欧盟人工智能法案与医疗人工智能：风险等级、义务、与医疗器械法规（MDR）的重叠及时间表

简而言之： 《人工智能法案》（法规 (EU) 2024/1689）通过风险来监管人工智能系统。对于医疗健康领域，有三种情况需要关注。作为医疗器械的组成部分，或本身就是医疗器械的人工智能系统，需要根据 MDR 或 IVDR 进行第三方合格评定，这被视为高风险（附件 I）：它必须满足法案关于风险管理、数据、文档、日志记录、透明度、人工监督、准确性和网络安全的要求，并与器械的合格评定一起进行评估。用于紧急分诊或决定医疗服务访问权限的人工智能，即使不在器械法规范围内，也属于附件 III 中的高风险类别。助手和聊天机器人，如果不是高风险的，仍然承担透明度义务（人们必须知道他们正在与人工智能交流；生成的内容需要标记）。该法案已于 2024 年 8 月 1 日生效，各项义务将分阶段实施至 2027 年；委员会在 2025 年底提议调整部分截止日期，请关注最新状态。

风险金字塔

欧盟人工智能法案将人工智能系统分为不同等级：禁止的实践（自 2025 年 2 月起禁止)、附件一中的高风险系统（用于需要认证机构的医疗设备的人工智能)和附件三中的高风险系统（紧急分诊、医疗服务访问)、具有透明度义务的有限风险系统（例如健康聊天机器人)、没有特定义务的最低风险工具，以及承担提供者义务的通用人工智能模型。

一个非器械的健康应用程序，且不属于附件 III（例如，带有 AI 摘要功能的记录，带有对话界面的症状日记），则属于有限级别：需要遵守透明度要求和员工的通用人工智能素养（第 4 条），以及 GDPR 已有的所有规定。如果同一应用程序增加了提供诊断或治疗建议的功能，它将根据 MDR 成为医疗器械，并且如果涉及通知机构，则根据《人工智能法案》被视为高风险；请参阅 软件作为医疗器械。

高风险要求（第三章，第二节）

欧盟人工智能法案下的高风险人工智能系统需要风险管理系统、用于训练和测试数据的数据治理、技术文档和日志记录、面向部署者的透明度、内置的人工监督、准确性、鲁棒性和网络安全、质量管理系统、符合性评估（带有 CE 标志)、上市后监控和事件报告，以及附件三系统在欧盟数据库中的注册。

• 风险管理系统贯穿整个生命周期（第 9 条），并与器械的 ISO 14971 集成。
• 数据治理（第 10 条）：培训、验证和测试数据应相关、具有代表性，并经过偏见检查，具有可追溯的来源；在特定条件下允许处理特殊类别数据以纠正偏见。
• 技术文档（第 11 条，附件 IV）和记录/日志记录（第 12 条）以确保可追溯性。
• 透明度和部署者说明（第 13 条）。
• 设计中的人工监督（第 14 条）：理解、覆盖和停止的能力。
• 准确性、鲁棒性和网络安全（第 15 条），并附带声明的指标。
• 质量管理体系（第 17 条），对于器械而言，这是 ISO 13485 体系的扩展。
• 合格评定、CE 标志和涵盖两项法规的欧盟符合性声明；附件 III 系统的欧盟数据库注册。
• 上市后监控和严重事件报告（第 72-73 条），与 MDR 的警戒活动协调。
• 部署者（医院、诊所）有自己的义务：按照说明使用，进行人工监督，记录日志，告知人员，以及对公共机构进行基本权利影响评估（第 27 条）。

与 MDR 和 IVDR 的重叠

欧盟人工智能法案与 MDR 和 IVDR 的重叠是设计使然：对于附件一中列出的医疗设备中的人工智能，该法案的要求将由同一认证机构作为设备符合性评估的一部分进行评估，拥有单一的文档集和一个质量体系。一旦发布，CEN-CENELEC JTC 21 的协调标准将提供符合性推定。

该法案的制定旨在避免第二个并行流程：对于附件 I 中的器械，人工智能要求将作为 MDR/IVDR 合格评定的一部分由同一通知机构进行评估，该通知机构也必须获得《人工智能法案》的指定；文档可以合并；质量体系也是统一的。协调标准（关于人工智能风险、数据质量、鲁棒性）正在由 CEN-CENELEC JTC 21 制定，并将提供符合性推定；在这些标准可用之前，制造商可以使用 ISO/IEC 42001、ISO/IEC 23894 和器械标准。预计医疗器械协调小组和人工智能委员会将发布联合指南；上市后监控和事件报告的相互作用是值得关注的领域。

时间表

欧盟人工智能法案于 2024 年 8 月 1 日生效。禁止和人工智能素养义务自 2025 年 2 月 2 日起适用，通用模型义务自 2025 年 8 月 2 日起适用，该法案的大部分内容（包括附件三高风险系统)自 2026 年 8 月 2 日起适用，附件一高风险系统（例如医疗设备中的人工智能)自 2027 年 8 月 2 日起适用，但可能会进行调整。

