# Kun ohjelmisto on lääkinnällinen laite ja korkean riskin tekoäly: näin terveysteknologiayritys sovittaa MDR:n ja AI Actin

> AI Act ja MDR koskevat terveysteknologian ohjelmistoa yhtä aikaa. Näin kasvuyritys yhdistää CE-merkinnän ja AI Actin vaatimukset yhdeksi prosessiksi.

- Julkaistu: 2026-09-27
- Kirjoittaja: Master Mind
- Alkuperäinen: https://aimaster.fi/artikkelit/ai-act-ja-mdr-terveysteknologian-kasvuyritykselle

Terveysteknologian tuotevienti kasvoi 8 % vuonna 2025 ja saavutti ennätystason 2,79 miljardia euroa (Terveysteknologia ry / Teknologiateollisuus, 2026). Yksi asia uhkaa hidastaa juuri niiden yritysten kasvua, joiden tuote on ohjelmisto: sama tuote voi olla samaan aikaan lääkinnällinen laite ja AI Actin korkean riskin tekoälyjärjestelmä.

Moni suomalainen terveysteknologian kasvuyritys rakentaa diagnostiikka- tai päätöksentukiohjelmistoa, joka käyttää koneoppimista. Tuote kulkee jo CE-merkintäprosessin läpi lääkinnällisten laitteiden asetuksen (MDR) mukaisesti. Mitä moni ei tiedä: sama ohjelmisto voi automaattisesti täyttää AI Actin korkean riskin tekoälyjärjestelmän määritelmän. AI Act ei korvaa MDR:ää — molemmat pätevät samaan aikaan, ja molempien vaatimukset on täytettävä rinnakkain.

## Milloin terveysteknologian ohjelmisto on automaattisesti AI Actin korkean riskin järjestelmä?

AI Act (asetus 2024/1689) listaa liitteessä I unionin yhdenmukaistamislainsäädännön, jonka piiriin kuuluvat myös lääkinnällisten laitteiden asetus (EU) 2017/745 (MDR) ja in vitro -diagnostiikkalaitteiden asetus (EU) 2017/746 (IVDR). Artiklan 6 kohdan 1 mukaan tekoälyjärjestelmä on korkean riskin järjestelmä, kun se on tuote tai tuotteen turvakomponentti tämän lainsäädännön piirissä ja vaatii kolmannen osapuolen vaatimustenmukaisuuden arvioinnin.

Tämä koskee suoraan koneoppimista hyödyntäviä diagnostiikkaohjelmistoja, kuvantamisen tukiohjelmistoja ja päätöksentukijärjestelmiä, jotka on jo luokiteltu MDR:n tai IVDR:n mukaisiksi lääkinnällisiksi laitteiksi. Vaatimus tulee sovellettavaksi 2.8.2028 (AI Act, artikla 113), mutta valmistelu kannattaa aloittaa nyt: ilmoitetun laitoksen jonot ovat pitkiä, ja tuotekehityksen aikataulu on tyypillisesti 12–24 kuukautta.

## Mitä AI Act vaatii lisää MDR-vaatimustenmukaisuuden päälle?

AI Act ei korvaa MDR:ää — se lisää päälle riskienhallintajärjestelmän, data governance -vaatimukset, teknisen dokumentaation, lokituksen, ihmisen valvonnan ja tarkkuusvaatimukset (artiklat 9–15). Käytännössä sama ilmoitettu laitos voi arvioida molemmat vaatimukset yhdessä prosessissa, mutta dokumentaation on katettava molemmat asetukset erikseen ja yksityiskohtaisesti.

- Riskienhallintajärjestelmä koko elinkaaren ajalle (artikla 9)
- Data governance: koulutus-, validointi- ja testidatan laatu, edustavuus ja virheettömyys (artikla 10)
- Tekninen dokumentaatio, joka täyttää AI Actin liitteen IV vaatimukset MDR-dokumentaation lisäksi (artikla 11)
- Automaattinen lokitus koko käyttöiän ajaksi (artikla 12)
- Ihmisen valvonta ja mahdollisuus keskeyttää tai ohittaa järjestelmän päätös (artikla 14)
- Tarkkuus, robustius ja kyberturvallisuus todistettuna testauksella (artikla 15)

## Miten kasvuyritys yhdistää CE-merkinnän ja AI Act -vaatimustenmukaisuuden käytännössä?

Työ kannattaa tehdä kolmessa vaiheessa, ei kahtena erillisenä projektina. Ensimmäinen vaihe on kartoittaa, mihin tuotteisiin ja ohjelmistokomponentteihin kaksoisvelvoite oikeasti osuu — moni yritys yllättyy, kun havaitaan neljä tai viisi tuotetta, ei yhtä. Meillä tämä vaihe on tuotteistettu nimellä Master Plan. [Master Plan](https://aimaster.fi/tuotteet/master-plan) on tekoälystrategiasprintti, joka kartoittaa, missä tekoäly tuottaa yrityksellesi eniten arvoa — euroissa mitattuna. Terveysteknologiayrityksessä tämä tarkoittaa myös sen kartoittamista, missä tekoäly tuo suurimman sääntelyriskin.

Toinen vaihe on data governance -kerroksen rakentaminen. AI Actin artikla 10 vaatii todistettua datan laatua, edustavuutta ja virheettömyyttä koko koulutus- ja validointiprosessin ajalta. [Master Layer](https://aimaster.fi/tuotteet/master-layer) on datapohjakerros, joka yhdistää yrityksen olemassa olevat järjestelmät (CRM, ERP, dokumentit) turvallisesti tekoälyn käytettäväksi — terveysteknologiayrityksessä tämä tarkoittaa myös jäljitettävyyttä: kuka dataa on käsitellyt, milloin ja millä versiolla malli on koulutettu.

