כתיבת מדיניות AI ליצרן בתקן ISO 13485
מדיניות AI שימושית לחברת מכשור רפואי נכנסת לעמוד אחד, אומרת מה לעולם לא יגיע למודל ציבורי, ונחתמת. מה לכלול, ואיפה ISO/IEC 42001 נכנס.
רוב מדיניות ה‑AI נכשלת מאותה סיבה שרוב הנהלים נכשלים: היא נכתבת כדי לשרוד מבדק, ולא כדי שיקרא אותה מי שמחליט ברגע זה אם להדביק שרטוט בצ׳אטבוט.
עמוד אחד, שישה כללים
מדיניות שעובדת בחברת מכשור רפואי קצרה מספיק לקריאה בשתי דקות. בפועל שישה כללים מכסים אותה: שימוש מאושר מעודד; אין להזין מידע מסווג של החברה לכלים ציבוריים; לעולם לא מידע מזהה של מטופלים; תוצר AI הוא טיוטה ולא החלטה; שום דבר לא נכנס ישירות למערכת מבוקרת ללא אישור איכות; מדווחים על טעויות ודליפות בלי האשמות.
הכלל הרביעי הוא הקריטי בסביבה מפוקחת. AI כתמיכה בהחלטה קל להגן עליו. AI כקלט לא‑מבוקר לתיק מוצר — לא.
חתום, לא מופץ
בסביבת ISO 13485 מודעות חייבת להיות ניתנת לייחוס. מדיניות שנשלחה במייל לא מוכיחה דבר; מדיניות שכל אחד חתם עליה, עם חותמת זמן וגרסה, היא רשומת הדרכה. ההבחנה הזו לא עולה דבר ליישום, והיא הדבר הראשון שגוף מוסמך שואל עליו.
נהלו גרסאות והצמידו כל חתימה לגרסה. פרסום כללים חדשים צריך ליצור פער גלוי — מי שאישר גרסה 1 לא אישר גרסה 2 — ולא לשכתב בשקט את מה שכולם הסכימו לו.
איפה ISO/IEC 42001 נכנס
ISO/IEC 42001 הוא תקן למערכת ניהול AI. עבור רוב היצרנים הוא אינו יעד הסמכה מיידי, אבל הוא רשימת בדיקה מועילה: מדיניות, תפקידים, הערכת סיכונים, בקרת ספקים, ניטור, וראיות שכל זה קורה. התייחסות אליו כמבנה ולא כתעודה שומרת על מאמץ פרופורציונלי.
שאלת הוולידציה
כל דבר שנוגע ברשומת QMS, בתיק ייצור או במסמך משוחרר נמצא בתוך הגבול המתוקף, והכנסת AI לשם היא פרויקט וולידציה של מערכת ממוחשבת, לא פיילוט. המהלך הראשון היעיל נמצא במכוון מחוץ לגבול הזה: ניסוח, תרגום, חיפוש וסיכום — שם אדם מאשר את התוצר לפני שהוא נחשב.
זו לא פחדנות. כך מגיעים לתועלת מוכחת ולשובל ראיות לפני שמבקשים מהאיכות לאשר משהו קשה יותר.
מה לכתוב קודם
לפני הניסוח, בררו מה אנשים כבר עושים. מדיניות שנכתבה מול התנהגות מדומיינת אוסרת דברים שאיש לא עושה ומתירה את הדבר האחד שכולם עושים. קודם סקר אנונימי, אחר כך המדיניות — בסדר הזה הכללים מתייחסים למציאות.