综述：医院自建人工智能：欧盟与美国监管框架对比

《BMJ Digital Health & AI》：When hospitals build their own AI: a comparison of the EU and US regulatory framework

　　

摘要

医院正日益从人工智能（AI）系统的被动采购方转变为医疗AI的主动开发者，尤其是开发定制化的院内机器学习工具以满足本地临床需求。本文考察了欧洲联盟（EU）和美国（USA）如何监管院内开发的基于AI的医疗器械，重点关注塑造创新、监督和扩散的法律与制度条件。通过对三个维度的比较分析——对临床需求的响应、创新能力的分配以及扩展和扩散的途径——本文表明，两种制度都允许院内创新，但将其嵌入不同的监管逻辑中。欧盟采用结构化模式，将医院视为在明确的制度义务下运营的受监管创新者，而美国则依赖更宽松、制度差异化程度较低的框架，院内创新作为一般软件监管的副产品而涌现。

关于该主题的已知情况

医院越来越多地开发自己的AI系统以满足本地临床需求。在欧盟和美国，这些系统中的许多都符合基于AI的医疗器械的资格，但现有的监管框架主要是为商业上市产品设计的，而非院内开发的AI。

本研究新增内容

本综述首次对欧盟和美国如何监管院内开发AI进行了比较法律分析。本文表明，欧盟通过《医疗器械法规》（MDR）的院内豁免条款明确将医院视为受监管创新者，而美国主要通过一般医疗器械和软件规则来监管院内开发AI。本文还识别了两种框架在支持创新、治理以及成功的AI系统的广泛扩散方面的重大差异。

本研究可能如何影响研究、实践或政策

研究结果凸显了监管框架既需要促进医院创新，又需要确保在本地开发的AI系统被更广泛部署时进行适当治理的必要性。未来的政策改革应加强将成功的院内开发AI转化为安全可扩展的临床工具的路径，同时维持有效的监督。

引言

医院不再是数字健康技术的单纯采购方，而是越来越多地成为医疗AI的开发者。调查显示，2024年，80%的美国医院使用了来自其电子健康记录（EHR）开发者的预测性AI，52%使用了第三方开发的AI，50%使用了自主研发的AI。1 在欧洲，类似趋势也在出现。2 在两个市场中，旨在适用于所有场景的商业算法可能由于工作流程、患者群体和局部数据分布的差异，在跨机构时不具备同等的适应性或准确性，3 并且在安全部署到临床实践之前可能需要大量重新校准。

院内AI系统——我们将其定义为在医院设施内开发的基于AI的医疗器械（以下简称：Hospital-AI）——的开发可能使医院能够将模型定制化到本地数据集和临床需求，并解决临床上有重要意义但商业兴趣有限的医疗问题。

尽管在许多方面存在差异，欧盟和美国都主要通过医疗器械法来监管医疗AI，但它们在对待Hospital-AI系统方面存在分歧。在欧盟，《医疗器械法规》（MDR）4 为在医疗机构内制造和使用的器械提供了特定豁免，允许某些Hospital-AI在完全合格评估制度之外运行。这造成了关于《人工智能法案》（AI Act）及其他法规——如《通用数据保护条例》（GDPR）和《欧洲健康数据空间》（EHDS）——如何适用于这些系统的不确定性。相比之下，在美国，Hospital-AI原则上在满足医疗器械法定定义时，受到与医院外部开发的商业上市器械相同的监管框架约束。本文从三个维度比较了欧盟和美国的Hospital-AI方法：对临床需求的响应、医疗创新能力的分配以及扩展和部署的路径。本文表明，两种制度都允许院内创新，但通过不同的监管方法实现——一种通过制度义务明确构建创新，另一种在更宽松、差异化程度较低的框架内容纳创新。欧盟明确将医院视为院内器械框架下的不同监管主体，而在美国，Hospital-AI主要受一般器械和软件规则管辖，这些规则不区分医院与其他开发者。

