Kto odpowiada za błąd AI w szpitalu i przychodni?

Za decyzję kliniczną odpowiada zawsze lekarz lub inny uprawniony specjalista, bez względu na to, czy przy jej podejmowaniu używał systemu AI. Algorytm nie jest podmiotem leczniczym, więc prawo nie przenosi na niego odpowiedzialności za skutki leczenia. Placówka odpowiada za dobór narzędzi i organizację pracy, a dostawca za to, czy jego system działa zgodnie z tym, co zadeklarował w dokumentacji i uzyskał w certyfikacji.

Lekarz nie może zasłonić się "tak powiedział algorytm"

To najczęstsze nieporozumienie, z którym się spotykamy w rozmowach z personelem placówek. Lekarze pytają, czy korzystanie z AI w diagnostyce jakoś ich "odciąża" prawnie. Nie odciąża.

Ustawa o zawodach lekarza i lekarza dentysty wymaga, żeby lekarz działał zgodnie z aktualną wiedzą medyczną i samodzielnie podejmował decyzje kliniczne. Jeśli algorytm zaproponował błędną diagnozę, a lekarz ją przyjął bez weryfikacji, popełnił błąd lekarski. Nie algorytm. Sądy i rzecznicy praw pacjenta traktują rekomendacje AI jak każde inne narzędzie diagnostyczne: tak jak z EKG albo wynikiem laboratoryjnym, lekarz ma obowiązek ocenić wynik, nie po prostu przepisać go do karty pacjenta.

Praktycznie wygląda to tak: gdy inspektor NFZ albo rzecznik praw pacjenta pyta "dlaczego postawiono taką diagnozę?", dokumentacja medyczna musi pokazywać rozumowanie lekarza. Sam zapis "system AI zasugerował X" niczego nie broni. Co więcej, jeśli lekarz w dokumentacji napisał tylko "algorytm wskazał na Y" bez własnej oceny, może to zostać odczytane jako zaniechanie samodzielnej decyzji klinicznej.

Dobrą praktyką jest wprowadzenie do systemu HIS pola "wspomaganie AI": z podaniem nazwy i wersji systemu oraz krótką adnotacją lekarza, dlaczego zaakceptował lub odrzucił rekomendację. To jedno pole robi dużą różnicę w razie sporu.

Placówka odpowiada za dobór narzędzia i organizację wdrożenia

Nawet gdy błąd popełnił konkretny lekarz, placówka może być współodpowiedzialna. Dzieje się tak, gdy:

• wdrożony system AI nie posiada certyfikatu CE jako wyrób medyczny, a powinien go mieć (przy zastosowaniach diagnostycznych to najczęściej klasa IIa lub wyższa w rozumieniu rozporządzenia MDR 2017/745),
• personel nie przeszedł szkolenia z zasad działania i ograniczeń systemu, albo szkolenie nie zostało potwierdzone dokumentem,
• brak wewnętrznej procedury (SOP) opisującej, kiedy i jak lekarz może opierać się na rekomendacji AI, a kiedy musi działać niezależnie,
• lekarze korzystają z zewnętrznych narzędzi AI z własnej inicjatywy, bez zgody dyrekcji i bez weryfikacji certyfikatów.

U jednego z naszych klientów, przychodni specjalistycznej, audyt wewnętrzny ujawnił, że lekarze od kilku miesięcy używali komercyjnego narzędzia do wstępnej analizy zdjęć RTG. Narzędzie nie miało certyfikatu wyrobu medycznego. Nikt tego nie sprawdził przy zakupie, bo system był "tylko pomocniczy". Sam ten fakt wystarczyłby do poważnych problemów przy ewentualnym postępowaniu. Dyrekcja dowiedziała się o wdrożeniu dopiero podczas audytu.

Co zmienia unijny AI Act od 2026 roku

Od 2 sierpnia 2026 roku AI Act nakłada konkretne obowiązki na podmioty wdrażające systemy AI wysokiego ryzyka. Systemy AI używane w diagnostyce medycznej należą właśnie do tej kategorii. Dla dyrektora placówki najważniejsze punkty to:

• Dostawca musi przekazać dokumentację techniczną i dziennik zdarzeń (logi systemowe). Jeśli dostawca odmawia lub nie ma takich dokumentów, to sygnał ostrzegawczy przed podpisaniem umowy.
• Placówka jako "deployer" ma obowiązek przeprowadzić ocenę ryzyka przed uruchomieniem systemu w środowisku klinicznym i udokumentować tę ocenę.
• Obowiązkowe jest prowadzenie rejestru stosowania systemu AI, dostępnego dla organów nadzoru podczas kontroli.
• Personel musi mieć zapewniony realny nadzór nad systemem: techniczną możliwość odrzucenia rekomendacji AI i eskalacji decyzji do wyższego poziomu.

AI Act nie tworzy nowej "odpowiedzialności algorytmu". Ale jeśli placówka naruszy jego wymogi, naraża się na sankcje administracyjne nakładane przez krajowy organ nadzoru. To oddzielna ścieżka ryzyka od odpowiedzialności za błąd leczniczy, i działa niezależnie od tego, czy doszło do szkody po stronie pacjenta.

