Ответственность за ошибку ИИ в клинике: что грозит по закону

Голосовой бот неправильно записал пациента на приём, ИИ-сервис документации перепутал дозировку в черновике эпикриза, алгоритм поддержки диагноза пропустил тревожный признак на снимке. Каждый такой сценарий уже не гипотетический: по разным оценкам, к внедрению ИИ в клиническую и административную работу подключились большинство частных клиник. Вопрос «а кто за это отвечает» рано или поздно встаёт перед каждым руководителем, который подписывает договор с поставщиком технологии.

Ответ не сводится к одному слову. Ответственность распределяется между врачом, клиникой и вендором — и от того, как именно вы оформили внедрение ИИ, зависит, кто окажется крайним, если что-то пойдёт не так.

Почему вопрос ответственности за ИИ встал именно сейчас

Ещё три-четыре года назад ИИ в клинике был скорее экспериментом: единичные пилоты, ручная проверка каждого результата, минимальный поток пациентов через новые сервисы. В 2026 году ситуация другая — голосовые ассистенты обрабатывают звонки на ресепшене, сервисы документации расшифровывают приёмы, алгоритмы поддержки диагноза встроены в работу с рентгеновскими снимками. По данным разбора «70% клиник внедряют AI в 2026», большинство руководителей частных клиник уже подключили хотя бы один такой сервис. Технология перестала быть игрушкой и стала частью операционного процесса.

Параллельно с ростом внедрения меняется и регуляторный фон. В 2026 году в Госдуму внесён и принят в первом приближении рамочный законопроект о поддержке технологий искусственного интеллекта. Минцифры выносило на общественное обсуждение проект отдельного закона с классификацией ИИ-систем по уровню риска, а ФСТЭК с 1 марта 2026 года ужесточил требования к защите данных для систем с ИИ. Ни один из этих документов пока не описывает исчерпывающе ответственность конкретно в медицине — но направление движения понятно: государство будет спрашивать строже, а не мягче.

Для владельца клиники это не абстрактная юридическая дискуссия. Это прямой финансовый риск: претензия пациента, штраф за утечку персональных данных, отказ страховой в выплате из-за неверно оформленного договора с вендором. Разобраться в распределении ответственности сейчас — дешевле, чем разбираться с последствиями постфактум.

Кто отвечает перед пациентом: врач, клиника или вендор

Российское право пока не признаёт искусственный интеллект самостоятельным субъектом правоотношений. Об этом прямо говорят и представители власти, и юристы, которые разбирают конкретные споры. Вице-премьер Татьяна Голикова публично формулировала позицию так: «за ошибку точно будет отвечать врач», а ИИ при постановке диагноза остаётся вспомогательным инструментом. Юрист Александр Хаминский приходит к тому же выводу с другой стороны: искусственный интеллект не является участником правоотношений, значит, ответственность за ошибку несёт лечащий врач.

На практике это распределение выглядит так.

Врач остаётся последним рубежом проверки. Если ИИ подсказал неверный диагноз или ошибся в расшифровке, но врач подписал результат без проверки — ответственность прежде всего на враче. Использование ИИ не снимает с него обязанности критически оценивать любую рекомендацию, прежде чем она попадёт в медицинскую карту или план лечения.

Клиника отвечает как организация, которая выбрала вендора, внедрила сервис в рабочий процесс и должна была организовать контроль качества. Сюда входит и ответственность за использование программного обеспечения без надлежащей регистрации, и ответственность оператора персональных данных перед Роскомнадзором и пациентом. Даже если ошибка формально произошла «внутри» стороннего сервиса, спрашивать в первую очередь будут с клиники — это её пациент и её договор с поставщиком.

Вендор отвечает за дефект самого продукта: если алгоритм ошибся при достаточных входных данных, скрыл известные ограничения технологии или нарушил условия договора об обработке данных. Практическая сложность в том, что доказать именно продуктовый дефект — а не ошибку настройки или использования — сложнее, чем кажется, если это не прописано заранее.

