Как написать политику ИИ для производителя по ISO 13485
Работающая политика ИИ для производителя медизделий умещается на одной странице, называет то, что никогда не должно попасть в публичную модель, и подписывается. Что включить и при чём тут ISO/IEC 42001.
Большинство политик ИИ проваливаются по той же причине, что и большинство процедур: их пишут, чтобы пройти аудит, а не чтобы их прочитал человек, решающий прямо сейчас, вставлять ли чертёж в чат-бот.
Одна страница, шесть правил
Политика, работающая в компании медизделий, читается за две минуты. На практике её покрывают шесть правил: одобренное использование поощряется; никаких конфиденциальных данных в публичных инструментах; никогда никаких данных, идентифицирующих пациента; результат ИИ — черновик, а не решение; ничто не попадает в контролируемую систему без согласования качества; об ошибках и утечках сообщают без обвинений.
Четвёртое правило — ключевое в регулируемой среде. ИИ как поддержку решения защитить легко. ИИ как непроверенный вход в файл изделия — нет.
Подписана, а не разослана
В среде ISO 13485 осведомлённость должна быть атрибутируемой. Разосланная по почте политика не доказывает ничего; политика, подписанная каждым, с отметкой времени и версией, — это запись об обучении. Это различие ничего не стоит внедрить, и именно о нём первым делом спрашивает нотифицированный орган.
Ведите версии и привязывайте подпись к версии. Публикация новых правил должна создавать видимый пробел — принявшие v1 не приняли v2, — а не молча переписывать то, с чем все согласились.
При чём тут ISO/IEC 42001
ISO/IEC 42001 — стандарт системы менеджмента ИИ. Для большинства производителей это не срочная цель сертификации, но полезный чек-лист: политика, роли, оценка рисков, контроль поставщиков, мониторинг и доказательства, что всё это происходит. Отношение к нему как к структуре, а не сертификату, удерживает усилия соразмерными.
Вопрос валидации
Всё, что касается записи QMS, файла производства или выпущенного документа, находится внутри валидированной границы, и внедрение ИИ там — это валидация компьютеризированной системы, а не пилот. Продуктивный первый шаг намеренно вне этой границы: составление текстов, перевод, поиск и резюмирование, где человек утверждает результат до того, как он что-то значит.
Это не робость. Так вы получаете доказанную пользу и след из свидетельств прежде, чем просить качество одобрить что-то сложнее.
Что написать первым
До составления узнайте, что люди уже делают. Политика, написанная против воображаемого поведения, запрещает то, чего никто не делает, и разрешает единственное, что делают все. Сначала анонимный опрос, потом политика — в таком порядке правила касаются реальности.