Jak legálně využít AI v oblasti zdraví, výživy a longevity produktů

AI mění pravidla hry ve zdravotnictví. Jste připraveni na ta právní?

Tato vlna inovací je však provázena zavedením robustního a přísného právního rámce. Každá společnost, která vyvíjí, prodává nebo i jen používá AI nástroje v tomto citlivém sektoru na území EU, se musí vypořádat s komplexním propletencem tří klíčových regulací:

1. AI Act(Nařízení o umělé inteligenci)
2. MDR(Nařízení o zdravotnických prostředcích)
3. GDPR(Obecné nařízení o ochraně osobních údajů)

V praxi často vidíme, že technologická implementace v nemocnicích či wellness centrech předbíhá vytvoření celoorganizačních právních a etických rámců. Vzniká tak nebezpečná "mezera mezi adopcí a governance", kdy je špičková technologie nasazena bez adekvátního právního zajištění, což vystavuje organizaci obrovským rizikům při případném auditu.

Pro firmy, které tuto složitost zvládnou, se však regulatorní shoda stává silnou konkurenční výhodou. Prokazatelný soulad s nejpřísnějšími světovými standardy buduje důvěru u klientů, partnerů i investorů a otevírá dveře na nejlukrativnější trhy. V ARROWS se specializujeme na transformaci této regulatorní zátěže ve strategickou výhodu pro naše klienty. Pro právní konzultaci nás kontaktujte na konzultace@arws.cz.

AI Act: Jste "vysoce rizikoví"? Proč je tato otázka klíčová pro váš byznys

Nařízení (EU) 2024/1689, známé jako AI Act, které vstoupilo v platnost 1. srpna 2024, je prvním komplexním zákonem o umělé inteligenci na světě. Zavádí přístup založený na hodnocení rizik, který dělí AI systémy do několika kategorií. Pro vás, jakožto hráče v oblasti zdraví, je naprosto zásadní kategorie "vysoce rizikových" systémů.

Prakticky jakýkoli AI systém, který může mít dopad na zdraví a bezpečnost člověka, spadá do této kategorie. Patří sem například software pro diagnostiku, systémy pro třídění pacientů v urgentní medicíně, AI asistující při chirurgických zákrocích nebo nástroje pro hodnocení nároků na zdravotní péči. Pokud váš produkt spadá do této kategorie, musíte splnit řadu přísných povinností ještě před jeho uvedením na trh.

Tyto povinnosti se nevztahují pouze na vývojáře (poskytovatele), ale i na organizace, které tyto systémy nasazují (zavádějící subjekty), jako jsou nemocnice nebo soukromé kliniky. Mnoho zdravotnických zařízení se mylně domnívá, že zajištění souladu je výhradně problémem jejich dodavatele. AI Act však jasně stanovuje povinnosti i pro ně, například zajistit adekvátní lidský dohled nebo používat systém v souladu s návodem.

Mezi klíčové povinnosti pro vysoce rizikové AI systémy patří:

• Zavedení systému řízení rizik po celou dobu životního cyklu AI.
• Zajištění vysoké kvality datových sad pro trénink, validaci a testování, aby byly reprezentativní a bez chyb a zkreslení.
• Vytvoření podrobné technické dokumentace prokazující soulad s nařízením.
• Zajištění možnosti efektivního lidského dohledu nad fungováním systému.
• Dosažení vysoké úrovně přesnosti, robustnosti a kybernetické bezpečnosti.

Kvalita trénovacích dat je přitom bodem, kde se AI Act přímo protíná s GDPR. Použití zkreslených datových sad může vést nejen k diskriminačním výsledkům a porušení AI Actu, ale zároveň i k porušení zásady spravedlnosti dle GDPR, což vás vystavuje riziku postihu z obou stran.

Naši právníci v ARROWS jsou připraveni vám pomoci s komplexním auditem souladu vašeho AI řešení. Napište nám na konzultace@arws.cz.

Kdy se z vaší aplikace stává zdravotnický prostředek? Klíč k nařízení MDR

Hranice mezi lifestylovou wellness aplikací a regulovaným zdravotnickým prostředkem je často tenčí, než se zdá. Pokud váš software neslouží jen k prostému záznamu dat, ale aktivně je analyzuje za účelem diagnózy, prevence, monitorování nebo léčby, s největší pravděpodobností se na něj vztahuje Nařízení (EU) 2017/745 o zdravotnických prostředcích (MDR).

Software se kvalifikuje jako zdravotnický prostředek (Medical Device Software – MDSW), pokud splňuje tři základní kritéria:

• Má sám o sobě lékařský účel (např. diagnostika, prognóza, léčba).
• Provádí s daty více než jen ukládání, archivaci nebo jednoduché vyhledávání – přidává lékařskou hodnotu.
• Je určen ve prospěch jednotlivých pacientů.

Pro AI software je obzvláště důležité tzv. Pravidlo 11 v příloze VIII nařízení MDR. Toto pravidlo v praxi znamená, že většina softwaru, který poskytuje informace pro diagnostická nebo terapeutická rozhodnutí, je automaticky zařazena do vyšší rizikové třídy (typicky IIa nebo IIb). 

Pro vývojáře AI ve zdravotnictví to představuje obrovskou výzvu – tzv. dvojí certifikaci. Váš produkt musí projít náročným posouzením shody podle MDR a zároveň splnit všechny přísné požadavky na vysoce rizikové systémy podle AI Actu. To je komplexní, nákladný a časově náročný proces, který vyžaduje bezchybnou právní strategii od samého počátku.

Rizika spojená s klasifikací softwaru a certifikací

Zdravotní data pod drobnohledem GDPR: Jak trénovat AI a neporušit zákon?