方法

我们对欧盟和美国——Hospital-AI在不同监管模式下新兴的两个领先管辖区——进行了叙述性法律综述。在欧盟方面，我们分析了MDR和《人工智能法案》，包括医疗器械协调小组和人工智能办公室/人工智能委员会的指导文件。在美国方面，我们考察了由美国食品药品监督管理局（FDA）实施的《联邦食品、药品和化妆品法》（FDCA），包括《21世纪治愈法案》的软件豁免以及随后关于临床决策支持（CDS）和AI赋能器械软件功能的指导文件。我们通过结构化检索PubMed、HeinOnline、Google Scholar和SSRN来识别相关学术文献，使用的术语包括"hospital developed AI"（医院开发AI）、"in-house medical devices"（院内医疗器械）和"AI medical device regulation"（AI医疗器械监管），并手工检索了健康法律、医学伦理和数字健康领域的领先期刊。我们的分析涵盖截至2026年8月的法律和政策发展，但不包括对Hospital-AI实证研究的系统综述。

欧盟医疗器械制度

欧盟的医疗器械主要由MDR管辖。根据第2条，医疗器械的定义包括用于医疗目的的器械或软件，这意味着许多临床AI系统符合软件医疗器械的资格，并纳入MDR的范围。对于这些器械，MDR设定了全面的安全、性能、合格评估和市场后监控要求，所有器械在上市或使用前必须满足这些要求。根据其预期用途——主要由制造商定义——器械按风险分类，从I类（低风险）到III类（最高风险），见第51条。根据第52条和第60段的规定，低风险器械通常可由制造商自我认证，而更高风险的器械则必须经过公告机构的独立合格评估，以验证其符合MDR安全要求。

院内医疗器械豁免

MDR第5(5)条为Hospital-AI提供了豁免——在医疗机构内制造且仅在该机构内使用的器械——允许医院开发和使

不确定MDR——这一为硬件和相对静态的软件而设计的法规——是否能够充分吸收针对适应性AI的保障，MDCG/AI委员会的指导已指出，MDR并未明确涉及多项AI特有风险。1? 正如我们中一人在别处所论证的，将AI特定义务从《人工智能法案》转移至本已不堪重负的MDR框架中，有可能因依赖那些并非针对自适应、数据驱动系统设计且对AI特有风险缺乏明确规范的法规工具，而使医疗AI监管"回到原点"。1?

其次，尚在审议中的改革方案提议修改MDR附件VIII第11条规则，允许更广泛的医疗器械软件被分类为I类，从而规避公告机构评估。对于AI医疗器械而言，这将为绕开第6(1)条的高风险分类提供一条直接通道，因为第6(1)(b)条将不再被触发。在我们讨论的语境中，这一途径将与院内开发路径并行运作，在某些方面甚至更进一步，成为医院开发的AI规避高风险状态的一种机制。

第三，拟议修正案将使院内豁免更加灵活，允许在存在充分合理的公共卫生或患者安全与健康利益的情况下，将院内设备（包括Hospital-AI）在不同医疗机构之间共享或转移。13 1?

最后，《数字综合法案》已将第6(1)条范围内系统（包括符合条件的AI赋能医疗器械）适用《人工智能法案》高风险要求的时间推迟至2028年8月2日。12 在这一过渡期内，基于AI的医疗器械将继续在MDR框架下运行，直至《人工智能法案》相关高风险要求开始适用。欧洲利益相关方已指出，MDR的实施已经威胁到一些关键设备和诊断测试的可用性。1? 在此背景下，院内开发可以帮助在商业供应受限的情况下维持临床能力，但它也检验了主要围绕内部控制构建的框架在院内路径日益重要时是否仍然充分适用。

美国框架

与美国框架不同，美国法律并未为Hospital-AI提供专门豁免。符合法定医疗器械定义的Hospital-AI，原则上与商业化上市产品面临相同的监管要求。然而在实践中，许多此类系统若符合《21世纪治愈法案》所引入的软件豁免条件，可能脱离FDA核心监管框架。即使不在豁免范围内，其通过510(k)途径获批后所面临的监管也可能相当有限。

在美国，医疗器械由FDA依据《FDCA》进行监管。该法将医疗器械广泛定义为用于疾病的诊断、治愈、缓解、治疗或预防的器械、仪器、器具、机械……或其他类似或相关物品，包括任何组件、部件或附件（第201(h)(1)条），并将器械分为三个基于风险的类别（I类至III类）。大多数医疗器械在进入市场前需经过某种形式的上市前审查，途径包括上市前批准（PMA）——要求制造商基于临床和技术证据证明器械的安全性和有效性——或510(k)通知途径——要求制造商证明该器械与市场上已有的器械实质上等同，该过程通常被认为要求较低，有时还依赖于较旧的对照技术。预期用于医疗目的的软件——包括基于AI的设备——在执行医疗功能且不属于硬件医疗器械组成部分时，可能符合医疗器械软件的资格。1?–21