Kiedy możesz pociągnąć dostawcę do odpowiedzialności

Dostawca systemu odpowiada za produkt, nie za decyzję kliniczną. Możesz dochodzić roszczeń, gdy:

• system działał niezgodnie z deklarowaną specyfikacją techniczną (np. producent opisał czułość wykrywania danej zmiany jako wymaganą przez normę, a w praktyce system jej nie osiąga),
• produkt miał wadę, o której dostawca wiedział i nie poinformował klientów w aktualizacji dokumentacji,
• dostawca naruszył wymagania rozporządzenia MDR 2017/745 lub AI Act, co doprowadziło do szkody.

Tu jest jednak istotna pułapka. Wiele umów z dostawcami oprogramowania AI zawiera rozbudowane klauzule ograniczenia odpowiedzialności. Standardowy zapis "oprogramowanie dostarczane jest w stanie, w jakim się znajduje, bez gwarancji przydatności do konkretnego celu" próbuje zdjąć z dostawcy odpowiedzialność za skutki kliniczne. Takie klauzule nie zawsze są skuteczne w polskim prawie, szczególnie gdy skutek był poważny i wynikał z wady produktu. Ale ich zakwestionowanie wymaga postępowania sądowego, nie rozmowy przez telefon z opiekunem klienta. Dlatego negocjowanie tych zapisów przed podpisaniem umowy, z pomocą prawnika specjalizującego się w prawie medycznym lub IT, jest po prostu tańsze.

Co musi znaleźć się w umowie z dostawcą, zanim ją podpiszesz

Kilka elementów, które sprawdzamy w każdej umowie na system AI dla placówki medycznej:

• Opis klinicznego przeznaczenia systemu: do jakich decyzji i w jakim zakresie system jest certyfikowany lub zwalidowany przez producenta.
• Numer ewidencyjny w bazie EUDAMED: jeśli system jest zakwalifikowany jako wyrób medyczny, musi tam figurować. Brak numeru przy deklarowanym zastosowaniu diagnostycznym to poważna nieprawidłowość.
• Zakres SLA i procedura na awarie: co dzieje się, gdy system przestaje działać w środku ostrego dyżuru, kto jest odpowiedzialny za przywrócenie działania i w jakim czasie.
• Polityka aktualizacji modelu: czy dostawca może zmienić zachowanie algorytmu bez Twojej wiedzy i zgody. Przy systemach SaaS z modelami aktualizowanymi automatycznie to częsty problem, który może sprawić, że system, który zwalidowałeś, nagle działa inaczej.
• Umowa powierzenia przetwarzania danych osobowych: zgodna z RODO, z jasnym wskazaniem, czy dane pacjentów mogą być użyte do dalszego treningu modelu.
• Klauzule odpowiedzialności: jakie są limity odszkodowania, czy obejmują szkody pośrednie, i co rozumie się pod pojęciem "wady produktu".

Typowo wygląda to tak, że dostawcy przysyłają swój standardowy wzór umowy, napisany wyłącznie z myślą o ochronie dostawcy. Negocjowanie tych punktów przed podpisaniem jest standardową praktyką w każdym poważnym przetargu, nie przejawem nadmiernej ostrożności.

Jak dokumentować użycie AI, żeby mieć ochronę w razie sporu

Dokumentacja to jedyna realna ochrona, gdy dojdzie do postępowania. Cztery rzeczy, które warto wprowadzić zanim system AI trafi do pracy klinicznej:

• Pole "wspomaganie AI" w dokumentacji medycznej, z nazwą systemu, wersją modelu i adnotacją lekarza.
• Wewnętrzna procedura (SOP) opisująca, kiedy lekarz może oprzeć decyzję na rekomendacji AI, a kiedy musi działać niezależnie, z podpisami kierownika jednostki i ordynatora.
• Odrębny rejestr zdarzeń niepożądanych związanych z AI (nie łącz z ogólnym rejestrem zdarzeń). AI Act będzie tego wymagał od podmiotów wdrażających.
• Potwierdzenie odbycia szkolenia z obsługi systemu AI wpisane do akt pracowniczych każdego użytkownika, nie tylko ustna informacja na zebraniu.

Jedno zdanie, które warto zapamiętać: logi systemowe dostawcy to nie to samo, co Twoja dokumentacja. Nie zakładaj, że "dostawca to ma". Dostawca przechowuje dane zgodnie ze swoją polityką, nie Twoimi potrzebami dowodowymi.

Od czego zaczynamy

Zanim jakikolwiek system AI trafi do pracy klinicznej, sprawdź trzy rzeczy: czy ma właściwy certyfikat, czy umowa z dostawcą zawiera realny zakres odpowiedzialności za produkt, oraz czy masz gotowe procedury i potwierdzenia szkoleń dla personelu. Jeśli chcesz wiedzieć, gdzie jesteś teraz, możemy pomóc: bezpłatny audyt obejmuje weryfikację certyfikatów, przegląd umów i wskazanie luk w dokumentacji wewnętrznej. Możesz też zobaczyć, jak te kwestie wyglądały w praktyce, przeglądając realne wdrożenia w innych placówkach.