Alle on avattu suuririskisten tekoälyjärjestelmien vaatimuksia ja niiden yhteyttä MDR/IVDR-vaatimuksiin, tarjoajan velvollisuuksien näkökulmasta. Huom. kaikki viittaukset MDR/IVDR mukaiseen ”valmistajaan” on ymmärrettävä viittauksiksi tekoälyasetuksen mukaiseen ”tarjoajaan”. Kaikki suuririskisiä tekoälyjärjestelmiä koskevat vaatimukset sekä suuririskisten tekoälyjärjestelmien tarjoajien ja käyttöönottajien sekä muiden osapuolten velvollisuudet löytyvät tekoälyasetuksen luvusta 3, jaksoista 2 ja 3.
Hallintajärjestelmät:
Tekoälyasetus tuo MDR:n ja IVDR:n lisäksi lisävaatimuksia hallintajärjestelmiin suuririskisille MDAI-järjestelmille. Näihin kuuluvat järjestelmäkohtainen laadunhallintajärjestelmä (AIA, artikla 17), joka sisältää datanhallinnan, avoimuuden ja ihmisen valvonnan, sekä jatkuva ja iteratiivinen riskienhallinta (AIA, artikla 9), joka kattaa myös perusoikeuksiin liittyvät riskit ja datan vinoumat. Lisäksi tekoälyasetus painottaa jälkimarkkinaseurantaa erityisesti järjestelmille, jotka oppivat käyttöönoton jälkeen.
Tekninen dokumentaatio:
MDR, IVDR sekä tekoälyasetus edellyttävät, että MDAI-järjestelmistä toimitetaan kattava tekninen dokumentaatio. MD- ja IVD-asetukset vaativat yksityiskohtaiset kuvaukset ohjelmistosta, ohjelmistoarkkitehtuurista, datankäsittelymenetelmistä ja riskienhallintastrategioista. Tekoälyasetus puolestaan edellyttää lisädokumentaatiota, joka painottuu avoimuuteen ja vastuullisuuteen. Tähän sisältyy muun muassa riskinarvioinnit, tietohallinnan käytännöt sekä suuren riskin MDAI-järjestelmien suorituskykytestien tulokset. Tekoälyasetus vaatii, että suuren riskin MDAI-järjestelmille laaditaan kootusti tekninen dokumentaatio, joka sisältää sekä lääkinnällisten laitteiden asetusten että tekoälyasetuksen teknisen dokumentoinnin vaatimat tiedot (AIA, artikla 11, kohta 2). MDCG/AIB-ohjeessa 2025-6 annetaan käytännön neuvoja, kuinka yhdistää MD/IVD-asetusten että tekoälyasetuksen vaatimuksia yhdeksi tekniseksi tiedostoksi.
Data ja datanhallinta:
MDR ja IVDR edellyttävät, että kliininen data on luotettavaa ja edustaa laitteen aiottua käyttötarkoitusta. AIA puolestaan asettaa vaatimuksia datan laadulle, hallinnalle ja avoimuudelle (AIA, artikla 10). Suuren riskin MDAI-järjestelmien koulutus-, validointi- ja testidatassa on oltava asianmukaiset tilastolliset ominaisuudet ja datan on oltava mahdollisimman virheetöntä, edustavaa ja tarkoituksenmukaista. Tietosuojan ja datan alkuperäisen käyttötarkoituksen on oltava avoimesti dokumentoitu. Valmistajien on toteutettava menettelyt, joilla varmistetaan datan eheys ja mahdollisten vinoumien tunnistaminen sekä estäminen/lieventäminen.
Lokitietojen kerääminen:
AIA edellyttää, että suuririskinen MDAI-järjestelmä tallentaa automaattisesti lokitietoja koko elinkaarensa ajan jäljitettävyyden varmistamiseksi (AIA, artikla 12). Tällä varmistetaan järjestelmän toiminnan seuranta, perusoikeuksiin vaikuttavien riskien tunnistaminen ja markkinoille saattamisen jälkeinen valvonta.