• 2024 年 8 月 1 日：生效。
• 2025 年 2 月 2 日：禁止性规定和人工智能素养义务开始适用。
• 2025 年 8 月 2 日：通用人工智能模型义务；治理（人工智能办公室、通知机构）；处罚。
• 2026 年 8 月 2 日：法案的大部分内容开始适用，包括附件 III 高风险系统和透明度义务。
• 2027 年 8 月 2 日：附件 I 高风险系统（如医疗器械等受监管产品中的人工智能）以及在 2025 年 8 月之前上市的通用人工智能模型。

2025 年 11 月，委员会在“数字综合法案”中提议，将高风险规则的适用与标准的可用性和支持工具挂钩，这可能会改变 2026 年和 2027 年的日期；该提议在撰写本文时仍在谈判中。请将上述日期视为已通过的法律，并关注《官方公报》以获取变更信息。

健康应用程序团队现在应该做什么

在欧盟人工智能法案下，健康应用程序团队的实际步骤包括：将每个人工智能功能归类为设备、附件三或透明度级别；披露人工智能交互并标记生成的内容；记录训练数据和按子组进行的评估；通过将输出作为草稿来保持人类控制；从通用模型供应商处获取文档；并同时运行 GDPR 工作。

1. 对每个 AI 功能进行分类：是否为器械（健康应用程序是否为医疗器械？）；是否属于附件 III；否则属于透明度级别。
2. 立即披露 AI 交互并标记生成内容：这不花钱，而且将是强制性的。
3. 记录数据和评估：培训和测试数据来自哪里，性能如何衡量，按子组划分；这是第 10 条和第 15 条的核心，也是良好的工程实践（医疗数据上的 AI：地图）。
4. 保持人工控制：输出作为草稿和建议，切勿自动提交临床事实；记录 AI 生成的内容以及谁接受了它。
5. 检查模型供应商：通用模型提供商必须提供您将需要的文件。
6. 同时执行 GDPR 工作（关于自动化决策的第 22 条，DPIA）；《人工智能法案》不取代 GDPR（GDPR 第 9 条）。

在 Anpheros 中

Anpheros 的 AI 功能重述并定位了个人记录中的内容，并以 AI 的形式披露；它们不进行诊断或推荐治疗，因此该产品不是医疗器械，属于法案的透明度级别。模型的使用已记录，输出带有来源信息，并且助手生成的任何内容在未经人工确认的情况下都不会成为记录中的临床事实。

本页面解释了产品和工程团队的监管要求。它不构成法律建议；来源下的链接文本具有权威性。最后审查：2026 年 10 月。

相关页面

• 医疗数据上的 AI：地图
• 软件作为医疗器械：MDR 和 IEC 62304 分类
• 健康应用程序是否为医疗器械？欧盟 MDR 规则 11
• GDPR 第 9 条关于健康数据
• 健康数据监管地图
• RAG 在医疗记录中的应用

来源

• 法规 (EU) 2024/1689 (人工智能法案)，EUR-Lex
• 欧盟委员会：人工智能法案（政策页面和时间表）
• 欧盟委员会：人工智能办公室
• 法规 (EU) 2017/745 (MDR)，EUR-Lex
• CEN-CENELEC JTC 21：人工智能
• ISO/IEC 42001:2023，人工智能管理体系

常见问题

《人工智能法案》是否将所有带有 AI 的医疗器械都列为高风险？

只有那些根据 MDR 或 IVDR 进行第三方合格评定的器械，这包括大多数 IIa 类及以上软件。一个自我认证的 I 类器械如果带有 AI，则不属于附件 I 的高风险类别，但仍需遵守法案的一般性和透明度义务。

《人工智能法案》是否适用于美国公司？

是的，当其人工智能系统被投放欧盟市场或其输出在欧盟使用时，其适用方式与 MDR 和 GDPR 相同。欧盟境外的提供商需要为高风险系统指定一名授权代表。

我是否需要为 AI 获得第二个 CE 标志？

不需要。对于附件 I 中的器械，一项合格评定将涵盖两项法规，一个 CE 标志和符合性声明将同时引用两项法规。文档必须涵盖《人工智能法案》的要求。

健康聊天机器人会发生什么变化？

透明度：用户必须被告知他们正在与人工智能进行交互，生成的内容必须被标记，并且员工需要具备人工智能素养。如果聊天机器人提供个体诊断或治疗建议，它将成为医疗器械，情况将完全改变。

Anpheros Platform

在沙盒中免费试用

5 分钟完成第一次 FHIR 调用. 一个内置患者授权的 HL7 FHIR R4 API：先在沙盒中试用，然后连接您自己的应用或诊所系统。

免费创建沙盒阅读开发者指南 →

免费 · 30 位合成患者 · 无需信用卡

撰写人

Anpheros 团队

Anpheros 致力于打造一个由患者掌控的医疗记录，并可在欧盟的 HL7 FHIR R4 平台上与任何诊所共享。这些指南旨在帮助您理解和整理您的健康信息，但不能替代您的医生。

关于 Anpheros →