Firma FELG Software potwierdziła atak na system FELG Dent, z którego korzysta 16 000 gabinetów stomatologicznych. Według wstępnych informacji, incydent objął około 2 mln rekordów pacjentów.

Mamy dane i je ujawnimy, jeśli nie dostaniemy okupu. „Pozbędziemy się pseudo lekarzy”

Z portalem Sekurak skontaktowali się hakerzy, którzy twierdzą, że wykradli dane pacjentów z systemu IT do obsługi gabinetów stomatologicznych.

– Jestesmy niezalezni nazywamy sie Horus pokazalismy slabosc kolejnego programu gabinetowego ktory odpowiadal za trzymanie danych polakow w nasze rece wpadly nastepujace dane z felgdent.com [pisownia oryginalna] – napisali hakerzy.

FELG Software potwierdził, że do incydentu doszło i zapowiedział, że w ciągu najbliższych dni będzie w stanie dokładniej określić zakres naruszenia.

– Z przykrością informujemy, że również i my padliśmy ofiarą ataku hakerskiego, w wyniku którego haker podający się za członka grupy „fingerprint” mógł uzyskać dostęp do danych osobowych Państwa pacjentów, które powierzyli Państwo FELG Software sp. z o.o. do przetwarzania. Osoba podająca się za sprawcę ataku twierdzi, że uzyskała dostęp do około 10% danych z naszej bazy i żąda okupu za ich nieujawnianie – czytamy w oświadczeniu na stronie FELG Software.

Atakujący przekazali również próbki danych dotyczących kilku osób publicznych. W części przypadków miały one zawierać podstawowe dane identyfikacyjne, w innych również adresy, informacje o gabinecie czy przepisanych lekach. Nie zostało jednak potwierdzone, że przedstawione dane pochodzą z FELG Dent. Jak zwraca uwagę Sekurak, mogą one również pochodzić z wcześniejszych wycieków.

Hakerzy zagrozili, że ujawnią informacje o lekarzach stomatologach, którzy wypisywali na receptę leki psychotropowe. Chcą to zrobić „zeby mozna bylo pozbyc sie pseudo lekarzy ktorzy doprowadzaja do smierci ludzi” [pisownia oryginalna]. 

Trwa śledztwo wewnętrzne firmy

System FELG Dent jest wykorzystywany przez około 16 tys. gabinetów stomatologicznych. Atakujący, którzy przedstawiają się jako Horus, twierdzą, że uzyskali dostęp do około 2,4 mln rekordów pacjentów. Wśród danych mają znajdować się m.in. imiona i nazwiska, numery PESEL, adresy, numery telefonów, informacje o gabinecie oraz dane dotyczące leczenia.

Według ich deklaracji dostęp obejmował również informacje związane z receptami, dokumentacją wizyt, e-ZLA, eWUŚ, a także pliki i zdjęcia przechowywane w systemie. Atakujący twierdzą, że wykorzystali podatność typu IDOR (Insecure Direct Object Reference), która może pozwalać na uzyskanie dostępu do obiektów lub danych poprzez manipulowanie identyfikatorami w żądaniach aplikacji. Według ich relacji punktem wyjścia miało być konto demonstracyjne, które miało umożliwiać dostęp do danych produkcyjnych.

FELG Software poinformowała klientów o incydencie, zawiadomiła prokuraturę i skontaktowała się z Urzędem Ochrony Danych Osobowych. Firma prowadzi również analizę z udziałem zewnętrznych specjalistów z zakresu informatyki śledczej.

Czytaj także: Cyberatak na Medyc. Czy wyciekły dane 5 mln pacjentów?

Tylko do sierpnia 2026 roku do CSIRT CeZ zgłoszono 1379 incydentów bezpieczeństwa danych. W czerwcu br. było ich 249 (o 94% więcej niż w czerwcu 2025 roku), w lipcu – 168 (+95%), a w sierpniu – 163 (+140%) – poinformowali przedstawiciele Ministerstwa Zdrowia i Centrum e-Zdrowia na spotkaniu dla dziennikarzy. To oznacza rekordowy średni wzrost o 110% w miesiącach czerwiec-sierpień.

Od czerwca mamy do czynienia z wyjątkową aktywnością hakerów

W ciągu ostatnich 3 lat liczba incydentów w ochronie zdrowia wzrosła 6-krotnie. W całym 2025 roku było ich 1441, a najczęściej rejestrowano oszustwa komputerowe, w tym phishing (580 przypadków), podatne usługi (344), wycieki poświadczeń (148), oraz szkodliwe oprogramowanie (146). Oszustwa i podatne usługi stanowiły razem około 64% zdarzeń.

Szczególnie w drugiej połowie 2026 roku mocno wzrosła liczba incydentów bezpieczeństwa danych – od czerwca do sierpnia o średnio 110%. Pod względem rodzaju zagrożeń, 2026 rok jest bardzo podobny do poprzednich lat. Dominujące są oszustwa komputerowe – do sierpnia br. zarejestrowano ich 389.

Z kolei z badań przeprowadzonych na przełomie 2025 i 2026 roku przez CSIRT CeZ wynika, że 76% jednostek deklarowało wdrożenie systemu zarządzania bezpieczeństwem informacji, ale ponad 28% nie posiadało opublikowanej polityki bezpieczeństwa, a około 29% dyrektorów nie dokonywało regularnych przeglądów oceny ryzyka.

– Więcej usług dostępnych online to wygoda dla pacjenta, ale też wspólna odpowiedzialność instytucji państwowych, kierowników placówek i dostawców oprogramowania – mówił na spotkaniu wiceminister zdrowia Tomasz Maciejewski.

Jeremi Olechnowicz, dyrektor Pionu Eksploatacji Systemów Teleinformatycznych w Centrum e-Zdrowia, podkreślał, że odpowiedzialność za cyberbezpieczeństwo obejmuje świadomość zagrożeń, odpowiednie technologie oraz kompetencje pracowników. To proces ciągły, dlatego organizacje muszą stale inwestować w ochronę swoich systemów i danych. Ważne jest także śledzenie wykrytych podatności i kampanii phishingowych oraz stosowanie odpowiednich procedur i dobrych praktyk.

Dostawcy IT z nowymi wytycznymi. CSIRT CeZ pomaga placówkom w cyberbezpieczeństwie

W związku z ostatnimi atakami hakerów na podmioty medyczne i dostawców oprogramowania medycznego, CSiRT CeZ opracował zalecenia bezpieczeństwa dla dostawców oprogramowania w ochronie zdrowia. Zostały one przekazane do dostawców w celu implementacji 16 września 2026 r. Następnym krokiem będzie ich przygotowanie przez MZ, jako wymogu prawnego w trybie art. 8b ustawy SIOZ.

Zalecenia dotyczą między innymi zarządzania bezpieczeństwem, ochrony danych i architektury systemu, uwierzytelniania tożsamości, dostępów i uprawnień czy monitorowania i reagowania na incydenty.

