Sağlıkta yapay zekâ: Chatbot, triyaj ve tıbbi cihaz arasındaki fark

💡 Özet: Ana Çıkarımlar

• Bir yapay zekâ sistemini sağlık kuruluşunun kullanması, onu otomatik olarak yüksek riskli veya tıbbi cihaz yapmaz. Belirleyici olan sistemin amaçlanan kullanımı ve gerçek karara etkisidir.
• Randevu veren chatbot, acil hastaya öncelik veren triyaj sistemi ve teşhis öneren yazılım aynı sınıfta değildir. Acil sağlık triyajı AB Yapay Zekâ Yasası'nda yüksek riskli kullanım olarak sayılır; teşhis veya tedavi amacı taşıyan yazılım ayrıca tıbbi cihaz kurallarına girebilir.
• Sağlıkta yükümlülükler üst üste gelir. AB Yapay Zekâ Yasası, tıbbi cihaz mevzuatı, GDPR veya KVKK, meslek kuralları ve hizmetin sunulduğu ülkenin sağlık düzeni birlikte değerlendirilmelidir.
• Yüksek risk takvimi ayrıca okunmalı. 2026 değişikliği, Ek III sistemleri için ilgili yüksek risk hükümlerini 2 Aralık 2027'ye erteledi. Tıbbi cihaz gibi Ek I ürünleri üzerinden yüksek riskli sayılan sistemlerde tarih 2 Ağustos 2028.

Bir sağlık turizmi şirketinin sitesinde üç farklı chatbot düşünün.

İlki kliniğin adresini, çalışma saatini ve randevu boşluklarını söylüyor. İkincisi hastanın şikâyetlerini sorup görüşmenin ne kadar acil olduğunu belirliyor. Üçüncüsü yüklenen tetkiki yorumlayıp olası teşhis ve tedavi seçeneği öneriyor.

Üçü de aynı sohbet arayüzünü kullanabilir. Hatta arka tarafta aynı dil modeli çalışabilir.

Fakat aynı sistem değildirler.

İlk chatbot idari bir işi kolaylaştırıyor. İkinci sistem hastanın sağlık hizmetine hangi hızla ulaşacağını etkiliyor. Üçüncü sistem klinik kararın içine giriyor. Yanlış cevabın sonucu büyüdükçe hukuk, ürün tasarımı ve işletme sorumluluğu da değişiyor.

Sağlıkta yapay zekâ değerlendirmesini "chatbot kullanıyoruz" cümlesiyle yapmak bu nedenle çok kaba kalır. Asıl soru, konuşmanın hangi noktada sağlık kararına dönüştüğüdür.

Sağlık sektöründe olmak tek başına sınıflandırma değildir

Bir hastanenin yemek talebini tahmin eden yazılımla radyoloji görüntüsünü yorumlayan yazılım aynı kurumda çalışabilir. Biri operasyonel planlama yapar, diğeri tıbbi bir kararı etkiler.

AB Yapay Zekâ Yasası da yalnız sektör adına bakmaz. Yasanın güncel konsolide metninde yüksek risk iki ana yoldan doğabilir.

İlk yol, yapay zekânın AB'de ayrıca düzenlenen bir ürünün güvenlik bileşeni olması veya ürünün kendisi olmasıdır. Tıbbi cihaz bu ürün gruplarından biridir. Fakat sistemin yüksek riskli sayılması için ilgili ürün mevzuatında üçüncü taraf uygunluk değerlendirmesi şartının da karşılanması gerekir.

İkinci yol, yasanın Ek III'te doğrudan saydığı hassas kullanımlardır. Gerçek kişilerin acil çağrılarını değerlendiren, ilk müdahale hizmetlerinin sevkine öncelik veren ve acil sağlık hizmetinde hasta triyajı yapan sistemler bu listede yer alır.

Burada sınıflandırma ile uygulama takvimini ayırmak gerekiyor. 2026'da yapılan değişiklik, Ek III üzerinden yüksek riskli sayılan sistemler için AB Yapay Zekâ Yasası'nın ilgili hükümlerini 2 Aralık 2027'ye erteledi. Tıbbi cihaz gibi Ek I ürünleri üzerinden yüksek riskli sayılan sistemlerde tarih 2 Ağustos 2028. Bir sistem yasanın ölçütlerine göre yüksek risk grubuna düşebilir. Fakat risk yönetimi, teknik dokümantasyon ve benzeri yüksek risk hükümlerinin bağlayıcı uygulaması daha sonra başlayabilir. Tıbbi cihaz, veri koruma ve sağlık mevzuatı ise bu tarihleri beklemez.