AI je "hladová" po datech. Čím kvalitnější data má k dispozici, tím přesnější jsou její výsledky. Ve zdravotnictví jsou však tato data extrémně citlivá. GDPR je v článku 9 definuje jako "zvláštní kategorii osobních údajů", jejichž zpracování je v zásadě zakázáno. Existují však výjimky, které umožňují jejich legální zpracování pro účely AI, nejčastěji se jedná o:

• Výslovný souhlas subjektu údajů (pacienta): Právně nejčistší, ale v praxi pro rozsáhlé trénovací sady velmi obtížně získatelný a spravovatelný.
• Zpracování pro účely preventivního lékařství, lékařské diagnózy nebo veřejného zdraví: Relevantní pro klinickou praxi, ale složitější pro komerční vývoj.

Před jakýmkoli rozsáhlým zpracováním zdravotních údajů pro účely AI je prakticky vždy povinné provést tzv. Posouzení vlivu na ochranu osobních údajů (DPIA). Jedná se o proces, jehož cílem je identifikovat a minimalizovat rizika pro práva a svobody pacientů ještě před zahájením zpracování.

S požadavky AI Actu na kvalitu dat se navíc mění role poskytovatele zdravotní péče. Už nestačí být jen "správcem dat" ve smyslu GDPR. Nemocnice, která poskytuje data pro vývoj AI, se stává "kurátorem dat". Nese tak novou odpovědnost za to, že datový soubor je kvalitní, reprezentativní a bez zkreslení, která by mohla vést k diskriminačním výsledkům.

Pro naše klienty s mezinárodní působností je situace ještě složitější. Přenos dat mezi EU a USA pro trénink globálních modelů vyžaduje detailní znalost pravidel GDPR pro mezinárodní transfery i amerického zákona HIPAA.

Díky naší síti ARROWS International jsme schopni zajistit soulad vašeho datového řetězce napříč jurisdikcemi. Pro mezinárodní právní poradenství nám napište na konzultace@arws.cz.

Kdo nese odpovědnost, když se AI splete? Nová éra smluv a odpovědnosti

Představte si situaci: diagnostický AI systém doporučí nesprávnou léčbu a pacientovi vznikne újma. Kdo je odpovědný? Vývojář softwaru? Nemocnice, která systém nasadila? Nebo lékař, který se doporučením řídil? Tato otázka je jedním z největších právních oříšků nové éry.

Evropská unie na tuto výzvu reaguje revidovanou Směrnicí 2024/2853 o odpovědnosti za vadné výrobky (PLD). Ta nově explicitně zahrnuje software a AI systémy. Výrobci tak nesou objektivní odpovědnost za škodu způsobenou vadou svého produktu, a to i v případech, kdy vada vznikne až po uvedení na trh v důsledku samoučení algoritmu nebo chybějící bezpečnostní aktualizace.

Situaci však komplikuje fakt, že návrh specifické směrnice o odpovědnosti za AI byl na začátku roku 2025 stažen. Vzniklo tak právní vakuum, které dramaticky zvyšuje význam smluvních ujednání. Právě precizně sepsaná smlouva mezi vývojářem AI a zdravotnickým zařízením je nyní klíčovým nástrojem pro rozdělení rizik a vymezení odpovědnosti.

Řízení rizik odpovědnosti ve smlouvách s dodavateli AI

Sankce, které mohou zničit byznys: Proč se nevyplatí podcenit AI Act a GDPR

Podcenění nových pravidel se může dramaticky prodražit. Jak AI Act, tak GDPR stanovují sankce, které mohou být pro firmu likvidační. Je klíčové si uvědomit, že tato rizika se mohou sčítat – jedno pochybení může vést k postihu podle obou nařízení současně.

Sankce dle AI Actu: Za neplnění povinností u vysoce rizikových systémů hrozí pokuty až do výše 15 milionů EUR nebo 3 % z celosvětového ročního obratu. Za použití zakázaných AI praktik (např. manipulativní techniky) se sankce šplhají až k 35 milionům EUR nebo 7 % z celosvětového ročního obratu.

Sankce dle GDPR: Za nejzávažnější porušení, jako je zpracování citlivých údajů bez platného právního titulu, hrozí pokuty až do výše 20 milionů EUR nebo 4 % z celosvětového ročního obratu.

Kromě přímých finančních postihů hrozí i další vážné následky, jako je nařízení stáhnout produkt z trhu, nákladné soudní spory o náhradu škody a v neposlední řadě nenapravitelná reputační újma.

Od regulatorní zátěže ke konkurenční výhodě s ARROWS

Orientace v propletenci AI Actu, MDR a GDPR je bezpochyby náročná. Jak jsme si ukázali, rizika jsou reálná a sankce vysoké. Správně uchopená strategie však dokáže tuto regulatorní zátěž proměnit ve vaši klíčovou konkurenční výhodu. Důvěryhodnost a prokazatelný soulad s nejpřísnějšími pravidly se stávají novou měnou na trhu se zdravím a wellness.

V ARROWS se na tuto oblast specializujeme. Naše zkušenosti z dlouhodobé spolupráce s více než 150 akciovými společnostmi a 250 společnostmi s ručením omezeným nám dávají unikátní vhled do potřeb byznysu. Díky síti ARROWS International řešíme denně případy s mezinárodním prvkem a jsme připraveni zajistit soulad vašeho projektu napříč hranicemi.

Nečekejte, až se problém objeví. Proměňte regulatorní výzvy ve vaši příležitost. Spojte se s námi na konzultace@arws.cz a domluvte si úvodní konzultaci, kde probereme, jak můžeme pomoci právě vašemu projektu.