Cybersecurity of AI medical devices: risks, legislation, and challenges

要約

医療機器と人工知能システムは、医療規定を急速に変化させています。同時に、その性質上、医療機器に搭載された、あるいは医療機器としてのAIはサイバー攻撃にさらされる可能性があり、患者の安全やセキュリティのリスクにつながる。本書の章は3つのパートに分かれています。第1部では、まず、医療におけるサイバーセキュリティの役割について説明します。次に、それ自体が医療機器とみなされる、あるいは医療機器をサポートするAIについて、私たちが何を指すのかを簡単に定義します。このような医療機器がもたらすリスクを説明するために、データセットのポイズニング、ソーシャルエンジニアリング、データまたはソースコードの抽出という3つの例を挙げています。第2部では、医療機器としての、あるいは医療機器に搭載されるAIのサイバーセキュリティ確保に関連する欧州連合の規制枠組み（MDR、NIS指令、サイバーセキュリティ法、GDPR、AI法提案、NIS2指令提案）の概要を説明する。最後に、第3部では、EUの規制の枠組みから生じる可能性のある課題について検討する。特に、2つの立法案から派生する課題と、AI医療機器のサイバーセキュリティに関する既存の法律との相互作用に注目しています。(1)AI法はサイバーセキュリティと安全性の要件に関してMDRとどのように相互作用するか、(2)NIS 2指令案とMDRからの事故通知要件をどのように解釈すべきか、(3)重要インフラストラクチャの進化する用語の結果は何か、という問いに対する回答として構成されている。 [本章は草稿である。最終版はBarry Solaiman & I. Glenn Cohen編集のResearch Handbook on Health, AI and the Law, forthcoming 2023, Edward Elgar Publishing Ltdに掲載される予定です]。

要約(オリジナル)

Medical devices and artificial intelligence systems rapidly transform healthcare provisions. At the same time, due to their nature, AI in or as medical devices might get exposed to cyberattacks, leading to patient safety and security risks. This book chapter is divided into three parts. The first part starts by setting the scene where we explain the role of cybersecurity in healthcare. Then, we briefly define what we refer to when we talk about AI that is considered a medical device by itself or supports one. To illustrate the risks such medical devices pose, we provide three examples: the poisoning of datasets, social engineering, and data or source code extraction. In the second part, the paper provides an overview of the European Union’s regulatory framework relevant for ensuring the cybersecurity of AI as or in medical devices (MDR, NIS Directive, Cybersecurity Act, GDPR, the AI Act proposal and the NIS 2 Directive proposal). Finally, the third part of the paper examines possible challenges stemming from the EU regulatory framework. In particular, we look toward the challenges deriving from the two legislative proposals and their interaction with the existing legislation concerning AI medical devices’ cybersecurity. They are structured as answers to the following questions: (1) how will the AI Act interact with the MDR regarding the cybersecurity and safety requirements?; (2) how should we interpret incident notification requirements from the NIS 2 Directive proposal and MDR?; and (3) what are the consequences of the evolving term of critical infrastructures? [This is a draft chapter. The final version will be available in Research Handbook on Health, AI and the Law edited by Barry Solaiman & I. Glenn Cohen, forthcoming 2023, Edward Elgar Publishing Ltd]

arxiv情報

提供元, 利用サービス

arxiv.jp, DeepL