חוק ה-AI האירופי ומכשור רפואי: מה קורה באוגוסט 2026 ומה קורה באוגוסט 2027
כולם מדברים על ה-AI Act. רוב האנשים בתעשייה לא יודעים להסביר מה בדיוק חל מתי. הנה ההבחנה שחשוב להבין לפני שמחליטים אם לפעול עכשיו.
אם עקבתם אחרי החדשות הרגולטוריות של השנה האחרונה, וודאי נתקלתם במשפט "חוק ה-AI האירופי ייכנס לתוקף ב-2026". זה נכון. אבל זה גם לא מספר את כל הסיפור.
ה-AI Act (Regulation EU 2024/1689) הוא רגולציה שנכנסת לתוקף בשלבים על פני כמה שנים, וכל שלב מתייחס לסוג אחר של מערכת AI. עבור תעשיית המכשור הרפואי, ההבחנה הקריטית היא בין אוגוסט 2026 לאוגוסט 2027, ובין מי שנמצא ב-Annex III לבין מי שנמצא ב-Annex I בצירוף Article 6(1).
אם המשפט האחרון נשמע לכם טכני מדי, ממש נתקלתם בבעיה: רוב האנשים בתעשייה לא מכירים את ההבחנה הזו, ולכן לא יודעים אם הם צריכים לפעול עכשיו או שיש להם עוד זמן.
ציר הזמן: מה כבר בתוקף ומה עוד לא
ה-AI Act נכנס לתוקף רשמית ב-1 באוגוסט 2024. מאז, מספר שלבים כבר הופעלו:
פברואר 2025: נאסרו שימושים ב-AI שנחשבים לסיכון בלתי מקובל, כגון ניקוד חברתי, מניפולציה פסיכולוגית, ביומטריה בזמן אמת במרחב ציבורי. דרישות AI literacy כלפי עובדים נכנסו גם הן לתוקף.
אוגוסט 2025: החלו לחול דרישות על מודלי AI למטרות כלליות (GPAI), מבני ממשל, וסנקציות כספיות.
אוגוסט 2026: רוב הדרישות על מערכות AI בסיכון גבוה (high-risk) נכנסות לתוקף, כולל עבור מכשירים רפואיים בקטגוריות מסוימות.
אוגוסט 2027: שלב נוסף ומאוחר יותר, שחל ספציפית על מכשירים רפואיים שבהם ה-AI הוא safety component של מוצר מוסדר.
ההבחנה שחשובה: Annex III לעומת Annex I
כאן נמצא הבלבול הגדול ביותר בתעשייה.
Annex III מפרט קטגוריות שימוש שנחשבות high-risk לפי ה-AI Act עצמו, ללא קשר לרגולציית מוצר קיימת. דוגמאות: שימוש ב-AI לביומטריה, לסינון עובדים, לניקוד אשראי. מי שנמצא ב-Annex III חייב לעמוד בדרישות המלאות של ה-AI Act מאוגוסט 2026.
Annex I בצירוף Article 6(1) מתייחס למוצרים שכבר כפופים לחקיקה אירופאית קיימת, ובמיוחד MDR 2017/745 ו-IVDR 2017/746. מכשיר רפואי שמכיל רכיב AI שהוא safety component של המכשיר, או שהוא עצמו מכשיר רפואי AI, נכנס לקטגוריה זו. מי שנמצא כאן קיבל תקופת מעבר נוספת: עד אוגוסט 2027.
לדוגמה: תוכנת SaMD לאבחון סרטן ריאות על בסיס CT, שמחויבת ב-CE marking תחת MDR ומצריכה הערכת התאמה של notified body, תחת Article 6(1) ו-Annex I, ולכן הדרישות הכבדות של ה-AI Act יחולו עליה מאוגוסט 2027, לא 2026. לעומת זאת, מערכת AI לסינון מועמדים לעבודה לפי Annex III צריכה לעמוד בדרישות כבר מאוגוסט 2026.
מה הדרישות בפועל למכשירים רפואיים עם AI
הדרישות שה-AI Act מטיל על מערכות AI בסיכון גבוה הן מהותיות. הן לא מחליפות את MDR, אבל הן מוסיפות שכבות שלא קיימות בו:
ניהול סיכוני AI: מעבר ל-ISO 14971 הרגיל, נדרש תהליך ניהול סיכונים ספציפי לאופי של מערכות AI, כולל סיכוני הטיה (bias), דריפט של מודל, ואיכות נתוני אימון.
ניהול נתונים: תיעוד מחמיר של מאגרי הנתונים שבהם אומן המודל, נתוני ולידציה, ונתוני בדיקה. האיכות, הרלוונטיות, וההעדר של הטיות צריכים להיות מתועדים.
שקיפות: מחויבות לספק ל"deployers" (כלומר בתי חולים, קלינאים) מידע ברור על יכולות ומגבלות המערכת, כדי לאפשר פיקוח אנושי אמיתי.
פיקוח אנושי: יש לתכנן את המערכת כך שאנשי מקצוע יכולים לעקוב, להבין, להתערב, ולדחות תפוקות של ה-AI.
דיווח ורישום: מערכות בסיכון גבוה חייבות להירשם במאגר האירופאי של מערכות EU AI database, שאמור להיות זמין לציבור, אם כי נכון לינואר 2026 המאגר עדיין לא היה פתוח.