Jak podkreślano podczas spotkania 1 października, placówki zdrowia mogą liczyć na pomoc CSIRT CeZ, zarówno na etapie budowania odporności na zagrożenia cybernetyczne, jak i w sytuacji, gdy dojdzie do incydentu cyberbezpieczeństwa. Wspiera placówki w ich obsłudze i usuwaniu skutków, analizuje zagrożenia oraz koordynuje działania z pozostałymi krajowymi CSIRT-ami.

Od początku 2026 r. CSIRT CeZ przeszkolił 1969 osób, wysłał 117 ostrzeżeń sektorowych, opisał 285 podatności i wykrył 70 podatności w infrastrukturze IT podmiotów ochrony zdrowia, a także opublikował 144 materiały edukacyjne i ostrzegawcze. Dzięki 13 mln zł z KPO rozwija kompetencje ekspertów, sprzęt i oprogramowanie, działania edukacyjne oraz procedury, a także uruchomił cyberkaretkę – mobilne centrum pozwalające odtworzyć podstawowe usługi IT placówki podczas poważnego incydentu, nawet przy utracie zasilania, internetu lub infrastruktury sieciowej.

Czytaj także: Cyberatak na Medyc. Czy wyciekły dane 5 mln pacjentów?

Autonomiczny agent sztucznej inteligencji stworzony przez OpenAI zhakował australijską federalną agencję rządową, która świadczy usługi zdrowotno-społeczne (Services Australia). Zrobił to po tym, jak nie mógł znaleźć szukanych danych w innych otwartych źródłach.

Agent AI nie mógł skompletować informacji więc je wykradł

Incydent, który dopiero niedawno ujrzał światło dzienne, miał miejsce 18 czerwca 2026 r. Agent AI dostał zadanie, aby wyszukać w internecie dane o wydatkach australijskiego rządu na leki. Po przeszukaniu wszystkich otwartych źródeł nie udało mu się jednak dotrzeć do takich statystyk. Dlatego z własnej inicjatywy uzyskał nieautoryzowany dostęp do niepublikowanych plików w Medicare Statistics Reporting Service. Agent AI znalazł sposób, aby obejść zabezpieczenia serwisu i nie przyjął do wiadomości odmowy dostępu – z konsekwencją realizował swoje zadanie. Minister obrony Richard Marles powiedział, że AI „przeskoczyła płot” zamiast się na nim zatrzymać.

Mimo że agent nie wykradł żadnych wrażliwych danych medycznych pacjentów, premier Australii, Anthony Albanese, określa jednak zdarzenie jako poważne. W tej sprawie toczy się obecnie śledztwo z udziałem australijskiej agencji wywiadu elektronicznego i cyberbezpieczeństwa, które ma ustalić, które inne systemy rządowe mogły paść ofiarą działania agenta AI. Wśród poszkodowanych wymienia się m.in. Australijski Instytut Zdrowia i Dobrostanu (Australian Institute of Health and Welfare) oraz wiktoriański departament zdrowia.

Czy OpenAI wiedziała o ataku, ale nie poinformowała?

OpenAI twierdzi, że o zdarzeniu dowiedziało się w sierpniu br., podczas kontroli aktywności swoich modeli. Z kolei rząd Australii został poinformowany dopiero we wrześniu br. Oburzenie wzbudziła też sama forma przekazania wiadomości o ataku – OpenAI wysłała wiadomość na ogólną skrzynkę e-mail Services Australia sprawdzaną raz dziennie.

Dzień wcześniej wiceprezes OpenAI ds. polityki globalnej spotkał się z przedstawicielami rządu Australii, ale nie wspomniał o naruszeniu.

To pierwszy tego typu incydent, który dotknął instytucję ochrony zdrowia, ale jeden z wielu w ostatnim czasie. W lipcu OpenAI ujawniło, że podczas testów cyberbezpieczeństwa jego modele stworzyły rój agentów, który włamał się do systemów firmy Hugging Face.

W sierpniu 2026 r., także w Australii, agent AI został poproszony o pomoc w zapisaniu się na popularne zajęcia na siłowni. Okazało się jednak, że dostępne jest jedynie czwarte miejsce na liście oczekujących. Dlatego agent AI znalazł lukę w systemie rezerwacji, włamał się do niego i anulował rezerwację innej osoby. W ten sposób mógł zrealizować swoje zadanie: zapisać swojego właściciela na zajęcia. Mimo że później został poproszony o cofnięcie zmian, agent AI poinformował, że nie jest to możliwe.

W efekcie podobnych incydentów szefowie dużych firm AI wezwali ostatnio do zwolnienia tempa rozwoju AI. Kilka dni temu OpenAI poinformowała, że odkłada w czasie wprowadzenie na rynek nowego modelu sztucznej inteligencji GPT-6.1 Astra. Powodem mają być obawy dotyczące bezpieczeństwa zgłoszone przez naukowców firmy.

Czytaj także: Młodzi Polacy chcą być lekarzami, bo tej pracy nie zabierze im AI

W ciągu ostatniego roku 58 proc. dorosłych Polaków korzystało z AI w sprawach zdrowotnych. Ufamy AI na tyle, że otrzymane rekomendacje wpływają na nasze decyzje dotyczące wizyt lekarskich, leków i sposobu leczenia – wynika z raportu „Zdrowie z AI”.

O co pytamy AI w sprawach zdrowotnych?

Najpopularniejszym zastosowaniem AI jest poszukiwanie informacji o objawach. Wskazuje na nie 50,7 proc. ankietowanych korzystających z AI w sprawach zdrowotnych. Kolejne miejsca zajmują pytania o leki i suplementy, ich działanie, interakcje oraz działania niepożądane (36 proc.) oraz interpretacja wyników badań (33 proc.).

Aż 27 proc. użytkowników wgrało do czatu własne wyniki badań, zanim omówiło je z lekarzem. Z pomocy AI przy interpretacji wyników częściej korzystają kobiety (40 proc.) niż mężczyźni (26 proc.). W grupie osób po 50. roku życia odsetek ten sięga 42 proc. Młodsi użytkownicy częściej pytają natomiast o stres, sen i zdrowie psychiczne (32 proc. korzystających z AI w sprawach zdrowotnych).

Do chatbotów najczęściej sięgają młodzi ludzie. W grupie do 24. roku życia z AI w sprawach zdrowotnych korzysta 74,5 proc. badanych, w wieku 25–34 lata – 72,3 proc, 35–49 lat – 65,9 proc., a po 50. roku życia – 43,7 proc. Najczęściej do AI z kolejnymi pytaniami wracają osoby w wieku 35–49 lat. Dochód, wykształcenie oraz wielkość miejscowości miały niewielki wpływ na wyniki.