Kolmas vaihe on dokumentaation yhdistäminen yhdeksi paketiksi, jonka ilmoitettu laitos voi arvioida kerralla. Sama tekninen tiedosto voi kattaa MDR:n liitteen II vaatimukset ja AI Actin liitteen IV vaatimukset, kunhan rakenne suunnitellaan alusta alkaen molempia varten. Tämä on eri sääntelyreitti kuin [AI Actin Annex III -korkean riskin luokitus](https://aimaster.fi/artikkelit/ai-act-korkean-riskin-tekoalyjarjestelma-annex-iii), joka koskee esimerkiksi rekrytointi- ja luottopäätösjärjestelmiä: Annex I -reitillä ilmoitettu laitos on jo osa prosessia MDR:n takia, mikä nopeuttaa AI Act -arviointia, kun dokumentaatio on valmisteltu oikein alusta lähtien.

## Kuka tekee vaatimustenmukaisuuden arvioinnin — yksi laitos vai kaksi?

Sama ilmoitettu laitos, joka arvioi MDR- tai IVDR-vaatimustenmukaisuuden, arvioi tyypillisesti myös AI Act -vaatimukset Annex I -reitillä, kunhan laitos on nimetty molempiin tehtäviin. Käytännössä tämä lyhentää kokonaisaikataulua, mutta vaatii, että tekninen dokumentaatio kattaa molemmat asetukset alusta alkaen — jälkikäteen täydentäminen on hitaampaa kuin yhdistetty suunnittelu.

Terveysteknologia on yksi Suomen tärkeimmistä vientialoista, ja sääntelyn hallinta on kilpailuetu, ei vain velvollisuus. Terveysteknologian tuotevienti kasvoi 8 % vuonna 2025 ja saavutti ennätystason 2,79 miljardia euroa, joista Yhdysvaltoihin suuntautui kolmasosa (Terveysteknologia ry / Teknologiateollisuus, 2026). Kasvuyritys, joka hallitsee MDR:n ja AI Actin yhdistämisen kotimarkkinalla, pystyy osoittamaan vastaavan kypsyyden myös vientimarkkinoilla, joilla asiakkaat kysyvät yhä useammin tekoälyn hallintatavasta ennen ostopäätöstä.

Sääntely ei ole esteen paikka, kun se suunnitellaan osaksi tuotekehitystä alusta alkaen. Yritys, joka aloittaa kartoituksen vuosia ennen määräaikaa, pääsee markkinoille ensin — ei viimeisenä, kun ilmoitetun laitoksen jono on täynnä.

Aloita kartoittamalla, mihin tuotteisiisi kaksoisvelvoite osuu ja missä tekoäly tuo suurimman arvon suhteessa riskiin. [Varaa ilmainen Master Mind -analyysi](https://aimaster.fi/analyysi) ja saat konkreettisen näkymän seuraavaan askeleeseen.

## Usein kysytyt kysymykset

### Koskeeko AI Act kaikkia terveysteknologian ohjelmistoja?

Ei. AI Act koskee vain ohjelmistoja, jotka täyttävät tekoälyjärjestelmän määritelmän (artikla 3) ja jotka on luokiteltu lääkinnälliseksi laitteeksi tai in vitro -diagnostiikkalaitteeksi MDR:n tai IVDR:n mukaisesti. Sääntöpohjainen ohjelmisto, joka ei käytä koneoppimista tai muuta tekoälyä, jää AI Actin ulkopuolelle, vaikka se olisikin lääkinnällinen laite.

### Milloin AI Actin vaatimukset tulevat voimaan Annex I -järjestelmille?

AI Actin artiklan 6 kohdan 1 mukaiset korkean riskin vaatimukset Annex I -lainsäädännön, mukaan lukien MDR ja IVDR, piiriin kuuluville tekoälyjärjestelmille tulevat sovellettaviksi 2.8.2028 (AI Act, artikla 113). Valmistelu kannattaa aloittaa hyvissä ajoin, koska ilmoitettujen laitosten kapasiteetti on rajallinen.

### Voiko sama tekninen dokumentaatio kattaa MDR:n ja AI Actin?

Kyllä, jos dokumentaatio suunnitellaan alusta alkaen molempia varten. MDR:n liitteen II tekninen tiedosto ja AI Actin liitteen IV tekninen dokumentaatio voidaan yhdistää yhdeksi paketiksi, jonka sama ilmoitettu laitos arvioi. Jälkikäteen erottelu on hitaampaa ja kalliimpaa kuin yhdistetty suunnittelu alusta lähtien.

### Mitä data governance tarkoittaa käytännössä terveysteknologian tekoälylle?

AI Actin artikla 10 vaatii, että koulutus-, validointi- ja testidata on relevanttia, riittävän edustavaa ja mahdollisimman virheetöntä käyttötarkoitukseen nähden. Terveysteknologiayrityksen on pystyttävä osoittamaan, mistä data tulee, miten sitä on käsitelty ja miten mallin versiot on jäljitettävissä läpi kehityssyklin.

### Kannattaako pienen terveysteknologiayrityksen aloittaa valmistautuminen jo nyt?

Kyllä. Vuoteen 2028 mennessä ilmoitettujen laitosten jonot pitenevät, kun yhä useampi Annex I -tuote tarvitsee myös AI Act -arvion. Yritys, joka kartoittaa vaatimukset ja rakentaa data governance -kerroksen ajoissa, pääsee markkinoille ennen kilpailijoita, joiden dokumentaatio valmistuu viime tingassa.