اگر امروز یک نرم‌افزار پزشکی تولید می‌کنید، احتمالاً تصور می‌کردید که استانداردهای سخت‌گیرانه ایمنی فعلی برای پذیرش قانون جدید هوش مصنوعی اروپا کافی باشد. اما واقعیت این است که تطبیق این دو چارچوب، شبیه تلاش برای جا انداختن یک قطعه مربع در حفره‌ای گرد است. آیا سیستم‌های مدیریت کیفیت (QMS) موجود واقعاً می‌توانند شکاف میان مقررات تجهیزات پزشکی (MDR) و قانون هوش مصنوعی اتحادیه اروپا (EU AI Act) را پر کنند؟ در حالی که کمیسیون اروپا پیشنهاد می‌کند ارزیابی‌های انطباق MDR تا حد زیادی نیازهای قانون هوش مصنوعی را برآورده می‌کند، یک حسابرسی عملی از این دو چارچوب، پنج شکاف بحرانی را آشکار می‌کند که تولیدکنندگان تجهیزات پزشکی را با یک بارِ انطباقی پنهان روبرو می‌سازد.
این برخورد نظارتی در زمانی رخ می‌دهد که شرکت‌های نرم‌افزار به مثابه تجهیز پزشکی (SaMD) در تلاش‌اند تا پرونده‌های فنی (Technical Files) خود را با قوانین جدید هم‌راستا کنند. برای اکثر این شرکت‌ها، MDR استاندارد طلایی ایمنی است، اما قانون هوش مصنوعی فلسفه متفاوتی از ریسک را معرفی می‌کند که به‌جای تمرکز صرف بر ایمنی بیمار، بر تأثیرات اجتماعی تمرکز دارد. همان‌طور که در تحلیل‌های پیشین ما درباره‌ی حاکمیت داده در مدل‌های زبانی اشاره کردیم، تضاد میان استانداردهای فنی و الزامات حقوقی همواره یک چالش ساختاری است. این رویکرد سخت‌گیرانه در اروپا با مدل‌های دیگر متفاوت است؛ برای مثال، بریتانیا نظارت بر تجهیزات پزشکی AI را از تأیید تک‌مرحله‌ای به مدل چرخهٔ عمر تغییر داده است تا انعطاف‌پذیری بیشتری در نوآوری ایجاد کند.
ابهام در عبارت «تا حدی که»
در مقدمات قانون هوش مصنوعی و راهنمایی‌های مشترک کمیسیون ذکر شده است که اگر یک تجهیز پزشکی تحت پیوست اول (Annex I)، یک سیستم هوش مصنوعی با ریسک بالا باشد، تولیدکننده باید مسیر ارزیابی انطباق MDR را دنبال کند. فرض بر این است که الزامات افقی قانون هوش مصنوعی «تا حدی که» (to the extent) چارچوب MDR آن‌ها را پوشش دهد، برآورده شده‌اند.
طبق گزارشی که در ۱۷ اکتبر ۲۰۲۶ در وب‌سایت dev.to منتشر شد، این عبارت دقیقاً همان جایی است که ابهامی گسترده ایجاد می‌کند. در عمل، اگر یک پرونده فنی MDR پیش از این به مدیریت ریسک، حکمرانی داده‌ها، شفافیت، نظارت انسانی و پایش پس از عرضه پرداخته باشد، قانون هوش مصنوعی نیازی به تکرار (Duplication) این موارد ندارد. با این حال، انتظارات قانون هوش مصنوعی در این حوزه‌ها اغلب بسیار فراتر از کفِ استانداردهای MDR است.