AI wpływa na to, jak się leczymy i czy chodzimy do lekarza

Czat z AI często prowadzi do wizyty w gabinecie lekarskim. 13,6 proc. użytkowników AI zadeklarowało, że po rozmowie z chatbotem umówiło wizytę lekarską, na którą bez tej rozmowy prawdopodobnie by się nie zgłosiło. Według szacunków odpowiada to około 2 mln osób. 7,4 proc. zrezygnowało z zaplanowanej wizyty. Wśród najmłodszych te wartości wynoszą odpowiednio 27 i 8 proc. Co dziewiąty użytkownik pytał AI także o wybór lekarza, przychodni lub szpitala.

Największe znaczenie dla systemu ochrony zdrowia mają jednak dane dotyczące leków. 19,2 proc. użytkowników kupiło lek bez recepty lub suplement zgodnie z sugestią AI. 8,3 proc. zmieniło dawkowanie leku albo odstawiło go bez konsultacji z lekarzem. Ponadto 14,9 proc. badanych potraktowało odpowiedź AI jako diagnozę.

39 proc. użytkowników regularnie weryfikuje odpowiedzi AI u lekarza, farmaceuty lub w innym wiarygodnym źródle, a 70 proc. robi to przynajmniej od czasu do czasu. Jednocześnie 25,4 proc. nie robi tego wcale. Wśród osób po 50. roku życia odsetek ten rośnie do 33,4 proc. Tylko 17,2 proc. konsultowało odpowiedź AI bezpośrednio z lekarzem lub farmaceutą.

Pytamy o AI, bo trudno dostać się do lekarza?

Szukanie informacji zdrowotnych na własną rękę nie jest nowym zjawiskiem. Z badania przeprowadzonego na potrzeby kampanii „Pobierz Zdrowie” w 2023 r. wynika, że 86 proc. Polaków regularnie poszukuje informacji związanych ze zdrowiem w internecie. Do AI albo Google zwracamy się po poradę, bo są w zasięgu ręki i bezpłatne.

Według Eurostatu w 2025 r., z narzędzi generatywnej AI korzystało 32,7 proc. mieszkańców UE w wieku 16–74 lat, podczas gdy w Polsce było to około 25 proc. Dla porównania, najwyższy poziom odnotowano w Danii – 48,4 proc., Estonii – 46,6 proc. i na Malcie – 46,5 proc. Wysoki poziom korzystania z AI w celach zdrowotnych może mieć także związek z długimi kolejkami do lekarzy oraz niezadowoleniem Polaków z ochrony zdrowia. Taka korelacja wynika m.in. z badania „Global analysis of country-level factors associated with chatbot usage for health” przeprowadzonego przez Microsoft AI.

Raport „Zdrowie z AI”, przygotowany przez On Board Think Kong we współpracy z SW Research, opiera się na badaniu 1000 dorosłych Polaków przeprowadzonym 8–10 września 2026 r. Próba była reprezentatywna dla dorosłej populacji Polski pod względem płci, wieku i miejsca zamieszkania. Autorzy zastrzegają, że przeliczenia procentów na liczbę mieszkańców Polski mają charakter przybliżony.

Czytaj także: Co trzeci pacjent sięga do AI po wsparcie psychiczne

Placówki zdrowia gromadzą ogromne ilości danych. Za ich przechowywanie i ochronę słono płacą, ale rzadko z nich korzystają. W ten sposób dane stają się ukrytym kosztem i obciążeniem zamiast zasobem służącym do poprawy jakości leczenia albo zarządzania. To właśnie tzw. dark data, czyli „ciemne dane”.

• „Ciemne dane” to zasoby informacji gromadzonych przez placówki medyczne, które leżą odłogiem. Ich przechowywanie, ochrona i utrzymanie dużo kosztują, a nie ma z nich żadnych korzyści.
• Szacuje się, że nawet 97 proc. danych w ochronie zdrowia pozostaje niewykorzystanych, a około 80 proc. danych medycznych ma nieustrukturyzowaną postać, m.in. w formie notatek, opisów badań i obrazów diagnostycznych.
• Niewykorzystane dane generują koszty utraconych korzyści. Teoretycznie mogłyby wspomagać decyzje medyczne i organizacyjne, ale nikt do nich nie zagląda.
• Dziś każda placówka ma wystarczająco dużo danych. Brakuje za to szybkiego dostępu do nich oraz narzędzi pozwalających pracownikom uzyskać potrzebne informacje w ramach swoich uprawnień.
• Aby dane stały się aktywem, placówki potrzebują strategii danych i modelu „pytanie – analiza – działanie – pomiar – dzielenie się wiedzą”, który przekłada informacje na konkretne zmiany w organizacji.

Gdy dane stają się kulą u nogi zamiast aktywem

Medycyna jest bogata w dane, ale biedna w wiedzę – szpitale, przychodnie, gabinety lekarskie codziennie rejestrują terabajty cennych danych, ale ich wartość przecieka przez palce.

Zakup systemu IT, aktualizacje, szkolenia, serwis, wynagrodzenia pracowników działu IT sporo kosztują. Do tego dochodzą koszty bazy danych w chmurze albo lokalnej, zabezpieczeń przed cyberatakami, zapewnienia zgodności z wymaganiami prawno-administracyjnymi i RODO, a w miarę rozrastania się bazy – zakupu kolejnych serwerów lub wolumenu danych w chmurze.

Sumują się one w tysiące, setki tysięcy złotych rocznie. Od lat jedynym zwrotem z inwestycji w dane (ROI) jest możliwość rozliczenia z NFZ albo sprawdzenia historii leczenia w EDM. W międzyczasie, zwłaszcza dzięki systemom analitycznym, algorytmom i sztucznej inteligencji, dane można zamienić na wiedzę pomagającą podejmować decyzje medyczne, ciąć zbędne koszty działalności, poprawiać jakość i wyniki leczenia, zwiększać satysfakcję pracowników i obniżać obciążenia administracyjne, a ostatecznie – poprawiać rentowność działalności.

Dane powinny być aktywem, a nie kosztem. Powinny pracować na rozwój placówki i pomagać w rozwiązywaniu problemów, a nie leżeć odłogiem.

Około 97% danych gromadzonych w ochronie zdrowia pozostaje niewykorzystanych. Według Światowego Forum Ekonomicznego, statystyczny szpital generuje ok. 50 petabajtów danych rocznie. Większość z nich jest uwięziona w silosach danych, niewykorzystana albo lekceważona. Według przeglądu literatury opublikowanego w 2026 r., około 80 proc. danych medycznych ma nieustrukturyzowaną postać. To m.in. notatki kliniczne, opisy badań czy obrazy diagnostyczne.

Utraconej wiedzy i gorszych decyzji nie widać na co dzień

Problemem „ciemnych danych” są nieproporcjonalnie duże koszty utrzymania w porównaniu z korzyściami finansowymi, które mogłyby generować. Części strat wynikających z niewykorzystanego potencjału danych nie da się oszacować, bo są ukryte w utraconej wiedzy i możliwościach, które ta wiedza daje.