Avoimuus ja ihmisen suorittama valvonta:
AIA ja MDR/IVDR asettavat velvoitteita avoimuuden ja ihmisen valvonnan osalta. Valmistajien on suunniteltava ja kehitettävä suuririskiset MDAI-järjestelmät siten, että niiden toiminta on riittävän avointa, jotta käyttäjät voivat tulkita tuloksia oikein ja käyttää järjestelmää asianmukaisesti (AIA, artikla 13). Tämä edellyttää selkeitä ja ymmärrettäviä käyttöohjeita, tietoa järjestelmän ominaisuuksista, rajoituksista ja toimintalogiikasta sekä dokumentaatiota, joka tukee päätösten selitettävyyttä. Lisäksi AIA vaatii teknisiä ratkaisuja, jotka mahdollistavat ihmisen puuttumisen kriittisiin päätöksiin ja varmistavat, että järjestelmä ei voi ohittaa näitä rajoituksia (AIA, artikla 14). Nämä velvoitteet täydentävät MDR/IVDR:n perusvaatimuksia, jotka korostavat selkeää ja kattavaa tietoa laitteen tarkoituksesta, toiminnasta ja rajoituksista sekä dokumentaatiota, joka tukee jäljitettävyyttä ja turvallista käyttöä.
Tarkkuus, vakaus ja kyberturvallisuus:
MDR, IVDR ja AIA korostavat kyberturvallisuuden merkitystä. Valmistajien on toteutettava teknisiä ratkaisuja, joilla estetään luvaton pääsy, hyökkäykset ja manipulointi. AIA edellyttää, että suuren riskin MDAI-järjestelmät sisältävät teknisiä ratkaisuja tekoälylle ominaisiin haavoittuvuuksiin (AIA, artikla 15). Kyberturvallisuus on osa riskienhallintaa, laadunhallintaa ja vaatimustenmukaisuuden arviointia. MDAI-järjestelmän valmistajan on suojattava datan siirto ja tallennus, estettävä mallien manipulointi ja reagoitava kyberturvallisuuspoikkeamiin. Nämä vaatimukset koskevat koko laitteen elinkaarta ja käyttöympäristöä.
Suuririskisten tekoälyjärjestelmien tarjoajien ja muiden toimijoiden tärkeimpiä velvollisuuksia
Kaikki suuririskisiä tekoälyjärjestelmiä koskevat toimijoiden velvollisuudet löytyvät tekoälyasetuksen luvusta 3, jaksosta 3.
Tarjoajan tärkeimpiä velvollisuuksia
- riskinhallinta- ja laadunhallintajärjestelmien toteuttaminen
- tietojen kirjaaminen ja avoimuusvelvoitteiden noudattaminen
- järjestelmän testaus ja vaatimustenmukaisuusarviointi ennen markkinoille saattamista tai käyttöönottoa
- tietojen laatu ja tekninen dokumentaatio
- CE-merkintä ja EU-vaatimustenmukaisuusvakuutus
- rekisteröintivelvollisuus
- jäljitettävyys ja ihmisvalvonta
- tarkkuuden, vakauden ja kyberturvallisuuden varmistaminen
- korjaavien toimenpiteiden toteuttaminen
- yhteistyö toimivaltaisten viranomaisten kanssa.
Valtuutettujen edustajien tärkeimpiä velvollisuuksia
- suorittaa toimeksiannossa määritellyt tehtävät
- säilyttää ja varmistaa, että tarvittavat asiakirjat ovat toimivaltaisten viranomaisten saatavilla
- rekisteröintivelvollisuus tarpeen mukaan
- yhteistyö toimivaltaisten viranomaisten kanssa.
Valtuutetun edustajan toimeksiantoon ei saa kuulua mm. tekoälyjärjestelmän suunnittelu ja valmistus, teknisten asiakirjojen laatiminen eikä vaatimustenmukaisuuden arviointi.
Maahantuojan tärkeimpiä velvollisuuksia
- varmistaa, että järjestelmä täyttää asetuksen vaatimukset ennen sen saattamista markkinoille
- säilyttää ja varmistaa, että tarvittavat asiakirjat ovat toimivaltaisten viranomaisten saatavilla
- toteuttaa korjaavia toimenpiteitä
- ilmoittaa toimivaltaisille viranomaisille, jos havaitaan vaatimusten vastaisuutta
- yhteistyö toimivaltaisten viranomaisten kanssa.
Jakelijan tärkeimpiä velvollisuuksia
- varmistaa, että järjestelmä täyttää asetuksen vaatimukset ennen sen saattamista markkinoille
- säilyttää ja varmistaa, että tarvittavat asiakirjat ovat toimivaltaisten viranomaisten saatavilla
- toteuttaa korjaavia toimenpiteitä
- ilmoittaa toimivaltaisille viranomaisille, jos havaitaan vaatimusten vastaisuutta
- yhteistyö toimivaltaisten viranomaisten kanssa.
Käyttöönottajan tärkeimpiä velvollisuuksia
- käyttää järjestelmää sen käyttöohjeiden ja -tarkoituksen mukaisesti
- valvoa järjestelmän toimintaa ja raportoida poikkeavuudet.
