Duże modele AI i unijne regulacje: co kodeks GPAI zmienia dla polskich placówek medycznych

Przez lata duże modele językowe działały bez twardych reguł gry. To się kończy. Unia Europejska wdraża przepisy AI Act, a ich centralnym elementem dla modeli AI ogólnego przeznaczenia jest Kodeks Praktyk GPAI. Firmy, które chcą oferować swoje systemy na rynku europejskim, muszą publicznie określić, jak zarządzają bezpieczeństwem, ryzykiem i przejrzystością. Część największych dostawców już to zrobiła. Kodeks nie jest jednorazową deklaracją, lecz zobowiązaniem do raportowania i poddania się nadzorowi.

Równolegle działa osobny kodeks dotyczący treści generowanych przez AI — skupiony na tym, żeby użytkownicy wiedzieli, kiedy mają do czynienia z tekstem albo obrazem stworzonym przez maszynę. Oba dokumenty powstały w szerokich konsultacjach z branżą, badaczami i regulatorami. Efekt jest taki, że dostawca modelu bierze teraz odpowiedzialność nie tylko za to, co model potrafi, ale też za to, czego nie potrafi i jakie ma ograniczenia.

Co to oznacza dla polskich placówek medycznych (szpitale, przychodnie, apteki, gabinety)

Medycyna jest w AI Act wprost wymieniona jako sektor wysokiego ryzyka. Każdy system AI, który wspiera diagnozowanie, analizę wyników badań czy podejmowanie decyzji klinicznych, podlega ostrzejszym wymaganiom. Dostawca musi dokumentować, jak model działa i gdzie leżą jego granice. Jako placówka macie prawo żądać tej dokumentacji przed podpisaniem umowy.

Wymogi przejrzystości dotyczą też treści generowanych przez AI. Korzystacie z narzędzi tworzących dokumentację medyczną, podsumowania wypisów czy odpowiedzi do pacjentów? Może pojawić się obowiązek oznaczania takich materiałów. To bezpośrednio dotyka odpowiedzialności lekarza i prawnej ochrony placówki.

Zmiana przesuwa też ciężar odpowiedzialności w górę łańcucha. Dotychczas wyegzekwowanie czegokolwiek od zagranicznego dostawcy modelu było bardzo trudne. Teraz dostawcy sami deklarują zgodność i poddają się mechanizmom kontroli. Dla waszego działu prawnego lub IT to sygnał: przy wyborze narzędzi AI sprawdzajcie, czy dostawca faktycznie przystąpił do kodeksu i co konkretnie z tego wynika.

• Zamówienia publiczne: specyfikacje przetargów w Europie coraz częściej wymagają zgodności z AI Act — warto budować odpowiednie zapisy w umowach już teraz.
• Dokumentacja techniczna: żądajcie od dostawców tzw. systemic risk documentation, nie tylko ulotek marketingowych.
• Treści AI w kontakcie z pacjentem: ustalcie wewnętrznie, co wymaga oznaczenia jako wygenerowane przez AI.

Regulacje GPAI nabierają twardości stopniowo. Ale placówki, które zaczekają na ostatni moment, będą miały mniej czasu na weryfikację dostawców i poprawki w umowach. Jeśli chcecie sprawdzić, jak wasza placówka wypada pod kątem gotowości na wymagania AI Act, zapraszamy na bezpłatny audyt.