AI 开处方、辅助诊断软件算不算医疗器械？医疗 AI 的三个合规判断

　　先说一个在大健康行业里越来越常见的产品形态。一家做慢病管理的公司，把问诊入口、AI 预问诊、用药推荐和线上购药缝合成了一条链路：用户在小程序里描述症状，AI 先给出"疑似诊断"和一套用药建议，医生在后台点确认后生成处方，药品随即配送到家。公司对外一直强调这样一句话——"我们只是提供工具，处方还是医生开的"。直到监管部门找上门，问题才被逐条摊开：AI 给出的用药建议算不算变相开方？那套自动判读影像、给出"高度可疑"结论的功能，到底有没有按医疗器械注册？如果患者用药后出了问题，是医生担责、平台担责，还是那家提供算法模型的技术公司也要担责？

　　这三个问题看上去是一个合规问题，其实是三条相互独立的规则线：谁有资格开处方、什么样的软件要被当作医疗器械管、以及损害发生后责任怎么在医生、医疗机构和技术提供方之间分配。任何一条判错，后面做的所有产品设计都会跑偏。下面三个判断，建议在立项、上线和发生争议三个节点各走一遍。

#一、AI 能不能"开处方"：处方权的红线在哪

　　先看规则。《互联网诊疗监管细则（试行）》（国家卫生健康委办公厅、国家中医药局办公室印发，国卫办医发〔2022〕2号）第二十一条写得很明确：医疗机构开展互联网诊疗活动，处方应由接诊医师本人开具，严禁使用人工智能等自动生成处方；处方药应当凭医师处方销售、调剂和使用；严禁在处方开具前向患者提供药品。同一条还把"以商业目的进行统方"列为禁止行为。第十三条则从另一个角度封口：医师接诊前需进行实名认证，确保由本人提供诊疗服务，其他人员、人工智能软件等不得冒用、替代医师本人提供诊疗服务。《中华人民共和国医师法》（2021年8月20日通过，自2022年3月1日起施行）第二十四条则要求医师实施医疗、预防、保健措施、签署医学证明文件必须亲自诊查、调查，并按照规定及时填写病历等医学文书。

　　把这几条放在一起，"AI 开处方"的禁止并不是一句空洞表态，它指向的是一整套判断：处方的出具主体必须是有执业资格的医师本人，AI 不能成为那个"实质决策者"。实践中真正容易踩线的，往往不是那种明目张胆由机器直接出方的产品，而是几种看上去"有人把关"的设计。第一种是"一键确认"式：AI 已经根据症状生成了完整的用药方案，医生只是在屏幕上点一下通过，既没有独立诊查，也没有补充问诊。第二种是"先药后方"：用户先选药、加购，系统再用 AI 反推一个处方或诊断来凑齐流程。第三种是让 AI 生成的用药建议直接触达用户，绕过医生确认环节。这些做法的共同点是，形式上挂着"医师开具"，实质上决策由算法完成，一旦被认定，正好落在第十三条"替代医师本人提供诊疗服务"和第二十一条"自动生成处方"的禁止范围里。

　　风险有两层。表层是行政处罚与资质风险：超范围执业、未按规定提供诊疗服务，可能触发卫生健康主管部门的处罚，情节严重的还会影响医疗机构的执业许可。更深一层是民事风险，而且这条线更隐蔽——如果 AI 生成的建议导致用药错误，《医师法》和《民法典》要求医师亲自诊查、说明的义务就没有被真正履行，患者一旦主张损害，医疗机构很难证明"医生尽到了独立判断"。

　　实务上，落地动作可以拆成三步。第一，把"AI 的角色"和"医生的角色"在产品上彻底分开：AI 只能停留在辅助信息收集、风险提示、随访问答这一层，不能生成可直接落地的完整用药方案，更不能作为处方的前置模板被医生无差别套用。第二，在流程里留下"医生独立判断"的痕迹：接诊记录、问诊补录、医师对 AI 建议的采纳或修改意见、电子签名，这些既是质控需要，也是争议发生时证明"本人提供诊疗服务"的直接证据。第三，凡是涉及在线开方的，严格落实实名认证与电子签名、药师审核，并确保不存在"先药后方"的路径。