Показательный пример того, как эти три уровня складываются в реальный спор, — телемедицинские кейсы, которые уже разбирали российские юристы: пациент предъявляет претензию клинике, клиника — врачу и одновременно вендору, а суд разбирается, где на самом деле произошёл сбой. Чем чётче договор фиксирует зоны ответственности заранее, тем короче и предсказуемее такой спор. Более широкий разбор судебных рисков клиники — от жалоб на лечение до споров по согласию — есть в статье «Юридические риски стоматологии 2026».

ИИ-протокол не снимает ответственности с врача

Соблазн переложить ответственность на технологию понятен: если решение подсказал алгоритм, кажется логичным, что и отвечать должен он. Российская правовая практика идёт другим путём. Раз ИИ не признаётся субъектом права, то формальное следование его рекомендации не освобождает врача от обязанности проверить результат.

Наглядный ориентир — дело Арбитражного суда Республики Татарстан № А65-6178/2023, где суд указал: программное обеспечение, участвующее в клиническом процессе и обработке медицинских данных, подлежит регистрации как медицинское изделие. Его применение без регистрационного удостоверения создаёт риски именно для медицинской организации. Наличие ИИ-протокола или внутренней инструкции «доверять алгоритму» не заменяет соблюдение этого требования и не переносит ответственность с клиники на технологию.

Практический вывод для руководителя — закрепить во внутренних регламентах простое правило: ИИ формирует черновик, подсказку или предварительную оценку, но финальное решение и подпись — всегда за врачом. Это не бюрократическая формальность, а единственный способ сохранить понятную структуру ответственности, если пациент обратится с претензией.

Когда ИИ-сервис нужно регистрировать как медицинское изделие

Не любой ИИ в клинике требует регистрации как медизделие — и это важно понимать до подписания договора с вендором. Граница проходит по функции сервиса, а не по факту использования искусственного интеллекта как такового.

Административные сервисы — голосовые боты для записи, обработка входящих звонков, автоматические напоминания о приёме, распределение заявок между администраторами — не участвуют в диагностике или назначении лечения. Такие инструменты, как правило, находятся вне периметра регулирования медицинских изделий: они организуют коммуникацию с пациентом, но не влияют на клиническое решение.

Иначе обстоит дело с сервисами, которые анализируют медицинские данные и влияют на постановку диагноза или выбор лечения — распознавание патологий на снимках, поддержка принятия клинических решений, автоматическая интерпретация результатов исследований. Именно к этой категории применяется логика дела № А65-6178/2023: если продукт участвует в клиническом процессе, использование без регистрационного удостоверения незаконно и создаёт риск для клиники, даже если исход лечения был благополучным.

Прежде чем подписывать договор с поставщиком ИИ-диагностики или систем поддержки клинических решений, прямо спросите у вендора: зарегистрирован ли продукт как медицинское изделие, и если нет — по какой причине он считает регистрацию необязательной. Устный ответ без документального подтверждения не защитит клинику в случае проверки или спора с пациентом.

ИИ и персональные данные: 152-ФЗ и договор поручения

Любой ИИ-сервис в клинике работает с персональными данными, а часто и со специальной категорией данных — сведениями о здоровье пациента. Это автоматически подключает к вопросу ответственности за ИИ требования 152-ФЗ, которые уже разбирались применительно к договорам с МИС-провайдерами и которые не менее строго применяются к ИИ-вендорам.

Ключевое разделение ролей: клиника — оператор персональных данных, потому что именно она определяет цель обработки (диагностика, ведение истории болезни, организация приёма) и отвечает перед пациентом и Роскомнадзором. Поставщик ИИ-сервиса при этом становится обработчиком по поручению — то есть обрабатывает данные строго в рамках целей, которые определила клиника, и не может использовать их для собственных задач, например для дообучения модели без отдельного согласия.

Риск для клиники возникает, если вендор на практике выходит за рамки этой роли: сохраняет «сырые» данные пациентов дольше договорного срока, использует их для собственной аналитики или развития продукта без анонимизации. В этом случае вендор фактически становится самостоятельным или совместным оператором, а значит, распределение ответственности за возможную утечку резко меняется не в пользу клиники, которая формально доверила ему обработку.

