विषय 1.5 — विनियमन और अनुपालन परिदृश्य

एक वाक्य में: डिजिटल स्वास्थ्य और देखभाल में अनुपालन कोई कानूनी बाद का विचार नहीं है बल्कि अतिव्यापी वैधानिक कर्तव्यों, अनिवार्य मानकों, और स्वैच्छिक आश्वासन का एक मानचित्र है जिसे आपको सोच-समझकर, जोखिम के अनुपात में, स्पष्ट स्वामित्व के साथ नेविगेट करना चाहिए — क्योंकि इसे गलत करना एक सुरक्षा, समानता, और सार्वजनिक-विश्वास विफलता है, केवल एक जुर्माना नहीं।

यह स्वास्थ्य और देखभाल में क्यों महत्वपूर्ण है#

अधिकांश क्षेत्रों में, विनियमन एक फर्श निर्धारित करता है: इसका पालन करें और आप दंड से बचें। स्वास्थ्य और देखभाल में, नियामक परिदृश्य इस बारे में कड़ी मेहनत से सीखे गए सबक को संहिताबद्ध करता है कि डिजिटल सिस्टम गलत होने पर लोगों को कैसे नुकसान पहुंचाते हैं — एक गलत लेबल वाली खुराक, एक खोया हुआ रिकॉर्ड, एक पक्षपाती एल्गोरिथम, एक उल्लंघन जो एक व्यक्ति के स्वामित्व वाले सबसे संवेदनशील डेटा को उजागर करता है। यहां अनुपालन इस बात का एक प्रॉक्सी है कि क्या आपने उन नुकसानों के बारे में बिल्कुल भी सोचा है। एक नेता जो इसे कागज़ी काम के रूप में मानता है वह आपको बता रहा है कि उन्होंने नहीं सोचा।

परिदृश्य वास्तव में भीड़भाड़ वाला भी है, और यही कठिनाई है। एक एकल रोगी-सामना करने वाला ऐप एक साथ एक निकाय द्वारा विनियमित चिकित्सा उपकरण हो सकता है, दूसरे के दायरे में व्यक्तिगत डेटा प्रोसेस कर सकता है, केवल तभी आयुक्त किया जा सकता है जब यह एक राष्ट्रीय मूल्यांकन को साफ़ करे, एक देखभाल नियामक द्वारा निरीक्षित सेवा के अंदर बैठ सकता है, और क्लिनिशियनों द्वारा बनाया जा सकता है जो अपने स्वयं के व्यावसायिक नियामकों के प्रति जवाबदेह हैं। किसी ने इस मानचित्र को एक सुसंगत संपूर्ण के रूप में नहीं लिखा; यह जमा हुआ। एक नेता के रूप में आपका काम हर नियम को याद करना नहीं है बल्कि इलाके के आकार को धारण करना है — कौन क्या कवर करता है, कौन से उपकरण अनिवार्य बनाम सलाहकार हैं, और आपकी विशिष्ट सेवा इसके भीतर कहां बैठती है।

अंत में, यह सार्वजनिक धन और वैधानिक कर्तव्य है। जब आप एक गैर-अनुपालक सिस्टम तैनात करते हैं तो आप केवल अपने संगठन को प्रवर्तन के लिए उजागर नहीं कर रहे हैं; आप रोगियों और नागरिकों के प्रति देय कर्तव्यों का उल्लंघन कर सकते हैं, और सार्वजनिक धन को किसी ऐसी चीज़ पर खर्च कर सकते हैं जिसे आप कानूनी रूप से नहीं चला सकते। इसलिए यह विषय आगे के अधिक विस्तृत विषयों को तैयार करता है क्लिनिकल सुरक्षा (विषय 1.6 — क्लिनिकल सुरक्षा और जोखिम प्रबंधन), सूचना प्रशासन (विषय 1.7 — सूचना प्रशासन, डेटा सुरक्षा और साइबर सुरक्षा), डेटा नैतिकता (विषय 1.8 — डेटा नैतिकता, सहमति और सार्वजनिक विश्वास), और आश्वासन (विषय 6.4 — प्रशासन और आश्वासन) पर। यह विषय नेविगेटर है; वे विस्तृत चार्ट हैं।

मुख्य अवधारणाएं#

दायित्व के तीन स्तर। सबसे उपयोगी एकल अंतर वैधानिक विनियमन, अनिवार्य मानकों, और स्वैच्छिक आश्वासन के बीच है। वैधानिक विनियमन कानून है — एक नियामक द्वारा कानूनी शक्तियों के साथ लागू किया गया, और गैर-परक्राम्य (उदाहरण के लिए, डेटा सुरक्षा कानून, या एक चिकित्सा उपकरण को पंजीकृत करने की आवश्यकता)। अनिवार्य मानक संविदात्मक या नीति आवश्यकताएं हैं जिन्हें आपको एक प्रणाली के भीतर संचालित करने के लिए पूरा करना चाहिए भले ही वे प्राथमिक विधान न हों — उदाहरण के लिए, राष्ट्रीय NHS उपकरण जिन पर आयुक्त करना सशर्त है। स्वैच्छिक आश्वासन वह जगह है जहां आप विश्वास बनाने, खरीद जीतने, या भविष्य के विनियमन को पूर्वग्रहित करने के लिए एक मान्यता प्राप्त बेंचमार्क के विरुद्ध गुणवत्ता प्रदर्शित करना चुनते हैं। यह जानना कि एक दी गई आवश्यकता किस स्तर में बैठती है आपको बताता है कि अगर आप इसे चूक जाते हैं तो क्या होता है: अभियोजन, बाज़ार से बहिष्करण, या प्रतिष्ठा नुकसान।

Care Quality Commission (CQC)। Care Quality Commission इंग्लैंड में स्वास्थ्य और वयस्क सामाजिक देखभाल का स्वतंत्र नियामक है। यह प्रदाताओं को इस आधार पर पंजीकृत, निरीक्षित, और रेट करता है कि क्या सेवाएं सुरक्षित, प्रभावी, देखभाल करने वाली, उत्तरदायी, और अच्छी तरह से नेतृत्व वाली हैं। डिजिटल सेवाएं इससे नहीं बचतीं: जहां प्रौद्योगिकी देखभाल डिलीवरी का हिस्सा है, वहां CQC के सुरक्षा और नेतृत्व के बारे में प्रश्न आपके द्वारा चलाए जा रहे सिस्टम तक पहुंचते हैं, और इसका "अच्छी तरह से नेतृत्व" डोमेन तेज़ी से डिजिटल और डेटा परिपक्वता की जांच करता है।