Bu nedenle "sağlıkta kullanılan her yapay zekâ yüksek risklidir" demek yanlış. "Chatbot olduğu için yüksek riskli değildir" demek de yanlış.

Sınıflandırma ürünün adından değil, verdiğiniz görevden çıkar.

Dört kullanım, dört ayrı sonuç

Farkı günlük kullanım üzerinden görmek daha kolay.

1. İdari bilgi ve randevu

Chatbot adres, çalışma saati, fiyat aralığı veya randevu boşluğu söylüyor. Klinik karar vermiyor, hastayı semptomuna göre sıralamıyor ve tedavi önermiyor.

Bu kullanım çoğu durumda tıbbi cihaz değildir ve AB Yapay Zekâ Yasası'nın yüksek riskli sağlık alanına girmez. Yine de kullanıcıya yapay zekâ ile konuştuğunun açıklanması, yanlış bilginin düzeltilmesi ve kişisel verinin korunması gerekir.

Üstelik idari bir bot kendiliğinden idari kalmaz. Kullanıcı "Göğsüm ağrıyor, yarını bekleyebilir miyim?" diye sorduğunda sistem cevap üretmeye devam ediyorsa tasarlanan sınır ile gerçek kullanım ayrılmaya başlar.

2. Hasta kabulü ve bilgi toplama

Sistem hastadan şikâyet, geçmiş hastalık, kullanılan ilaç ve iletişim bilgisi topluyor; bunları sağlık çalışanına düzenli bir özet olarak iletiyor.

Yalnız veri toplamak veya aktarmak sistemi otomatik olarak tıbbi cihaz yapmaz. Fakat özet hastanın değerlendirilmesini etkiliyorsa doğruluk, eksik bilgi ve önyargı riski büyür. Sistem hangi ayrıntıyı dışarıda bıraktığını göstermiyorsa sağlık çalışanı eksik özeti tam kayıt sanabilir.

Burada ürün sınırı açık olmalıdır: Sistem bilgi topluyor mu, yoksa klinik çıkarım da yapıyor mu? "Olası acil durum", "en muhtemel hastalık" veya "uygun tedavi" gibi bir sonuç eklenince amaç değişebilir.

3. Acil sağlık triyajı

Sistem hastaların aciliyetini belirliyor, çağrıları sınıflandırıyor veya ilk müdahale kaynağının kime önce gideceğini etkiliyor.

Bu kullanım AB Yapay Zekâ Yasası'nın Ek III listesinde açıkça yüksek riskli alanlardan biridir. Risk yönetimi, veri yönetişimi, teknik dokümantasyon, kayıt, insan gözetimi, doğruluk, dayanıklılık, siber güvenlik, uygunluk ve pazar sonrası izleme gibi yüksek risk yükümlülükleri bu yol için 2 Aralık 2027'den itibaren uygulanacak. Bu tarih, sistemi şimdiden doğru sınıflandırma ve hazırlık yapma ihtiyacını ortadan kaldırmıyor.

Ancak Ek III'te görünmek de her durumda otomatik son nokta değildir. Yasa, kararın sonucunu maddi olarak etkilemeyen bazı dar veya hazırlayıcı görevler için istisna değerlendirmesi öngörür. Böyle bir istisnaya dayanacak sağlayıcının bunu piyasaya çıkmadan önce belgelemesi gerekir. Gerçek kişilerin profilini çıkaran sistemler ise bu istisnadan yararlanamaz.

Bir acil çağrıyı yalnız yazıya dökmekle kimin önce yardım alacağını belirlemek aynı görev değildir.

4. Teşhis veya tedavi kararı

Yazılım bir hastalığı teşhis etmek, riskini tahmin etmek, izlemek, prognoz üretmek veya tedavi kararına bilgi sağlamak amacıyla sunuluyorsa tıbbi cihaz mevzuatı devreye girebilir.

AB Tıbbi Cihaz Tüzüğü, üreticinin belirli tıbbi amaçlarla kullanılmasını hedeflediği yazılımı tıbbi cihaz tanımının içine alır. Genel amaçlı yazılım, sağlık kuruluşunda kullanıldığı için tek başına tıbbi cihaz olmaz.

Bu ayrım pazarlama metnine kadar uzanır. Üreticinin kullanım talimatı, teknik dokümantasyonu, satış sunumu ve ürün iddiaları amaçlanan kullanımı birlikte şekillendirir. "Doktorunuza danışın" uyarısı, ürün fiilen teşhis veya tedavi öneriyorsa amacı otomatik olarak idari yardıma çevirmeyebilir.

Tıbbi cihaz olmak neyi değiştirir?

