Chatboty i treści generowane przez AI w placówce medycznej – nowe obowiązki od 2 sierpnia 2026 r.

Dostawca systemu AI przeznaczonego do bezpośredniej interakcji z człowiekiem powinien zaprojektować i rozwinąć go w taki sposób, aby osoba korzystająca z rozwiązania została poinformowana, że kontaktuje się z AI. Informacja powinna zostać przekazana jasno i w sposób możliwy do odróżnienia od pozostałych komunikatów, najpóźniej na początku pierwszej interakcji.

Obowiązek nie znajduje zastosowania, jeżeli z punktu widzenia przeciętnej, właściwie poinformowanej i uważnej osoby jest oczywiste, że rozmówcą jest system AI. Wyjątek ten należy jednak interpretować ostrożnie. Sam fakt, że kontakt odbywa się przez stronę internetową, aplikację lub automatyczną infolinię, nie musi oznaczać, że pacjent rozpoznaje wykorzystanie sztucznej inteligencji.

W praktyce placówki medycznej regulacja może dotyczyć między innymi:

• chatbota odpowiadającego na pytania pacjentów;

• voicebota prowadzącego rozmowę telefoniczną;

• wirtualnego asystenta pomagającego umówić, przełożyć lub odwołać wizytę;

• narzędzia przekazującego informacje o przygotowaniu do badania lub dostępnych świadczeniach;

• asystenta prowadzącego dwustronną rozmowę z pacjentem na stronie internetowej albo w aplikacji.

Nie każde narzędzie automatyzujące kontakt jest jednak systemem AI objętym tym obowiązkiem. Zgodnie z wytycznymi Komisji Europejskiej musi ono rzeczywiście spełniać definicję systemu AI, umożliwiać bezpośrednią i dwustronną interakcję z osobą fizyczną oraz samodzielnie komunikować się z nią, a nie jedynie zbierać dane albo wyświetlać wcześniej przygotowane odpowiedzi.

Art. 50 ust. 1 AI Act kieruje obowiązek odpowiedniego zaprojektowania systemu przede wszystkim do jego dostawcy. Placówka korzystająca z gotowego rozwiązania występuje zazwyczaj jako podmiot stosujący system AI, a nie jego dostawca.

Nie oznacza to jednak, że może pominąć ten obszar podczas wdrożenia. Placówka powinna ustalić, czy:

• komunikat o kontakcie z AI rzeczywiście pojawia się na początku rozmowy,

• informacja jest zrozumiała dla pacjenta i dostępna także dla osób ze szczególnymi potrzebami,

• komunikat działa we wszystkich kanałach, np. na stronie, w aplikacji i podczas połączenia telefonicznego,

• umowa określa, kto odpowiada za treść, aktualizację oraz techniczne wyświetlanie lub odtwarzanie informacji,

• dostawca zapewnia możliwość wykazania zgodności rozwiązania z AI Act.

Placówka może sama uzyskać status dostawcy, jeżeli opracuje system, zleci jego opracowanie i udostępni go pod własną nazwą lub znakiem towarowym. Status i zakres odpowiedzialności trzeba więc ocenić na podstawie rzeczywistego modelu wdrożenia, a nie wyłącznie nazwy wskazanej w umowie.

Sprawdź też: Odpowiedzialne stosowanie AI w placówce medycznej: dokumentacja, RODO, KEL i Akt o AI

Od 2 sierpnia 2026 r. podmiot stosujący system AI powinien ujawnić, że rozpowszechniany obraz, materiał dźwiękowy lub wideo stanowi deepfake. Za deepfake uznaje się treść wygenerowaną lub zmodyfikowaną przez AI, która przypomina istniejącą osobę, przedmiot, miejsce, podmiot lub zdarzenie i może fałszywie sprawiać wrażenie autentycznej albo zgodnej z rzeczywistością.

Obowiązek może mieć znaczenie np. wtedy, gdy placówka wykorzystuje wygenerowaną cyfrowo wypowiedź lekarza, realistyczny wizerunek pacjenta, syntetyczne nagranie głosu albo materiał przedstawiający sytuację, która w rzeczywistości nie miała miejsca.

Oznaczenie powinno być widoczne lub słyszalne dla odbiorcy najpóźniej przy pierwszym kontakcie z materiałem. Nie wystarczy polegać wyłącznie na technicznym, maszynowo odczytywalnym oznaczeniu umieszczonym przez dostawcę narzędzia.

Obowiązek przejrzystości obejmuje również niektóre teksty wygenerowane lub istotnie zmodyfikowane przez AI, jeżeli są publikowane w celu informowania społeczeństwa o sprawach interesu publicznego.

Komisja Europejska wskazuje, że do takich spraw należy m.in. zdrowie publiczne. Regulacja może więc dotyczyć nie tylko komunikatów władz lub instytucji publicznych, lecz także publikowanych przez placówkę materiałów o profilaktyce, zagrożeniach zdrowotnych, epidemiach, bezpieczeństwie pacjentów lub zasadach korzystania ze świadczeń.

Nie każdy tekst przygotowany przy pomocy AI trzeba jednak oznaczać. Obowiązek nie ma zastosowania, gdy treść została poddana rzeczywistej kontroli człowieka lub kontroli redakcyjnej, a konkretna osoba albo organizacja ponosi odpowiedzialność za jej publikację.

Kontrola powinna dotyczyć warstwy merytorycznej – wiarygodności informacji, prawidłowości źródeł i zasadności przedstawionych wniosków. Samo poprawienie pisowni, stylistyki lub gramatyki nie jest wystarczającą kontrolą redakcyjną.

Dla placówki oznacza to potrzebę ustalenia, kto:

• przygotowuje materiały przy użyciu AI,

• sprawdza je pod względem medycznym i prawnym,

• zatwierdza treść przed publikacją,

• ponosi odpowiedzialność redakcyjną,

• decyduje, czy materiał wymaga oznaczenia.

W pierwszej kolejności placówka powinna zinwentaryzować chatboty, voiceboty i wirtualnych asystentów kontaktujących się z pacjentami oraz ustalić, które z tych narzędzi rzeczywiście spełniają definicję systemu AI. Warto również przeprowadzić próbny kontakt z każdym systemem i odnotować, kiedy oraz w jaki sposób pojawia się komunikat o wykorzystaniu AI.

Kolejnym krokiem powinno być zweryfikowanie umów i podziału odpowiedzialności między placówką a dostawcą rozwiązania. Należy także sprawdzić, czy AI jest wykorzystywana do tworzenia obrazów, nagrań, filmów lub głosu, a następnie przeanalizować proces publikowania materiałów dotyczących profilaktyki i zdrowia publicznego.

Placówka powinna ponadto wprowadzić obowiązek merytorycznej kontroli treści generowanych przez AI oraz dokumentować wyniki przeprowadzonych weryfikacji i wszystkie wprowadzone zmiany.

Data 2 sierpnia 2026 r. nie oznacza rozpoczęcia stosowania wszystkich wymagań AI Act, lecz stanowi kolejny etap wdrażania rozporządzenia – przede wszystkim w zakresie obowiązków przejrzystości. 

Po zmianie harmonogramu obowiązki dla samodzielnych systemów AI wysokiego ryzyka mają być stosowane od 2 grudnia 2027 r., natomiast dla systemów wbudowanych w produkty objęte unijnymi przepisami sektorowymi – od 2 sierpnia 2028 r. Druga z tych kategorii może obejmować część systemów AI będących wyrobami medycznymi lub elementami bezpieczeństwa takich wyrobów.