MHRA और चिकित्सा उपकरण। Medicines and Healthcare products Regulatory Agency (MHRA) यूके में दवाओं और चिकित्सा उपकरणों को विनियमित करता है। महत्वपूर्ण रूप से, सॉफ़्टवेयर एक चिकित्सा उपकरण हो सकता है: Software as a Medical Device (SaMD) एक चिकित्सा उद्देश्य के लिए इरादा किया गया सॉफ़्टवेयर है — निदान, रोकथाम, निगरानी, उपचार — बिना किसी हार्डवेयर उपकरण का हिस्सा हुए। यदि आपका ऐप एक खुराक की गणना करता है, एक लक्षण को त्रिआज करता है, या एक छवि की व्याख्या करता है, तो यह बहुत संभावना है कि एक चिकित्सा उपकरण है और इसे बाज़ार में रखे जाने से पहले वर्गीकृत, पंजीकृत, और उपयुक्त अनुरूपता चिह्न धारण करना चाहिए।

अनुरूपता चिह्न: UKCA और CE। ग्रेट ब्रिटेन बाज़ार में रखे गए एक चिकित्सा उपकरण को UKCA चिह्न (UK Conformity Assessed) की आवश्यकता है, CE चिह्न (Conformité Européenne) का ब्रेक्सिट-पश्चात ब्रिटिश समकक्ष। अभी के लिए, CE-चिह्नित उपकरण संक्रमणकालीन व्यवस्थाओं के तहत ग्रेट ब्रिटेन में स्वीकार किए जाते रहते हैं, और उत्तरी आयरलैंड EU नियमों का पालन करता है — इसलिए आपको जिस चिह्न की आवश्यकता है वह इस पर निर्भर करता है कि आप उपकरण को कहां रखते हैं। यह एक जीवंत, बदलता हुआ क्षेत्र है; सटीक आवश्यकता को एक ऐसी चीज़ के रूप में मानें जिसकी पुष्टि की जानी चाहिए, मान लेने के लिए नहीं।

NICE और Evidence Standards Framework। National Institute for Health and Care Excellence (NICE) इस बारे में मार्गदर्शन उत्पन्न करता है कि क्या काम करता है और क्या लागत-प्रभावी है। डिजिटल स्वास्थ्य प्रौद्योगिकियों के लिए इसका Evidence Standards Framework (ESF) जोखिम के अनुपात में यह निर्धारित करता है कि एक डिजिटल उत्पाद को प्रणाली द्वारा अपनाने से पहले कौन सा साक्ष्य दिखाना चाहिए। NICE MHRA जैसा लाइसेंसिंग गेटकीपर नहीं है, लेकिन इसके निर्णय आयुक्तों को भारी रूप से आकार देते हैं — MHRA पंजीकरण पास करना साबित करता है कि एक उपकरण बेचने के लिए सुरक्षित है; NICE-संरेखित साक्ष्य अपेक्षाओं को साफ़ करना साबित करने में मदद करता है कि यह खरीदने लायक है (देखें विषय 1.3 — साक्ष्य-आधारित निर्णय)।

ICO और डेटा सुरक्षा कानून। Information Commissioner's Office (ICO) डेटा सुरक्षा और सूचना की स्वतंत्रता के लिए यूके का स्वतंत्र नियामक है। यह यूके General Data Protection Regulation (GDPR) और Data Protection Act 2018 को लागू करता है, जो नियंत्रित करते हैं कि आप कानूनी रूप से व्यक्तिगत डेटा कैसे प्रोसेस कर सकते हैं — और स्वास्थ्य डेटा एक "विशेष श्रेणी" है जो सबसे मज़बूत सुरक्षा आकर्षित करती है। ICO जांच कर सकता है, परिवर्तन आदेश दे सकता है, और महत्वपूर्ण जुर्माना लगा सकता है। मूल बात विषय 1.7 में कवर की गई है; यहां, बस यह पकड़ें कि ICO आपका डेटा-सुरक्षा नियामक है और स्वास्थ्य डेटा एक उच्च बार धारण करता है।

अनिवार्य NHS उपकरण। प्राथमिक कानून से परे, NHS अपने स्वयं के अनिवार्य उपकरण चलाता है। Data Security and Protection Toolkit (DSPT) वार्षिक स्व-मूल्यांकन है जो हर संगठन जो NHS रोगी डेटा संभालता है उसे डेटा-सुरक्षा और सूचना-प्रशासन मानकों को प्रदर्शित करने के लिए पूरा करना चाहिए। Digital Technology Assessment Criteria (DTAC) वह आधार रेखा है जिसे NHS संगठनों द्वारा आयुक्त किए जाने के लिए एक डिजिटल स्वास्थ्य प्रौद्योगिकी को पूरा करना चाहिए, जिसमें क्लिनिकल सुरक्षा, डेटा सुरक्षा, तकनीकी सुरक्षा, अंतरसंचालनीयता, और उपयोगिता शामिल है। क्लिनिकल-सुरक्षा मानक DCB0129 (निर्माताओं के लिए) और DCB0160 (तैनात करने वाले संगठनों के लिए) एक दस्तावेज़ीकृत क्लिनिकल-जोखिम-प्रबंधन प्रक्रिया अनिवार्य करते हैं — एक खतरा लॉग, एक क्लिनिकल सुरक्षा अधिकारी, एक सुरक्षा मामला — और विषय 1.6 की रीढ़ हैं।

व्यावसायिक नियामक। केवल उत्पाद ही नहीं, लोग भी विनियमित होते हैं। General Medical Council (GMC) डॉक्टरों को पंजीकृत करता है और उनके लिए मानक निर्धारित करता है, और Nursing and Midwifery Council (NMC) नर्सों और दाइयों के लिए वही करता है। जब क्लिनिशियन डिजिटल सेवाओं को डिज़ाइन करते हैं, अनुमोदित करते हैं, या संचालित करते हैं, तो उनके व्यावसायिक कर्तव्य उनके साथ यात्रा करते हैं — एक क्लिनिकल सुरक्षा अधिकारी जो एक सिस्टम पर हस्ताक्षर करता है वह व्यावसायिक जवाबदेही के तहत कार्य कर रहा है, केवल एक संगठन-चार्ट भूमिका नहीं।

