医疗机构和制药公司正在加速部署人工智能。从药物靶点识别到临床文档撰写，从影像筛查到患者居家监测，AI在医疗领域的渗透速度超出了大多数人的预期。
但一个日益尖锐的矛盾正在浮现：AI系统的训练和应用需要大量敏感患者数据，而全球主要司法管辖区对数据使用、基础设施和跨境传输的规则各不相同，且彼此冲突。
大西洋理事会网络治国倡议9月8日举办的一场研讨会上，辉瑞企业数据科学与高级分析副总裁Ranjit Kumble指出：“当我们开发一个AI模型时，目标是驱动人群层面的健康收益。但如果模型在部署时没有正确的保障措施，收益的分布会变得极不均匀。”
这一判断点出了医疗AI面临的核心困境——数据越受限，模型质量越差；而处理数据又意味着企业要同时面对多套监管义务和潜在的严重后果。
欧盟：理想撞上现实，高风险义务延期
欧盟《人工智能法案》于2024年生效，是全球首部综合性横向AI立法，将AI医疗设备明确列为高风险系统，要求其满足严格的合规义务。然而，配套的协调标准、国家监管机构和评估基础设施并未同步到位。
2026年7月生效的“数字综合法案”将高风险义务的适用日期从原定的2026年8月推迟至2027年12月（独立系统）和2028年8月（嵌入受监管产品的AI，包括医疗设备）。
义务本身并未软化，只是被推迟了——这是对“即便全球最激进的AI监管者也难以跟上技术迭代速度”的一次坦率承认。
更关键的是，欧盟正在酝酿的医疗设备框架改革可能走得更远，将医疗设备法规本身保留为临床AI的主要治理制度。
这意味着在欧盟，一款AI医疗产品可能需要同时满足《通用数据保护条例》、《人工智能法案》和《医疗设备法规》三套体系的叠加要求。
美国：无统一立法，碎片化治理已成常态
美国的监管格局更为分散。联邦层面没有一部统一的医疗AI综合法律，也没有单一监管机构对AI医疗的全链条负责。治理是在州立法机构、联邦机构、国际组织、专业团体和标准组织之间拼凑而成的“补丁”。2023年至2025年间，政策数量和发布主体的多样性急剧增加，进一步加剧了碎片化。
在监管逻辑上，美国与欧盟存在显著差异。欧盟将医疗AI列为高风险应用，实质上是把“人类监督不可替代”确立为技术部署的法定前提；而美国FDA采用基于风险的分层监管。
根据FDA 2025年发布的AI/ML软件作为医疗设备变更管理框架，患者教育工具被归为低风险产品，仅需满足基础质量管控；而用于重症监护、癌症筛查的AI系统则须通过前瞻性临床验证。
2026年8月18日，FDA器械与放射健康中心发布了一份关于生成式AI医疗设备监管的讨论文件，提出了一套“双轴风险框架”——一个轴评估AI功能的活动类型（从非指导性到完全自主），另一个轴评估依赖错误输出的后果严重程度。
文件还探讨了基于能力的上市前评估路径，并询问是否愿意接受更大的上市前不确定性以换取更强的上市后监测。公众评论截止日期为2026年10月19日。
中国：划下“AI不得替代医生”的红线
中国的监管思路则呈现出另一条路径。根据2022年《互联网诊疗监管细则》，AI被明确禁止替代医生出具诊断和处方。
2025年和2026年的工作计划重申了这条红线：AI可以提供选项建议、起草文本，但最终的决策者必须是持有执照的医生，且这一决策必须在电子病历中有可追溯的证据。
产品分类的判定同样关键。如果一款大语言模型的预期用途包括诊断、治疗建议、监测或预后，则需要获得国家药监局注册，分类取决于所声称的风险和适应症。
一个被定位为“工作流工具”的模型可能无需注册，但企业应对营销宣称受到更严格审查有所准备。
同样的软件，因声称的不同，可能被归为受监管的医疗器械，也可能被视为不受监管的工作流工具——这条线决定了注册成本、上市时间和责任敞口。
碎片化的量化图景：70多个国家，1000+法规
全球医疗AI监管的碎片化程度，可以用一组数据来量化。据研究统计，全球已有超过70个国家出台了1000多项与AI相关的国家法规和政策框架，其中大多数来自高收入国家。没有任何一个统一来源能够系统性地汇编或比较这些规则。
npj Digital Medicine发表的“健康与AI政策指数”研究（基于2026年1月1日的240项政策快照）显示，透明导向的咨询性工具占据主导地位，公平和安全通常被纳入更广泛的治理要求中，义务主要落在提供方、监管机构和开发者身上。
另一个研究团队构建的AI赋能持续更新监管情报系统，利用超过40万份监管文件训练了混合语义相似度与关键词评分模型，在识别高置信度AI相关监管内容时达到了95%的召回率。研究结论是：AI驱动的数据驱动方法可以有效联邦化跨司法管辖区的AI药物监管，减少全球差异。
合规成本与可扩展性困境
监管碎片化带来的不仅是法律义务的叠加，更是工程层面的可扩展性问题。辉瑞的Kumble在研讨会上指出，组织经常为单个AI项目单独准备数据集，以确保信息“AI就绪”。随着用例成倍增加，重复这项工作既不可持续，也无法扩展。
不同司法管辖区对敏感数据处理的限制，直接决定了研究者能否获得足够广度、深度和质量的数据来训练可靠的系统。这影响到产品性能、患者信心，以及企业在日益精准和数据密集型的医疗市场中竞争的能力。
Dreadnode政策负责人Daria Bahrami在研讨会上表示，AI驱动的更快结果正迫使企业实时决定对风险的容忍度，而这些风险以前一直处于背景之中。灵活应对不应取代基线控制——组织应在部署工具之前评估数据处理、保留和其他治理要求。
随着医疗企业开始试验能够在有限人工参与下采取行动的智能体AI系统，风险进一步放大：智能体可能超出其预期权限，或逃逸受控测试环境。
Snowflake全球公共部门首席技术官Stephen Moon则指出，组织必须在治理和运营两个层面同时限制智能体的权限。
从“监管孤岛”到模块化合规
对于跨国运营的医疗企业和制药公司而言，现实是：无法等待全球统一框架的出现。更务实的路径是构建模块化、区域适配的合规架构，以平衡创新效率与法律风险。
在AI医疗产品的开发阶段，就需要将不同司法管辖区的监管逻辑纳入设计考量：欧盟的“人类监督不可替代”、美国的“风险分层”、中国的“AI不得独立诊断”——这些原则上的差异，最终会转化为算法调整、文档本地化和重复验证的工程成本。
世界卫生组织已发布AI医疗伦理与治理指南，EMA于2025年启动了首个AI工作计划（2024—2028年），FDA与EMA也在2026年1月就AI用于药物开发达成了一套共同原则。这些局部协同是积极信号，但距离真正可操作的全球互认机制仍有相当距离。
在缺乏全球统一数据治理框架的背景下，医疗AI的全球化扩张，正考验着每一家企业的合规工程能力。
（ 智算芯能前沿网综合）
本文由智算芯能前沿网编辑整理，转载请注明出处。