2016年《21世纪治愈法案》大幅缩小了FDA对医疗AI的监管范围，该法修订了《FDCA》，将某些软件功能排除在医疗器械定义之外。特别是依据第520(o)(1)(E)条，某些临床决策支持（CDS）软件被排除在外，前提是该软件展示或分析医疗信息并向医疗专业人员提供建议，但不获取、处理或分析医学图像或信号，且"使相关医疗专业人员能够独立审查此类建议的依据"，并不鼓励主要依赖其输出结果。FDA近期的指导意见明确指出，为满足此门槛要求，软件必须提供关于其建议所基于的数据来源、逻辑和性能方面的充分信息，以支持独立的临床判断。22 因此，一系列基于AI的临床工具脱离了FDA监管。23

在AI领域的具体干预方面，近年来FDA通过一系列更新的指导文件将产品全生命周期（TPLC）监管模式付诸实施。其2025年关于AI赋能设备软件功能的草案指导意见强调了一种全面的基于生命周期的风险管理方法，将上市前评估与上市后持续性能监测相结合，以应对AI系统的适应性特征。2? 2? 该框架的核心组成部分之一是预先确定的变更控制计划（PCCP）的使用，这些计划已在FDA最终指导意见中正式确立，并于2025年进一步细化。2? 这些计划允许制造商在无需提交新的上市申请的情况下实施预先指定的算法修改，前提是变更在批准的范围内进行且保持安全性和有效性。

然而，在FDA监管范围内本已为数不多的基于AI的医疗器械中，大多数是通过510(k)途径获批的。因此，许多此类系统脱离了更全面的生命周期监管方法，包括TPLC监管和PCCP。

总之，与欧盟方法相比，美国法律监管的是软件功能，而非其开发的机构背景。因此，医院开发的AI并未被视为一个独立的监管类别，而是纳入了更广泛的医疗软件和CDS法律制度之中。医院创新因此很大程度上表现为一般性软件监管的附带产物，而非一个专门针对的临床创新场所。

比较分析

这些结构性差异塑造了Hospital-AI系统如何产生、如何在临床环境中进行治理，以及最终如何走出——或无法走出——其诞生机构。对于医院开发的AI而言，监管有三个相互关联的目标：它应使医院能够应对迫切的临床需求、支持本地临床环境中的创新，并允许成功的系统在安全且有益的情况下向原机构之外的领域扩散。以下部分将依次审视这些维度，重点关注每种监管模式如何组织本地实验与系统性扩散之间的关系。

对临床需求的响应：结构化弹性与附带性弹性

在欧盟和美国框架中，应对临床需求开发AI工具的灵活性均存在，但其嵌入方式基于根本不同的监管架构。在欧盟，MDR第5(5)条下的院内豁免明确承认医院作为一个独立的创新类别，并为这类开发创造了一个经过校准的空间。通过免除完整的合格评定，该豁免减少了监管摩擦，避免了——由于欧盟监管框架复杂——可能延误本地需求工具部署的拥堵。2? 然而，关键在于，这种灵活性伴随着一些要求——证明市场上没有同类器械可用、实施质量管理体系以及记录对通用安全和性能要求的合规情况——这些要求嵌入了一种内化的监管治理形式。换言之，监管并非被取消，而是被转移，要求医院承担通常由外部监管机构执行的功能，如验证、风险管理和文档记录。

在美国，如前文所述，由于《21世纪治愈法案》及其后续指导意见所引入的法定豁免，许多临床AI系统完全脱离了FDA监管，而其他系统仅通过如510(k)审批等途径面临相对有限的审查。侵权责任在理论上提供了一种事后压力以推动开发安全产品，但患者在起诉医疗AI开发者时面临重大挑战。2? 这些因素导致美国形成了一个宽松的环境，在这种环境中，医院开发的工具可以在相对较低的事前监管壁垒下进行开发。与欧盟方法不同，这种灵活性并非建立在对医院作为独立监管类别的明确承认之上。相反，第520(o)(1)(A)和(E)条的豁免取决于软件做什么以及它在临床实践中如何使用——例如是支持而非替代专业判断——而非谁开发了它。因此，Hospital-AI系统实际上被一个更广泛的框架所"裹挟"，该框架在美国体系下基于用途而非来源来缩小受监管软件功能的范围。数据获取方面可能是一个例外——美国联邦主要健康隐私法HIPAA为医院使用其自行从患者处收集且未离开"受覆盖实体"范围的数据提供了更大的余地——但美国方法并不试图将医院体系视为AI监管的独特场所。

