Nedan beskrivs kraven på AI-system med hög risk och deras samband med MDR/IVDR-kraven med tanke på leverantörens skyldigheter. Obs! Alla hänvisningar till ”tillverkare” enligt MDR/IVDR ska förstås som hänvisningar till ”leverantör” enligt förordningen om artificiell intelligens. Alla krav som gäller AI-system med hög risk samt skyldigheterna för leverantörer och tillhandahållare av AI-system med hög risk samt andra parter finns i kapitel 3, avsnitt 2 och 3 i förordningen om artificiell intelligens.
Kontrollsystem:
Förordningen om artificiell intelligens medför utöver MDR och IVDR ytterligare krav på hanteringssystem för MDAI-system med hög risk. Till dessa hör ett systemspecifikt kvalitetsstyrningssystem (AIA, artikel 17), som omfattar datahantering, transparens och mänsklig tillsyn samt kontinuerlig och iterativ riskhantering (AIA, artikel 9), som också omfattar risker i anslutning till de grundläggande rättigheterna och bias i data. Dessutom betonar förordningen om artificiell intelligens eftermarknadsuppföljning särskilt för system som lär sig efter ibruktagandet.
Teknisk dokumentation:
MDR, IVDR och förordningen om artificiell intelligens förutsätter att omfattande teknisk dokumentation om MDAI-systemen lämnas in. MD- och IVD-inställningarna kräver detaljerade beskrivningar av programvaran, programvaruarkitekturen, databehandlingsmetoderna och riskhanteringsstrategierna. Förordningen om artificiell intelligens förutsätter å sin sida tilläggsdokumentation som fokuserar på transparens och ansvarsfullhet. I detta ingår bland annat riskbedömningar, informationshanteringsmetoder samt resultat från prestandatest av MDAI-system med hög risk. Förordningen om artificiell intelligens kräver att det för MDAI-system med hög risk utarbetas en sammanställning av teknisk dokumentation som innehåller de uppgifter i teknisk dokumentation som krävs både i förordningarna om medicintekniska produkter och förordningen om artificiell intelligens (AIA, artikel 11, punkt 2). I MDCG/AIB-anvisningen 2025-6 ges praktiska råd om hur man kombinerar kraven i MD/IVD-förordningarna och förordningen om artificiell intelligens till en teknisk fil.
Data och datahantering:
MDR och IVDR förutsätter att kliniska data är tillförlitliga och representerar produktens avsedda användningsändamål. AIA å sin sida ställer krav på datakvalitet, datahantering och transparens (AIA, artikel 10). Utbildnings-, validerings- och testdata för MDAI-system med hög risk ska ha lämpliga statistiska egenskaper och data ska vara så felfria, representativa och ändamålsenliga som möjligt. Dataskyddet och datans ursprungliga användningsändamål ska vara öppet dokumenterade. Tillverkarna ska genomföra förfaranden för att säkerställa datans integritet och identifiering samt förhindra/lindra eventuell bias.
Insamling av logguppgifter:
AIA förutsätter att ett MDAI-system med hög risk automatiskt registrerar logguppgifter under hela sin livstid för att säkerställa spårbarheten (AIA, artikel 12). På så sätt säkerställs uppföljningen av systemets funktion, identifieringen av risker som påverkar de grundläggande rättigheterna och övervakningen efter utsläppandet på marknaden.
Transparens och mänsklig tillsyn:
AIA och MDR/IVDR ålägger skyldigheter i fråga om transparens och mänsklig tillsyn. Tillverkarna ska utforma och utveckla MDAI-system med hög risk på ett sådant sätt att driften av dem är tillräckligt transparent för att tillhandahållare ska kunna tolka resultaten rätt och använda systemet på lämpligt sätt (AIA, artikel 13). Detta förutsätter tydliga och begripliga bruksanvisningar, information om systemets egenskaper, begränsningar och funktionslogik samt dokumentation som stöder beslutens förklarbarhet. Dessutom kräver AIA tekniska lösningar som gör det möjligt för människan att ingripa i kritiska beslut och säkerställer att systemet inte kan kringgå dessa begränsningar (AIA, artikel 14). Dessa skyldigheter kompletterar de grundläggande kraven i MDR/IVDR som betonar tydlig och heltäckande information om produktens syfte, funktion och begränsningar samt dokumentation som stöder spårbarhet och säker användning.
Riktighet, robusthet och cybersäkerhet:
MDR, IVDR och AIA betonar cybersäkerhetens betydelse. Tillverkarna ska implementera tekniska lösningar som förhindrar obehörig åtkomst, attacker och manipulering. AIA förutsätter att MDAI-system med hög risk innehåller tekniska lösningar för sårbarheter som är typiska för artificiell intelligens (AIA, artikel 15). Cybersäkerhet är en del av riskhanteringen, kvalitetsstyrningen och bedömningen av överensstämmelse. MDAI-systemets tillverkare ska skydda överföringen och lagringen av data, förhindra manipulation av modeller och reagera på cybersäkerhetsincidenter. Dessa krav gäller hela produktens livstid och driftsmiljö.
De viktigaste skyldigheterna för leverantörer av AI-system med hög risk och andra aktörer
Alla skyldigheter för leverantörer av AI-system med hög risk finns i kapitel 3, avsnitt 3 i förordningen om artificiell intelligens.
Leverantörens viktigaste skyldigheter
- implementering av riskhanterings- och kvalitetsstyrningssystem
- registrering av uppgifter och iakttagande av transparensskyldigheterna
- testning av systemet och bedömning av överensstämmelse innan det släpps ut på marknaden eller tas i bruk
- uppgifternas kvalitet och teknisk dokumentation
- CE-märkning och EU-försäkran om överensstämmelse
- registreringsskyldighet
- spårbarhet och mänsklig tillsyn
- säkerställande av riktighet, robusthet och cybersäkerhet
- genomförande av korrigerande åtgärder
- samarbeta med behöriga myndigheter.
Ombudens viktigaste skyldigheter
- utföra de uppgifter som anges i uppdraget
- bevara och se till att de behöriga myndigheterna har tillgång till de handlingar som behövs
- registreringsskyldighet enligt behov
- samarbeta med behöriga myndigheter.
Ombudets uppdrag får inte omfatta bl.a. planering och tillverkning av ett AI-system, upprättande av tekniska dokument eller bedömning av överensstämmelse.
Importörens viktigaste skyldigheter
- säkerställa att systemet uppfyller kraven i förordningen innan det släpps ut på marknaden
- bevara och se till att de behöriga myndigheterna har tillgång till de handlingar som behövs
- vidta korrigerande åtgärder
- underrätta de behöriga myndigheterna om man upptäcker att kraven inte uppfylls
- samarbeta med behöriga myndigheter.
Distributörens viktigaste skyldigheter
- säkerställa att systemet uppfyller kraven i förordningen innan det släpps ut på marknaden
- bevara och se till att de behöriga myndigheterna har tillgång till de handlingar som behövs
- vidta korrigerande åtgärder
- underrätta de behöriga myndigheterna om man upptäcker att kraven inte uppfylls
- samarbeta med behöriga myndigheter.
Tillhandahållarens viktigaste skyldigheter
- använda systemet enligt bruksanvisningen och användningsändamålet
- övervaka systemets funktion och rapportera avvikelser.