#二、辅助诊断软件什么时候从"工具"变成"医疗器械"

　　第二个判断，是很多信息化和 AI 团队最容易低估的：我们做的到底是一款普通软件，还是一款需要注册的医疗器械？

　　规则的门槛写在国家药监局 2021 年发布的《人工智能医用软件产品分类界定指导原则》（国家药监局通告 2021 年第 47 号，2021 年 7 月 1 日发布）里。它先划管理属性：如果软件的处理对象是医疗器械数据（即医疗器械产生的、用于医疗用途的客观数据，特殊情形下可包含通用设备产生的用于医疗用途的客观数据），且核心功能是对这些数据进行处理、测量、模型计算、分析，并用于医疗用途，就符合医疗器械定义，应当作为医疗器械管理；反之，如果处理对象是患者主诉等非医疗器械数据，或核心功能不是对医疗器械数据做处理分析，或不用于医疗用途，则不作医疗器械管理。它再划管理类别：对算法成熟度低（未上市或安全有效性尚未充分证实）的软件，若用于辅助决策，例如提供病灶特征识别、病变性质判定、用药指导、治疗计划制定等临床诊疗建议，按第三类医疗器械管理；若用于非辅助决策，例如仅做数据处理和测量、提供临床参考信息，则按第二类管理。而"医疗器械"本身包含计算机软件，这一点在《医疗器械监督管理条例》（国务院令第 739 号，自 2021 年 6 月 1 日起施行）第一百零三条的定义里已经写明。

　　这套规则的关键，不在技术有多复杂，而在"预期用途"四个字。同一段算法，如果宣称是用来做科研统计、健康管理提示，可能落在医疗器械之外；但一旦宣传口径、产品说明或实际功能指向了"辅助诊断""辅助治疗决策"，它的管理属性就会翻转。实践中三种情形最危险：一是把辅助决策功能包装成"健康建议"以规避注册，但界面文案和实际输出又足以让用户据此判断病情；二是把病灶识别、性质判定这类功能直接面向患者提供结论，跳过了医师；三是明知涉及第三类却先上线、后补证，把注册当成事后补办的手续。

　　和注册问题绑在一起的，还有数据处理这一侧。医疗健康信息属于《中华人民共和国个人信息保护法》第二十八条所列的敏感个人信息，处理它应当具有特定目的和充分的必要性，并取得单独同意；涉及将数据用于算法训练、对外提供或委托处理的，还要评估是否触发了个人信息保护影响评估，并留存记录。这类义务不会因为"数据脱敏"就自动消失——仅仅去掉姓名、手机号的去标识化数据，通常仍属于个人信息。

　　落地建议因此是两条线并行。产品线这一侧，先做一次属性自评：把每个功能模块按"处理对象是不是医疗器械数据、核心功能是不是分析处理、是否用于医疗用途"逐项对照，凡触及辅助决策的，在上市前完成相应的医疗器械注册路径评估，而不是等被问到再补。数据线这一侧，把授权链条做扎实：明确采集目的、单独同意的范围、能否用于模型训练、保存期限，并为人脸、影像等敏感数据的处理保留影响评估结论。路径选择的差别很清楚：先注册、后上线，前期成本高、周期长，但产品逻辑稳定、可举证；先上线、后补办，短期跑得快，但一旦被认定为应当注册而未注册的产品，面临的是下架、召回和行政处罚，而且此前基于该产品做出的大量诊疗行为都会成为风险敞口。