W każdej placówce zdrowia każdego dnia podejmowane są tysiące mikro-decyzji. Ich jakość wynika właśnie z wiedzy – jeśli jest dziurawa albo niekompletna, może prowadzić do pogorszenia wyników leczenia, opóźnień w czasie oczekiwania pacjentów, zwiększenia kosztów, zakłóceń organizacyjnych, nieoptymalnego wykorzystania sprzętu, złego planowania dyżurów itd.

Tymczasem większość informacji, których potrzebują pracownicy – od rejestracji, przez lekarzy i pielęgniarki, po zarząd – najczęściej znajduje się gdzieś w bazie szpitala. Ponieważ nie są dostępne, są ignorowane. A nawet jeśli da się je „wyciągnąć”, sama procedura już na dzień dobry zniechęca. Trzeba zwrócić się do informatyka, cały proces może trwać godzinami albo dniami, a w tym czasie informacja staje się nieaktualna.

Problem ciemnych danych pokazuje wiele badań naukowych, przykładowo, „Is Untapped Dark Data a Missed Opportunity? A Mixed-Methods Study of Healthcare Professionals’ Perceptions and Barriers”. Wynika z niego, że pracownicy ochrony zdrowia dostrzegają wartość danych, ale placówki medyczne często nie mają odpowiednich kompetencji, mechanizmów dostępu, zarządzania i integracji danych. To powoduje, że w codziennej pracy nie można uzyskać odpowiedzi na konkretne pytania.

Dostęp w ramach uprawnień musi być od ręki

Jak sprawić, żeby dane, które są potrzebne do podejmowania decyzji, były dostępne od ręki w ramach określonych uprawnień? Tak, aby lekarz mógł zestawić ostatnie badania naukowe ze skomplikowanym przypadkiem medycznym; ordynator – sprawdzić czynniki wpływające na wydłużenie czasu hospitalizacji albo poziom readmisji; a menedżer – analizować możliwości lepszego wykorzystania MRT albo RTG poza godzinami szczytu przeprowadzania badań albo dojść do informacji, dlaczego operacje zaczynają się z opóźnieniem?

W pierwszym kroku trzeba stworzyć nową strategię danych określającą, jakich danych i analiz potrzebują pracownicy, jak często powinny być dostarczane (na żądanie, codziennie, co tydzień), w jakim celu; kto i dlaczego powinien mieć dostęp do narzędzi analitycznych; jakie już dostępne aplikacje i narzędzia pozwalają wyciągnąć poszukiwaną wiedzę z np. oprogramowania gabinetowego. Eksperci zalecają, aby dostęp do danych zawsze odbywał się w pętli: pytanie – analiza – działanie – pomiar – dzielenie się wiedzą. Sam dostęp do danych niczego nie zmieni, jeśli nie zostanie wykorzystany do zmiany organizacji pracy albo procedur opieki i leczenia.

Czytaj także: E-zdrowie wchodzi w nowy etap: „Zaczynamy integrować dane”

Hakerzy twierdzą, że wykradli dane nawet 5 mln pacjentów oraz 8 mln prywatnych zdjęć, włamując się do programu medycznego Medyc. Jego dostawca – firma Qbusoft – potwierdził na razie kradzież imion, nazwisk, numerów PESEL, adresów, numerów telefonów i adresów e-mail.

• Między 22 a 23 sierpnia 2026 r., hakerzy wykradli przechowywane w chmurze systemu Medyc dane pacjentów. Incydent wykryto dopiero 8–9 września, a upubliczniono go 24 września.
• Producent Qbusoft potwierdza kradzież danych osobowych oraz – w przypadku jednej z placówek zdrowia – danych medycznych.
• Sprawcy twierdzą, że skopiowali dane 5 mln pacjentów i 8 mln prywatnych zdjęć. Wcześniejsze szacunki mówiły o około 1 mln osób. Liczby te nie zostały potwierdzone.
• Zaufana Trzecia Strona wskazuje na możliwy związek cyberataku z incydentem w MyDr, w wyniku którego w sierpniu br. skradziono dane 19 mln pacjentów.
• Qbusoft deklaruje, że powiadomił m.in. CBZC, UODO i CSIRT NASK. Ale minister cyfryzacji twierdzi, że firma nie zgłosiła incydentu do właściwych służb.

Atak na Medyc nastąpił w sierpniu, informacje ujawniono dopiero teraz

Pierwsze informacje o incydencie pochodzą z komunikatu Odwykowo-Psychiatrycznego Ośrodka Leczniczego w Inowrocławiu, który korzystał z systemu Medyc. Według informacji przekazanych placówce przez Qbusoft oraz ustaleń ekspertów zajmujących się sprawą, 22–23 sierpnia 2026 r. osoba nieuprawniona wykorzystała podatność w interfejsie aplikacji i skopiowała z chmury zaszyfrowane archiwum bazy danych. Incydent został wykryty dopiero w nocy z 8 na 9 września. Przypomnijmy, że 10 dni wcześniej, hakerzy wykradli z systemu MyDr dane 19 mln pacjentów.

9 września Qbusoft przekazał materiały dotyczące incydentu policji, a 10 września – UODO. Firma poinformowała też Centralne Biuro Zwalczania Cyberprzestępczości, CSIRT NASK oraz ZUS. Z kolei w komunikacie producenta Medyc czytamy, że pierwsze niebezpieczne ataki na infrastrukturę odnotowano 9 września.

Jakie dane wyciekły z systemu Medyc?

Na obecnym etapie producent potwierdza kradzież imion i nazwisk, numerów PESEL, adresów zamieszkania, numerów telefonów, adresów e-mail. A co z dokumentacją medyczną? Według Qbusoft, hakerzy nie uzyskali do niej dostępu. Jednak w przypadku placówki w Inowrocławiu potwierdzono, że cyberprzestępcy pobrali dane pacjentów Oddziału Dziennego Leczenia Uzależnień. Chodzi o dane z okresu od 1 lipca 2024 r. do 23 sierpnia 2026 r. Według stanowiska dostawcy, prawdopodobnie wykradziono wypisy z leczenia.

Z kolei według ustaleń Zaufanej Trzeciej Strony wynika, że początkowo szacowano, że z systemu mogły zostać pobrane dane ok. 1 miliona pacjentów. Ale osoby przedstawiające się jako sprawcy ataku miały poinformować, że chodzi o dane 5 mln pacjentów. Dodatkowo mieli oni wykraść 8 mln „bardzo prywatnych” zdjęć. Jak podkreślają eksperci, te liczby nie zostały oficjalnie potwierdzone.

