EU MDR ו-AI Act - מה הקשר ואיך מנהלים שני מסלולים במקביל

שאלה שמגיעה אלי יותר ויותר מחברות ישראליות שמפתחות מוצרים מבוססי AI לשוק האירופי: "אוקיי, אנחנו כפופים ל-MDR. אבל גם ל-AI Act? ואיך השניים מתחברים"? זאת שאלה מצוינת, כי הבלבול אמיתי. שתי הרגולציות קיימות, שתיהן חלות במקרים מסוימים, אבל הן לא אותו הדבר ולא בדיוק מכסות אותן שאלות. המאמר הזה עושה לכם סדר.

שתי רגולציות, שתי מטרות שונות

EU MDR 2017/745 מסדיר מכשירים רפואיים: בטיחות, ביצועים, תהליך הגעה לשוק, פיקוח לאחר השוק. MDR לא מדבר על AI ישירות, אבל AI/ML שמיועד לשימוש רפואי הוא מכשיר רפואי לכל דבר, ולכן MDR חל עליו.

EU AI Act (Regulation 2024/1689), שנכנס לתוקף ביוני 2024 ומיושם בשלבים עד 2027, מסדיר מערכות AI לפי רמת סיכון. זו רגולציה של טכנולוגיה, לא של מוצר. היא חלה על מפתחים ומשווקים של מערכות AI בתוך האיחוד האירופי, ללא קשר לתחום.

איפה שתיהן מתכנסות

Annex III של AI Act מגדיר מערכות AI בסיכון גבוה (High-Risk AI). הקטגוריה הראשונה בנספח הזה כוללת מערכות AI שמיועדות לשמש כרכיב בטיחותי במוצרים הכפופים ל-MDR (או ל-IVDR). במילים אחרות: אם ה-AI שלך הוא חלק ממכשיר רפואי הכפוף ל-MDR, הוא כמעט בוודאות High-Risk AI לפי AI Act.

ההשלכה המעשית: מכשיר רפואי עם AI/ML חייב לעמוד גם ב-MDR וגם ב-AI Act. שתיהן.

מה AI Act מוסיף על MDR

  • MDR כבר מחייב הרבה: Clinical Evaluation, Risk Management (ISO 14971), PMS, PMCF, תיעוד טכני. אז מה AI Act מוסיף?

  • Transparency ו-Explainability: AI Act מחייב (לפי Article 13) שמערכות AI High-Risk יהיו מספיק שקופות כדי שמפעיל יוכל להפעיל אותן ולפרש את הפלט שלהן. MDR לא מגדיר זאת באותה מפורשות. בפועל זה אומר: תיעוד של איך האלגוריתם מגיע להחלטה, אילו גורמים משפיעים עליה, ואיזה רמת ביטחון יש בפלט.

  • Human Oversight: Article 14 של AI Act מחייב שמערכות High-Risk יאפשרו לבני אדם לפקח, להתערב, לדחות או לעצור את פלט המערכת. בהקשר רפואי, זה אומר שהמערכת לא יכולה להיות Fully Automated בלי מנגנון ברור שרופא או מטופל יכולים לדחות את ההמלצה.

  • Accuracy, Robustness and Cybersecurity: Article 15 קובע שמערכות High-Risk AI חייבות להיות מדויקות, עמידות (Robust) ומוגנות מסייבר. חלקים מאלה מכוסים ב-MDR (למשל, IEC 62304 לתוכנה ו-IEC 81001-5-1 לאבטחת סייבר), אבל AI Act מוסיף דרישת Robustness ספציפית לאלגוריתמים: עמידות לנתונים חריגים, ל-Distribution Shift (שינוי מאפייני אוכלוסייה לאורך זמן), ולניסיונות מניפולציה.

  • Risk Management System: Article 9 של AI Act מחייב מערכת ניהול סיכונים לאורך כל מחזור חיי המערכת. מי שכבר עובד עם ISO 14971 יכיר את המבנה, אבל AI Act מוסיף דרישות ספציפיות לסיכונים של AI: Bias, כשלים מ-Data Drift, ופגיעות שנובעות מהאלגוריתם עצמו.

מה זה אומר לגבי התיעוד הטכני

MDR מחייב Technical Documentation לפי Annex II ו-Annex III. AI Act מוסיף דרישת Technical Documentation נפרדת לפי Annex IV שלו, שכוללת:

  • תיאור כללי של מערכת ה-AI ומטרתה.