क्षितिज और संदर्भ: EU व्यवस्था। EU के बाहर भी, Artificial Intelligence Act और Regulation (EU) 2017/745 (EU चिकित्सा उपकरण विनियमन, MDR) मायने रखते हैं — वे यात्रा की दिशा निर्धारित करते हैं, अगर आप EU बाज़ारों या उत्तरी आयरलैंड की सेवा करते हैं तो आपको बांधते हैं, और अक्सर पूर्वावलोकन करते हैं कि यूके नियम आगे कहां जाते हैं। ऐसे परिवर्तन के लिए क्षितिज-स्कैनिंग स्वयं एक अनुपालन अनुशासन है।

अनुपालन मानचित्र और रजिस्टर। एक अनुपालन मानचित्र, आपकी सेवा के लिए, तीनों स्तरों में हर लागू दायित्व को सूचीबद्ध करता है, और एक अनुपालन रजिस्टर हर एक के लिए स्थिति, स्वामी, साक्ष्य, और समीक्षा तिथि दर्ज करता है। साथ में वे एक फैले हुए परिदृश्य को एक प्रबंधित, ऑडिट योग्य स्थिति में बदल देते हैं — "हमें लगता है कि हम अनुपालक हैं" और "यहां हर कर्तव्य के लिए नामित स्वामी और वर्तमान साक्ष्य है" के बीच का अंतर।

सर्वोत्तम प्रथाएं#

1. नियंत्रणों के बारे में बहस करने से पहले अपनी सेवा को वर्गीकृत करें। पहला प्रश्न "क्या हम अनुपालक हैं?" नहीं बल्कि "कानूनी रूप से हम क्या हैं?" है। जल्दी निर्धारित करें कि क्या आपका उत्पाद एक चिकित्सा उपकरण है (और इसका जोखिम वर्ग), क्या आप एक डेटा नियंत्रक या प्रोसेसर हैं, और कौन से अनिवार्य NHS उपकरण लागू होते हैं। वर्गीकरण को गलत करना नीचे के हर निर्णय को गलत बनाता है; इसे सही करना आपको बताता है कि ऊपर के स्तरों और निकायों में से कौन वास्तव में आपको बांधता है।

2. एक जीवंत अनुपालन मानचित्र और रजिस्टर बनाएं और बनाए रखें। वैधानिक विनियमन, अनिवार्य मानकों, और स्वैच्छिक आश्वासन में सेवा के लिए हर लागू दायित्व की गणना करें, और हर एक के लिए एक स्वामी, वर्तमान स्थिति, सहायक साक्ष्य, और अगली समीक्षा तिथि दर्ज करें। इसे जीवंत रखें, एक अनुसूची पर समीक्षा की गई, एक ऐसा दस्तावेज़ नहीं जो एक व्यावसायिक मामले के लिए एक बार लिखा गया और फिर कभी नहीं खोला गया। एक अच्छा रजिस्टर किसी भी दिन उत्तर देता है, "इस कर्तव्य का स्वामी कौन है और साक्ष्य कहां है?"

3. हर दायित्व के लिए एकल-नाम जवाबदेही सौंपें। फैली हुई ज़िम्मेदारी वह है जिससे अनुपालन विफल होता है: हर कोई मानता है कि कोई और इसे धारण करता है। हर कर्तव्य को एक नामित स्वामी दें — डेटा सुरक्षा के लिए एक Data Protection Officer, DCB0129/0160 के लिए एक Clinical Safety Officer, DSPT के लिए एक Senior Information Risk Owner — और मानचित्र के स्वामित्व कॉलम को इसे निभाने के लिए अधिकार और समय के साथ वास्तविक बनाएं। जवाबदेही जो नामित नहीं है वह जवाबदेही नहीं है।

4. आनुपातिक और जोखिम-आधारित बनें, टिक-बॉक्स नहीं। विनियमन साक्ष्य के समान आनुपातिकता का हकदार है (देखें विषय 1.3): कठोरता को वहां केंद्रित करें जहां रोगियों, समानता, और विश्वास के लिए जोखिम सबसे अधिक है, और कम-जोखिम वाले काम को हल्का रखें। टिक-बॉक्स अनुपालन — इरादे को चूकते हुए फ़ॉर्म पूरा करना — दोनों अपव्ययी और खतरनाक है, क्योंकि यह झूठा आश्वासन निर्मित करता है। हर आवश्यकता के उद्देश्य को संतुष्ट करने का लक्ष्य रखें, जो आमतौर पर पत्र को भी संतुष्ट करता है।

5. अनिवार्य NHS उपकरणों को डिज़ाइन इनपुट के रूप में मानें, निकास द्वार नहीं। DTAC, DSPT, और DCB0129/0160 सबसे सस्ते और सबसे प्रभावी होते हैं जब शुरुआत से डिलीवरी में बनाए जाते हैं, लाइव-गो से पहले जोड़े नहीं जाते। लॉन्च पर पता चला एक DTAC विफलता महीनों की कीमत चुका सकती है; पूर्वव्यापी रूप से इकट्ठा किया गया एक क्लिनिकल सुरक्षा मामला पतला और अनिश्चित होता है। इन उपकरणों को डिस्कवरी और डिलीवरी में मोड़ें ताकि उन्हें पूरा करना अच्छी तरह से काम करने का एक उपोत्पाद हो।

6. नियामक परिवर्तन के लिए क्षितिज-स्कैन करें और प्रतिक्रिया का स्वामित्व लें। विनियमन चलता है — UKCA समयरेखाएं बदलती हैं, EU AI Act चरणबद्ध रूप से लागू होता है, सॉफ़्टवेयर-एज़-ए-मेडिकल-डिवाइस व्यवस्था विकसित होती है। किसी को प्रासंगिक नियामकों और परामर्शों को ट्रैक करने के लिए सौंपें, अपने अनुपालन मानचित्र के विरुद्ध एक छोटी "नियामक परिवर्तन" वॉचलिस्ट बनाए रखें, और संकेतों को समय सीमा आपात स्थिति बनने से पहले नियोजित काम में बदलें। एक ज्ञात-अग्रिम नियम परिवर्तन से आश्चर्यचकित होना एक बचने योग्य, स्व-आरोपित विफलता है।

7. साक्ष्य को लगातार रखें, और इसे ऑडिट-तैयार बनाएं। नियामक, आयुक्त, और CQC के "अच्छी तरह से नेतृत्व" समीक्षक आपसे दिखाने के लिए कहते हैं, दावा करने के लिए नहीं। खतरा लॉग, Data Protection Impact Assessment, DSPT प्रस्तुतियां, और DTAC साक्ष्य को निरीक्षण दबाव में उन्हें फिर से बनाने के बजाय वर्तमान और पुनर्प्राप्त करने योग्य रखें। निरंतर साक्ष्य उस आवधिक भागदौड़ से भी सस्ता है जिसे यह बदलता है।