Tıbbi cihaz yazılımında sınıflandırma, yapay zekâ modelinin büyüklüğüne göre yapılmaz. Yazılımın ürettiği bilginin hangi kararda kullanıldığına ve yanlış kararın olası sonucuna bakılır.

MDR'deki Kural 11, teşhis veya tedavi amaçlı kararlara bilgi sağlayan yazılımları genel olarak Sınıf IIa'dan başlatır. Yanlış karar ölüm veya geri döndürülemez ciddi bozulmaya yol açabilecekse Sınıf III; ciddi bozulma veya cerrahi müdahaleye yol açabilecekse Sınıf IIb gündeme gelebilir. Diğer yazılımların bir bölümü Sınıf I olarak kalabilir.

Avrupa Komisyonunun tıbbi cihaz yazılımı rehberi, bir yazılımın önce tıbbi cihaz niteliği taşıyıp taşımadığını, ardından risk sınıfını nasıl değerlendireceğini örneklerle açıklıyor.

Sınıf değiştikçe kalite yönetimi, klinik değerlendirme, teknik dosya, uygunluk değerlendirmesi, CE işareti, gözetim ve olay bildirimi gibi işler de ağırlaşabilir. Bunlar ürüne sonradan eklenecek bir hukuk eki değildir. Model sürümü, veri kalitesi, performans eşiği, değişiklik yönetimi ve kullanıcı arayüzü üzerinde doğrudan etkilidir.

AB Yapay Zekâ Yasası ile tıbbi cihaz mevzuatı burada birbirinin yerine geçmez. AB Yapay Zekâ Kurulu ile Tıbbi Cihaz Koordinasyon Grubunun ortak rehberi, bir tıbbi cihaz yapay zekâ sistemi yüksek risk şartlarını taşıyorsa iki düzenin tamamlayıcı biçimde uygulanacağını açıklıyor. AB Yapay Zekâ Yasası'nın bu ürün yolundaki yüksek risk hükümleri 2 Ağustos 2028'de uygulanmaya başlayacak. Tıbbi cihaz mevzuatı kapsamındaki mevcut uygunluk, klinik değerlendirme ve gözetim yükümlülükleri ise yürürlükte kalmaya devam ediyor.

Sağlık turizminde uzaktan hizmet sınırı

Türkiye'deki bir klinik yazılımı AB'de fiziksel olarak piyasaya sunmadığını düşünebilir. Fakat yazılım AB'de yerleşik bir kişiye internet üzerinden teşhis veya tedavi hizmeti vermenin parçasıysa tablo farklılaşabilir.

AB Tıbbi Cihaz Tüzüğü'nün 6. maddesi, AB pazarına konmamış bir cihazla AB'de yerleşik kişiye çevrim içi veya başka bir iletişim aracı üzerinden teşhis ya da tedavi hizmeti sunulması hâlinde cihazın tüzüğe uygun olmasını ister.

Aynı madde, kamu sağlığını korumak amacıyla bir üye devletin bilgi toplumu hizmeti sağlayıcısından faaliyetini durdurmasını isteyebileceğini de söyler. Bu yetki her randevu chatbotunun engellenebileceği anlamına gelmez. Fakat tıbbi cihaz niteliğindeki bir sistem uzaktan teşhis veya tedavi hizmetine giriyorsa doğrudan bir müdahale yolu açar.

Türkiye'den çalışan bir sistem AB'de yerleşik hastanın tetkikini yorumluyor veya tedavi öneriyorsa "sunucu Türkiye'de" cümlesi bu nedenle tek başına sonucu kapatmaz.

Türkiye tarafında da alan boş değildir. 2 Haziran 2021 tarihli Tıbbi Cihaz Yönetmeliği, AB MDR ile uyumlu bir ürün güvenliği ve uygunluk yapısı kurar. Bir yazılımın Türkiye'de tıbbi cihaz niteliği taşıyıp taşımadığı ayrıca değerlendirilmelidir.

Sağlık turizmi şirketi için coğrafya bu yüzden tek satırlı değildir. Şirketin nerede kurulduğu, hastanın nerede bulunduğu, hizmetin nerede verildiği, yazılımın ne vaat ettiği ve klinik kararın nerede alındığı birlikte görülmelidir.

Sağlık verisi ayrı ve hassas bir akıştır

Yapay zekâ sistemi yüksek riskli veya tıbbi cihaz olmasa bile sağlık verisi işliyorsa veri koruma yükümlülüğü devam eder.

GDPR sağlık verisini özel nitelikli veri olarak ele alır. İşleme için genel hukuki sebebin yanında 9. maddede yer alan özel koşullardan biri gerekir. Sağlık hizmeti, kamu sağlığı, bilimsel araştırma veya açık rıza gibi farklı yolların her birinin kendi şartları vardır.

