

Rozwiązaniem jest wprowadzenie jasnych wytycznych, które narzędzia są dozwolone, jak je używać i jakie dane można w nich umieszczać. Szpital powinien również przeprowadzić audyt istniejących praktyk, aby zidentyfikować, gdzie już dochodzi do Shadow AI.

Błąd 2: Niezrozumienie podziału odpowiedzialności między dostawcą a deployerem

AI Act wyraźnie rozróżnia dwie role: dostawcę (twórcę systemu) i deployera, czyli podmiot stosujący (szpital). Wiele placówek medycznych zakłada, że jeśli kupią gotowe rozwiązanie, to odpowiedzialność za zgodność z prawem spoczywa całkowicie na dostawcy. To błędne założenie.

Szpital, jako deployer, odpowiada za to, jak system jest wdrażany, testowany i monitorowany w praktyce. Musi zapewnić, że system rzeczywiście spełnia wymogi bezpieczeństwa w swoim konkretnym kontekście, że personel jest przeszkolony i że wyniki są weryfikowane. Dostawca odpowiada za samo stworzenie systemu, ale deployer odpowiada za jego bezpieczne użytkowanie.

Konsekwencją tego błędu jest sytuacja, w której szpital wdraża system bez odpowiedniego testowania, przeszkolenia personelu lub monitorowania wyników – a potem okazuje się, że system daje błędne diagnozy lub narusza prywatność pacjentów.

Błąd 3: Ignorowanie wymogów przejrzystości (artykuł 50)

Od sierpnia 2026 r. obowiązuje artykuł 50 AI Act, który wymaga ujawnienia, że treść została wygenerowana przez sztuczną inteligencję. Wyjątek stanowi sytuacja, gdy człowiek rzeczywiście zweryfikował i edytował wynik – wtedy ujawnienie nie jest konieczne.

Wiele szpitali nie zdaje sobie sprawy, jak szeroko artykuł 50 się stosuje. Dotyczy on raportów, notatek medycznych, komunikacji z pacjentami, materiałów edukacyjnych dla personelu i dokumentacji. Jeśli szpital używa AI do generowania części dokumentacji medycznej, musi to wyraźnie oznaczyć – chyba że lekarz lub pielęgniarka rzeczywiście przeczytał, zweryfikował i zmienił tekst.

Błąd polega na tym, że szpitale wdrażają systemy AI do dokumentacji bez wprowadzenia procedur weryfikacji człowieka. Wynik? Dokumentacja nie jest w pełni przejrzysta dla pacjentów i organów nadzoru, a szpital narusza prawo.

Błąd 4: Niedostateczne kompetencje personelu

Od lutego 2025 r. obowiązuje artykuł 4 AI Act, który wymaga, aby organizacje rozwijały kompetencje pracowników w zakresie sztucznej inteligencji. Kompetencje te powinny uwzględniać wiedzę techniczną, doświadczenie praktyczne, wykształcenie i konkretny kontekst, w którym system będzie używany.

Szpitale często wdrażają AI bez odpowiedniego szkolenia personelu. Lekarze, pielęgniarki i administratorzy nie wiedzą, jak system działa, jakie są jego ograniczenia, kiedy może zawieść i jak prawidłowo go używać. To prowadzi do błędnych decyzji medycznych, braku zaufania do technologii i nieskuteczności wdrożenia.

Prawidłowe podejście wymaga opracowania programu szkoleniowego dostosowanego do roli każdego pracownika – inny zakres wiedzy potrzebny jest lekarzowi, inny administratorowi IT.

Błąd 5: Brak przygotowania na etapowe wdrażanie przepisów

AI Act nie wchodzi w życie jednorazowo. Przepisy wprowadzane są etapowo, z różnymi datami dla różnych kategorii systemów. Szpitale, które czekają na ostatni moment, nie zdążą się przygotować.

Okres	Obowiązkowe przepisy	Dotyczy
Od lutego 2025 r.	Artykuł 4 (kompetencje)	Wszystkie organizacje stosujące AI
Od sierpnia 2026 r.	Artykuł 50 (przejrzystość)	Określone systemy AI
Od grudnia 2027 r.	Sekcje 1-3 rozdziału III	Systemy z załącznika III (biometryka, rekrutacja, edukacja, dostęp do usług, wymiar sprawiedliwości)
Od sierpnia 2028 r.	Sekcje 1-3 rozdziału III	Systemy medyczne (MDR, IVDR)

Szpitale powinny już teraz zacząć przygotowania: audytować istniejące systemy, klasyfikować je zgodnie z AI Act, planować modernizację procedur i szkolenia. Czekanie do 2028 r. oznacza ryzyko kar i konieczność pilnego, chaotycznego wdrażania zmian.

Co to oznacza dla szpitali w Polsce

Dla polskich placówek medycznych implikacje są poważne. Szpital, który dziś nie przygotuje się na AI Act, będzie musiał w ciągu trzech lat wprowadzić znaczące zmiany w procedurach, dokumentacji i organizacji pracy. To wymaga czasu, zasobów i planowania.

Jednocześnie szpitale, które podejdą do tematu strategicznie, mogą zyskać przewagę konkurencyjną. Będą mogły bezpiecznie i efektywnie wdrażać AI, poprawiać diagnostykę i zarządzanie pacjentami, a jednocześnie spełniać wymogi regulacyjne. Kluczem jest działanie teraz, zanim przepisy staną się obowiązkowe.