25 sierpnia 2026 r. serwis medyczny STAT opisał szpital, w którym kierownictwo nie zareagowało na alerty systemu wskazującego możliwe nieuprawnione przejęcie leków; pacjenci zostali narażeni na ból, choć dokumentacja wskazywała podanie preparatów. Alert AI powinien uruchamiać udokumentowaną podwójną ocenę zdarzeń lekowych, ale sam nie może przesądzać kradzieży ani winy pracownika. Poniżej pokazujemy, jak polski szpital może oddzielić pilną ochronę pacjenta od decyzji o formalnym wyjaśnieniu.

Drug diversion (kradzież, przywłaszczenie albo inne nieuprawnione przejęcie leku z legalnego obiegu) może dotyczyć wydania, podania, zwrotu lub marnowania preparatu. System sztucznej inteligencji (AI) łączy takie zdarzenia i wskazuje nietypowy wzorzec, lecz farmaceuta i drugi upoważniony recenzent sprawdzają materiał źródłowy oraz kontekst kliniczny.

Stan wiedzy: 1 września 2026 r. Przypadki amerykańskie nie wyznaczają polskiej procedury, ale dobrze pokazują dwie granice: system może zauważyć sygnał wcześniej, a mimo to człowiek może go zignorować; może też nie wskazać zdarzenia, które później okaże się istotne.

Co pokazał opisany 25 sierpnia przypadek systemu do kontroli leków?

W opisanym przez STAT zdarzeniu system wygenerował alerty przed ujawnieniem nieuprawnionego użycia leków przez pracownika. Audytorzy stwierdzili, że managerowie ich nie wykorzystali. Problemem nie był więc sam brak danych, lecz przerwanie procesu między alertem a reakcją człowieka.

To ważniejsze niż nazwa produktu. System może zestawiać zapisy z szafy lekowej, ewidencji wydania, podania i marnowania, ale szpital nadal musi wskazać osobę odpowiedzialną za odbiór sygnału, termin pierwszej oceny i zastępstwo. Bez tego nawet trafny alert jest tylko kolejną pozycją w panelu.

Dlaczego alert AI nie jest dowodem kradzieży?

W badaniu z 2022 r. model przeanalizował dane o wcześniejszych zdarzeniach z 10 szpitali: 27,9 mln transakcji i 22 znane przypadki ukryte przed testowanym systemem. W połowie znanych przypadków alert pojawił się co najmniej 74 dni wcześniej niż przy dotychczasowych metodach. Badanie dotyczyło jednak zdarzeń, których wynik był już znany, a część autorów była związana z dostawcą rozwiązania.

Badanie pokazuje potencjał do wcześniejszego wykrycia, nie prawdziwość każdego alarmu. Nietypowa transakcja może wynikać z poprawnej korekty, opóźnionego wpisu, innej organizacji bloku operacyjnego albo brakującego dokumentu. Dlatego alert nie może automatycznie zmieniać grafiku, dostępu do pracy ani statusu pracownika.

Kto sprawdza sygnał, gdy główny recenzent jest nieobecny?

Polskie rozporządzenie wymaga, aby środki odurzające i psychotropowe były zabezpieczone przed kradzieżą, podmianą i zniszczeniem, a elektroniczna ewidencja zachowywała pełny ślad operacji i korekt. Kierownik apteki odpowiada za ewidencję, ale może upoważnić odpowiednio doświadczonego farmaceutę; na czas urlopu lub choroby może także wyznaczyć zastępstwo.

Ta zasada daje dobry wzorzec organizacyjny dla alertów. Główny recenzent i zastępca muszą mieć zapisane uprawnienia, zakres danych oraz termin reakcji, zanim system zacznie działać. Dostęp zespołu technicznego do konfiguracji nie oznacza prawa do oceny zachowania konkretnego pracownika.

Jak przeprowadzić podwójną ocenę bez przesądzania winy?

Rozwinięta ocena jednego alertu zaczyna się od pytania o konkretną rozbieżność: co wydano, co podano, co zwrócono lub zmarnowano oraz kto i kiedy poprawił zapis. Najpierw zabezpiecz lek, dokumentację i opiekę nad pacjentem; dopiero później interpretuj zachowanie osoby. W osobnym procesie warto uzgodnić stan magazynowy — opisuje go artykuł AI w zapasach medycznych: co sprawdzać poza liczbą sztuk?.

Pierwszy recenzent, powinien zapisać także czego brakuje do oceny. Następnie drugi farmaceuta lub członek upoważnionego zespołu otrzymuje ten sam zestaw rejestrów operacji, czyli logów, bez gotowego werdyktu pierwszej osoby. Druga osoba sprawdza czy ten sam wniosek wynika z logów. To jest podwójna ocena (dual review — dwie upoważnione osoby niezależnie sprawdzają ten sam materiał), a nie dwa podpisy pod jedną opinią.

Jeżeli obie osoby widzą poprawnie udokumentowaną korektę i zgodny stan, alert można zamknąć z przyczyną. Jeśli brakuje wpisu lub dokumentu, system powinien zachować status „do uzupełnienia”, bez etykiety winy. Formalne wyjaśnienie zaczyna się dopiero wtedy, gdy dwie oceny potwierdzają niewyjaśnioną rozbieżność albo pojawia się bezpośrednie zagrożenie dla pacjenta.

Kiedy zamknąć alert, a kiedy rozpocząć formalne wyjaśnienie?

Szpital prowadzi dwa tory równolegle. Tor bezpieczeństwa pacjenta obejmuje natychmiastowe zabezpieczenie leku, sprawdzenie dokumentacji podania i ocenę, czy pacjent otrzymał właściwe leczenie. Nie czeka na decyzję kadrową.

Tor pracowniczy i zgodności z przepisami zaczyna się od ograniczonego dostępu do materiału, zachowania rejestrów operacji oraz procedury uzgodnionej z działem kadr, zespołem ds. zgodności z przepisami i obsługą prawną. Rozpocznij go, gdy sygnał pozostaje niewyjaśniony po dwóch ocenach, dotyczy powtarzalnego wzorca albo łączy się z informacją o możliwym zagrożeniu. Zamknij alert, gdy źródła potwierdzają legalną operację i nie ma nierozliczonego stanu.

Jaki pierwszy krok powinien wykonać manager szpitala?

Pierwszy krok to wskazanie głównego i zastępczego recenzenta jeszcze przed zakupem systemu. Na jednym spotkaniu manager, kierownik apteki, przedstawiciel zespołu ds. zgodności z przepisami i przedstawiciel działu kadr ustalają źródła danych, termin reakcji, zasady poufności oraz trzy możliwe wyniki: zamknięcie alertu, uzupełnienie materiału lub rozpoczęcie formalnego wyjaśnienia.

Pilotaż warto rozważyć dopiero wtedy, gdy główny i zastępczy recenzent potrafią odtworzyć podstawę alertu na zanonimizowanym zdarzeniu. Zatrzymaj projekt, gdy którykolwiek recenzent nie widzi niezbędnych rejestrów albo system nie pokazuje, które zdarzenia złożyły się na sygnał. Najpierw napraw procedurę; model nie zastąpi dyżuru, którego nikt nie objął.

Źródła