Skradzione dane kontaktowe mogą zostać wykorzystane przez oszustów podszywających się pod placówkę medyczną, firmę informatyczną lub inną instytucję. Qbusoft zaleca, aby nie przekazywać przez telefon, SMS-em lub e-mailem haseł, kodów autoryzacyjnych ani dodatkowych danych osobowych.

Czy za atakiem na Medyc stoją ci sami sprawcy co w przypadku MyDr?

Zaufana Trzecia Strona wskazuje na związek grupy lub osoby posługującej się pseudonimem „fingerprint” z wcześniejszym atakiem na system MyDr. To właśnie z ataku na MyDr miały pochodzić dane milionów Polaków ujawnione w sierpniu.

24 września do sprawy odniósł się minister cyfryzacji Krzysztof Gawkowski. Na platformie X poinformował, że Centralne Biuro Zwalczania Cyberprzestępczości prowadzi działania dotyczące incydentu związanego z Qbusoft i oprogramowaniem Medyc.

– Firma Qbusoft Sp. z o. o. jak dotąd nie zgłosiła incydentu cyberbezpieczeństwa do CERT Polska lub CSiRT CeZ. W przypadku naruszenia jakiejkolwiek procedury bezpieczeństwa przez prywatną firmę, będą wyciągnięte bezwzględne konsekwencje – czytamy we wpisie Ministra Gawkowskiego.

Sprawą szybko zainteresował się Urząd Ochrony Danych Osobowych. Prezes UODO poinformował o planowanej kontroli w Qbusoft.

Czego na razie nie wiemy o ataku ma Medyc?

Jak na razie nie potwierdzono ostatecznej liczby osób, których dane zostały skradzione. Liczba 5 mln pochodzi od sprawców, podczas gdy wcześniejsze szacunki mówiły o około 1 mln. To samo dotyczy 8 mln rzekowo skradzionych zdjęć. Służby wyjaśniają zakres danych, które mogły zostać pobrane z chmury danych. Producent na swojej stronie mówi o braku potwierdzenia kradzieży dokumentacji medycznej, podczas gdy komunikat placówki w Inowrocławiu wskazuje na bardzo prawdopodobne pozyskanie części dokumentacji.

Jest też kilka rozbieżności dotyczących informowania służb. Minister cyfryzacji twierdzi, że Qbusoft nie zgłosił incydentu do CERT Polska ani do CSIRT CeZ. Z kolei producent jest zdania, że 9 września poinformował Centralne Biuro Zwalczania Cyberprzestępczości, UODO, CSIRT NASK i Centrum e-Zdrowia.

Czytaj także: Nie tylko MyDr. Oto największe (jak dotąd) cyberataki 2026 roku

Pacjenci korzystają z różnych form umawiania wizyt – telefonicznie, przez www i aplikację mobilną lub Internetowe Konto Pacjenta (IKP). Dla placówki medycznej najważniejsze jest, aby wszystkie terminy spływały do jednego centralnego terminarza, co pozwala uniknąć podwójnych rezerwacji, błędów w harmonogramie oraz ciągłego przełączania się między różnymi systemami. Case study na przykładzie KAMSOFT.

• Pacjenci umawiają wizyty telefonicznie, online, przez aplikację, IKP, Centralną e-Rejestrację i bezpośrednio w placówce.
• Ale wszystkie terminy można zintegrować w jednym terminarzu dostępnym w systemie gabinetowym.
• W systemach KAMSOFT pacjenci mają do dyspozycji m.in. centralny portal szukania wolnych terminów wizyt LekarzeBezKolejki.pl oraz aplikację VisiMed do komunikacji z placówką zdrowia. Niezależnie od tego, jak umawiają wizyty, terminy trafiają do jednego miejsca.
• Powiadomienia SMS, voiceboty i infokioski odciążają rejestrację, usprawniają obsługę pacjentów i pomagają ograniczyć liczbę nieodwołanych wizyt (no-shows).
• Jeden terminarz eliminuje ręczne przepisywanie rezerwacji między systemami, zmniejsza ryzyko podwójnych zapisów i pozwala personelowi zarządzać wszystkimi wizytami w jednym miejscu.

Wszystkie terminy wizyt w jednym miejscu

Systemy gabinetowe KS-SOMED, KS-PPS oraz SERUM i MEDIPORTA integrują różne kanały rejestracji w ramach jednego terminarza. Niezależnie od tego, czy wizyta została umówiona telefonicznie, osobiście w rejestracji, przez OSOZ Portal Pacjenta, aplikację VisiMed, serwis LekarzeBezKolejki.pl czy Centralną e-Rejestrację, informacja automatycznie trafia do tego samego terminarza.

Zintegrowany terminarz to jednak dopiero początek. Placówki korzystające z oprogramowania KAMSOFT mogą udostępnić pacjentom różne kanały kontaktu i rejestracji, dostosowując je do swoich potrzeb.

Pacjenci mogą samodzielnie wyszukać termin i umówić wizytę online bez konieczności kontaktu z rejestracją. Rezerwacja automatycznie pojawia się w terminarzu placówki. Co ważne, serwis oferuje także możliwość zdalnego zamówienia recepty na kontynuację leczenia oraz konsultacje online z płatnościami internetowymi. Dzięki temu placówka może udzielać świadczeń zdrowotnych bez potrzeby osobistej wizyty pacjenta w przychodni. W trakcie połączenia on‑line (wideokonsultacji) lekarz może odbierać załączniki od pacjenta, m.in. konsultować wyniki badań, które zapisują się automatycznie na karcie pacjenta. Więcej informacji tutaj.

VisiMed. Wirtualna przychodnia w smartfonie pacjenta

Z serwisem LekarzeBezKolejki.pl współpracuje aplikacja mobilna VisiMed. Pozwala ona pacjentom wygodnie wyszukać lekarza, zarezerwować wizytę, skorzystać z porady online czy zamówić e‑receptę za pośrednictwem smartfona. Dzięki możliwości personalizacji, przychodnia może udostępniać pacjentom aplikację oznaczoną własnym logo i kolorystyką, budując nowoczesny kanał komunikacji. Więcej informacji tutaj.

OSOZ Portal Pacjenta umożliwia pacjentom samodzielne załatwienie wielu spraw online bez konieczności kontaktu z rejestracją. Pacjenci mogą umawiać i odwoływać wizyty, zamawiać recepty na leki stałe, sprawdzać wyniki badań oraz uzyskać dostęp do swojej dokumentacji medycznej. Portal może zostać dostosowany do identyfikacji wizualnej przychodni, stając się jej własnym kanałem komunikacji z pacjentami. Więcej informacji tutaj.

Integracja z Centralną e‑Rejestracją umożliwia udostępnianie terminów wizyt pacjentom korzystającym z Internetowego Konta Pacjenta. Wizyty umawiane przez ten kanał są automatycznie synchronizowane z terminarzem placówki, dzięki czemu personel pracuje na jednym, aktualnym harmonogramie bez konieczności ręcznego zarządzania rezerwacjami.