KVKK'nın 6. maddesi de sağlık verisini özel nitelikli kişisel veri sayar. Kişisel Verileri Koruma Kurumunun güncel rehberi, 2024'te değişen işleme şartlarını ve veri sorumlusunun yükümlülüklerini açıklıyor.

Sağlık chatbotunda sorun yalnız klinik sistemin tuttuğu hasta kaydı değildir. Kullanıcının mesajı üçüncü taraf yapay zekâ sağlayıcısına gidiyorsa alt işleyen, saklama, yurt dışı aktarım ve güvenlik soruları doğar. Bu veri yolu konusunu serinin önceki yazısında ayrıntılı ele aldım.

"Hasta zaten kendi isteğiyle yazdı" cümlesi şirketin yükümlülüğünü ortadan kaldırmaz. Ürünün serbest metni teşvik edip etmediği, gerekli olmayan veriyi engelleyip engellemediği ve hassas görüşmeyi güvenli bir kanala taşıyıp taşımadığı da tasarımın parçasıdır.

İnsan gözetimi sağlıkta ne anlama gelir?

Bir doktora veya çağrı görevlisine son onay düğmesi vermek tek başına yeterli gözetim değildir.

İnsanın sistemin sınırlarını bilmesi, öneriyi reddedebilmesi, ham veriye erişebilmesi ve gerektiğinde güvenli alternatif akışa geçebilmesi gerekir. Arayüz yalnız modelin sonucunu gösteriyor, belirsizliği veya eksik veriyi saklıyorsa insan fiilen otomasyonun önerisini mühürleyebilir.

Sağlıkta gözetim tasarımı en az şu soruları cevaplamalıdır:

• Sistem hangi kararı destekliyor, hangisini vermemeli?
• Hangi bulgu acil insan müdahalesi başlatıyor?
• Model emin görünse bile hangi durumlarda sonuç kullanılmıyor?
• Sağlık çalışanı önerinin dayandığı girdiyi ve eksik bilgiyi görebiliyor mu?
• Farklı dil, yaş, cinsiyet, sağlık durumu ve hasta gruplarında performans ayrı ayrı izlendi mi?
• Yanlış yönlendirme fark edildiğinde kayıt, bildirim ve düzeltme nasıl yapılıyor?
• Model veya prompt değiştiğinde klinik değerlendirme yeniden açılıyor mu?

Bu soruların cevabı eğitim dokümanında kalmamalı. Yetki, arayüz, log, vardiya düzeni ve olay yönetiminde görünmelidir.

Sağlıkta iyi başlangıç: özelliği değil amacı yazmak

Şirketler sağlık chatbotunu tanımlarken çoğu zaman özellik listesi çıkarır: doğal dil, çoklu dil, 7/24 yanıt, özetleme, öneri ve otomatik yönlendirme.

Uyum ve ürün güvenliği için daha yararlı belge, amaçlanan kullanım ifadesidir.

Bu sistem kim tarafından, hangi kullanıcı için, hangi ortamda, hangi girdilerle ve hangi kararı desteklemek üzere kullanılacak? Hangi kararı kesinlikle vermeyecek? Yanlış çıktının makul sonucu ne? İnsan ne zaman devralacak?

Bu sınır yazılmadan veri setini, test planını, tıbbi cihaz sınıfını veya AB Yapay Zekâ Yasası yükümlülüğünü sağlıklı değerlendirmek zordur.

Üstelik her sorun için yapay zekâ gerekmez. Randevu uygunluğu, belge kontrolü veya standart hazırlık talimatı iyi tasarlanmış bir form ve kural tabanlı akışla daha güvenilir çözülebilir. Yapay zekânın esnekliği klinik değeri artırmıyorsa yalnız belirsizlik ve denetim maliyeti ekleyebilir.

Risk seviyesinden sonra şirket rolü, veri ve insan gözetimi için yapılması gereken değerlendirme sağlıkta da aynen geçerli. Sağlığa özgü fark, yanlış çıktının sonucunun ve üst üste binen kuralların daha ağır olabilmesi.

Bu nedenle son soru "Chatbotumuz sağlıkta kullanılabilir mi?" olmamalı.

Daha iyi sorular şunlar: Bu sistem hastanın randevusunu, önceliğini, teşhisini veya tedavisini nasıl etkiliyor? Verdiği yönlendirmeden kim sorumlu olacak? Yanlış bir yönlendirme olduğunda bunu kim fark edip müdahale edecek?

Bu yazı genel bilgilendirme amacı taşır; somut bir ürün, sağlık hizmeti veya veri işleme faaliyeti için hukuki ya da tıbbi görüş yerine geçmez.