8. साइलो में नहीं, नियामकों में समन्वय करें। क्योंकि एक सेवा कई निकायों को छूती है, इसके अनुपालन कार्यों को एक दूसरे से बात करनी चाहिए: क्लिनिकल-सुरक्षा, सूचना-प्रशासन, और उत्पाद स्वामियों को सेवा का एक दृश्य साझा करना चाहिए, तीन असंबद्ध दृश्यों को बनाए रखने के बजाय। एक परिवर्तन जो MHRA को संतुष्ट करता है एक डेटा-सुरक्षा मुद्दा बना सकता है; एक UX फिक्स क्लिनिकल जोखिम प्रोफ़ाइल को बदल सकता है। अनुपालन को एक समन्वित चित्र के रूप में चलाएं, अपने व्यापक प्रशासन में बंधा हुआ (विषय 6.4 — प्रशासन और आश्वासन)।

आपकी टीम के साथ चर्चा करने के लिए प्रश्न#

1. हमारी प्रमुख डिजिटल सेवा के लिए, क्या हम हर नियामक और अनिवार्य मानक को नाम दे सकते हैं जो लागू होता है, कौन हर एक का स्वामी है, और वर्तमान साक्ष्य कहां रहता है — बिना किसी को जाकर पता लगाना पड़े? यह परखता है कि क्या आप वास्तव में मानचित्र धारण करते हैं या केवल यह मानते हैं कि आप अनुपालक हैं। यह मायने रखता है क्योंकि स्वास्थ्य और देखभाल में दायित्व वास्तव में ओवरलैप होते हैं — एक त्रिआज ऐप एक साथ MHRA के तहत एक चिकित्सा उपकरण, ICO के तहत एक डेटा-प्रोसेसिंग संचालन, DTAC की आवश्यकता वाली एक आयुक्त प्रौद्योगिकी, और CQC-निरीक्षित सेवा का हिस्सा हो सकता है — और किसी भी एक स्तर में एक अंतर सेवा को रोक सकता है या रोगियों को नुकसान पहुंचा सकता है। सामने लाने योग्य तनाव यह मान लेने के आराम के बीच है कि "IG इसे संभालता है" या "आपूर्तिकर्ता विनियमित है, हम नहीं" और हर कर्तव्य के लिए नामित स्वामित्व और जीवंत साक्ष्य की पुष्टि करने की असुविधा के बीच है। सेवा के माध्यम से ठोस रूप से काम करें: निकायों को सूचीबद्ध करें, हर दायित्व को इसके स्तर में रखें (वैधानिक, अनिवार्य, स्वैच्छिक), और मौके पर उनमें से तीन के लिए वर्तमान साक्ष्य उत्पन्न करने का प्रयास करें। यदि आप नहीं कर सकते, तो आपने अपना पहला अंतर पाया है। एक अच्छा, ईमानदार उत्तर नामित स्वामियों और दिनांकित साक्ष्य के साथ एक आबाद अनुपालन रजिस्टर है, और यह स्पष्टता कि वर्तमान में कौन से कर्तव्य अस्वामित्व या असाक्ष्यित हैं, "हम अनुपालक हैं" पर एक आत्मविश्वासपूर्ण लहर के बजाय।

2. हम कहां टिक-बॉक्स अनुपालन कर रहे हैं — बिंदु को चूकते हुए फ़ॉर्म को संतुष्ट कर रहे हैं — और कहां हम कम-जोखिम वाले काम को अत्यधिक-इंजीनियर कर रहे हैं? विषय आनुपातिक, जोखिम-आधारित अनुपालन के लिए तर्क देता है, और यह प्रश्न आपको दोनों विफलता दिशाओं को ईमानदारी से जांचने के लिए मजबूर करता है। यह मायने रखता है क्योंकि झूठा आश्वासन एक सुरक्षा-महत्वपूर्ण सेटिंग में सक्रिय रूप से खतरनाक है: एक DSPT जिसे "पूरा हुआ" चिह्नित किया गया या लाइव-गो से एक हफ्ते पहले इकट्ठा किया गया एक क्लिनिकल सुरक्षा मामला अनुपालक दिख सकता है जबकि वास्तविक खतरों को अप्रबंधित छोड़ सकता है, और इस बीच एक भारी आश्वासन प्रक्रिया जो एक कम-जोखिम वाले सामग्री परिवर्तन का गला घोंटती है दुर्लभ क्षमता बर्बाद करती है और पूरी व्यवस्था के बारे में संदेह पैदा करती है। बहस करने योग्य समझौता यह है कि आनुपातिकता के लिए निर्णय और इसे बचाव करने का आत्मविश्वास चाहिए, जो एक समान नियम से प्रशासित करना कठिन है जो हर चीज़ को उच्च-जोखिम मानता है। दो या तीन वर्तमान वस्तुएं लें — एक वास्तव में उच्च-जोखिम, एक कम — और पूछें कि क्या आपने जो कठोरता लागू की वह रोगियों, समानता, और विश्वास के जोखिम से मेल खाती थी, या आदत और डर से संचालित थी। विचार करें कि क्या आपका DTAC और DCB0129/0160 काम वास्तव में डिज़ाइन को आकार दे रहा है या पास करने के लिए रिवर्स-इंजीनियर किया जा रहा है। एक अच्छा उत्तर बॉक्स-टिकिंग के एक विशिष्ट उदाहरण और अत्यधिक-इंजीनियरिंग के एक विशिष्ट उदाहरण को नाम देता है, और हर जगह एक कुंद मानक लागू करने के बजाय जोखिम के अनुसार कठोरता को कैलिब्रेट करने के लिए प्रतिबद्ध होता है।

