AI w placówkach medycznych najwięcej daje tam, gdzie personel traci czas na papierologię: streszczenia, korespondencję z pacjentami, szkice notatek i porządkowanie dokumentacji. Granica przebiega przy decyzjach klinicznych. Diagnozy i zalecenia leczenia zostają po stronie lekarza, a system, który miałby w nich uczestniczyć, wchodzi w zupełnie inny reżim prawny.
Ten artykuł jest dla dyrektorów placówek, kierowników IT i inspektorów ochrony danych w przychodniach, sieciach klinik i szpitalach. Pokazujemy konkretne zastosowania administracyjne, czerwone linie i powody, dla których dane pacjentów lepiej przetwarzać na serwerze w Polsce niż przez publiczne API. Stan prawny na listopad 2026 r. Artykuł ma charakter informacyjny i nie stanowi porady prawnej ani medycznej.
Gdzie AI w placówkach medycznych realnie pomaga
Najbezpieczniejsze i najszybciej zwracające się zastosowania to te, w których model przygotowuje szkic, a człowiek go sprawdza i zatwierdza:
- Streszczenia dokumentacji. Model zbiera z wcześniejszych wypisów, wyników i skierowań zwięzłe podsumowanie, które lekarz przegląda przed wizytą. To skrót do dokumentów źródłowych, a nie ich zastępstwo.
- Komunikacja z pacjentami. Szkice odpowiedzi na pytania organizacyjne (godziny, przygotowanie do badania, przełożenie wizyty), przypomnienia, wiadomości po wizycie. Bez porad medycznych i z jasną informacją, że odpowiada system AI.
- Wsparcie kodowania. Propozycje kodów ICD-10 i procedur na podstawie opisu wizyty, które koder lub lekarz weryfikuje przed rozliczeniem. Model przyspiesza wyszukiwanie, a nie przejmuje odpowiedzialności za kod.
- Transkrypcja i szkic notatki z wizyty. Nagranie rozmowy, za wiedzą i zgodą pacjenta, zamienione na tekst i ustrukturyzowany szkic notatki do poprawienia i podpisania przez lekarza. Technicznie opisujemy to w artykule o transkrypcji na własnym serwerze (Whisper + LLM).
- Procedury wewnętrzne. Asystent, który odpowiada na pytania personelu na podstawie regulaminów, instrukcji sterylizacji czy procedur rejestracji, z odnośnikiem do źródła.
Czerwone linie: czego AI nie powinno robić
Kłopot zaczyna się, gdy narzędzie administracyjne niepostrzeżenie zaczyna wpływać na decyzje kliniczne. Kilka zasad, których warto się trzymać:
- Żadnej autonomicznej diagnozy ani zaleceń leczenia. Model językowy może się mylić w sposób przekonujący. Jeśli szkic notatki zawiera rozpoznanie, musi ono pochodzić od lekarza, a nie z sugestii modelu.
- Żadnego triażu pacjentów bez walidacji. Kierowanie pacjentów według pilności to decyzja kliniczna, nie organizacyjna.
- Żadnych porad medycznych w chatbocie. Chatbot rejestracji odpowiada na pytania o wizyty i przekierowuje do personelu, gdy pytanie dotyczy zdrowia.
Te zasady mają też podstawę regulacyjną. Oprogramowanie przeznaczone do diagnozowania, monitorowania lub wspierania decyzji terapeutycznych może być wyrobem medycznym w rozumieniu rozporządzenia MDR, z oceną zgodności i oznakowaniem CE. System AI, który jest takim wyrobem lub jego elementem, może podlegać wymogom AI Act dla systemów wysokiego ryzyka. Po zmianach z lipca 2026 r. (rozporządzenie (UE) 2026/1744) obowiązki dla systemów wbudowanych w produkty regulowane, w tym wyroby medyczne, stosuje się od 2 sierpnia 2028 r. Załącznik III AI Act wymienia też osobno m.in. systemy do triażu pacjentów w nagłych przypadkach. Klasyfikacja zależy od przeznaczenia określonego przez producenta i sposobu użycia, więc każdy przypadek graniczny warto skonsultować z prawnikiem znającym MDR.
| Zastosowanie | Poziom ryzyka | Warunek bezpiecznego użycia |
|---|---|---|
| Streszczenie dokumentacji przed wizytą | Niski–średni | Lekarz ma dostęp do źródeł, streszczenie nie trafia do dokumentacji bez weryfikacji |
| Odpowiedzi na pytania organizacyjne pacjentów | Niski | Informacja o AI, przekierowanie pytań zdrowotnych do personelu |
| Propozycje kodów ICD-10 | Średni | Weryfikacja przez kodera lub lekarza przed rozliczeniem |
| Szkic notatki z nagrania wizyty | Średni | Wiedza i zgoda pacjenta, poprawa i podpis lekarza, krótka retencja nagrań |
| Sugestie diagnozy lub leczenia | Wysoki | Poza zakresem narzędzi administracyjnych. Możliwy reżim MDR i AI Act |
Dane o zdrowiu w RODO: kategoria szczególna
Dane o zdrowiu należą do szczególnych kategorii danych z art. 9 RODO. Placówka przetwarza je zwykle na podstawie przepisów o udzielaniu świadczeń zdrowotnych, ale każde nowe narzędzie to nowy sposób przetwarzania, który trzeba przeanalizować. W praktyce oznacza to:
- Ocenę skutków (DPIA) przed wdrożeniem. Przetwarzanie danych medycznych nowymi technologiami to typowy przypadek, w którym jest ona wymagana.