پنج شکاف انطباقی
تولیدکنندگان متوجه شده‌اند که نگاشت (Mapping) بین ماده ۶ (طبقه‌بندی ریسک بالا)، ماده ۱۷ (الزامات QMS) و پرونده فنی MDR، بسیار پیچیده‌تر و آشفته‌تر از آن چیزی است که وعده داده شده بود. پنج حوزه زیر، مهم‌ترین شکاف‌های موجود را نشان می‌دهند:
- مدیریت ریسک (ماده ۹ در برابر ISO 14971): استاندارد ISO 14971 مبتنی بر ریسک و در کل چرخه حیات محصول جاری است. اما ماده ۹ قانون هوش مصنوعی بسیار دستوری‌تر (Prescriptive) است. این ماده دسته‌بندی‌های خاصی از ریسک، از جمله حقوق بنیادین، سوگیری (Bias)، اثرات محیطی و ایمنی را به همراه معیارهای سخت‌گیرانه پذیرش ریسک می‌طلبد. از آنجایی که چارچوب MDR به‌طور طبیعی یک «سجل ریسک حقوق بنیادین» تولید نمی‌کند، شرکت‌ها اکنون در حال اضافه کردن این مورد به عنوان یک سند مجزا هستند که به فایل‌های ISO 14971 ارجاع داده می‌شود. در همین راستا، کمیسیون اروپا تحلیل حوادث کنترل مدل‌های پیشرو را در مرکز توجه قانون هوش مصنوعی قرار داده است تا ریسک‌های سیستمی را بهتر شناسایی کند.
- حکمرانی داده‌ها (ماده ۱۰): در حالی که پیوست ۱۴ MDR داده‌های نماینده و شواهد بالینی را می‌طلبد، ماده ۱۰ بسیار جزئی‌نگرتر است. این ماده معیارهای خاص کیفیت داده، شناسایی سوگیری، منشأ داده‌ها (Data Provenance) و رویه‌های دقیق برچسب‌گذاری (Annotation) را مطالبه می‌کند. این سطح از جزئیات باعث ایجاد مشکل در مکاتبات پیش از ارسال پرونده به نهادهای خبره شده است؛ جایی که پرونده‌های فنی به‌تنهایی نمی‌توانند به پرسش‌های جدید و خاص پاسخ دهند.
- شفافیت (ماده ۱۳ و ۱۶): دستورالعمل‌های استفاده (IFU) در MDR به‌خوبی شناخته شده‌اند، اما قانون هوش مصنوعی لایه‌ای جدید اضافه کرده است. دستورالعمل‌ها باید موجز، کامل، صحیح و شفاف باشند. طبق ماده ۱۶، ارائه‌دهندگان باید اطلاعات خاصی درباره ویژگی‌ها، قابلیت‌ها و محدودیت‌های سیستم به استقرارکنندگان (Deployers) ارائه دهند. این اطلاعات اغلب در قالب IFU نمی‌گنجد و مستلزم ایجاد مستندات جدیدی است که مخاطب آن استقرارکننده سیستم است.
- نظارت انسانی (ماده ۱۴): مفهوم «هدف مورد نظر» و «کاربر» در MDR محدودتر از مدل قانون هوش مصنوعی است. ماده ۱۴ الزام می‌کند که سیستم در حین استفاده، به‌طور مؤثر توسط اشخاص حقیقی نظارت شود. این امر مستلزم انتخاب‌های طراحی خاصی است—مانند کلیدهای قطع اضطراری (Kill Switches)، رابط‌های توضیحی (Explanation Interfaces) و مکانیسم‌های لغو دستور (Override)—که MDR معمولاً برای اکثر SaMDها چنین الزاماتی ندارد.
- پایش پس از عرضه (ماده ۷۲): قانون هوش مصنوعی انتظارات خاص خود را برای پایش پس از عرضه، از جمله نظارت فعال بر حوادث جدی دارد. بازه‌های زمانی گزارش‌دهی در این قانون با چرخه نظارت (Vigilance) و گزارش‌های ایمنی دوره‌ای (PSUR) در MDR هم‌خوانی کامل ندارد. تا زمانی که یک «قانون تفویضی» (Delegated Act) این هم‌راستایی را شفاف کند، برخی شرکت‌ها مجبور شده‌اند دو دفتر ثبت حادثه موازی (Side-by-side incident logs) را مدیریت کنند.
گلوگاه نهادهای خبره (Notified Bodies)
یک نگرانی رو به رشد در مورد خودِ حسابرسان وجود دارد. راهنمای کمیسیون بیان می‌کند که نهاد خبره MDR، ارزیابی انطباق قانون هوش مصنوعی را از طریق مسیر MDR مدیریت می‌کند. در عمل، این بدان معناست که نهادهای خبره در سراسر اتحادیه اروپا در حال ارزیابی الزاماتی هستند که در زمان آموزش اکثر حسابرسان آن‌ها، وجود نداشت.