3. हमें कैसे पता चलेगा कि हमें प्रभावित करने वाला एक विनियमन बदलने वाला है — और उस संकेत को नियोजित काम में बदलने के लिए कौन जिम्मेदार है? यह क्षितिज-स्कैनिंग की जांच करता है, वह अनुशासन जो उन संगठनों को अलग करता है जो समय सीमाओं से आश्चर्यचकित होते हैं उनसे जो उनके लिए योजना बनाते हैं। यह मायने रखता है क्योंकि परिदृश्य अभी असामान्य रूप से जीवंत है — UKCA और CE-चिह्न समयरेखाएं, सॉफ़्टवेयर-एज़-ए-मेडिकल-डिवाइस व्यवस्था, चरणबद्ध EU AI Act, विकसित होते NHS उपकरण — और एक नियम परिवर्तन जिसे आप जानते थे आ रहा है लेकिन तैयार नहीं हुए एक स्व-आरोपित घाव है जो एक सेवा को बाज़ार से बाहर खींच सकता है। तनाव यह है कि क्षितिज-स्कैनिंग का कोई तत्काल भुगतान नहीं है, इसलिए यह डिलीवरी दबाव में गिराई जाने वाली पहली चीज़ है, और इसकी अनुपस्थिति समय सीमा आने तक अदृश्य है। खोजें कि वर्तमान में प्रासंगिक नियामकों और परामर्शों को कौन ट्रैक करता है, क्या आपके अनुपालन मानचित्र से बंधी एक वॉचलिस्ट है, और एक संकेत किसी के इनबॉक्स में एक चिंता के बजाय एक स्वामी और एक तारीख के साथ एक टिकट कैसे बनता है। विचार करें कि क्या आप एक परिवर्तन के बारे में सुनेंगे भी जो केवल उत्तरी आयरलैंड या आपकी सेवा के EU-सामना करने वाले हिस्सों को प्रभावित करता है। एक अच्छा उत्तर उस व्यक्ति या भूमिका को नाम देता है जो नियामक क्षितिज-स्कैनिंग का स्वामी है, एक ठोस वॉचलिस्ट की ओर इशारा करता है, और आखिरी बार का वर्णन करता है जब एक आगामी परिवर्तन समय सीमा से पहले नियोजित काम में बदल दिया गया था।

4. क्या हमने ईमानदारी से वर्गीकृत किया है कि हम क्या हैं — एक चिकित्सा उपकरण या नहीं, एक नियंत्रक या एक प्रोसेसर — या क्या हमने चुपचाप वह व्याख्या चुनी है जो हमारे बोझ को कम करती है? यह विषय में सबसे परिणामी निर्णय को खुले में मजबूर करता है, क्योंकि वर्गीकरण नीचे के हर दायित्व को संचालित करता है और खुद को धोखा देने का सबसे आसान स्थान है। यह मायने रखता है क्योंकि सभी प्रोत्साहन एक ही तरह खींचते हैं: उत्पाद को Software as a Medical Device के बजाय "एक वेलनेस ऐप" कहना, या एक नियंत्रक के बजाय "एक प्रोसेसर" कहना, लागत, साक्ष्य, और जांच से बचता है — लेकिन अगर एल्गोरिथम क्लिनिकल कार्रवाई को सूचित करने के लिए डेटा की व्याख्या करता है, या आप प्रोसेसिंग के उद्देश्यों को तय करते हैं, तो ईमानदार वर्गीकरण वैकल्पिक नहीं है और नियामक आपकी प्राथमिकता की परवाह किए बिना इसे लागू करेगा। तनाव यह है कि सस्ता वाचन अक्सर एक आंतरिक बातचीत से बचने के लिए पर्याप्त बचाव योग्य है लेकिन एक MHRA या ICO जांच से नहीं, और गलत-वर्गीकरण प्रवर्तन और एक ढह गई NHS पाइपलाइन का सबसे तेज़ मार्ग है। इसे ठोस रूप से काम करें: बताएं कि उत्पाद वास्तव में क्या करता है, एक संस्थापक के अनुमान के बजाय कानूनी सलाह लें, और परखें कि क्या आपका बताया गया वर्ग एक नियामक द्वारा उन्हीं तथ्यों को पढ़ने पर टिकेगा। एक अच्छा, ईमानदार उत्तर सलाह के साथ जल्दी पहुंचा एक दस्तावेज़ीकृत वर्गीकरण दिखाता है, नाम देता है कि इसे किसने हस्ताक्षरित किया, और किसी भी सीमा-रेखा कॉल के बारे में और उत्पाद बदलने पर इसे कैसे समीक्षा के तहत रखा जा रहा है इसके बारे में स्पष्ट है।

5. जब हमारी सेवा में एक परिवर्तन एक साथ कई नियामकों को छूता है, तो क्या हमारे अनुपालन कार्य एक साझा चित्र देखते हैं — या तीन असंबद्ध चित्र? यह समन्वय परखता है, वह विफलता जिसके बारे में विषय चेतावनी देता है जब क्लिनिकल सुरक्षा, सूचना प्रशासन, और उत्पाद हर एक आंशिक दृश्य रखते हैं। यह मायने रखता है क्योंकि एक एकल सेवा वास्तव में निकायों में फैली होती है — एक त्रिआज ऐप में एक UX परिवर्तन इसकी क्लिनिकल जोखिम प्रोफ़ाइल बदल सकता है, एक फिक्स जो MHRA को संतुष्ट करता है एक डेटा-सुरक्षा प्रश्न खोल सकता है, और एक DTAC आवश्यकता उन सभी पर खींच सकती है — इसलिए एक साइलो संरचना का अर्थ है कि कोई भी पूरी अनुपालन स्थिति का स्वामी नहीं है और परिवर्तन टीमों के बीच गिर जाते हैं। तनाव यह है कि विशेषज्ञ कार्यों को अच्छे कारणों से अनुशासन द्वारा व्यवस्थित किया जाता है, फिर भी सेवा को रोगी द्वारा एक चीज़ के रूप में अनुभव किया जाता है, और उन दृश्यों का सामंजस्य करना समन्वय प्रयास की लागत है जिसे वित्तपोषित करने के लिए कोई एक टीम प्रोत्साहित नहीं है। खोजें कि क्या प्रति सेवा एक साझा अनुपालन मानचित्र है या कई निजी, क्या एक डोमेन में एक परिवर्तन विश्वसनीय रूप से दूसरों में समीक्षा को ट्रिगर करता है, और यह बोर्ड-स्तरीय प्रशासन से कैसे जुड़ता है (विषय 6.4)। एक अच्छा उत्तर हर सेवा के एक एकल समन्वित दृश्य की ओर इशारा करता है, एक हालिया परिवर्तन का वर्णन करता है जिसका मूल्यांकन सभी प्रभावित नियामकों में एक साथ किया गया था, और इस बारे में ईमानदार है कि अनुशासन अभी भी साइलो में कहां काम करते हैं।