谁有权创新？监管设计的分配效应

第二个比较点涉及医疗系统中创新能力的分布。在欧盟和美国，开发、验证和维持医院AI的能力很可能集中在拥有高质量数据基础设施、技术专长、治理能力和财务资源的大型学术医疗中心和先进医疗机构。2? 3? 公平地说，这种模式并非Hospital-AI所独有，也不应完全归因于监管设计选择；在其他形式的医疗创新中，开发也倾向于先集中在领先机构，然后才更广泛地扩散。31 32 然而，监管选择可以放大、缓解或维持这一动态。

集中在领先机构本身并非不可取。大型学术医疗中心通常拥有开发和安全测试新型AI系统所需的临床容量、技术专长、数据和治理结构。因此，令人担忧的不是集中本身，而是集中但没有有效扩散。当能够开发这些系统的机构同时也是主要受益者，因为成功的工具不容易走出其围墙时，问题便出现了。在这种情况下，出现三个相关风险：第一，只有资源充足的机构才能开发Hospital-AI；第二，如果此类系统难以在其围墙之外被采用，那么这些机构也是主要受益者；第三，在有限的场景中训练的系统可能在更多样化的临床环境中表现不够可靠。就本文而言，核心关注点在于创新的收益是否在部署地点之间公平扩散，而非创新本身发生在何处。尽管创新能力更加公平的分布可能是理想的，但如果在相对短的时间内部署地点之间存在公平分配，那么创新集中在创新场所问题便不大。

关于第一个问题——即只有资源充足的机构才能开发Hospital-AI——前文讨论的监管框架差异可能仅起到有限作用。即使没有欧盟的健康机构例外，创新可能仍将集中在资源充足的医院，因为关键驱动因素——技术专长、数据获取和机构投资——在很大程度上独立于MDR第5(5)条。至多，该例外可能通过为已具备能力的机构提供一条可行的路线来强化现有模式，使其无需承担完整的合格评定成本即可开发和部署本地AI工具。已经具备满足其条件所需专业知识和合规基础设施的机构，在开发和从此类系统的初步使用中获益方面，比资源较少的医院处于更有利的位置。从某些方面来看，Hospital-AI开发在美国也集中在大型学术医疗中心这一事实——在美国Hospital-AI并未获得优惠的监管待遇——恰恰证明了这一点。限制内部开发的同样的结构性约束——技术专长、数据基础设施和治理能力——也复杂化了第三方系统的采购、评估和安全整合，尽管在本地构建工具通常是更具挑战性的任务。

转向上述第二个和第三个担忧，Hospital-AI创新的分配影响不仅取决于谁开发了这些系统，还取决于它们被其他机构采用的难易程度。在一个新的机构中部署系统通常需要将其适应本地数据管道、电子健康记录架构、临床工作流程和治理结构，以及评估模型在不同数据环境中的表现。当系统附带描述模型架构、训练数据、验证程序和技术要求的文档时，这些挑战可以得到缓解。

