När anses en tandklinik vara en distribuerande part enligt EU:s AI-förordning?

1. Kontextualiserande inledning

EU:s AI-förordning har flera definierade roller: leverantör, importör, distributör och användare/distribuerande part. I den offentliga debatten ägnas mest uppmärksamhet åt leverantörsansvar. För tandkliniker är det dock rollen som användare/distribuerande part som är mest relevant.

En användare/distribuerande part är den som använder ett KI-system under egen myndighet i professionellt sammanhang.

Många tandkliniker använder KI-baserade system som utvecklats av externa leverantörer. Detta kan skapa en uppfattning om att ansvaret huvudsakligen ligger hos systemutvecklaren. EU:s AI-förordning specificerar att detta inte är tillräckligt.

Frågan är därför inte om kliniken har utvecklat systemet själv, utan om den använder det som en del av sin egen verksamhet.

2. Operativa implikationer

Om en tandklinik anses vara en användare/distribuerande part, innebär det att verksamheten har ett självständigt ansvar för hur KI-systemet används i praktiken.

Detta omfattar bland annat:

• Användning i enlighet med leverantörens avsedda syfte.

• Etablering av mänsklig tillsyn där det krävs.

• Övervakning av systemets prestanda i verklig användning.

• Hantering av avvikelser.

• Intern förankring av ansvar.

Det avgörande är inte ägandet av teknologin, utan kontrollen över användningen.

För klinikägare och ledning innebär rollen som användare/distribuerande part ett ansvar som inte kan outsourcas.

3. Analytiska huvudpunkter

3.1 Juridisk definition versus operativ verklighet

EU:s AI-förordning definierar en användare/distribuerande part som den fysiska eller juridiska personen som använder ett KI-system i professionellt sammanhang.

Inom tandvård innebär detta att:

• Kliniken är användare/distribuerande part när KI används i diagnostik, journalföring, administration eller annan företagsdrift.

• Den enskilde behandlaren agerar inom klinikens organisatoriska ramar.

• Ansvar kan inte individualiseras bort från verksamheten.

Det är den organisatoriska användningen som är avgörande, inte vem som trycker på knappen.

3.2 Skillnaden mellan leverantörsansvar och användarens ansvar

Leverantören har ansvar för utveckling, överensstämmelsebedömning och dokumentation kopplad till systemet som produkt.

Användaren/distribuerande part har ansvar för:

• Implementering i egen verksamhet.

• Korrekt användning.

• Mänsklig övervakning.

• Intern utbildning.

• Kontekstspecificerad riskbedömning.

Att ett system är CE-märkt fritar inte kliniken från ansvar för hur det används i behandlingssituationer.

Ansvar uppstår vid användning.

3.3 Icke-delegerbart ledningsansvar

Rollen som användare/distribuerande part kan inte delas upp mellan anställda.

Även om den behandlande tandläkaren har kliniskt beslutsansvar, ligger det övergripande ledningsansvaret hos företagets ledning.

Detta innebär att ledningen måste:

• Ha en överblick över vilka KI-system som används.

• Ha definierade ramar för användning.

• Ha etablerad struktur för mänsklig tillsyn.

• Ha dokumenterad ansvarsplacering.

Om rollen som användare/distribuerande part inte är uttryckligen förankrad, uppstår ett ansvarsvakuum.

3.4 Dokumentationskrav och spårbarhet

En användare/distribuerande part måste kunna redogöra för:

• Vilka system som används.

• För vilka ändamål.

• Vem som har ansvar.

• Hur kontroll utövas.

• Hur avvikelser hanteras.

Dokumentation är inte ett tilläggselement. Det är en del av rollen som användare/distribuerande part.

Utan dokumentation kan verksamheten ha svårt att visa att kraven är förstådda och operationaliserade.

3.5 Typiska feltolkningar i klinisk praxis

Följande missförstånd förekommer ofta:

• "Leverantören har ansvaret."

• "Detta är bara ett stödverktyg."

• "Systemet är lagligt, därför är användningen okomplicerad."

• "Detta hanteras av IT."

EU:s AI-förordning skiljer tydligt på produktansvar och användaransvar. Rollen som användare/distribuerande part gäller även för stödverktyg, om de används i professionell praxis.

Ansvar kan inte reduceras till teknisk drift.

4. Intern klarhetsmatris

Följande faktorer bör vara tydligt definierade internt:

1. Räknas kliniken som användare/distribuerande part för varje KI-system som används?

2. Vem har det övergripande ansvaret för rollen som användare/distribuerande part?

3. Hur är användningen förankrad i ledningen?

4. Hur säkerställs att systemet används i enlighet med det avsedda syftet?

5. Hur utövas mänsklig övervakning?

6. Hur dokumenteras användning och uppföljning?

7. Hur hanteras förändringar i system eller användningsområde?

8. Hur hanteras händelser eller fel?

Om rollen som användare/distribuerande part inte kan beskrivas exakt, är den inte tillräckligt operationaliserad.

5. Avslutande syntes

Att vara en användare/distribuerande part enligt EU:s AI-förordning är inte en formalitet. Det är en roll med konkret ansvar.

För tandkliniker innebär detta att KI-användning måste förstås som en del av företagets ledningsstruktur – inte som ett teknologiskt tillägg.

Leverantören levererar systemet.
Användaren/distribuerande parten tar ansvar för användningen.

En klinik som uttryckligen har definierat och dokumenterat sin roll som användare/distribuerande part minskar risken för ansvarsglidning och stärker sin förmåga att redogöra för praxis gentemot patienter, media och tillsynsmyndigheter.