6. जहां हमारी सेवा एक तीसरे-पक्ष आपूर्तिकर्ता पर निर्भर करती है, क्या हम ठीक-ठीक जानते हैं कि कौन से कर्तव्य उनके हैं और कौन से हमारे बने रहते हैं — या क्या हम यह मान रहे हैं कि "वे विनियमित हैं, इसलिए हम कवर हैं"? यह साझा-ज़िम्मेदारी अंतर को सामने लाता है जिसे गलत-वर्गीकरण और फैला हुआ स्वामित्व दोनों खिलाते हैं, क्योंकि एक विनियमित घटक खरीदना आपके अपने कर्तव्यों को स्थानांतरित नहीं करता। यह मायने रखता है क्योंकि एक आपूर्तिकर्ता चिकित्सा-उपकरण अनुरूपता चिह्न धारण कर सकता है जबकि आप, तैनात करने वाले संगठन के रूप में, फिर भी एक DCB0160 क्लिनिकल सुरक्षा मामले का ऋणी हैं, अपने रोगियों के लिए डेटा नियंत्रक बने रहते हैं, और CQC को जवाब देते हैं कि सेवा कैसे चलाई जाती है — और "उनका अनुपालन" और "आपका" के बीच का सीम ठीक वही जगह है जहां दायित्व गिर जाते हैं। तनाव व्यावसायिक भी है और नियामक भी: आपूर्तिकर्ता उन अनुबंधों को पसंद करते हैं जो सुझाव देते हैं कि वे बोझ उठाते हैं, और सीमा को ठीक से मैप करने के बजाय उस आराम को स्वीकार करना आकर्षक है। एक वास्तविक आपूर्तिकर्ता संबंध के माध्यम से काम करें: सूचीबद्ध करें कि अनुबंध और उनका चिह्न वास्तव में क्या कवर करते हैं, क्या आपका वैधानिक या अनिवार्य कर्तव्य बना रहता है, और क्या आपका रजिस्टर आपके पक्ष में नामित स्वामियों के साथ उस विभाजन को दर्ज करता है। एक अच्छा, ईमानदार उत्तर लिखित रूप में आपूर्तिकर्ता के दायित्वों को आपके बनाए रखे गए दायित्वों से अलग करता है, नाम देता है कि हर बनाए रखे गए कर्तव्य का स्वामी कौन है, और वह साक्ष्य दिखा सकता है जो आप रखते हैं, न कि वह साक्ष्य जो आप मानते हैं कि आपूर्तिकर्ता रखता है।

व्यवहार में: एक स्वास्थ्य और देखभाल उदाहरण#

एक एकीकृत देखभाल प्रणाली (ICS) दीर्घकालिक स्थितियों वाले रोगियों को लक्षण रिकॉर्ड करने देने वाला एक स्मार्टफोन ऐप शुरू करने की योजना बना रही है, और उन लोगों को चिह्नित करने के लिए एक एल्गोरिथम का उपयोग करती है जो क्लिनिकल समीक्षा के लिए बिगड़ सकते हैं। प्रलोभन इसे "बस एक ऐप" के रूप में मानने और इसे लाइव धकेलने का है।

इसके बजाय, डिजिटल निदेशक वर्गीकरण से शुरू करता है। क्योंकि एल्गोरिथम क्लिनिकल कार्रवाई को सूचित करने के लिए रोगी डेटा की व्याख्या करता है, कानूनी सलाह पुष्टि करती है कि यह Software as a Medical Device है, इसलिए MHRA व्यवस्था लागू होती है और आपूर्तिकर्ता को ग्रेट ब्रिटेन बाज़ार के लिए सही अनुरूपता चिह्न धारण करना चाहिए — एक UKCA प्रश्न जिसे टीम संक्रमणकालीन CE व्यवस्था विकसित होने पर देखने के लिए चिह्नित करती है। ICS रोगी डेटा के लिए एक डेटा नियंत्रक है, इसलिए ICO के डेटा-सुरक्षा कर्तव्य इसे बांधते हैं, और एक Data Protection Impact Assessment खोला जाता है (विषय 1.7 को फीड करते हुए)। क्योंकि इसे NHS निकायों द्वारा आयुक्त किया जा रहा है, DTAC लागू होता है, और क्योंकि इसे क्लिनिकल उपयोग में तैनात किया गया है, DCB0160 को एक क्लिनिकल सुरक्षा मामले, एक खतरा लॉग, और एक नामित Clinical Safety Officer (विषय 1.6) की आवश्यकता है।

टीम एक अनुपालन मानचित्र बनाती है: हर दायित्व को इसके स्तर में रखा गया, हर एक के साथ एक नामित स्वामी — Data Protection Officer, Clinical Safety Officer, Senior Information Risk Owner, उत्पाद लीड — और स्थिति और साक्ष्य ट्रैक करने वाला एक रजिस्टर। DTAC और सुरक्षा मामले को लाइव-गो द्वार के रूप में मानने के बजाय, वे उन्हें डिस्कवरी से डिलीवरी में मोड़ते हैं, इसलिए खतरा लॉग डिज़ाइन के साथ बढ़ता है। NICE का Evidence Standards Framework यह आकार देता है कि वे बढ़ाने से पहले आपूर्तिकर्ता से कौन सा प्रभावशीलता साक्ष्य मांगते हैं। एक क्षितिज-स्कैनिंग नोट EU AI Act को एल्गोरिथम के भविष्य और किसी भी EU-सामना करने वाली महत्वाकांक्षा के लिए प्रासंगिक चिह्नित करता है। जब CQC बाद में सेवा के नेतृत्व की समीक्षा करता है, तो ICS एक भागदौड़ के बजाय एक जीवंत रजिस्टर और वर्तमान साक्ष्य के साथ "अच्छी तरह से नेतृत्व" प्रश्नों का उत्तर देता है। ऐप भोली योजना से देर से शिप होता है, और कानूनी रूप से।

क्षेत्र दृष्टिकोण#

वही परिदृश्य आप कहां बैठते हैं इसके आधार पर बहुत अलग बोझ लगाता है।

स्टार्टअप#

एक छोटी डिजिटल-स्वास्थ्य कंपनी चिकित्सा-उपकरण और DTAC व्यवस्थाओं को सबसे तीव्रता से महसूस करती है, क्योंकि उन्हें साफ़ करने में ऐसा पैसा और समय खर्च होता है जो शायद इसके पास न हो, और प्रलोभन कम-वर्गीकृत करने का है — यह ज़ोर देने का कि उत्पाद "बस एक वेलनेस ऐप" है, कोई चिकित्सा उपकरण नहीं — बोझ से बचने के लिए। यह सबसे खतरनाक उपलब्ध कदम है: गलत-वर्गीकरण एक प्रवर्तन कार्रवाई और एक ढह गई NHS बिक्री पाइपलाइन का सबसे तेज़ मार्ग है। अनुशासित मार्ग ईमानदारी से और जल्दी वर्गीकृत करना, एक हल्का लेकिन वास्तविक अनुपालन मानचित्र बनाना, और DTAC और एक साफ़ डेटा-सुरक्षा रुख को बिक्री संपत्ति के रूप में मानना है जो NHS बाज़ार को खोलती हैं, इसमें बाधा डालने के बजाय। नियामक क्षितिज-स्कैनिंग के लिए एक नामित स्वामी एक अकेला संस्थापक हो सकता है जो एक और टोपी पहनता है, लेकिन वॉचलिस्ट को फिर भी मौजूद रहना चाहिए।