医院-AI的可移植性不仅取决于技术制品本身，也取决于随其传输的信息的透明度。在拥有此类文档的情况下，接收医院可以评估系统应如何融入本地基础设施，以及是否适合其患者群体。在欧盟境内，超出院内例外的器械必须接受合格评定，并由技术文档支持，以便外部机构评估其安全性和性能。然而，对MDR拟议的修改可能允许某些医院-AI系统在附属机构之间流通而无需经历相同的程序，从而引发了关于适应性和监督问题的重新思考。在美国，类似的透明度有时通过所谓的模型卡片提供，描述预期用途、训练数据、评估指标和模型局限性。例如，CHAI应用模型卡片等倡议提议对AI系统的目的、性能、风险和使用背景进行详细、标准化的文档记录。33 从本地工具到可扩展产品：路径与瓶颈当医院-AI从内部临床使用转向更广泛的部署、转移或商业化时，两种监管体系之间的进一步分歧显现出来。在欧盟，根据医疗机构例外开发出的工具受益于定制的内部使用制度，该制度免除了完整的合格评定，同时施加了机构治理要求。一旦它们超越该空间，通常就会受到完整的产品监管框架的约束，包括MDR下的公告机构评估，以及在适用情况下的AI法案义务——其中包括对制造商满足的额外要求。这创造了一条从实验到扩散的不连续路径：最初作为医院-AI得到促进的系统可能随后遇到程序性、证据性和组织性要求的大幅增加，正如Pesapane等人7所强调的。这种不连续性可能具有重要功能，使医院能够应对临床需求，在承担完整的合规成本之前产生真实世界经验并建立证据。院内路径因此充当监管脚手架，在较轻的事前约束下使早期实验成为可能。在这方面，它类似于监管沙盒——例如AI法案引入的沙盒——但缺乏用于监管学习、迭代监督或逐步过渡到更广泛部署的结构化机制。34 从某种意义上说，院内制度类似于一个'没有沙盒机制的沙盒'。根据第57条的AI法案沙盒具有时间限制，在明确的监督安排下运作，旨在生成可 informing 监管实践和未来立法工作的见解。相比之下，院内路径更为永久，主要受内部机构流程管理。这可能会阻碍规模化，或者激励对院内地位的持续依赖，即使更广泛的部署在临床上是有利的。美国法律没有创造与欧盟院内豁免可比的医院-AI监管语法。相反，医院-AI要么落在现有FDA器械路径内——如510(k)、De Novo或PMA——或者，在许多情况下，由于《21世纪治愈法案》引入的软件排除条款而完全在器械框架之外。因此，在内部临床使用与更广泛部署之间，没有像欧盟院内制度下发生的那样明确定义的监管过渡。这并不意味着在美国环境中扩散更容易。当系统落在FDA器械框架之外时，其开发和初始使用可能面临相对有限的事前监管障碍。同时，许多此类工具缺乏正式授权路径也可能降低了标准化的安全性、有效性和质量信号的可获得性，而这些信号本可促进跨机构的更广泛采用。医院-AI的扩散因此可能更依赖于机构信任、本地验证和非正式知识传递，而非监管过渡点。在两个司法管辖区中，从早期医院实验到更广泛临床扩散的路径仍然不完善。即使当地创新得到促进，也没有一个框架提供清晰的机制将成功的医院开发系统转化为可在异质医疗环境中可靠采用的工具。在没有更好定义的机制来支持这种过渡的情况下，即使更广泛的部署在临床上是可取的，医院开发的AI也可能局限于其原始机构。概念影响与数据缺口比较当前的监管方法仍然揭示了欧盟设计的监管容让与美国偶然的监管宽松之间的深刻分歧。在欧盟，医院被明确承认为监管参与者，灵活性通过机构义务来结构化。相比之下，在美国，医院开发的AI主要在一般监管框架内运作，该框架不直接涉及其机构背景。如上所述，这种分歧的意义很可能随着两个系统的演进而变得更加明显。欧盟正在进行的改革，以及美国仍然碎片化且发展中的AI治理格局，将检验结构化的机构监督是否转化为更一致和可问责的使用，或者更宽松的方法是否更好地支持及时开发和扩散。我们的论述自觉聚焦于监管设计选择及其可能影响，而非结果。本文并未提供实证证据表明任何一种监管模式导致更好的真实世界临床、创新或扩散结果。评估这些权衡的实证基础仍然有限。关于医院开发AI系统数量、开发时间表、治理实践和临床性能的比较证据，以及这些系统扩散超出其原始机构的路径的证据，将有助于完善这一图景。即使有这些证据，将监管设计的因果效应与医院组织、报销和国家卫生政策等其他差异区分开来仍将困难重重。尽管如此，反思底层的设计选择有助于澄清每个系统试图实现的目标。清晰的一点是，将医院承认为独特参与者是一个重要的设计选择。因此，政策制定者面临的核心挑战不仅在于允许多少灵活性，还在于如何确保这种灵活性在创新日益源于医疗系统内部时得到有意义的治理。这可能需要例如：对院内系统更清晰的文档和透明度义务，为成功的工具从内部使用过渡到更广泛部署提供更结构化的路径，以及在医院开发的系统开始在机构间流通时更明确的监督。