概述 | AI医疗数据服务产品监管

当前对AI医疗数据服务产品的监管，呈现出“多部门分治、多法规叠加、分层分类” 的格局，核心思路是：既要鼓励创新，又要守住安全底线；既要管“产品”本身，也要管“数据”的流转与使用。

对于构成医疗器械的AI软件产品，由国家药监局主导监管。2025年7月，国家药监局发布《关于发布优化全生命周期监管支持高端医疗器械创新发展有关举措的公告》（2025年第63号），针对人工智能医疗器械等，提出优化特殊审批程序、完善分类和命名原则、持续健全标准体系等十方面支持举措。同时，国家药监局表示将持续推进监管科学研究、指导原则制定、标准建设，支持创新人工智能产品在临床推广。

这是近年来监管力度显著加强的领域，2025—2026年密集出台了一系列重要文件。

《数据安全法》《个人信息保护法》构成通用法律框架。医疗数据（涵盖病历、检查检验结果、基因信息、生物识别特征等）属于《个人信息保护法》明确界定的敏感个人信息，医疗AI数据采集、处理、存储、共享全链条均须严格遵循“告知—同意”核心原则和“最小必要”原则。

2026年2月，国家卫生健康委、公安部、国家网信办、国家中医药局、国家疾控局五部委联合印发《医疗卫生机构数据安全和个人信息保护管理办法（试行）》（国卫规划发〔2026〕6号），这是医疗卫生领域首部系统规定数据安全和个人信息保护的部门规章，标志着医疗健康数据合规监管进入新阶段。该《办法》共七章四十条，对数据分类分级、全生命周期安全管理、数据共享与对外提供、个人信息保护、跨境传输等作出全面规定，明确将医疗卫生数据分为核心数据、重要数据和一般数据三类，并落实分类分级保护制度。

2025年11月，国家卫生健康委等5部门联合发布《关于促进和规范“人工智能﹢医疗卫生”应用发展的实施意见》（国卫办规划发〔2025〕30号），推动AI医疗进入政策驱动的快速发展期。该《意见》提出两阶段目标：到2027年，建立一批卫生健康行业高质量数据集和可信数据空间，形成一批临床专病专科垂直大模型和智能体应用；到2030年，基层诊疗智能辅助应用基本实现全覆盖。《意见》强调创新监管方式，实施分类管理，对医疗人工智能应用提出数据安全和个人信息保护的规范性要求。

2026年4月，国务院发布《人工智能科技伦理审查与服务办法（试行）》，要求从事人工智能科技活动的高等学校、科研机构、医疗卫生机构、企业等设立人工智能科技伦理委员会，对相关活动进行伦理审查。

2026年4月，由北京卫生法学会大数据与互联网人工智能医疗专委会、中国生物医学工程学会医学人工智能分会联合牵头，国内40余家机构共同制定的《医疗机构人工智能应用与治理专家共识（2026版）》在京发布，聚焦准入评估、临床应用、患者权益保障、数据治理、风险管理、素养提升六大维度，构建了医疗机构AI应用全周期治理体系。

1. 数据来源合规：必须患者知情同意（书面 / 电子），禁止黑市购买、爬虫窃取、过度采集；

2. 脱敏不可逆：共享 / 对外提供数据需去标识化（去除姓名 / 身份证 / 手机号）+ 匿名化（无法复原到个人），不可仅简单隐藏；

3. 禁止原始数据交易：只能交易脱敏数据集、数据服务、模型服务，原始 PHI 严禁买卖；

4. 算法可解释 + 无偏见：高风险 AI 需算法透明、决策可追溯、无性别 / 种族 / 地域偏见；

5. 数据不出域优先：鼓励联邦学习、安全多方计算等 “数据可用不可见” 技术，原始数据不跨机构 / 跨境；

6. 动态安全评估：数据与 AI 模型需定期安全审计、漏洞检测、数据漂移监测，风险动态管理。

《医疗卫生机构数据安全和个人信息保护管理办法（试行）》确立了“谁主管谁负责、谁运营谁负责、谁使用谁负责”的刚性原则，要求县级以上医疗卫生机构成立由主要负责人亲自挂帅的“网络安全和信息化工作领导小组”，将数据安全从信息化部门的“技术指标”转化为机构最高领导层的“法定追责要件”。这一转变意味着，未来在AI医疗数据服务中，数据安全不再仅仅是技术保障问题，而是必须嵌入组织治理结构的法律义务。

医疗数据作为高价值生产要素，流通需求迫切，但隐私保护要求极高。这一矛盾催生了“可信数据空间”模式的探索。广州已率先建设卫生健康行业可信数据空间，通过隐私计算、审计闭环机制等，实现 “数据不出域、用途可追溯” ——数据不离开医院，但可以在可信空间内被加工训练，每个使用场景签订数字合约，明确用途、权限与时限。此外，“联邦学习”等技术也在实践中探索，允许在不共享原始数据的前提下，通过加密参数交换实现联合建模。

与此同时，国家大力推动数据要素市场化配置改革，“数据要素×”三年行动计划持续推进。医疗数据资产化路径正在探索中，浙江等地已尝试在数据交易中心设立生物医药专区，探索数据资源化、资产化路径。可以预见，如何在“数据不出院”的安全底线与“数据资产化”的价值释放之间找到平衡，将是未来数年AI医疗数据服务领域最核心的合规命题。

无论是国家药监局对AI医疗器械的“优化全生命周期监管”，还是《共识》提出的准入评估、临床应用、风险管理、动态复评等全周期治理体系，都表明监管正在从事后追责转向全链条覆盖。对AI医疗数据服务产品而言，从研发阶段的数据来源合法性、训练数据的知情同意，到注册阶段的分类定性，再到上市后的持续学习与算法迭代，每个环节都将面临更精细的监管审查。

2026年4月，中央网信办、工业和信息化部、公安部联合发布《关于开展2026年个人信息保护系列专项行动的公告》，将卫生健康列为六大重点整治领域之一，重点打击违法违规收集使用个人信息等行为。这意味着，AI医疗数据服务产品的数据采集、处理、共享等环节将面临更频繁的执法检查，合规风险显著上升。

从《实施意见》的“分类管理”，到《共识》将AI产品划分为低、中、高三个风险等级（低风险AI应用实行简化备案、中高风险需经严格评估），再到《办法》将医疗数据分为核心、重要、一般三个等级，监管逻辑正在从“一刀切”转向基于风险的分层治理。这一趋势有利于平衡监管成本与安全需求，但也要求产品提供方具备清晰的风险识别和自我评估能力。

总结来说，“AI医疗数据服务”是一片蓝海，但它的底色是强监管和高合规门槛。 那些既能玩转前沿技术，又能把数据隐私和伦理合规做到极致的企业，才最有可能在这场医疗数字化浪潮中笑到最后。