Powiadomienia OSOZ jako sposób na no-shows

Automatyczne powiadomienia SMS przypominają pacjentom o zbliżających się wizytach oraz umożliwiają ich szybkie potwierdzenie lub odwołanie. To skuteczny sposób na ograniczenie liczby nieodwołanych terminów i lepsze wykorzystanie dostępnych zasobów placówki.

Voicebot pomaga automatyzować obsługę wybranych połączeń telefonicznych, odciążając pracowników rejestracji i usprawniając kontakt z pacjentami. Dzięki platformie integracyjnej KAMSOFT placówka może współpracować z wybranym dostawcą rozwiązania voicebot, integrując je z systemem gabinetowym.

Infokioski wspierają organizację ruchu pacjentów w placówce. Mogą pomagać w potwierdzaniu obecności, kierowaniu pacjentów do właściwych gabinetów oraz usprawnianiu obsługi kolejki, zwiększając komfort zarówno pacjentów, jak i personelu.

Połączenie wielu kanałów rejestracji z jednym terminarzem pozwala uporządkować pracę rejestracji i wyeliminować konieczność ręcznego synchronizowania danych. Pacjent zyskuje swobodę wyboru sposobu kontaktu z placówką, a personel ma dostęp do pełnego i aktualnego harmonogramu wizyt. Dzięki temu placówki zyskują sprawniejszą organizację pracy, lepszą dostępność świadczeń oraz wyższy standard obsługi pacjenta.

Czytaj także: Jak KAMSOFT stworzył ekosystem IT opieki nad pacjentem?

Choć minęło 5 lat od obowiązku raportowania zdarzeń medycznych do systemu P1, robi to ok. 80 proc. szpitali oraz 60 proc. POZ-tów i AOS-ów – wynika z ankiety przeprowadzonej przez Centrum e-Zdrowia. Ministerstwo Zdrowia traci cierpliwość i planuje wprowadzić surowe kary finansowe.

Rząd przyjął tzw. „pakiet naprawczy w zdrowiu”. Nowe przepisy mają zlikwidować kominy płacowe lekarzy i przy okazji wprowadzić surowe kary za brak raportowania danych o zdarzeniach medycznych do Systemu Informacji Medycznej (SIM).

Chodzi dokładnie o projekt nowelizacji ustawy o działalności leczniczej oraz ustawy o systemie informacji w ochronie zdrowia (projekt UD434). Nowe przepisy mają trafić pod obrady Sejmu na najbliższym posiedzeniu zaplanowanym na 6 października 2026 roku.

Zaproponowany przez Ministerstwo Zdrowia projekt zakłada, że podmioty lecznicze, w tym szpitale, przychodnie oraz praktyki lekarskie, które nie przekażą danych dotyczących zdarzeń medycznych do Systemu Informacji Medycznej (SIM), mogą zapłacić grzywnę w wysokości do 30 tysięcy złotych. I to niezależnie od tego, czy to podmiot prywatny czy publiczny.

Resort zdrowia argumentuje, że dotychczasowe sposoby egzekwowania przepisów okazały się nieskuteczne. Nie pomogły nawet programy dofinansowania na zakup oprogramowania gabinetowego albo udostępnienie bezpłatnego systemu gabinet.gov.pl. Nadal 1 na 5 szpitali i 2 na 5 POZ-tów i AOS-ów nie wywiązują się z obowiązku. W efekcie pacjenci nie mają pełnego dostępu do historii swojego leczenia na Internetowym Koncie Pacjenta (IKP) i w aplikacji mojeIKP, a państwo nadal nie dysponuje m.in. pełnymi danymi epidemiologicznymi. Narzekają też podmioty, które na czas wdrożyły EDM, ale ich pacjenci i lekarze nadal nie „widzą” danych z placówek, które nie raportują do SIM.

Czytaj także: E-kolejka do szpitali i e-DiLO. Nowości e-zdrowia 2026/2027

Wyciek danych 19 mln pacjentów w efekcie cyberataku na MyDr nie jest odosobnionym przypadkiem. Oto inne, duże ataki hakerów, które miały miejsce w ostatnich miesiącach na całym świecie.

• Hakerzy coraz częściej atakują infrastrukturę krytyczną. W tym roku ofiarami padł m.in. dostawca sprzętu medycznego Stryker oraz amerykańskie wodociągi.
• W wyniku cyberataku wyciekają wrażliwe dane, a szpitale niejednokrotnie muszą odwoływać operacje, co w szpitalu NHS w Londynie doprowadziło do śmierci pacjenta.
• W Polsce tylko w marcu 2026 r. ofiarą cyberprzestępców padły 4 duże placówki medyczne.
• Największym dotychczasowym incydentem jest atak na MyDr z 10 sierpnia. Sprawcy uzyskali dostęp do ok. 19 mln numerów PESEL powiązanych z informacjami o lekach i wizytach.
• Według CSIRT Centrum e-Zdrowia, liczba incydentów bezpieczeństwa danych w sektorze zdrowia wzrosła z 435 w 2023 r. do 1441 w 2025 r.

Kasowanie danych u producenta sprzętu medycznego, paraliż wodociągów

Jednym z najgłośniejszych incydentów był atak na producenta sprzętu medycznego Stryker. 11 marca br. firma nagle utraciła dostęp do części globalnej infrastruktury Microsoftu, co zakłóciło przetwarzanie zamówień, produkcję i wysyłkę produktów.

To nie było ani ransomware, ani malware. Nie pojawiło się nawet żądanie okupu. Celem była destabilizacja działalności firmy. W toku dochodzenia ustalono, że napastnicy wykorzystali złośliwy plik do wykonywania poleceń w środowisku Microsoft Intune. W ten sposób hakerom udało się wykasować dane z komputerów w wewnętrznej sieci. Stryker został zmuszony do ręcznej obsługi części zamówień i ogromnych zmian organizacyjnych, w tym uruchomienia dodatkowych zmian, aby dostarczyć zamówiony sprzęt na czas.

W maju 2026 r. ofiarą cyberataku padła platforma edukacyjna Canvas. Grupa hakerów ukrywająca się pod pseudonimem ShinyHunters poinformowała, że uzyskała dostęp do około 3,65 TB danych i wykradła dane nawet 275 mln użytkowników. Z Canvas korzysta tysiące szkół, uczelni i instytucji edukacyjnych na całym świecie. Napastnicy zażądali okupu, grożąc publikacją skradzionych informacji.

W lutym doszło do ataku na Substack – amerykańską platformę internetową do publikowania treści dostępnych w ramach płatnego abonamentu: newsletterów, artykułów, podcastów i materiałów wideo. Cyberprzestępcy uzyskali dostęp do danych użytkowników platformy, w tym adresów e-mail i numerów telefonów. Według dostępnych ekspertyz, cyberprzestępcy wykorzystali słabość w systemach i niewystarczające mechanizmy kontroli dostępu. Ostatecznie opublikowali wykradzione dane – czyli 697 tys. rekordów – w internecie.