Договор с поставщиком ИИ должен закрывать эту зону явно. В нём нужно фиксировать, что вендор действует исключительно как обработчик по поручению, перечислять категории обрабатываемых данных и указывать место их хранения — включая случаи, когда серверы находятся за пределами России. Отдельно стоит прописать срок, в течение которого вендор обязан уведомить клинику о любом инциденте безопасности. Именно отсутствие таких формулировок в договоре чаще всего превращает технический сбой у вендора в оборотный штраф для клиники — логика здесь та же, что и в истории с ответственностью за утечки через МИС-провайдеров.

Чек-лист договора с поставщиком ИИ-сервиса

Прежде чем подписывать договор с поставщиком голосового бота, ИИ-документации или диагностического алгоритма, проверьте, что в тексте закрыты следующие пункты.

• Предмет договора. Точное описание функциональности сервиса и прямое указание, что финальное клиническое или административное решение принимает сотрудник клиники, а не алгоритм.
• SLA как приложение к договору. Параметры доступности сервиса (обычно 99–99,5% в месяц), время реакции на инциденты по уровню критичности и целевое время восстановления работы.
• Статус сторон по 152-ФЗ. Явное закрепление, что клиника — оператор персональных данных, а поставщик — обработчик по поручению, без права использовать данные для иных целей.
• Категории и место хранения данных. Перечень обрабатываемых данных, включая специальные категории, и указание, где физически происходит обработка — в облаке вендора, на серверах в России или за границей.
• Порядок уведомления об инцидентах. Фиксированный срок, в течение которого вендор обязан сообщить клинике об утечке, сбое или ином инциденте безопасности.
• Распределение ответственности за ошибку. Разграничение между дефектом продукта, за который отвечает вендор, и ошибкой использования или игнорированием очевидного сбоя, за что отвечает клиника или врач.
• Условия при отключении сервиса. Порядок доступа к накопленным данным после расторжения договора, формат и сроки экспорта, обязанность вендора удалить или обезличить персональные данные пациентов и подтвердить это актом.

Каждый из этих пунктов закрывает конкретный сценарий спора. Отсутствие хотя бы одного из них означает, что в случае инцидента клиника будет разбираться с последствиями без опоры на договор — то есть в наименее выгодной для себя позиции.

Как Клиник Бот помогает снизить юридические риски внедрения ИИ

Часть перечисленных рисков решается не только текстом договора, но и тем, как вендор организовал сервис изначально. В Клиник Бот статус обработчика персональных данных по поручению клиники закреплён в договоре по умолчанию, а не оформляется отдельным долгим согласованием. Клиника остаётся оператором ПДн, инфраструктура хранения данных размещена в России, а условия обработки специальных категорий данных прописаны заранее в соответствии с требованиями 152-ФЗ.

Не менее важно, что Клиник Бот выстроен как инструмент коммуникации и администрирования — запись, напоминания, обработка обращений пациентов, — а не как система, которая принимает клинические решения. Это значит, что финальное решение по-прежнему остаётся за администратором клиники или врачом, а зона ответственности вендора ограничена корректной работой самого сервиса, что заметно упрощает разговор о распределении рисков при подписании договора.

Итог

Вопрос «кто отвечает, если ИИ ошибся» не имеет единственного ответа, потому что ответственность распределяется между тремя сторонами — врачом, клиникой и вендором — в зависимости от природы ошибки. Российское право пока не признаёт ИИ субъектом права, поэтому финальная ответственность за клиническое решение остаётся за человеком, а не за алгоритмом. Но это не снимает с клиники обязанности выбирать вендора осознанно, проверять статус регистрации ИИ как медицинского изделия там, где это требуется, и закрывать договором вопросы 152-ФЗ, SLA и порядка действий при инциденте.

Регуляторный фон в 2026 году только ужесточается: рамочный закон об ИИ, проект классификации по уровню риска, новые требования ФСТЭК к защите данных — всё это движется в сторону более строгого контроля, а не более мягкого. Клиникам, которые формализуют распределение ответственности сейчас, будет проще адаптироваться к новым нормам, чем тем, кто откладывает разговор с вендором о договоре поручения до первой проверки или первой претензии пациента.