- Minimalizację. Do streszczenia wizyty kontrolnej model nie potrzebuje całej historii leczenia. Zakres danych przekazywanych do modelu powinien wynikać z celu.
- Kontrolę dostępu według ról. Rejestracja, lekarz i dział rozliczeń widzą różne dane. Asystent AI musi respektować te same uprawnienia co system gabinetowy.
- Logi i retencję. Prompty i odpowiedzi zawierają dane pacjentów. Trzeba określić, gdzie są przechowywane, kto ma do nich wgląd i kiedy są usuwane.
- Tajemnicę lekarską. Przekazanie danych zewnętrznemu dostawcy modelu to powierzenie, które musi się mieścić w przepisach o tajemnicy i dokumentacji medycznej.
Pełne zestawienie wymogów RODO, AI Act, NIS2 i DORA dla systemów AI opisujemy w artykule AI a dane firmowe w UE.
Dlaczego serwer w Polsce, a nie publiczne API
Publiczne API to łańcuch podmiotów przetwarzających, często z przetwarzaniem poza EOG i retencją określoną przez dostawcę. Przy danych medycznych każde z tych ogniw trzeba uzasadnić w DPIA i w umowie powierzenia. Model open-weight na serwerze GPU w polskiej serwerowni upraszcza ten obraz: dane nie wychodzą poza infrastrukturę, którą kontrolujesz, a logi i wersję modelu konfigurujesz sam.
Dochodzi do tego cyberbezpieczeństwo. Ochrona zdrowia jest jednym z sektorów objętych dyrektywą NIS2, wdrażaną w Polsce nowelizacją ustawy o krajowym systemie cyberbezpieczeństwa, która obowiązuje od 3 kwietnia 2026 r. Placówki objęte przepisami muszą zarządzać ryzykiem łańcucha dostaw, a system AI z dostępem do danych pacjentów jest jego częścią. Jeśli nie wiesz, czy przepisy Cię obejmują, zacznij od audytu NIS2. Zobacz, jak zabezpieczyliśmy sieć 30 placówek medycznych.
Sprzętowo zastosowania administracyjne nie wymagają dużej infrastruktury. Transkrypcja i model średniej wielkości do streszczeń zwykle mieszczą się na jednym GPU. Większy model lub obsługa wielu placówek równocześnie to kwestia doboru karty, nie zmiany architektury.
Jak zacząć wdrożenie AI w placówkach medycznych
- Wybierz jedno zastosowanie administracyjne o wyraźnym koszcie czasu, np. odpowiedzi na pytania organizacyjne albo streszczenia przed wizytą.
- Przeprowadź DPIA z inspektorem ochrony danych i ustal zakres danych przekazywanych do modelu.
- Uruchom pilotaż w jednej placówce, z obowiązkową weryfikacją każdego wyniku przez personel.
- Skonfiguruj logowanie, retencję i uprawnienia, zanim do systemu trafią dane wszystkich pacjentów.
- Przeszkol personel: co narzędzie robi, czego nie robi i jak zgłaszać błędy.
FAQ: najczęściej zadawane pytania
Czy lekarz może używać ChatGPT do dokumentacji medycznej?
Wklejanie danych pacjentów do publicznego narzędzia na prywatnym koncie narusza zasady ochrony danych i tajemnicy lekarskiej. Narzędzie AI do dokumentacji musi mieć umowę powierzenia, ocenę skutków i kontrolowaną lokalizację przetwarzania. Najprostszy sposób to model uruchomiony na infrastrukturze placówki lub w polskiej serwerowni. Więcej o tym ryzyku piszemy w artykule o wycieku danych do publicznych AI.
Czy AI może stawiać diagnozy?
Narzędzia administracyjne nie powinny. Oprogramowanie wspierające diagnozę może być wyrobem medycznym w rozumieniu MDR i podlegać wymogom AI Act dla systemów wysokiego ryzyka, z oceną zgodności przed wprowadzeniem do użytku.
Czy do nagrywania wizyty na potrzeby transkrypcji potrzebna jest zgoda pacjenta?
Pacjent powinien wiedzieć o nagrywaniu i jego celu. Podstawę prawną, treść informacji i okres przechowywania nagrań ustal z inspektorem ochrony danych przed uruchomieniem pilotażu.
Czy przychodnia podlega NIS2?
Ochrona zdrowia jest sektorem objętym NIS2. Czy konkretna placówka jest podmiotem kluczowym lub ważnym, zależy od jej wielkości i rodzaju działalności. Placówki same oceniają, czy spełniają kryteria.
Chcesz uruchomić AI do zadań administracyjnych bez wysyłania danych pacjentów poza Polskę? Zobacz serwery GPU w naszej serwerowni Tier III z certyfikatem ISO 27001 i skontaktuj się z nami. Dobierzemy sprzęt, uruchomimy model i pomożemy przygotować środowisko pod DPIA i NIS2.