醫療 AI 的個資與法規要點:個資法、去識別化、醫療器材軟體(SaMD)與院內治理清單

去年我們陪一家區域醫院導入放射科的 AI 判讀輔助。模型準、Demo 漂亮,臨床端也想用。真正卡關的地方,是資訊室主任在會議室問的一句話:「這批影像要送去雲端訓練,病人同意書涵蓋了嗎?這套算不算醫療器材?出事誰負責?」

那一刻大家才發現,技術從來不是最難的關卡。醫療 AI 的個資與法規,才是決定專案能不能上線的真正閘門。這篇就用資訊室與法遵會用的語言,把「醫療 AI 個資 法規」拆成四張可勾選的清單,你可以直接拿去對照。

先講最容易被跳過的:個資法怎麼適用

台灣《個人資料保護法》把病歷、醫療、健康檢查、基因資料列為第 6 條的「特種個資」,原則禁止蒐集、處理、利用,除非符合法定例外(如當事人書面同意、醫療機構基於醫療目的、公務機關統計研究且經去識別化)。這代表醫療 AI 專案不能沿用一般客戶資料的同意流程。

資訊室該勾的清單:

• 蒐集目的是否已在原始同意書或告知事項中涵蓋「AI 分析、模型訓練」的用途?若沒有,得補特定目的變更的告知或重新取得同意。
• 資料是否流出院外(雲端 API、外部標註、模型供應商)?跨境傳輸需檢視是否觸及主管機關的限制,並簽訂資料處理協議(DPA),明確委外處理者的責任。
• 是否落實蒐集最小化?模型只需要影像,就不要連姓名、病歷號一起餵進去。
• 保留與刪除機制:訓練完成後的原始資料留存期限、可否行使刪除權,要寫進流程而不是靠人記得。

去識別化:不是把名字遮掉就算數

去識別化的法律意義,是讓資料「無從識別特定當事人,且不可還原」。實務上常見的誤解,是以為打上馬賽克、拿掉姓名就完成了。真正的風險在於「再識別」:罕見病症、特定手術日期、住院區間加上郵遞區號,幾個欄位交叉就能定位到一個人。

去識別化的可勾選清單:

• 直接識別欄位(姓名、身分證、病歷號、聯絡方式)是否移除或以不可逆方式雜湊?
• 準識別欄位(生日、就診日期、地區、罕見診斷碼)是否做過一般化或抑制,評估過重新識別風險?
• DICOM 影像是否清除了 metadata 中的病人資訊?影像燒錄在畫面上的文字(burned-in annotation)是否處理?
• 是否留下對照表?若保留了可還原的金鑰,法律上就仍是「假名化」而非去識別化,適用義務不同,要據實認定。

我們的經驗是:凡是宣稱「已去識別化」的資料集,都該請第三方做一次再識別測試,而不是採信供應商的一句話。

SaMD 分級:你的 AI 可能是醫療器材

當 AI 的用途涉及診斷、治療決策或病情監測,它可能落入「醫療器材軟體」(Software as a Medical Device, SaMD)的管轄,需要 TFDA 查驗登記。判斷關鍵是「宣稱的醫療用途」與「對臨床決策的影響程度」,而不是技術多先進。

法遵該勾的清單:先確認產品「醫療宣稱」的文字,再對照風險分級;若屬 SaMD,確認供應商是否持有許可證、變更模型是否需重新查驗、以及上市後的效能監測義務。這一步沒做,採購合約簽了也可能無法合法上線。

院內治理:讓上線後有人扛得住

法規過關只是起點。真正決定 AI 能不能持續使用的,是院內有沒有一個治理機制:誰核准模型上線、誰監測漂移、誰在誤判時負責通報。

治理清單:成立跨臨床、資訊、法遵、資安的審查小組;為每個模型建立用途說明、資料來源、效能指標與已知限制的文件;設定臨床端可隨時關閉 AI 的權限;定期稽核使用紀錄與誤差回報;把「人在迴路」的角色寫清楚——AI 是輔助,最終責任仍在醫師。

回到開頭那家醫院。我們沒有先寫任何一行整合程式,而是先陪資訊室與法遵把這四張清單一格一格打勾,補齊同意書、重做去識別化、確認 SaMD 定位。Tenten 做前線部署,信念一直是:Demo 很美不算數,合規上線、而且臨床端真的在用,才算數。