台湾卫生福利部发布「医疗机构应用生成式人工智慧指引」

「人工智慧基本法」于2026年1月14日公布施行，明定各目的事业主管机关应就其主管领域之人工智慧应用，订定以风险为基础之管理规范，并协助产业订定指引及行为规范。据此，卫生福利部（下称「卫福部」）于2026年5月29日发布「医疗机构应用生成式人工智慧指引」（下称「本指引」），供预备导入或已导入生成式人工智慧（下称「生成式AI」）之医疗机构（包括公私立医院及诊所）参考。本指引适用情境涵盖病历撰写辅助、临床决策支援、行政文书及病人沟通等场域，就评估重点及管理措施提供建议，作为医疗机构设计内部治理架构之参考。本文将导读本指引所揭示之生成式AI风险来源、核心实施原则及医疗机构应注意事项。

一、 六类风险来源

本指引将生成式AI之潜在风险来源归纳为六类：基础模型风险、资料来源风险、输出结果风险、资安攻击风险、使用者依赖风险及服务中断风险。以资料来源风险为例，生成式AI于取用外部资料时，可能因取用过时、不正确或不完整而影响临床建议之品质。输出结果风险则指系统可能编造不存在之医学文献或产生错误之医疗资讯，对病人安全造成直接危害。由于各类风险于医疗情境常非单一发生，而系交互作用，本指引建议医疗机构以整体系统观点（涵盖人员、流程、技术及外部依赖）进行风险辨识与管理，并据以建立检核与持续监测机制。

二、 五项核心实施原则

本指引建议医疗机构于导入生成式AI时，应由机构层级秉持五项核心实施原则：指派主责单位或人员与风险辨识、完成资讯安全与资料保护评估、规划系统整合与作业持续、落实负责任的组织文化，以及持续监控与改进。具体而言，导入前应完成风险辨识、法规遵循、资讯安全及资料保护之评估。导入时应确保系统与既有医疗资讯系统及临床流程顺利整合，并预先规划系统失效或服务中断之替代流程，同时建立权限管理机制及强化人员培训。导入后则应透过监测、通报、事件处置及改进流程，并纳入版本控制及变更管理机制，持续检视系统运作之安全性、稳定性及风险可控性。

三、 三阶段应注意事项

本指引基于前述五项核心实施原则，将生成式AI之导入流程区分为三个阶段，并分别提出具体应注意事项，摘要如下：

(一) 导入前评估阶段

医疗机构应指派具医疗品质及临床安全专业之单位或人员，盘点拟导入之产品及系统，依其内部风险（系统可靠性）及外部风险（临床影响性）建立风险分级机制，作为后续缓解措施、监测与稽核之基础。同时应确认系统使用符合个人资料保护法、医疗法及相关医事法规，并于系统上线前，完成资讯安全及资料保护评估。本指引特别指出，凡涉及临床判断、病人安全、病人沟通或医疗纪录之情境，仍应由具相当专业资格之医事人员负最终确认与审核之责。

(二) 导入与整合阶段

医疗机构应确认系统能与既有医疗资讯系统及临床流程顺利整合，并完成效能验证、压力测试及临床安全测试；同时评估其可扩充性及跨平台支援能力，保留替代服务之切换弹性，以降低单一服务依赖风险。于供应商管理方面，应于契约中明确约定品质标准、资料使用权限、持续支援及智慧财产权归属等条款，并要求供应商揭露所使用之大语言模型及系统维护、变更管理机制等，以利其持续监督。

(三) 导入后使用与监管阶段

医疗机构应持续监测系统输出之正确性、偏误及临床适用性；如发现系统性偏误或错误而无法于合理期间内修复，或可能影响病人安全时，应即采取限制、暂停使用或回复既有流程等措施。针对「恶意指令植入」风险，应建立输入过滤与异常监测机制并培养组织风险意识。责任分工上，对外应于契约明确约定安全、维护、资料使用及偏误修正之权责，对内则应划分管理单位、资讯部门及使用者之权责，确保生成式AI仅作为医疗辅助工具，最终医疗判断仍由医事人员负责。此外，并应适度向病人及家属揭露生成式AI之参与范围及使用限制，以维护病人知情权及医病信任。

整体而言，本指引虽属行政指导性质，并非强制性规范，惟已反映我国卫生主管机关对医疗AI应用所重视之风险类型及管理方向。已导入或规划导入生成式AI系统之医疗机构，建议宜尽早盘点相关系统及契约，特别就资讯安全、个人资料保护及医疗法令遵循等面向进行检视，并参照本指引建立完整之风险治理、供应商管理及持续监测机制，以因应AI于医疗场域快速发展所生之法令遵循挑战。