این وضعیت منجر به ایجاد چک‌لیست‌های حسابرسی متناقض شده است. یک نرم‌افزار پزشکی (SaMD) مشابه ممکن است بسته به اینکه کدام حسابرس پرونده را بررسی می‌کند، با پرسش‌های متفاوتی روبرو شود. به تولیدکنندگان توصیه شده است که برای چرخه‌های حسابرسی طولانی‌تر و تغییرات مکرر در مستندات در طول سال‌های ۲۰۲۵ و ۲۰۲۶ بودجه‌بندی کنند تا زمان لازم برای آموزش حسابرسان فراهم شود.
تغییر استراتژی در QMS
به‌جای ادغام کامل قانون هوش مصنوعی در یک QMS که صرفاً بر MDR متمرکز است، رویکرد پیشنهادی این است که با آن به عنوان یک چارچوب موازی با ارجاعات متقاطع (Cross-references) صریح برخورد شود. این رویکرد مشابه ساختاری است که در تحلیل‌های qmsWrapper درباره قانون هوش مصنوعی برای شرکت‌های تجهیزات پزشکی ارائه شده است.
هدف، ایجاد یک جریان کاری متصل است. وقتی کاربری تغییری را در QMS باز می‌کند، سیستم باید به‌طور خودکار شناسایی کند که کدام مواد قانون هوش مصنوعی برای آن دستگاه در محدوده (In scope) هستند و درخواست به‌روزرسانی ارجاعات مربوطه را بدهد. این یک اتوماسیون فرآیندی در معنای خشک و قابل حسابرسی است که خطای انسانی را کاهش می‌دهد:
- تغییری در فایل مدیریت ریسک یک SaMD باید به‌طور خودکار نگاشت ماده ۹ را علامت‌گذاری کند.
- یک اقدام اصلاحی و پیشگیرانه (CAPA) که به کیفیت داده‌ها مربوط می‌شود، باید بازبینی ماده ۱۰ را فعال کند.
یکپارچگی بومی جریان کاری بین کنترل تغییرات، CAPA و ریسک، تنها چیزی است که مانع از تبدیل شدن شکاف بین این دو چارچوب به یک یافته رسمی (Finding) در زمان حسابرسی می‌شود.
ابهامات باقی‌مانده
پرسش‌های مهمی در مورد نهایی شدن قانون تفویضی باقی مانده است. تا زمان نهایی شدن آن، مشخص نیست که آیا تعهدات پایش پس از عرضه تحت ماده ۷۲ را می‌توان به‌طور کامل از طریق سیستم PSUR و نظارت MDR ایفا کرد یا خیر؛ موضوعی که باعث شده بسیاری از شرکت‌ها به گزارش‌دهی دوگانه ادامه دهند.
برای کسانی که در سوئیس فعالیت می‌کنند، وضعیت پیچیده‌تر است. سوئیس در محدوده نظارتی قانون هوش مصنوعی نیست، اما تجهیزاتی که توسط تولیدکنندگان مستقر در سوئیس به بازار اتحادیه اروپا عرضه می‌شوند، مشمول این قانون هستند. این امر یک رژیم نظارتی تکه‌تکه (Fragmented) برای شرکت‌های سوئیسی ایجاد می‌کند که به دنبال دسترسی به بازار اروپا هستند.
گام بعدی شما
- بازنگری در ماتریس ریسک ISO 14971 و اضافه کردن ستونی برای «حقوق بنیادین» و «سوگیری».
- بررسی مجدد رابط کاربری (UI) برای افزودن مکانیسم‌های نظارت انسانی و override.
- ایجاد یک سیستم ردیابی متقاطع (Cross-reference) بین پرونده فنی MDR و مواد قانون هوش مصنوعی.
اما این چالش‌های قانونی تنها بخشی از ماجراست؛ تأثیر این قوانین بر سرعت نوآوری در استارتاپ‌های MedTech را در گزارش بعدی بررسی خواهیم کرد.
گفتگو