#三、出了问题，责任在医生、医院还是技术方

　　第三个判断，在损害真正发生时才显现分量：患者用 AI 辅助后出了问题，责任到底落在谁头上？

　　这一层没有一部"AI 医疗责任法"，规则要回到既有的侵权与医疗损害框架里找。《中华人民共和国民法典》第一千二百一十九条规定，医务人员在诊疗活动中应当向患者说明病情和医疗措施，未尽到说明义务造成患者损害的，医疗机构应当承担赔偿责任。第一千二百二十二条则规定了推定医疗机构有过错的情形，其中第一项正是"违反法律、行政法规、规章以及其他有关诊疗规范的规定"；后两项针对的是隐匿、拒绝提供与纠纷有关的病历资料，以及遗失、伪造、篡改或者违法销毁病历资料。这两条的实务含义很直接：如果产品设计本身违反了互联网诊疗细则或医疗器械管理规定，责任追究往往不会停留在"操作者个人失误"，而会顺着"违反诊疗规范"这条线推到医疗机构层面；而病历和记录一旦缺失或被改动，过错推定就会对企业非常不利。

　　病历这条线的规矩也值得单独说。《医疗纠纷预防和处理条例》（国务院令第 701 号，自 2018 年 10 月 1 日起施行）第十五条要求医疗机构及其医务人员按照国家规定填写并妥善保管病历资料，并明确任何单位和个人不得篡改、伪造、隐匿、毁灭或者抢夺病历资料；第二十四条则规定，发生医疗纠纷需要封存、启封病历资料的，应当在医患双方在场的情况下进行。放到 AI 场景里，这意味着算法日志、AI 建议记录、医师采纳与修改的过程，都应当纳入可追溯、可封存的范围——它们是证明"医生独立判断"还是"机器实质决策"的分水岭。

　　至于技术提供方要不要担责，关键看它扮演的角色。如果它只是提供标准化软件、由医疗机构自主使用，责任通常主要由医疗机构承担；但如果它深度参与了诊疗方案的生成、直接面向患者输出结论，或者与医疗机构形成了事实上的联合服务，那么它就可能被主张为共同提供者，甚至被推到独立责任的位置。这类纠纷里，采购方最容易犯的错误是"以为签了合同、付了钱就是安全垫"，却忽略了供应商是否具备相应资质、产品是否已按医疗器械注册、授权链条是否完整。

　　路径比较因此很清楚。较稳妥的做法是"责任前置约定"：在采购和服务协议里写清楚三件事——供应商对产品资质与数据授权合法性的保证、因产品缺陷或未注册导致下架停用的损失分担、以及发生纠纷时提供算法说明与日志的配合义务；同时在医疗机构内部把 AI 建议与医师决策的记录分开留存，避免两者在事后无法区分。相反，"先用起来、出事再分"的路径，看似省掉了谈判成本，实际是在把最不确定的法律风险留给自己。

#四、给医疗 AI 项目的一份落地清单

　　把上面三层收拢，一个正在做或准备做医疗 AI 产品的团队，至少可以推进这样几件事。其一，做一次功能清点，逐项回答"它有没有替代医师的角色、有没有生成处方、有没有面向患者输出诊断结论"，把边界标清楚。其二，把产品属性自评做在立项阶段，凡涉及辅助决策的功能，先解决医疗器械注册路径，再谈上线。其三，把处方流程与算法流程物理隔离，AI 只做信息收集和提示，处方主体、电子签名、药师审核各归其位，并杜绝"先药后方"。其四，建立可追溯的记录体系，把 AI 建议、医师判断、修改痕迹分别留存，满足病历管理和封存的要求。其五，在合作协议里把资质保证、损失分担和配合举证写实，别把审核供应商的责任留到纠纷之后。

　　回到开头那个场景：真正决定风险的，从来不是"有没有用 AI"，而是 AI 在其中到底扮演了什么角色。它是把医生从重复劳动里解放出来的工具，还是悄悄接管了本该由医师承担的判断？这个定位，决定了资质、注册和责任分配三条线的走向。

　　医疗 AI 的合规边界，本质上是在回答一个问题：当机器参与诊疗时，人的判断还剩下多少、又该由谁来兜底。谁先把这个边界画清楚，谁的产品才能走得稳。

---

需要专业帮助？预约测绘，帮你梳理医疗 AI 产品的处方资质、医疗器械注册路径与责任划分。