  • תיאור מפורט של מרכיבי המערכת: נתוני אימון, ארכיטקטורת המודל, תהליך האימון.

  • מדדי ביצועים, כולל תוצאות בדיקות על תת-אוכלוסיות.

  • תיאור מערכת ניתוח הסיכונים.

  • תיאור מנגנון ה-Human Oversight.

  • שינויים בגרסאות לאורך מחזור חיי המוצר.

חלק ניכר מהמידע הזה חופף ל-Technical Documentation של MDR. אבל לא הכל. חשוב לבנות מסגרת תיעוד שמשרתת את שתי הרגולציות, כי כפילות מיותרת היא בזבוז, אבל פערים הם בעיה.

מסלול הערכת התאימות: מה משתנה

תחת MDR, מכשיר רפואי Class IIa ומעלה חייב לעבור הערכת תאימות דרך נוטיפייד בודי.

AI Act מוסיף לכאורה שכבה נוספת - הערכת תאימות נפרדת לרכיב ה-AI. אבל כאן יש חדשות טובות.

לפי Article 40 של AI Act, יצרן שכבר עבר הערכת תאימות מלאה לפי MDR, וכלל בה בדיקה של רכיב ה-AI, יכול להסתמך על אותה הגשה גם לצורך עמידה בדרישות AI Act. כלומר אין חובה לעבור שני הליכים נפרדים, בתנאי שדרישות ה-AI Act שולבו במפורש בתיעוד ה-MDR.

בפועל, המשמעות היא שמי שבונה את התיק הרגולטורי שלו נכון מראש, בצורה שמכסה את שתי הרגולציות, יכול להגיע לנוטיפייד בודי עם הגשה אחת שמשרתת את שתיהן.

כדי להקל על היישום המשולב, פרסמה הנציבות האירופית ב-2024 בקשה רשמית לגופי התקינה CEN ו-CENELEC לפתח סטנדרטים שמגשרים בין MDR ל-AI Act. אותם סטנדרטים היו עדיין בפיתוח בתחילת 2026, אך פרסומם צפוי לפשט משמעותית את דרך היישום המעשי.

לוחות זמנים: מתי AI Act חל בפועל

AI Act נכנס לתוקף ב-1 באוגוסט 2024, אבל יישומו מדורג:

  • פברואר 2025: נכנסו לתוקף איסורים על מערכות AI בסיכון בלתי מקובל (Unacceptable Risk).

  • אוגוסט 2026: נכנסות לתוקף חובות על מערכות High-Risk AI, כולל מכשירים רפואיים.

  • אוגוסט 2027: תחולה מלאה, כולל מערכות General Purpose AI.

כלומר, מי שמפתח היום מכשיר רפואי עם AI ומתכוון לשוק האירופי, צריך לתכנן כבר עכשיו את העמידה בדרישות AI Act, כי אוגוסט 2026 קרוב מאוד בלוחות הזמנים של פיתוח מכשירים רפואיים.

מה ה-MDCG אומר על הנושא

MDCG 2019-16 (Guidance on Cybersecurity for Medical Devices) מתייחס לתוכנה בכלל, וניתן להחיל חלקים ממנו על AI. אבל נכון לכתיבת שורות אלה, אין עדיין MDCG guidance ספציפי ל-AI. ה-MDCG עובד על זה, ומצופה פרסום בשנת 2026. עד אז, הציפיה היא שיצרנים יישמו בפרשנות סבירה את שילוב MDR ו-AI Act על בסיס המסמכים הקיימים.

לסיום: תכנון מוקדם הוא לא אופציה

מי שמחכה להנחיות סופיות לפני שמתחיל לתכנן את העמידה בשתי הרגולציות, יגלה שהוא מתחיל מאוחר מדי. ה-Technical Documentation, מערכת ניהול הסיכונים, תהליכי ה-Human Oversight, אלה החלטות שיש לקבל בשלב פיתוח המוצר, לא לפני ההגשה.

הגישה הנכונה היא לבנות מראש מסגרת עבודה שמשרתת את שתי הרגולציות: מחפשת את החפיפות, ממלאת את הפערים, ומסמנת מבדקים פנימיים שיבדקו עמידה בשתיהן. זה לא כפל עבודה, אלא תכנון נכון.