Pod koniec lipca 2026 r. doszło do serii ataków na co najmniej 30 miejskich systemów wodociągowych w USA. Hakerzy zaatakowali podpięte do internetu sterowniki PLC firmy Rockwell Automation, czyli urządzenia sterujące fizycznymi procesami w infrastrukturze wodociągowej. FBI poinformowało, że incydenty dotknęły przedsiębiorstw wodociągowych w co najmniej 7 stanach. W części przypadków ataki doprowadziły do zakłócenia działania systemów uzdatniania i dystrybucji wody.

Odwołane operacje i przerwy w leczeniu na całym świecie

Aż 3 miesiące trwał atak na największy publiczny system ochrony zdrowia w Stanach Zjednoczonych, czyli NYC Health + Hospitals. Łupem padły dane co najmniej 1,8 mln osób. Po tym, jak hakerzy uzyskali dostęp do sieci wewnętrznej, krok po kroku – aby nie wykryły tego systemy cyberbezpieczeństwa – kopiowali pliki zawierające dane osobowe, dokumentację medyczną, informacje finansowe oraz dane biometryczne, w tym skany odcisków palców i dłoni.

W kwietniu, z pomocą złośliwego oprogramowania ransomware, hakerzy zaatakowali ChipSoft, dostawcę systemów informatycznych dla holenderskich szpitali. Co najmniej 11 szpitali musiało czasowo ograniczyć korzystanie z oprogramowania i przejść na dokumentację papierową.

Kolejny cyberatak wymierzony został w 1500 lekarzy korzystających z systemów francuskiego dostawcy oprogramowania medycznego Cegedim Santé. Wyciekły dane nawet 15 mln osób. W Australii cyberprzestępcy uzyskali dostęp do danych z co najmniej 21 klinik sieci Partnered Health. Wśród przejętych informacji znalazły się nazwiska, daty urodzenia, adresy, numery ubezpieczenia Medicare oraz dane medyczne, w tym notatki z konsultacji, skierowania i wyniki badań. Za odblokowanie systemów napastnicy zażądali okupu.

W Belgii cyberatak na szpital AZ Monica w Antwerpii doprowadził do odwołania 70 planowanych operacji i konieczności przekierowania 7 ciężko chorych pacjentów do innych placówek. Oddział ratunkowy działał w ograniczonym zakresie, a działalność zespołów ratownictwa została czasowo zawieszona. Następnego dnia szpital informował, że jest w stanie realizować zaledwie około 30 proc. planowych świadczeń.

4 duże ataki na polskie placówki w 1 miesiąc i dane 19 mln osób z systemu MyDr

W nocy z 7 na 8 marca z pomocą ransomware hakerzy zaatakowali Samodzielny Publiczny Wojewódzki Szpital Zespolony w Szczecinie. Napastnicy zaszyfrowali część danych i zablokowali dostęp do systemów, żądając kilku milionów dolarów okupu. Szpital musiał przejść na papierowy tryb pracy, sprawą zajęła się prokuratura.

Kilka dni później podobny atak odnotowano w Bonifraterskim Centrum Medycznym. Ransomware zaszyfrował dane na serwerach placówki, cyberprzestępcy mogli również uzyskać dostęp do danych osobowych pacjentów.

26 marca 2026 r. cyberatak zarejestrowano też w Centrum Medycznym „Eskulap” w Raciborzu. Cyberprzestępcy zaszyfrowali dane, w efekcie czego placówka utraciła czasowo dostęp do m.in. dokumentacji medycznej.

Serię marcowych incydentów zamyka cyberatak z 31 marca 2026 r. na Świętokrzyskie Centrum Rehabilitacji w Czarnieckiej Górze. Złośliwe oprogramowanie zaszyfrowało dane przetwarzane przez placówkę i doprowadziło do blokady działania systemów informatycznych.

28 maja 2026 r. Wielkopolskie Centrum Medyczne REMEDIUM wykryło nieuprawniony dostęp do danych przechowywanych w systemach informatycznych placówki. Naruszenie objęło dane zawierające imiona i nazwiska, numery PESEL, numery dowodów osobistych oraz informacje o stanie zdrowia. Placówka natychmiast odizolowała zaatakowane systemy od sieci, zabezpieczyła logi i dowody, a o incydencie poinformowała organy ścigania oraz Prezesa UODO. W lipcu, także z pomocą ransomware, doszło do incydentu w PaKK-MED, sieci czterech placówek podstawowej opieki zdrowotnej w województwie zachodniopomorskim. Po wykryciu ataku systemy zostały wyłączone, a placówki przeszły na dokumentację papierową. W komunikacie wskazano, że przestępcy przejęli dane osobowe.

Atak na MyDr z 10 sierpnia to największy na chwilę obecną wyciek danych w ochronie zdrowia i historii Polski. Okoliczności zdarzenia nadal wyjaśniają Policja i Centralne Biuro Walki z Cyberprzestępczością. Osoby podające się za sprawców poinformowały, że uzyskały dostęp do prawie 19 mln unikatowych numerów PESEL powiązanych z informacjami o lekach i wizytach. O tej sprawie piszemy szczegółowo na blogu OSOZ.

Według danych CSIRT Centrum e-Zdrowia, w 2025 roku odnotowano 1441 incydentów bezpieczeństwa danych w sektorze zdrowia. W 2024 roku było ich 1028, a w 2023 roku – 435.

Czytaj także: Shoulder surfing, sztuczka na kuriera: Tak dane wyciekają po cichu

Kolonoskopia z wykorzystaniem systemów sztucznej inteligencji może zwiększyć skuteczność wykrywania potencjalnych zmian nowotworowych. Nowa analiza oparta na metodologii hospital-based HTA sugeruje, że inwestycja w tego typu rozwiązania zwraca się już nawet po niespełna 2 latach.

• Metaanaliza badań z udziałem 4354 pacjentów wykazała, że zastosowanie AI w kolonoskopii zwiększa ADR (odsetek badań, podczas których wykryto przynajmniej jednego gruczolaka) z 25,2 proc. do 36,6 proc.
• Systemy typu CADe działają jak dodatkowa para oczu, analizując obraz z endoskopu w czasie rzeczywistym i wskazując lekarzowi podejrzane zmiany.
• Przy 2000 kolonoskopii rocznie i wzroście ADR o 6 pkt proc. oraz wydatkach rzędu ok. 313 tys. zł, zwrot z inwestycji następuje już po około 3,1 roku.
• W najlepszym scenariuszu inwestycja może zwrócić się po niespełna 2 latach, natomiast przy mniejszym wolumenie badań i słabszej poprawie ADR okres zwrotu może wydłużyć się do około 6,4 roku.
• Wdrożenie AI ma sens w dużych, dobrze zorganizowanych pracowniach kolonoskopii.

