醫療AI從內容生成走向自主行動，衛福部下一階段指引瞄準Agent治理

衛福部今年5月發布醫療機構生成式AI應用指引，為醫院導入生成式AI提供風險管理參考，但能自主決策、採取行動的AI Agent，尚未納入適用範圍。

衛福部醫事司司長劉越萍10月初在臺灣醫院資訊主管會議上指出，下一階段指引需要回應AI從內容生成走向自主行動的挑戰，讓醫療機構更清楚應用時的注意事項。面對AI持續進入醫療流程，她也提醒，醫院應先盤點院內AI工具、釐清責任，再依風險安排驗證與持續監測。

醫療體系為何需要AI？劉越萍指出，高齡化、照護需求增加、財務壓力與人力短缺，正迫使醫療機構尋找數位工具，減輕工作負擔、改善效率。但在醫療場域，導入新工具的同時，必須守住病人安全，也得兼顧民眾能否取得醫療服務，以及不同群體是否受到公平對待。

因此，醫療AI治理不能只看技術效能。WHO提出醫療AI倫理原則，歐盟以《AI Act》建立風險導向的AI規範，另以歐洲健康資料空間（EHDS）處理健康資料的存取、利用與互通。這些框架各有側重，也顯示醫療機構除了管理AI本身的風險，還得處理背後的資料治理問題。

劉越萍表示，衛福部研擬相關指引時，重要參考來源以歐盟為主，再發展為適合臺灣醫療場域的做法。她回顧，約1年半前就已請專家團隊研究相關議題，希望讓醫院管理者與使用者理解導入AI時的注意事項，並轉成院內可執行的管理流程。

當時，醫院已開始嘗試用ChatGPT協助寫病歷，希望減輕醫護人員負擔。但看到工具能省下時間之後，使用者是否也知道它可能帶來哪些風險？

這正是她希望指引回答的問題。

衛福部今年5月提出的指引，整理出5大核心原則：指派主責單位或人員並辨識風險、完成資安與資料保護評估、規畫系統整合與作業持續、落實人工監督與專業確認，以及建立透明、監測與持續精進機制。

換句話說，醫院要先釐清誰負責、資料如何使用與保護、AI如何接進既有系統，以及服務中斷時的備援方式。同時，也要安排輸出結果的人工確認，建立上線後追蹤問題、重新評估或停用的程序。

這份指引供預備導入或已導入生成式AI的公私立醫院與診所參考，屬行政指導性質，並非強制性規定。涵蓋情境包括病歷撰寫輔助、臨床決策支援、行政文書撰擬與病人溝通；涉及醫療器材者，仍須依醫療器材相關規範辦理。

對醫院來說，落實治理的第一步，是知道院內到底用了哪些AI。劉越萍援引Duke治理白皮書的經驗，強調先盤點工具、建立清冊，才能掌握管理範圍。

盤點對象除了正式採購的商業產品和雲端服務，還要涵蓋院內自行開發的模型、檢索增強生成（RAG）應用、部門自行訂閱或試用的「影子AI」，以及既有系統透過功能更新新增的AI能力。也就是說，即使醫院沒有另買一套AI產品，原本使用的系統仍可能多了AI功能。

清冊也不能只列產品名稱。醫院至少要掌握工具用途與使用部門、資料種類與敏感程度、資料流向、模型版本、供應商，以及依賴哪些外部服務，並確認工具是否影響病歷、臨床判斷或病人溝通。同時，也要記錄業務、系統與監測責任人，以及風險等級、核准狀態與重新評估日期。

由於AI會進入臨床照護與服務流程，牽涉病人安全、醫療品質、法律與組織風險，治理也需要跨專業共同參與。大型醫院可以由院級或體系級委員會集中審查；其他院所則可將AI審查納入既有資訊、資安、醫品、倫理或採購流程，中小型院所也可透過跨院共享專業資源取得支援。

醫院可以依規模與資源選擇做法，但劉越萍強調：「責任跟程序必須要明確。」

掌握用了哪些工具後，醫院還要確認AI是否適合自家的資料與工作流程。劉越萍提醒，外部測試或控制環境下的表現，與真實醫療場域可能存在差異。對可能帶來較大影響的應用，醫院應考慮用本院或具代表性的資料驗證，觀察效能，以及AI會在什麼情況下出錯，再依風險選擇靜默試驗或有限試辦。

所謂靜默試驗，是讓AI接收真實資料，但初期不介入決策，先觀察與院內流程整合的情況；有限試辦則限定部門、用途、使用者與資料範圍，並設定中止門檻。院所可依用途和風險選擇驗證方式，並非每項工具都必須經過靜默試驗。

應用上線後，醫院也要持續追蹤哪些部門在使用、使用頻率，以及是否超出核准用途，並觀察錯誤、遺漏、人工修改和病安事件。系統方面，則要留意模型版本變動、效能是否隨時間下降，以及API或服務中斷等問題。

監測結果還要能轉成具體處置，包括限制用途、增加人工確認、重新驗證，必要時暫停使用或讓系統退場。因此，醫院除了知道誰維護系統，也要清楚誰負責監測、誰有最終決策權。

「醫療這邊我們需要的科技不是最新的，我們是要最穩定的。」劉越萍強調，醫療導入科技仍要回到病人安全與醫療品質，在能夠掌握風險的前提下推動創新。

不過，指引研擬需要時間，AI技術卻持續快速變化。劉越萍表示，現行指引完成時，AI Agent已成為熱門議題，但研擬速度來不及跟上，因此今年5月頒布的指引，先將AI Agent排除在適用範圍之外。

當AI從協助生成內容，走向自主決策與採取行動，可能直接或間接影響健康結果，病人安全、責任與合規風險也需要進一步處理。她表示，這是下一階段指引需要回應的問題，讓醫療機構知道應用時還有哪些事項需要注意。

她提出的未來治理焦點，包括授權範圍、人類接管、行動紀錄、緊急停止與責任追溯。也就是要釐清AI可以自行做到哪一步、何時需要人介入、如何留下執行紀錄，以及發現問題時如何停止並追查責任。不過，相關指引的發布時程與具體適用範圍仍未公布。

劉越萍也指出，未來醫院需要具備AI治理、資料治理與數位人才3大能力。AI治理涵蓋工具清冊、風險分級、驗證、監測與退場；資料治理則包括資料品質、標準、互通、隱私、資安與可追溯性；人才方面，則需要提升AI素養，促進臨床與資訊團隊協作，並持續學習。

她強調，醫療AI的競爭不只看導入速度，更要看能否安全、負責任地運用技術，持續創造臨床價值。