מערכת ניהול איכות מורחבת: Article 17 של ה-AI Act דורש מערכת ניהול איכות שמכסה היבטים ספציפיים ל-AI, כולל ניהול מחזור חיי האלגוריתם, תהליכי שינוי, ופיקוח לאחר שיווק של ביצועי המודל.
ה-Digital Omnibus: האם המועד האחרון של 2026 עשוי להידחות?
כאן נכנס גורם נוסף שכדאי לעקוב אחריו.
בנובמבר 2025 פרסמה הנציבות האירופאית את ה-Digital Omnibus, חבילה רגולטורית שמציעה שינויים במספר תחומים דיגיטליים. ביחס ל-AI Act, ה-Omnibus מציע מנגנון ייחודי: הדרישות יכנסו לתוקף לא על פי תאריך קבוע, אלא כ-6 חודשים לאחר שהנציבות תאשר ש"support measures" זמינים, כגון תקנים הרמוניים, הנחיות יישום, ו-common specifications. תאריך הסיום המוצע הוא דצמבר 2027 לקטגוריות Annex III, ואוגוסט 2028 למכשור רפואי ב-Annex I.
הצעה זו עדיין בתהליך החלטה משותפת בפרלמנט האירופאי ובמועצה. כלומר, היא לא בתוקף עדיין. התאריכים הרשמיים נכון להיום הם אוגוסט 2026 ואוגוסט 2027. אם ה-Omnibus יתקדם, ייתכן שלוח הזמנים יוארך, אבל לא ניתן לסמוך על כך בתכנון הנוכחי.
למה כדאי להתחיל עכשיו גם אם יש "עוד זמן"
גם אם מכשיר רפואי בקטגוריית Annex I/MDR זכאי לתקופת המעבר עד 2027 או מעבר לה, יש שלושה טעמים חזקים להתחיל את ההכנה עכשיו:
ראשית, ניתוח פערים לוקח זמן. הבנת המיפוי בין דרישות MDR הקיימות לבין דרישות ה-AI Act החדשות היא לא טריוויאלית. תיעוד הנתונים, ניהול האלגוריתם, ותכנון הפיקוח האנושי הם אזורים שכנראה לא מכוסים מספיק בתיעוד הקיים.
שנית, נוטיפייד בודיס כבר שואלים. גם לפני שהדרישות נכנסות רשמית לתוקף, נוטיפייד בודיס שמבצעים ביקורות MDR של מכשירים עם AI כבר מתחילים לשאול שאלות על ניהול אלגוריתמים, איכות נתוני האימון, וניהול שינויים של מודלים. מי שיתכונן לדרישות ה-AI Act ישפר גם את הביצועים בביקורות MDR של היום.
שלישית, תקנים אירופאיים מתפתחים. הנציבות ו-CEN/CENELEC עובדים על תקנים הרמוניים שיספקו "presumption of conformity" עם ה-AI Act, בדומה לאופן שבו ISO 13485 נותן חזקת עמידה לדרישות MDR. כשהתקנים יצאו, חברות שכבר בנו תשתית לפי הדרישות יהיו קרובות לציות. אלה שיתחילו רק אז יהיו מאחור.
מה אתם יכולים לעשות עכשו
סיווג המכשיר תחת ה-AI Act: האם המכשיר שלך ב-Annex III, ב-Annex I/Article 6(1), או בשניהם? מהו לוח הזמנים הרלוונטי לך?
מיפוי פערים: בצע ניתוח פערים בין תיעוד מערכת האיכות הקיימת לבין דרישות Article 17 של ה-AI Act. התמקד במיוחד בניהול הנתונים, ניהול שינויים של מודל, ותכנון פיקוח אנושי.
ניהול מחזור החיים של האלגוריתם: האם יש לך תהליך מוגדר לניטור ביצועי המודל לאחר השיווק, לגילוי דריפט ולניהול עדכונים? זה דרישה מפורשת ב-AI Act שבדרך כלל חסרה גם בתיעוד MDR.
שרשרת אחריות: ה-AI Act מגדיר גם חובות ל-"deployers", כלומר בתי חולים וקלינאים. יש לוודא שהוראות השימוש (IFU) ומסמכי ה-Technical Documentation מכסים מספיק מידע שמאפשר ל-deployer למלא את החובות שלו.
עקוב אחרי ה-Digital Omnibus: אם לוח הזמנים ישתנה, הודעה תבוא מהנציבות האירופאית ובמסגרת תהליך החקיקה. עדכון שוטף דרך MDCG ו-AI Act Service Desk של הנציבות.
לסיכום
ה-AI Act הוא לא מסמך עתידי, הוא כבר בתוקף חלקי. עבור חברות מכשור רפואי, הדד-ליין הישיר ביותר עשוי להיות אוגוסט 2026 (Annex III) או אוגוסט 2027 (Annex I, מכשירים רפואיים עם AI כ-safety component). אבל ההכנה, ניתוח הפערים, תיעוד ניהול הנתונים, ותכנון הפיקוח האנושי, אלה תהליכים שלוקחים זמן ולא ניתן להשאיר אותם לרגע האחרון.
מי שמפתח SaMD, מכשיר עם AI לאבחון, או כל מוצר שמשלב AI כרכיב תפקודי, צריך לפתוח היום שיחה בין הצוות הרגולטורי, צוות הפיתוח, ומנהלת האיכות, ולמפות את הדרישות הרלוונטיות לפני ששעון הדד-ליין מגיע לשעת האפס.