Rak jelita grubego. Coraz więcej chorych, także w młodym wieku

Rak jelita grubego należy do najczęściej rozpoznawanych nowotworów w Polsce. W 2022 r. odnotowano około 18,8 tys. nowych przypadków zachorowań. Każdego roku z jego powodu umiera od 12 do 16,7 tys. pacjentów. Prognozy wskazują, że wraz ze starzeniem się społeczeństwa liczba nowych zachorowań będzie nadal rosła. Choroba coraz częściej dotyka osób przed 50. rokiem życia.

Złotym standardem diagnostyki od lat pozostaje kolonoskopia. Podczas jednego zabiegu pozwala przeprowadzić dokładną diagnostykę i usunąć wykryte polipy, z których potencjalnie może rozwinąć się nowotwór. Proces przemiany polipa w raka trwa zwykle od 7 do 12 lat, co daje dużą szansę na skuteczną profilaktykę.

Problemem pozostaje nadal niska zgłaszalność Polaków do programu przesiewowego. Według dostępnych danych, na badanie zgłasza się zaledwie 17 proc. osób z grup ryzyka. W Holandii odsetek ten sięga 68 proc., a w Danii – 65 proc. Pacjenci obawiają się bólu, wstydzą się badania, a część z nich woli nie znać diagnozy niż usłyszeć, że choruje na raka.

Kolonoskopia ma jednak swoje ograniczenia – nawet najbardziej doświadczeni endoskopiści mogą przeoczyć niewielkie zmiany, szczególnie podczas wielogodzinnej pracy. Od niedawna dostępne są rozwiązania sztucznej inteligencji, które analizują obraz w czasie rzeczywistym i oznaczają podejrzane obszary.

Sztuczna inteligencja pomaga wykryć więcej polipów

Praca „Ocena zasadności wdrożenia systemu sztucznej inteligencji wspierającego kolonoskopię w szpitalu publicznym z wykorzystaniem podejścia hospital-based HTA”, przygotowana w ramach studiów MBA SGH-WUM, jest pierwszym opracowaniem, które może pomóc szpitalom w podjęciu decyzji o inwestycji w AI w kolonoskopii. Jej autorami są Krzysztof Dylęgowski, menedżer w branży med-tech, a obecnie pracownik Olympus, oraz Jacek Sadowski, specjalista ginekologii onkologicznej.

Analizą objęto systemy typu CADe (Computer-Aided Detection) – oprogramowanie analizujące obraz z endoskopu w czasie rzeczywistym i sygnalizujące lekarzowi miejsca występowania polipów. CADe – podobnie jak systemy AI stosowane w radiologii – nie podejmuje decyzji za lekarza, ale pełni rolę dodatkowej pary oczu.

Najważniejszym wskaźnikiem jakości kolonoskopii jest ADR (adenoma detection rate), czyli odsetek badań, podczas których wykryto przynajmniej jednego gruczolaka. To właśnie poprawa ADR stanowi główny argument przemawiający za wdrażaniem AI.

Autorzy przywołują metaanalizę pięciu randomizowanych badań klinicznych obejmujących 4354 pacjentów. Zastosowanie systemów CADe zwiększyło ADR z 25,2 proc. do 36,6 proc., czyli o 11,4 punktu procentowego. Sztuczna inteligencja zmniejsza ryzyko przeoczenia zmian i pomaga ujednolicić jakość badań wykonywanych przez różnych operatorów.

Skuteczność takich systemów nadal zależy od jakości przygotowania pacjenta, doświadczenia endoskopisty, klasy sprzętu oraz organizacji pracy pracowni endoskopowej. AI jest narzędziem wspierającym, a nie autonomicznym diagnostą.

Kiedy inwestycja w CADe zaczyna się zwracać?

Aby sprawdzić ekonomiczną zasadność inwestycji w AI w kolonoskopii, autorzy zbudowali model przyrostowy. Założyli, że liczba wykonywanych kolonoskopii jest stała, natomiast dzięki wyższemu ADR rośnie liczba wykrywanych polipów, wykonywanych polipektomii oraz badań histopatologicznych. Efektem są większe przychody szpitala publicznego z usług realizowanych w ramach kontraktu z NFZ, ale i wyższe koszty materiałów oraz histopatologii.

W modelu bazowym przyjęto następujące parametry:

• 2000 kolonoskopii rocznie,
• wzrost ADR o 6 punktów procentowych,
• koszt inwestycji wynoszący ok. 313 tys. zł.

Przy takich założeniach, dodatkowy roczny przychód przekracza 151 tys. zł, dodatkowe koszty to około 51 tys. zł. Roczna nadwyżka finansowa przekracza 100 tys. zł. Próg rentowności można więc osiągnąć po około 3,1 roku.

Autorzy wzięli też pod uwagę dwa inne scenariusze, uwzględniające mniejszą i większą liczbę badań. Przy mniejszym wzroście ADR oraz wykonywaniu jedynie 1500 kolonoskopii rocznie zwrot z inwestycji wydłuża się do około 6,4 roku. Z kolei przy większym wolumenie badań i lepszych wynikach klinicznych okres zwrotu znacząco się skraca do 1,9 roku.

Największy wpływ na opłacalność mają dwa parametry: rzeczywista poprawa ADR oraz liczba wykonywanych kolonoskopii. Znacznie mniejsze znaczenie mają natomiast koszty histopatologii czy materiałów wykorzystywanych podczas polipektomii.

Nie każda pracownia kolonoskopii potrzebuje od razu AI

Choć nowe rozwiązania oparte na AI obiecują lepsze wyniki badań, autorzy sugerują, że zakup systemu AI trzeba dobrze przemyśleć. Wdrożenie technologii ma największy sens w pracowniach wykonujących duży wolumen badań, które dysponują potencjałem poprawy wskaźnika ADR oraz potrafią efektywnie wykorzystać stanowisko endoskopowe.

Aby skrócić czas zwrotu z inwestycji, tor wyposażony w AI powinien być wykorzystywany przede wszystkim do kolonoskopii, a nie współdzielony z innymi procedurami. Znaczenie ma też sposób finansowania inwestycji. Im większy udział środków zewnętrznych, tym szybciej szpital pokryje poniesione nakłady. Finansowanie zakupu wyłącznie z własnego budżetu wydłuża czas zwrotu, ponieważ całość kosztów musi zostać pokryta z dodatkowych przychodów wygenerowanych dzięki większej wykrywalności zmian. Opracowany model ma swoje ograniczenia: opiera się na uśrednionych parametrach funkcjonowania publicznego szpitala i nie uwzględnia wszystkich zmiennych ekonomicznych, dlatego powinien być traktowany jako narzędzie wspierające decyzje menedżerskie, a nie gotowy kalkulator inwestycyjny.

Czytaj także: Klinika Mayo stosuje 150 algorytmów AI. Do czego?