छोटा व्यवसाय#

एक स्थापित छोटा प्रदाता — एक GP प्रैक्टिस, एक सामुदायिक फार्मेसी, एक केयर होम, एक एकल-साइट क्लिनिक, या स्टार्टअप चरण से आगे एक छोटा स्वास्थ्य-तकनीक आपूर्तिकर्ता — एक बड़े ट्रस्ट के समान वैधानिक और अनिवार्य कर्तव्य उठाता है लेकिन बिना एक Data Protection Officer, एक Clinical Safety Officer, या उन्हें निभाने के लिए एक अनुपालन टीम के। DSPT को फिर भी हर साल पूरा करना होता है, रोगी डेटा फिर भी विशेष-श्रेणी बार आकर्षित करता है, और कोई भी तैनात क्लिनिकल सॉफ़्टवेयर फिर भी DCB0160 खींचता है, फिर भी ये आमतौर पर एक प्रैक्टिस मैनेजर या मालिक पर उतरते हैं जो पहले से संचालन चला रहा है। यथार्थवादी कदम अनुपालन मानचित्र को सोच-समझकर छोटा लेकिन वास्तविक बनाना है, हर विशेषज्ञता को आंतरिक रूप से धारण करने का दिखावा करने के बजाय साझा या आयुक्त विशेषज्ञता पर झुकना — एक फेडरेशन, एक CSU, या एक आपूर्तिकर्ता का क्लिनिकल-सुरक्षा दस्तावेज़ीकरण — और उन कर्तव्यों के बारे में सावधानीपूर्ण होना जिन्हें सौंपा नहीं जा सकता, जैसे अपने रोगियों के लिए डेटा नियंत्रक बने रहना। एक आपूर्तिकर्ता के आश्वासन को अपने बनाए रखे गए कर्तव्यों को कवर करने के रूप में मानना यहां विशिष्ट जाल है: मदद खरीदें, लेकिन कानूनी रूप से जो आपका है उसका नामित स्वामित्व रखें।

बड़ा संगठन#

एक NHS ट्रस्ट या बड़ा ICS एक साथ कई सेवाएं धारण करता है, इसलिए इसकी चुनौती पोर्टफोलियो-पैमाने का समन्वय है: दर्जनों सिस्टम, हर एक कई नियामकों को छूता है, दायित्वों के साथ जो टीमों के बीच नहीं गिरने चाहिए। विफलता विधा संगठनात्मक साइलो है — क्लिनिकल सुरक्षा, सूचना प्रशासन, और खरीद हर एक आंशिक दृश्य रखता है, इसलिए कोई भी किसी दी गई सेवा की पूरी अनुपालन स्थिति नहीं देखता। उपाय प्रति सेवा एक साझा अनुपालन मानचित्र है, बोर्ड-स्तरीय प्रशासन से बंधी एकल-नाम जवाबदेही (विषय 6.4), और निरंतर ऑडिट-तैयार साक्ष्य ताकि एक CQC "अच्छी तरह से नेतृत्व" समीक्षा या एक ICO जांच का उत्तर एक जीवंत स्थिति से दिया जाए। एक बड़ा स्वास्थ्य-तकनीक या फार्मा उद्यम परिपक्व नियामक-मामलों का तंत्र लाता है लेकिन उसे इसे एक अनुपालन कारखाने के रूप में मानने से बचना चाहिए जो उत्पादों के वास्तव में बनाए जाने के तरीके से डिस्कनेक्ट है।

सरकार#

एक राष्ट्रीय निकाय — NHS England, Department of Health and Social Care, MHRA, NICE — अक्सर है नियामक या अनिवार्य उपकरण का लेखक, इसलिए इसके काम करने के तरीके वह बार निर्धारित करते हैं जिसे पूरी प्रणाली को साफ़ करना चाहिए, और इसके निर्णय संसदीय और सार्वजनिक जांच आकर्षित करते हैं। यहां अनुपालन कार्य जनसंख्या-पैमाने की जवाबदेही है: DTAC या ESF जैसा एक उपकरण एक पूरे बाज़ार को आकार देता है, इसलिए स्वयं मानक में आनुपातिकता और स्पष्टता कर्तव्य हैं, शिष्टाचार नहीं, क्योंकि एक बुरी तरह से कैलिब्रेट की गई राष्ट्रीय आवश्यकता या तो हर जगह उपयोगी नवाचार को रोकती है या हर जगह जोखिम को लहराती है। राष्ट्रीय निकाय भी प्रणाली के लिए क्षितिज-स्कैनिंग ज़िम्मेदारी उठाते हैं, यह अनुमान लगाते हुए कि EU AI Act, MDR, और अनुरूपता-चिह्न व्यवस्थाओं को यूके नीति को कैसे आकार देना चाहिए। एक मानक क्या मांगता है और क्यों इसके बारे में पारदर्शिता पैमाने पर सार्वजनिक विश्वास बनाए रखने का हिस्सा है।

सामान्य विफलता मोड#

• गलत-वर्गीकरण। एक बोझ से बचने के लिए यह ज़ोर देना कि एक उत्पाद चिकित्सा उपकरण नहीं है, या कि आप एक नियंत्रक नहीं बल्कि एक प्रोसेसर हैं। उपाय: कानूनी सलाह के साथ ईमानदारी से और जल्दी वर्गीकृत करें; वर्गीकरण बाकी सब कुछ संचालित करता है।
• टिक-बॉक्स अनुपालन। पास करने के लिए DSPT या एक सुरक्षा मामला पूरा करना, जबकि अंतर्निहित जोखिम अप्रबंधित है। उपाय: केवल फ़ॉर्म नहीं, उद्देश्य को संतुष्ट करें; परखें कि क्या कलाकृति ने वास्तव में डिज़ाइन को आकार दिया।
• लाइव-गो द्वार के रूप में अनुपालन। लॉन्च पर DTAC या क्लिनिकल-सुरक्षा अंतराल की खोज करना। उपाय: डिस्कवरी से अनिवार्य उपकरणों को डिलीवरी में मोड़ें।
• फैला हुआ स्वामित्व। हर कर्तव्य को किसी और का माना जाता है। उपाय: एक जीवंत रजिस्टर में प्रति दायित्व एकल-नाम जवाबदेही।
• साइलो में विभाजित नियामक। क्लिनिकल सुरक्षा, IG, और उत्पाद एक सेवा के असंबद्ध दृश्य रखते हैं। उपाय: एक साझा अनुपालन मानचित्र, समन्वित प्रशासन।
• कोई क्षितिज-स्कैनिंग नहीं। एक नियम परिवर्तन से आश्चर्यचकित होना जिसे आप आते देख सकते थे। उपाय: अनुपालन मानचित्र से बंधी एक स्वामित्व वाली वॉचलिस्ट।
• पुराना साक्ष्य। निरीक्षण दबाव में खतरा लॉग और मूल्यांकन को फिर से बनाना। उपाय: निरंतर, ऑडिट-तैयार साक्ष्य।

परिपक्वता मॉडल#

जांच-सूची#

• सेवा का कानूनी वर्गीकरण (चिकित्सा उपकरण और वर्ग; नियंत्रक/प्रोसेसर) पुष्टि और दस्तावेज़ीकृत है।
• एक जीवंत अनुपालन मानचित्र वैधानिक, अनिवार्य, और स्वैच्छिक स्तरों में हर दायित्व को सूचीबद्ध करता है।
• हर दायित्व का एक एकल नामित स्वामी है जिसके पास इसे निभाने का अधिकार और समय है।
• अनिवार्य NHS उपकरण (DTAC, DSPT, DCB0129/0160) डिलीवरी में बनाए गए हैं, लाइव-गो पर जोड़े नहीं गए।
• कठोरता रोगी, समानता, और विश्वास जोखिम के अनुसार कैलिब्रेट की गई है — समान बॉक्स-टिकिंग नहीं।
• साक्ष्य (खतरा लॉग, DPIA, DSPT, DTAC) वर्तमान, पुनर्प्राप्त करने योग्य, और ऑडिट-तैयार है।
• एक नामित स्वामी एक बनाए रखी गई वॉचलिस्ट के विरुद्ध नियामक क्षितिज-स्कैनिंग चलाता है।
• संबंधित बाज़ार के लिए अनुरूपता-चिह्न आवश्यकताएं (UKCA/CE) पुष्ट हैं, मानी नहीं गई।
• अनुपालन कार्य हर सेवा का एक समन्वित दृश्य साझा करते हैं, प्रशासन से बंधा हुआ (विषय 6.4)।
• रजिस्टर की एक अनुसूची पर समीक्षा की जाती है, एक बार लिखा और छोड़ा नहीं गया।

मुख्य स्रोत#

• Care Quality Commission — How CQC regulates और एकल मूल्यांकन ढांचा (cqc.org.uk)।
• MHRA — Medical devices: software applications (apps) और Software and AI as a Medical Device मार्गदर्शन (gov.uk)।
• NICE — डिजिटल स्वास्थ्य प्रौद्योगिकियों के लिए Evidence Standards Framework (ESF) (nice.org.uk)।
• Information Commissioner's Office — Guide to Data Protection और Guide to the UK GDPR (ico.org.uk)।
• NHS England — Data Security and Protection Toolkit (DSPT) (dsptoolkit.nhs.uk)।
• NHS England — Digital Technology Assessment Criteria (DTAC)।
• NHS Digital / NHS England — क्लिनिकल जोखिम प्रबंधन मानक DCB0129 और DCB0160।
• GMC — Good medical practice; NMC — The Code (व्यावसायिक मानक)।
• GOV.UK — ग्रेट ब्रिटेन बाज़ार के लिए UKCA marking और CE marking मार्गदर्शन।

संदर्भ#

1. Regulatory compliance — Wikipedia — https://en.wikipedia.org/wiki/Regulatory_compliance
2. Care Quality Commission — Wikipedia — https://en.wikipedia.org/wiki/Care_Quality_Commission
3. Medicines and Healthcare products Regulatory Agency — Wikipedia — https://en.wikipedia.org/wiki/Medicines_and_Healthcare_products_Regulatory_Agency
4. Medical device — Wikipedia — https://en.wikipedia.org/wiki/Medical_device
5. UKCA marking — Wikipedia — https://en.wikipedia.org/wiki/UKCA_marking
6. CE marking — Wikipedia — https://en.wikipedia.org/wiki/CE_marking
7. National Institute for Health and Care Excellence — Wikipedia — https://en.wikipedia.org/wiki/National_Institute_for_Health_and_Care_Excellence
8. Information Commissioner's Office — Wikipedia — https://en.wikipedia.org/wiki/Information_Commissioner%27s_Office
9. General Data Protection Regulation — Wikipedia — https://en.wikipedia.org/wiki/General_Data_Protection_Regulation
10. Data Protection Act 2018 — Wikipedia — https://en.wikipedia.org/wiki/Data_Protection_Act_2018
11. General Medical Council — Wikipedia — https://en.wikipedia.org/wiki/General_Medical_Council
12. Nursing and Midwifery Council — Wikipedia — https://en.wikipedia.org/wiki/Nursing_and_Midwifery_Council
13. Artificial Intelligence Act — Wikipedia — https://en.wikipedia.org/wiki/Artificial_Intelligence_Act
14. Regulation (EU) 2017/745 (EU Medical Device Regulation) — Wikipedia — https://en.wikipedia.org/wiki/Regulation_(EU)_2017/745
15. How CQC regulates — Care Quality Commission — https://www.cqc.org.uk/about-us/how-we-do-our-job/how-we-regulate
16. Software and AI as a Medical Device — MHRA, GOV.UK — https://www.gov.uk/government/publications/software-and-artificial-intelligence-ai-as-a-medical-device
17. Evidence Standards Framework for digital health technologies (ESF) — NICE — https://www.nice.org.uk/about/what-we-do/digital-health
18. Guide to the UK GDPR — Information Commissioner's Office — https://ico.org.uk/for-organisations/uk-gdpr-guidance-and-resources/
19. Data Security and Protection Toolkit — NHS England — https://www.dsptoolkit.nhs.uk/
20. Digital Technology Assessment Criteria (DTAC) — NHS England — https://www.nhs.uk/digital-technology-assessment-criteria-dtac/
21. Clinical risk management standards DCB0129 and DCB0160 — NHS England — https://digital.nhs.uk/services/clinical-safety
22. UKCA marking guidance — GOV.UK — https://www.gov.uk/guidance/using-the-ukca-marking